Questions fréquentes

Pas directement, si vous ne relevez pas vous-même du § 28 BSIG. Vos clients, en revanche, doivent tenir compte de la sécurité de la chaîne d’approvisionnement et demandent souvent des preuves. Vous pouvez les fournir de manière structurée avec Complass, par exemple via l’ISO 27001.

Le BSIG n’exige pas de certification. L’ISO/IEC 27001 est toutefois un référentiel éprouvé ; dans Complass, vous reliez les deux catalogues afin que les preuves comptent pour les deux.

La déclaration d’applicabilité, en anglais Statement of Applicability (SoA), est un document obligatoire selon ISO/IEC 27001:2022, section 6.1.3 d. Elle indique les mesures nécessaires avec leur justification, précise si elles sont mises en œuvre et justifie l’exclusion de mesures de l’annexe A.

Le point de départ est le traitement des risques : il montre quelles mesures sont nécessaires. Vous les comparez aux 93 mesures de l’annexe A et indiquez pour chacune si elle s’applique, pourquoi et dans quelle mesure elle est mise en œuvre. Les mesures issues de règles sectorielles ou de contrats s’y ajoutent. Si les risques ou le périmètre changent, vous mettez la déclaration à jour.

Le catalogue de l’annexe A est votre déclaration d’applicabilité : pour chaque mesure, vous saisissez l’applicabilité, la justification, le statut et la preuve, ajoutez vos propres mesures et validez l’état sous forme de version. La validation n’est possible que si chaque entrée est décidée et justifiée. L’export se fait en Word, Excel ou PDF.

Non. La certification est réalisée par un organisme de certification accrédité. Complass vous prépare avec les documents, la déclaration d’applicabilité et les preuves.

Oui. Complass couvre l’IEC 62443 avec un module par rôle. Les fabricants disposent de leur propre module pour l’IEC 62443-4-1 et 4-2, articulé avec le CRA et le règlement Machines.

Souvent les deux. Complass montre les recoupements et relie les catalogues afin que vous ne fournissiez la preuve qu’une seule fois.

Non. Complass calcule les délais et prépare le contenu ; vous transmettez la notification via la plateforme de notification.

Peut-être, si la modification est considérée comme substantielle. Le module contient pour cela une évaluation dédiée avec un modèle.

Une phase du module traite de l’articulation entre le règlement Machines, le CRA et l’IEC 62443 ; les catalogues peuvent être reliés.

Pour les composants de sécurité d’IA qui sont des systèmes d’IA à haut risque, seuls quelques articles du règlement sur l’IA s’appliquent depuis le 27 juillet 2026 ; leurs exigences passent, à partir du 2 août 2028, par l’annexe III du règlement Machines. Les fonctions d’IA sans lien avec la sécurité, par exemple une prévision d’usure, sont toujours à examiner selon les règles générales du règlement sur l’IA. Le module vous guide dans la classification.

Les deux modules relèvent du référentiel IEC 62443 et utilisent le même modèle de zones. Vous réalisez l’analyse des écarts par rapport aux exigences système individuelles de 3-3 dans le module exploitant, idéalement avec votre client.

Non. Des normes harmonisées pour le CRA sont en préparation ; tant que leurs références ne sont pas publiées au Journal officiel, IEC 62443 n’emporte pas de présomption de conformité. Vous pouvez toutefois décrire 4-1 et 4-2 comme solution technique retenue dans la documentation technique ; le module contient pour cela un modèle de correspondance.

Pas obligatoirement. De nombreux fabricants commencent par une autodéclaration du SL-C et étayent le processus par leurs propres preuves. Un certificat de processus ou de produit délivré par un organisme indépendant renforce la confiance des clients ; le module aide à rassembler les preuves nécessaires.

Non. Complass structure la mise en œuvre et la preuve ; le conseil et le contrôle restent la mission du délégué à la protection des données, là où il y en a un. Les contenus ne remplacent pas un conseil juridique.

Non. Complass aide à l’évaluation, au contenu et à la documentation de la notification ; vous effectuez la notification par la voie de notification de votre autorité de contrôle.

Oui. Les contenus suivent le règlement, qui s’applique dans tous les États membres. Les particularités allemandes issues de la BDSG sont signalées comme remarques nationales ; vous vérifiez vous-même les règles nationales des autres États membres.

Oui, en tant que déployeur : vous devez prendre des mesures pour la maîtrise de l’IA des utilisateurs et exclure les pratiques interdites. D’autres obligations n’apparaissent que pour des finalités à haut risque ou des cas de transparence.

L’IA destinée au contrôle qualité ou à l’optimisation des performances n’est pas considérée comme un composant de sécurité. Pour les composants de sécurité d’IA des machines, seuls quelques articles du règlement sur l’IA s’appliquent ; les exigences viennent par le règlement Machines. Complass relie pour cela les projets règlement sur l’IA, règlement Machines et CRA.

Seulement dans certains cas. L'art. 27, paragraphe 1, oblige les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, ainsi que les déployeurs de systèmes d'IA à haut risque visés à l'annexe III, point 5 b) et c) (évaluation de la solvabilité, évaluation des risques et tarification en matière d'assurance vie et maladie), et ce avant la première utilisation. L'obligation ne s'applique pas aux systèmes d'IA à haut risque dans le domaine des infrastructures critiques (annexe III, point 2). Complass donne une indication d'après votre classification ; la décision vous appartient.

Non. Complass structure la classification, les obligations et les preuves à partir du texte de la loi ; l’appréciation juridique du cas particulier vous revient.

En partie. L’obligation de concevoir les produits pour l’accès aux données ne vaut que pour les produits connectés et services connexes mis sur le marché après le 12 septembre 2026 ; c’est l’appareil individuel qui compte, pas la série. Les droits des utilisateurs d’accéder aux données facilement disponibles et de les faire transmettre à des tiers n’ont en revanche pas de date propre et s’appliquent depuis le 12 septembre 2025. Selon la FAQ de la Commission européenne, ils couvrent aussi les machines déjà en service.

Les obligations d’accès aux données du chapitre II ne s’appliquent pas aux micro et petites entreprises, à condition qu’elles n’aient pas d’entreprises partenaires ou liées plus grandes et n’aient pas été chargées, en sous-traitance, de la fabrication ou de la conception d’un produit connecté. Les règles relatives aux clauses contractuelles abusives et au changement de cloud s’appliquent malgré tout. Complass vous guide dans cette vérification.

En tant qu’utilisateur, vous pouvez exiger du détenteur de données les données facilement disponibles de vos machines, gratuitement et dans un format lisible par machine, ainsi que leur transmission à un tiers de votre choix, par exemple un partenaire de service. Complass vous aide à demander les données, à examiner les contrats et à définir des exigences pour l’achat de nouvelles machines.

Non. Complass structure les rôles, obligations et preuves à partir du texte de la loi et fournit des modèles avec des formulations d’exemple ; faites examiner juridiquement les contrats et les textes destinés aux clients avant utilisation.

Non. C’est du droit allemand, qui s’applique aux installations critiques situées en Allemagne. Les autres États membres de l’UE transposent la directive CER par leurs propres lois ; les installations qui s’y trouvent relèvent du droit national respectif.

L’ordonnance fixant les seuils n’est pas encore promulguée. Recensez dès maintenant vos services, installations et valeurs du niveau d’approvisionnement et documentez votre appréciation. Dès qu’une installation est considérée comme critique, vous disposez de trois mois pour l’enregistrement ; dix mois après l’enregistrement, le plan de résilience et le dispositif de notification doivent être en place.

Non. La loi sur le BSI régit la cybersécurité, la loi-cadre KRITIS la protection physique et le maintien de l’approvisionnement. L’enregistrement est toutefois commun, et vous pouvez utiliser comme preuves les analyses de risques, documents et certificats existants (§ 17). Dans Complass, vous utilisez la gestion des risques pour les risques relevant des deux lois.

Des amendes ne sont prévues que pour certaines infractions, avec des montants maximaux compris entre 100 000 euros et 1 million d’euros : données d’enregistrement manquantes ou inexactes, non-respect d’injonctions exécutoires, résultats d’audit non transmis, ainsi que refus d’accès ou de renseignements lors d’un contrôle (§ 24). En cas de mesures manquantes, l’autorité peut ordonner de remédier aux manquements (§ 16) ; la direction est responsable selon le droit des sociétés (§ 20).

Non. Complass structure la vérification de l’assujettissement, les obligations et les preuves à partir du texte de la loi ; l’appréciation juridique du cas particulier vous revient.

En règle générale, oui : la machine dotée d’un module radio est alors elle-même un équipement radioélectrique, et si elle peut communiquer via Internet, l’exigence de protection du réseau s’applique. Le module RED de Complass vous aide à la qualification.

Uniquement si vous appliquez intégralement des normes harmonisées pour toutes les exigences essentielles applicables et qu’aucune des restrictions publiées au Journal officiel ne s’applique, par exemple parce que l’utilisateur peut, en application des points 6.2.5.1 et 6.2.5.2 de l’EN 18031, ne pas définir ni utiliser de mot de passe. Sinon, un organisme notifié doit intervenir.

Oui. Les équipements radioélectriques mis sur le marché d’ici là doivent satisfaire aux exigences de la RED, et l’évaluation des risques, le concept de sécurité et les rapports d’essai peuvent être repris dans votre projet CRA.

Indirectement, oui : vos clients doivent démontrer les exigences cyber du MDR et attendent pour cela des informations et des engagements de votre part. Si vous vendez aussi le composant à d’autres secteurs, le règlement sur la cyberrésilience s’applique en règle générale en plus. Le module comporte une phase dédiée aux fournisseurs.

Non. Complass structure les exigences cyber et les preuves et peut s’intégrer à votre SMQ existant ; l’évaluation de la conformité et les validations restent du ressort de votre entreprise et de votre organisme notifié.

Le module décrit les activités avec ses propres mots, avec renvoi aux sections. Vous vous procurez le texte de la norme lui-même auprès d’un distributeur de normes ; vous pouvez déposer dans le projet des extraits de votre édition sous licence.

La loi ne l’impose pas, mais le service de signalement doit traiter les signalements anonymes. Complass propose par défaut la voie anonyme, car elle abaisse le seuil d’hésitation ; qui le souhaite peut indiquer son nom volontairement.

Seulement si elle fait elle-même partie du service de signalement. Les administrateurs désignent le service de signalement, mais ne voient aucun contenu. Tout changement de composition est immédiatement visible pour les membres actuels, afin que personne ne lise à l’insu des autres.

Pour la plupart des petites entreprises, l’obligation ne s’applique pas, à l’exception des établissements financiers. Comme le canal de signalement et le référentiel sont inclus dans la protection de base, vous pouvez néanmoins proposer le canal sans coût supplémentaire.

Non. Complass met à disposition le canal de signalement, la procédure et les preuves ; l’appréciation juridique d’une infraction signalée relève de votre service de signalement, au cas par cas.

Oui, indirectement, si vous fournissez des services TIC à des entités financières. Vos clients doivent convenir avec vous du contenu contractuel selon l’art. 30 et exigent des informations pour leur registre, une assistance en cas d’incident, des audits et des stratégies de sortie. Seuls les prestataires tiers critiques de services TIC selon l’art. 31 sont soumis à une surveillance directe.

Pour les entités financières, DORA est l’acte plus spécifique ; le § 28, al. 6, BSIG les exempte des obligations centrales de NIS2. Les prestataires TIC peuvent en revanche relever eux-mêmes de NIS2 et devoir en outre satisfaire aux exigences DORA de leurs clients. La vérification de l’assujettissement dans Complass couvre le volet NIS2.

Non. Complass vous aide à documenter les incidents avec horodatage, à justifier la qualification de majeur à l’aide de questions de contrôle, à calculer les délais de notification et à préparer les notifications avec leurs informations obligatoires. La notification elle-même, vous la transmettez par la voie prescrite par l’autorité de surveillance ; l’appréciation juridique au cas par cas vous revient.

Dans le registre « Contrats et licences » de la gestion des actifs, avec durée, délai de résiliation, responsables, actifs liés et preuves ; avec la gestion des fournisseurs, également auprès du prestataire concerné. Il fournit des informations pour votre registre d’informations selon l’art. 28 DORA ; Complass ne propose pas d’export au format du règlement d’exécution (UE) 2024/2956.

Non. Complass n’est pas votre système GxP. Il vous aide à planifier, documenter et justifier la mise en œuvre de l’annexe 11. Les enregistrements pertinents pour les BPF et les signatures électroniques restent dans vos systèmes validés. Si vous teniez de tels enregistrements dans Complass, Complass serait lui-même un système informatisé que vous devriez valider.

La version de 2011 en vigueur, avec le texte officiel. Les points du projet de 2025 figurent dans un groupe distinct signalé « non en vigueur ». Dès la publication du texte définitif, nous adaptons le référentiel ; vos évaluations sont conservées.

Si vous tenez des enregistrements exigés par la FDA, oui. Dans Complass, les deux référentiels reposent sur les mêmes phases et modèles. Vous les réservez séparément ou ensemble ; le modèle sectoriel « GxP et sciences de la vie » dans le configurateur présélectionne les deux avec la gestion des fournisseurs et la gestion des risques.

Non. La validation est réalisée par vous ou vos prestataires, et l’évaluation relève de l’autorité compétente. Complass fournit la structure, explique les exigences avec ses propres mots et tient vos preuves prêtes pour l’inspection.

Non. Complass n’est pas votre système GxP et ne fait aucune déclaration de conformité à Part 11. Il vous aide à planifier, documenter et justifier la mise en œuvre. Vous continuez à tenir les enregistrements exigés par la FDA et les signatures électroniques dans vos systèmes validés.

Non. Part 11 s’applique aux enregistrements exigés par une Predicate Rule que vous tenez sous forme électronique ou transmettez par voie électronique à la FDA. Complass vous guide d’abord dans cette délimitation et en déduit l’inventaire des systèmes.

Dans l’UE, l’EU GMP Annexe 11 s’applique ; pour les enregistrements exigés par la FDA, Part 11 s’applique également. Dans Complass, les deux référentiels reposent sur les mêmes phases et modèles. Vous les réservez séparément ou ensemble ; le modèle sectoriel « GxP et sciences de la vie » dans le configurateur présélectionne les deux avec la gestion des fournisseurs et la gestion des risques.

Le texte de Part 11 est présenté dans l’original anglais, tel que la FDA l’applique. Les explications, étapes et modèles sont disponibles en allemand et en anglais.

Non. L’organisme de certification pour ISO 27001 sur la base de l’IT-Grundschutz est le BSI ; l’audit est réalisé par un auditeur certifié par le BSI. Complass vous y prépare avec des modèles, des catalogues et des preuves.

Non. Pour l’édition 2023, Complass contient des identifiants, des niveaux et ses propres descriptions courtes ; vous consultez le texte dans le Compendium gratuit du BSI. Le BSI publie les exigences de Grundschutz++ sous licence CC BY-SA 4.0 ; elles sont incluses dans leur texte original.

Qui souhaite se certifier à court terme peut le faire jusqu’au 30 novembre 2031 sur la base de l’IT-Grundschutz classique. Qui ne souhaite se certifier qu’en 2027 ou plus tard a intérêt à planifier directement avec Grundschutz++ ; l’analyse de structure, le besoin de protection et l’analyse des risques restent utilisables dans les deux cas.

Non. Le label suppose une évaluation par un prestataire d’audit agréé par l’ENX, et c’est cette évaluation qui décide si vous l’obtenez. Complass vous y prépare : avec une auto-évaluation, le niveau de maturité actuel par exigence, des modèles, des preuves et un plan d’actions.

Non. Pour chaque exigence, Complass indique uniquement le numéro du VDA ISA et la décrit avec ses propres mots. Vous téléchargez le catalogue officiel auprès de l’ENX et l’utilisez en parallèle ; vous pouvez en déposer des extraits dans le projet.

Non. L’enregistrement, la commande au prestataire d’audit et le partage du résultat passent par le portail de l’ENX. Complass prépare les informations nécessaires avec une liste de contrôle.

Oui. Le VDA ISA s’appuie étroitement sur l’ISO/IEC 27001 et 27002 ; vous avez donc déjà mis en œuvre de nombreuses exigences. Les modèles de politiques du module TISAX sont structurés comme dans le module ISO 27001. La protection des prototypes et la protection des données s’ajoutent au besoin.

Pour les évaluations commandées à partir du 01/01/2027, le VDA ISA 2027 s’applique, avec des numéros en partie nouveaux. Vos réponses dans Complass reposent sur des identifiants propres et stables et sont conservées lors de la transition. Les numéros selon le VDA ISA 2027 sont en préparation.

Le prestataire peut mettre en œuvre la technique, mais la responsabilité reste à la direction du cabinet. Les règles pour l’équipe, la formation et les preuves vous incombent. Dans Complass, vous consignez quelles exigences le prestataire confirme et lesquelles le cabinet met en œuvre lui-même.

Non, les cabinets dentaires appliquent la directive de la KZBV. Les deux versions ont la même structure et la même numérotation ; pour chaque exigence, Complass affiche le libellé de la KBV et, lorsqu’il diffère, celui de la KZBV.

Non. La directive ne prescrit pas de certificat. Vous devez toutefois pouvoir prouver la mise en œuvre, par exemple à l’association régionale des médecins ou des dentistes conventionnés, à l’autorité de protection des données ou, après un incident, aux assureurs.

Une gestion des risques propre à l’hôpital, qui évalue la sécurité des patients et l’efficacité des soins en plus de la disponibilité, de l’intégrité, de l’authenticité et de la confidentialité. S’y ajoutent des exigences sur la direction et le SMSI, la gestion de crise, la gestion des actifs, l’architecture, la sécurité physique et du personnel, le traitement des incidents, les contrôles et les prestataires, ainsi que des sujets techniques, de la segmentation réseau à la technique médicale connectée.

Les exploitants d’installations critiques démontrent la mise en œuvre au BSI tous les trois ans par des contrôles d’un organisme de contrôle approprié (§ 39 BSIG). Pour les autres hôpitaux, le § 391 SGB V ne prévoit pas de preuve régulière, mais la documentation doit être solide. Dans Complass, les preuves sont rattachées directement aux exigences de votre projet.

Le § 391 SGB V s’applique à tous les hôpitaux et exige des mesures selon l’état de l’art. Le B3S est la voie reconnue adéquate par le BSI et constitue donc aussi, pour les petits établissements, la référence évidente.

Non. Le B3S est une œuvre de la DKG. Complass décrit les exigences avec ses propres mots et renvoie aux chapitres et aux numéros ANF. Vous obtenez la norme gratuitement auprès de la DKG ; vous pouvez en déposer des extraits dans votre projet.

Non. Les mesures que vous documentez dans le projet B3S sont aussi rattachées par Complass au référentiel NIS2 grâce au catalogue de mesures commun.

Pour l’exploitation de réseau et pour les installations énergétiques d’entités importantes ou particulièrement importantes, les §§ 5c à 5e EnWG s’appliquent ; la plupart des obligations de la loi sur le BSI ne s’y appliquent pas. Le classement et l’enregistrement selon la loi sur le BSI demeurent. Pour les autres branches comme l’eau ou les eaux usées, la loi sur le BSI s’applique. Si l’installation énergétique n’est qu’une activité accessoire par rapport à l’ensemble de l’activité, la loi sur le BSI s’applique également.

Pour les gestionnaires de réseau, le catalogue d’août 2015 ; pour les exploitants d’installations, le catalogue de décembre 2018. Selon la Bundesnetzagentur, les deux restent applicables jusqu’à la publication d’un nouveau catalogue. État de la vérification : 02.11.2026.

The Federal Network Agency, together with the BSI, is revising the catalogues into one catalogue that is also to apply to digital energy services. Specialist articles cite 1 January 2027 from a draft as the start of application; the Federal Network Agency has not confirmed this date. Nothing has been fixed yet. Your work on the twelve topics of section 5c(4) EnWG counts in any case, because every catalogue must contain them.

Si vous releviez jusqu’ici du § 8a BSIG ancienne version, continuez à appliquer le « B3S Aggregatoren » du BDEW. Sinon, mettez en place un ISMS selon ISO/IEC 27001 et orientez-vous sur les douze thèmes. Dans Complass, vous évaluez ces thèmes et ajoutez le nouveau catalogue dès qu’il est arrêté.

Au point de notification du BSI : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final au plus tard un mois après. Si l’incident est important pour la sécurité de l’approvisionnement énergétique, le BSI transmet la notification à la Bundesnetzagentur (§ 5d, al. 5, EnWG).

Non. Complass structure la vérification de l’assujettissement, les obligations et les preuves à partir du texte de la loi et des catalogues ; l’appréciation juridique du cas particulier vous revient.

Non. Le CSF n’est pas certifiable. Complass vous aide à décrire et à justifier votre situation sous forme de profil ; il n’en résulte ni certificat ni label.

Les quatre tiers (Partial, Risk Informed, Repeatable, Adaptive) indiquent le degré de maturité de votre gouvernance et de votre gestion des risques dans leur ensemble. Vous consignez le tier actuel et le tier visé dans un modèle.

Non. Grâce aux mesures communes, Complass vous propose de reprendre évaluations et preuves. Vous examinez chaque proposition sur le fond avant de la confirmer.

Complass links the subcategories with the requirements of these frameworks through shared controls. This is a content-based mapping by Complass, not an official NIST mapping, and does not replace your own assessment.

Non. Il les complète comme présentation de votre situation auprès des clients et des assureurs. Les obligations légales demeurent.

Non. Ni le SSDF ni OWASP SAMM ne sont certifiables. Complass vous aide à décrire et à justifier votre état de mise en œuvre et votre niveau de maturité.

Pas automatiquement. Le SSDF couvre de nombreuses exigences relatives au développement et au traitement des vulnérabilités, et Complass montre la correspondance avec l’annexe I. L’évaluation de la conformité au titre du CRA reste une tâche à part.

Le SSDF dit ce qu’il faut faire ; SAMM montre le degré de maturité atteint. Avec les niveaux de 0 à 3, vous pouvez mesurer les progrès et fixer des objectifs.

Non. Grâce aux mesures communes, Complass vous propose de reprendre évaluations et preuves. Vous examinez chaque proposition avant de la confirmer.

Oui. En tant que fabricant, importateur ou distributeur, vous avez vos obligations même si la place de marché a en plus ses propres obligations. Complass vous attribue le rôle pour chaque produit.

Non. Complass prépare les informations pour la déclaration dans le Safety Business Gateway et documente le dossier ; la déclaration, vous la faites vous-même.

Non. Complass structure les rôles, les obligations et les preuves à partir du texte du règlement ; l’appréciation juridique au cas par cas vous revient.

Oui, dès que le traitement déploie des effets en Suisse, par exemple par des clients, utilisateurs ou collaborateurs qui s’y trouvent. Vous vérifiez à la première étape du projet si un représentant en Suisse est en outre nécessaire.

En grande partie. Vous devez surtout compléter la liste de pays suisse et l’adaptation des clauses, la journalisation et le règlement de traitement dans certains cas, le délai d’accès de 30 jours et les responsabilités pour les obligations assorties de sanctions pénales.

Les amendes jusqu’à 250 000 CHF visent la personne physique responsable qui agit intentionnellement, pas automatiquement l’entreprise. Des responsabilités claires et des contrôles documentés sont donc importants.

Non. Complass vous aide pour l’évaluation, le contenu et la documentation ; vous effectuez la notification via le formulaire de notification du PFPDT.

Non. Ce qui est évalué, c’est la mise en œuvre des contrôles pour un système donné ; l’entité responsable décide de son exploitation. Complass prépare l’évaluation, mais n’en fait pas naître de certificat.

Elle découle de la catégorisation de votre système selon le dommage potentiel (Low, Moderate, High) ou de votre contrat. La baseline Privacy s’y ajoute lorsque le système traite des données à caractère personnel.

Non. Grâce aux mesures communes, Complass vous propose de reprendre évaluations et preuves. Vous examinez chaque proposition sur le fond avant de la confirmer.

Complass prépare la mise en œuvre et l’évaluation des exigences. Le CMMC est un programme distinct du département américain de la Défense, avec ses propres évaluations ; Complass ne délivre pas de certificat.

C’est la révision indiquée dans votre contrat qui fait foi. Le module couvre la Rev. 3 ; clarifiez la révision avec votre donneur d’ordre avant de constituer des preuves.

Non. Grâce aux mesures communes, Complass vous propose de reprendre évaluations et preuves. Vous vérifiez pour chaque proposition si elle couvre le périmètre CUI.