Complass – Navigate compliance Complass – Navigate compliance
Taal NL
Deutsch English Français Italiano Español Nederlands Polski Português
Gratis uitproberen

NIS2, CRA en meer: heeft dit gevolgen voor uw bedrijf?

Een eerste inschatting voor NIS2 (§ 28 BSIG), KRITIS, de Cyber Resilience Act en de Machineverordening, en voor ISO 27001, IEC 62443 en TISAX als vrijwillige bewijzen. Voor alle sectoren, met bijzondere diepgang voor industrie en OT. Zonder registratie, in een paar minuten.

Bedrijf

Alle vragen zijn vrijwillig; onbeantwoorde vragen tellen wij als “Weet niet”. Aangenomen uitgangspunt: activiteit tegen betaling.

1. Waar is uw bedrijf gevestigd?

NIS2 zet EU-recht nationaal om; deze check beoordeelt de Duitse omzetting (BSIG). De Cyber Resilience Act en de Machineverordening gelden rechtstreeks in de hele EU.

2. Sector

Alleen ter oriëntatie en voor de vrijblijvende aanwijzingen hieronder; voor de rechtsgevolgen telt vraag 3.

Activiteit

3. Precieze activiteit volgens NIS2 (bijlage 1/2 BSIG)

Kies de activiteit die het best past. De groepen komen overeen met de sectoren van bijlagen 1 en 2 BSIG.

Doorslaggevend is wat uw bedrijf daadwerkelijk doet, niet de sector. Activiteiten die slechts een verwaarloosbaar deel van uw bedrijf uitmaken, blijven buiten beschouwing (§ 28 lid 3 BSIG). Past er geen, kies dan “Geen van deze”.

Grootte

Bedoeld wordt uw bedrijf als juridische entiteit, bijvoorbeeld de BV, met alle vestigingen samen, niet één afzonderlijke vestiging. Of cijfers van een bedrijvengroep meetellen, vragen we in de volgende stap. Bepalend is de laatste jaarrekening.

4. Medewerkers

Voltijdmedewerkers tellen voor 1, deeltijd- en seizoenskrachten naar rato. Leerlingen en medewerkers met zwangerschaps- of ouderschapsverlof tellen niet mee. Voorbeeld: 40 voltijd- en 20 halvedagskrachten geven 50.

5. Jaaromzet

Omzet exclusief btw volgens de winst- en verliesrekening.

6. Balanstotaal

De som van de activazijde van uw balans. Deze staat in de jaarrekening of komt van uw belastingadviseur.

Vanaf 50 medewerkers geldt uw bedrijf als middelgrote onderneming. Dat geldt ook als omzet en balanstotaal beide boven € 10 mln. liggen. Bent u onzeker, kies dan “Weet niet”; het resultaat toont dan wat u moet controleren.

Bedrijvengroep

7. Bedrijvengroep

Er is sprake van een groep als een andere onderneming ten minste 25 % in uw bedrijf houdt, bijvoorbeeld een moedermaatschappij, of uw bedrijf ten minste 25 % in een ander. Is uw IT onafhankelijk van de groep, dan tellen alleen uw eigen cijfers (§ 28 lid 4 BSIG).

Zo tellen deelnemingen en gezamenlijke IT mee
  • Meer dan 50 % of overheersende invloed (verbonden onderneming): de cijfers tellen volledig mee. Dat geldt voor de moedermaatschappij, uw dochters en de zustermaatschappijen onder dezelfde moeder.
  • 25 tot 50 % (partneronderneming): de cijfers tellen naar rato mee, ter hoogte van de deelneming.
  • Onder 25 %: telt niet mee, u geldt als zelfstandig. Deelnemingen van durfkapitaalverschaffers, business angels of hogescholen tot 50 % tellen onder omstandigheden eveneens niet mee.
  • Onafhankelijke IT betekent juridisch, economisch en feitelijk gescheiden: eigen systemen en netwerken, eigen IT-beheer of een eigen dienstverlener, eigen beslissingen over beveiliging.
  • Gezamenlijke IT is bijvoorbeeld een concerndatacenter, een gemeenschappelijk netwerk of een gemeenschappelijke aanmelding (Active Directory) of een centrale IT-afdeling van de moeder.

Voorbeeld: de moedermaatschappij houdt 100 % in uw BV, maar uw IT draait volledig gescheiden. Dan tellen alleen uw eigen cijfers. De onafhankelijkheid moet u kunnen aantonen. Kies bij twijfel “IT gezamenlijk”.

Alleen invullen als u “Deel van een groep, IT gezamenlijk” hebt gekozen. Dan tellen de cijfers van de groep: alle verbonden ondernemingen samen, inclusief uw eigen, bij deelnemingen tussen 25 en 50 % naar rato. Vraag het bij twijfel aan uw concernboekhouding.

Medewerkers van de groep
Jaaromzet van de groep
Balanstotaal van de groep

Bijzondere activiteiten

8. Exploiteert u een kritieke installatie (KRITIS)?

Kritieke installaties voorzien in de regel ten minste 500.000 mensen, bijvoorbeeld grote energiecentrales, waterbedrijven of ziekenhuizen vanaf een bepaald aantal gevallen. De drempelwaarden staan in de BSI-Kritisverordnung. Exploitanten weten dat meestal, omdat ze bij het BSI geregistreerd zijn.

9. Bijzondere gevallen (optioneel, meerkeuze)

Deze activiteiten vallen ongeacht de omvang onder NIS2: elektronische handtekeningen, zegels of tijdstempels (vertrouwensdiensten), DNS-diensten of een topleveldomein, openbare telecommunicatienetwerken of -diensten. Voor banken, verzekeraars en andere financiële ondernemingen geldt DORA met voorrang.

Producten en machines

10. Producten met digitale elementen

Bedoeld wordt hard- en software die met een apparaat of netwerk kan worden verbonden, bijvoorbeeld besturingen, verbonden apparaten, apps of firmware. Wie een product onder eigen naam verkoopt, geldt als fabrikant, ook als een ander het heeft gebouwd.

11. Machines

Een machine is substantieel gewijzigd als door ombouw nieuwe gevaren ontstaan die de fabrikant niet had voorzien. Wie dat doet, geldt zelf als fabrikant. Dat geldt ook voor machines die u voor uw eigen bedrijf bouwt.

Vrijwillig bewijs

12. Klanteisen (optioneel, meerkeuze)

Kies wat klanten in contracten, verzoeken of leveranciersaudits van u eisen. TISAX wordt vooral geëist door de auto-industrie. Ook als NIS2 of de CRA niet rechtstreeks voor u gelden, geven betrokken klanten hun verplichtingen vaak contractueel door aan leveranciers en dienstverleners.

13. Kunstmatige intelligentie

Al het gebruik van AI-tools zoals ChatGPT of Copilot in het bedrijf brengt verplichtingen met zich mee, bijvoorbeeld voor de AI-geletterdheid van medewerkers. Wie AI-systemen ontwikkelt of onder eigen naam verspreidt, heeft aanzienlijk meer verplichtingen.

What is counted (opent in nieuw tabblad)

Switzerland, product safety and pharma

These questions concern further frameworks. Skip them if they do not fit; we then do not assess these frameworks.

14. Do you process personal data of people in Switzerland, or does your processing have an effect in Switzerland?

The Swiss Federal Act on Data Protection (FADP) applies to situations that have an effect in Switzerland, even if they are initiated abroad (Art. 3 para. 1 FADP).

15. Do you place consumer products on the EU market or offer them online, also as a distributor, fulfilment service provider or online marketplace?

General Product Safety Regulation (EU) 2023/988 (GPSR). Consumer products are products intended for consumers or likely to be used by them.

Your role under the GPSR (meerkeuze)

Only fill in if you answered question 15 with “Yes” or “Don’t know”. Fulfilment service providers carry out at least two of warehousing, packaging, addressing and dispatching goods they do not own.

16. Pharma, biotech and medical devices (meerkeuze)

Legal basis: Annex 11 of the EU GMP Guide for computerised systems and FDA 21 CFR Part 11 for electronic records and signatures.

Wat betekenen de normenkaders?

NIS2
(omgezet in de BSI-wet) verplicht exploitanten van bepaalde sectoren vanaf een minimale omvang tot risicobeheer, registratie en meldingen.
Meer over NIS2
KRITIS
(KRITIS-Dachgesetz) betreft exploitanten van kritieke installaties ongeacht de omvang en vereist weerbaarheidsmaatregelen.
Meer over het KRITIS-Dachgesetz
Cyber Resilience Act
Vereist van fabrikanten, importeurs en distributeurs van producten met digitale elementen cyberbeveiliging over de hele levenscyclus, EU-breed.
Meer over de CRA
Machineverordening
Vult de CE-markering van machines aan met cyberbeveiligingseisen voor besturingen, EU-breed.
Meer over de Machineverordening
ISO 27001, IEC 62443 en TISAX
Zijn geen wettelijke verplichtingen, maar vaak door klanten of contracten geëist bewijs.
Meer over ISO 27001 · Meer over IEC 62443
FADP, GPSR, EU GMP Annex 11 and 21 CFR Part 11
The check assesses the Swiss data protection act, the EU General Product Safety Regulation and the GMP and FDA rules for computerised systems and electronic records if you answer questions 14 to 16.
AVG
Gegevensbescherming: de AVG is van toepassing op vrijwel elk bedrijf dat persoonsgegevens verwerkt. Zij maakt geen deel uit van deze check. Met de module AVG implementeert u gegevensbescherming aantoonbaar in Complass.
Meer over de AVG

Vrijblijvende eerste inschatting, geen juridisch advies. Het resultaat berust uitsluitend op uw gegevens en gestandaardiseerde regels; het vervangt noch uw eigen toetsing noch de zelfidentificatie tegenover de autoriteiten. Regelbestand 2026.11.2, Stand 2026-11-03.

Veelgestelde vragen over de toepasselijkheidscheck

Is het resultaat juridisch bindend?

Nee. Het is een vrijblijvende eerste inschatting op basis van uw gegevens en gestandaardiseerde regels, geen juridisch advies.

Worden mijn gegevens opgeslagen?

Not with anything that identifies you. The evaluation happens in working memory. We only count anonymously which answer options and results are chosen, never who chose them; you can opt out of this in the form. Your answers only reach us if you explicitly send the result along with a demo request. Details in the privacy policy.

Waar komen de drempelwaarden vandaan?

Uit § 28 BSIG, de BSI-Kritisverordnung, de Cyber Resilience Act en de Machineverordening; bronvermeldingen staan bij elk resultaat.

Is het resultaat voldoende als basis voor een besluit?

Voor een eerste stap wel: u ziet welke kaders op basis van uw antwoorden waarschijnlijk gelden en waarom. Voor budget, contracten of meldingen aan autoriteiten controleert u het resultaat aan de hand van uw documenten, bij grensgevallen met inhoudelijke of juridische hulp.

Wat betekent “toetsing open”?

Met uw gegevens kan de vraag nog niet definitief worden beantwoord; een ontbrekend antwoord leidt nooit automatisch tot “niet betrokken”.

Mijn bedrijf is niet in Duitsland gevestigd. Geldt de check toch?

De Cyber Resilience Act en de Machineverordening gelden als EU-verordeningen rechtstreeks in alle lidstaten (Machineverordening vanaf 20.01.2027). Voor NIS2 zet elke lidstaat de richtlijn nationaal om; deze check beoordeelt alleen de Duitse omzetting (BSIG) en toont daarvoor “toetsing open”.

Hoe zit het met de AVG?

De AVG is van toepassing op vrijwel elk bedrijf dat persoonsgegevens verwerkt. Zij maakt geen deel uit van deze check. Met de module AVG implementeert u gegevensbescherming aantoonbaar in Complass.

Geldt de AI-verordening voor ons?

Wie AI in het bedrijf inzet, moet maatregelen nemen om de AI-geletterdheid van medewerkers te bevorderen (art. 4 AI-verordening, in de versie sinds 27.07.2026). Een bepaald niveau of certificaat is niet voorgeschreven, maar u moet de maatregelen wel kunnen aantonen. Verdere verplichtingen hangen af van het gebruiksdoel en gelden gefaseerd; controleer de actuele stand.

Kan ik het resultaat opslaan of afdrukken?

Ja, via de printfunctie van uw browser; er is geen pdf-export aan serverzijde.

Wat doe ik met het resultaat?

U vindt per normenkader eerste stappen en aan het einde een passend pakketvoorstel; een demo toont u Complass aan de hand van uw eigen voorbeeld.

Test Complass met uw eigen gegevens

Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.

Gratis uitproberen Demo aanvragen