Domande frequenti

Non direttamente, se non rientrate voi stessi nel § 28 BSIG. I vostri clienti, però, devono considerare la sicurezza della catena di fornitura e spesso chiedono evidenze. Con Complass potete fornirle in modo strutturato, ad es. tramite ISO 27001.

Il BSIG non richiede la certificazione. ISO/IEC 27001 è comunque un framework collaudato; in Complass collegate entrambi i cataloghi in modo che le evidenze valgano per entrambi.

La dichiarazione di applicabilità, in inglese Statement of Applicability (SoA), è un documento obbligatorio secondo ISO/IEC 27001:2022, punto 6.1.3 d. Indica i controlli necessari con la relativa giustificazione, registra se sono attuati e giustifica l’esclusione di controlli dell’allegato A.

Il punto di partenza è il trattamento dei rischi: mostra quali controlli sono necessari. Li confronta con tutti i 93 controlli dell’allegato A e registra per ciascuno se è applicabile, perché e in che misura è attuato. Si aggiungono i controlli derivanti da regole di settore o contratti. Se cambiano i rischi o il campo di applicazione, aggiorna la dichiarazione.

Il catalogo dell’allegato A è la Sua dichiarazione di applicabilità: per ogni controllo registra applicabilità, giustificazione, stato ed evidenza, aggiunge controlli propri e approva lo stato come versione. L’approvazione è possibile solo quando ogni voce è decisa e giustificata. Può esportarla in Word, Excel o PDF.

No. La certificazione viene rilasciata da un organismo di certificazione accreditato. Complass vi prepara con documenti, dichiarazione di applicabilità ed evidenze.

Sì. Complass copre la IEC 62443 con un modulo per ruolo. I fabbricanti dispongono di un proprio modulo per la IEC 62443-4-1 e 4-2, collegato al CRA e al Regolamento macchine.

Spesso entrambi. Complass mostra le sovrapposizioni e collega i cataloghi in modo da fornire le evidenze una sola volta.

No. Complass calcola le scadenze e prepara i contenuti; la notifica la trasmettete tramite la piattaforma di notifica.

Forse, se la modifica è considerata sostanziale. Il modulo contiene una valutazione dedicata con un modello apposito.

Una fase del modulo tratta l’interazione tra regolamento macchine, CRA e IEC 62443; i cataloghi possono essere collegati.

Per i componenti di sicurezza di IA che sono sistemi di IA ad alto rischio, dal 27 luglio 2026 si applicano del regolamento sull’IA solo pochi articoli; i loro requisiti arrivano dal 2 agosto 2028 attraverso l’allegato III del regolamento macchine. Le funzioni di IA prive di rilevanza per la sicurezza, ad esempio una previsione dell’usura, restano da valutare secondo le regole generali del regolamento sull’IA. Il modulo vi guida nella classificazione.

Entrambi i moduli appartengono al framework IEC 62443 e utilizzano lo stesso modello di zone. L’analisi dei gap rispetto ai singoli requisiti di sistema della 3-3 viene condotta nel modulo per i gestori, idealmente insieme al Suo cliente.

No. Le norme armonizzate per il CRA sono in preparazione; finché i loro riferimenti non sono pubblicati nella Gazzetta ufficiale, la IEC 62443 non fonda alcuna presunzione di conformità. Può però descrivere 4-1 e 4-2 come soluzione tecnica scelta nella documentazione tecnica; il modulo contiene a tal fine un modello di confronto.

Non necessariamente. Molti fabbricanti iniziano con un’autodichiarazione sull’SL-C e documentano il processo con evidenze proprie. Una certificazione di processo o di prodotto da parte di un organismo indipendente rafforza la fiducia dei clienti; il modulo aiuta a raccogliere le relative evidenze.

No. Complass struttura l’attuazione e l’evidenza; consulenza e sorveglianza restano compito del responsabile della protezione dei dati, ove ne sia stato designato uno. I contenuti non sostituiscono la consulenza legale.

No. Complass aiuta nella valutazione, nel contenuto e nella documentazione della notifica; la notifica viene presentata da Lei attraverso il canale previsto dalla Sua autorità di controllo.

Sì. I contenuti seguono il regolamento, che si applica in tutti gli Stati membri. Le particolarità tedesche derivanti dal BDSG sono contrassegnate come indicazioni nazionali; le norme nazionali di altri Stati membri deve verificarle autonomamente.

Sì, come deployer: deve adottare misure per l’alfabetizzazione in materia di IA degli utenti ed escludere le pratiche vietate. Ulteriori obblighi sorgono solo per finalità d’uso ad alto rischio o casi di trasparenza.

L’IA per il controllo qualità o l’ottimizzazione delle prestazioni non è considerata un componente di sicurezza. Per i componenti di sicurezza di macchine basati sull’IA si applicano del Regolamento sull’IA solo pochi articoli; i requisiti derivano dal Regolamento macchine. Complass collega a tal fine i progetti Regolamento IA, Regolamento macchine e CRA.

Solo in determinati casi. L’art. 27, par. 1, obbliga i deployer che sono organismi di diritto pubblico o enti privati che forniscono servizi pubblici, nonché i deployer di sistemi di IA ad alto rischio di cui all’allegato III, punto 5, lettere b) e c) (merito creditizio, valutazione del rischio e determinazione dei prezzi nelle assicurazioni sulla vita e sulla salute), e ciò prima del primo utilizzo. Per i sistemi di IA ad alto rischio nel settore delle infrastrutture critiche (allegato III, punto 2) l’obbligo non sussiste. Complass fornisce un’indicazione sulla base della vostra classificazione; la decisione la prendete voi.

No. Complass struttura classificazione, obblighi ed evidenze sulla base del testo di legge; la valutazione giuridica nel singolo caso resta a Lei.

In parte. L’obbligo di progettare i prodotti per l’accesso ai dati vale solo per i prodotti connessi e i servizi correlati immessi sul mercato dopo il 12 settembre 2026; determinante è il singolo dispositivo, non la serie. I diritti degli utenti di accedere ai dati prontamente disponibili e di condividerli con terzi non hanno invece una data di riferimento propria e si applicano dal 12 settembre 2025. Secondo le FAQ della Commissione europea riguardano anche le macchine già in uso.

Gli obblighi di accesso ai dati ai sensi del capo II non si applicano alle microimprese e alle piccole imprese, a condizione che non abbiano imprese partner o collegate di maggiori dimensioni e non siano state incaricate come subappaltatori per la fabbricazione o la progettazione di un prodotto connesso. Le norme sulle clausole contrattuali abusive e sul passaggio tra servizi cloud si applicano comunque. Complass La guida attraverso questa verifica.

Come utente può richiedere al detentore dei dati i dati prontamente disponibili delle Sue macchine, gratuitamente e in formato leggibile da dispositivo automatico, nonché la condivisione con un terzo di Sua scelta, ad esempio un partner di assistenza. Complass aiuta nella richiesta dei dati, nella verifica dei contratti e nella definizione dei requisiti per l’acquisto di nuove macchine.

No. Complass struttura ruoli, obblighi ed evidenze sulla base del testo di legge e fornisce modelli con formulazioni di esempio; contratti e testi rivolti ai clienti vanno sottoposti a verifica legale prima dell’uso.

No. È diritto tedesco e vale per gli impianti critici in Germania. Gli altri Stati membri dell’UE recepiscono la direttiva CER con leggi proprie; per gli impianti situati lì si applica il rispettivo diritto nazionale.

Il regolamento con le soglie non è ancora stato promulgato. Registri fin da ora i Suoi servizi, impianti e valori sul livello di approvvigionamento e documenti la valutazione. Se un impianto è considerato critico, restano tre mesi per la registrazione; dieci mesi dopo la registrazione devono essere pronti piano di resilienza e sistema di notifica.

No. La legge sul BSI disciplina la cibersicurezza, la legge quadro KRITIS la protezione fisica e il mantenimento dell’approvvigionamento. La registrazione avviene però congiuntamente e le analisi dei rischi, i documenti e i certificati esistenti possono essere utilizzati come evidenza (§ 17). In Complass utilizza il Risk Management per i rischi di entrambe le leggi.

Le sanzioni pecuniarie sono previste solo per determinate violazioni, con importi massimi tra 100.000 euro e 1 milione di euro: dati di registrazione mancanti o errati, inosservanza di provvedimenti esecutivi, risultati di audit non trasmessi e accesso o informazioni negati durante una verifica (§ 24). In caso di misure mancanti l’autorità può ordinare l’eliminazione delle carenze (§ 16); la direzione risponde secondo il diritto societario (§ 20).

No. Complass struttura verifica dell’applicabilità, obblighi ed evidenze sulla base del testo di legge; la valutazione giuridica nel singolo caso resta a Lei.

In genere sì: la macchina con modulo radio è allora essa stessa un’apparecchiatura radio e, se può comunicare via Internet, si applica il requisito di protezione della rete. Il modulo RED di Complass La aiuta nella classificazione.

Solo se applica integralmente le norme armonizzate per tutti i requisiti essenziali applicabili e non ricorre nessuna delle limitazioni pubblicate nella Gazzetta ufficiale, ad esempio perché, applicando i punti 6.2.5.1 e 6.2.5.2 della EN 18031, l’utente può non impostare o non utilizzare una password. In caso contrario occorre coinvolgere un organismo notificato.

Sì. Le apparecchiature radio immesse sul mercato fino ad allora devono soddisfare i requisiti RED, e valutazione dei rischi, concetto di sicurezza e rapporti di prova possono essere riportati nel Suo progetto CRA.

Indirettamente sì: i Suoi clienti devono dimostrare i requisiti cyber della MDR e si aspettano da Lei informazioni e impegni a tal fine. Se vende il componente anche ad altri settori, di regola si applica inoltre il Cyber Resilience Act. Il modulo contiene una fase dedicata ai fornitori.

No. Complass struttura i requisiti cyber e le evidenze e si integra nel Suo SGQ esistente; valutazione della conformità e approvazioni restano a Lei e al Suo organismo notificato.

Il modulo descrive le attività con parole proprie, con rimando alle sezioni. Il testo della norma deve essere acquistato presso i rivenditori di norme; estratti della Sua edizione con licenza possono essere archiviati nel progetto.

La legge non lo impone, ma l’ufficio di segnalazione dovrebbe trattare le segnalazioni anonime. Complass offre per impostazione predefinita il canale anonimo, perché abbassa la soglia di accesso; chi lo desidera può indicare volontariamente il proprio nome.

Solo se ne fa parte essa stessa. Gli amministratori nominano l’ufficio di segnalazione, ma non vedono i contenuti. I membri precedenti vedono subito ogni modifica della composizione, così nessuno può leggere di nascosto.

Per la maggior parte delle aziende più piccole l’obbligo non si applica, con l’eccezione delle imprese finanziarie. Poiché canale di segnalazione e framework sono inclusi nella protezione di base, può comunque offrire il canale senza costi aggiuntivi.

No. Complass mette a disposizione canale di segnalazione, procedura ed evidenze; la valutazione giuridica di una violazione segnalata spetta al Suo ufficio di segnalazione, caso per caso.

Sì, indirettamente, se fornisce servizi TIC a imprese finanziarie. I Suoi clienti devono concordare con Lei i contenuti contrattuali ai sensi dell’art. 30 e richiedono informazioni per il loro registro delle informazioni, supporto in caso di incidenti, audit e disposizioni di uscita. La vigilanza diretta riguarda solo i fornitori terzi critici di servizi TIC ai sensi dell’art. 31.

Per le imprese finanziarie DORA è l’atto giuridico più specifico; il § 28, comma 6, BSIG le esonera dai principali obblighi NIS2. I fornitori di servizi TIC possono invece rientrare essi stessi nella NIS2 e dover inoltre soddisfare i requisiti DORA dei loro clienti. La verifica di applicabilità in Complass controlla il lato NIS2.

No. Complass aiuta a documentare gli incidenti con marca temporale, a motivare la classificazione come grave con domande di verifica, a calcolare i termini di notifica e a preparare le notifiche con le relative informazioni obbligatorie. La notifica vera e propria la trasmette Lei attraverso il canale stabilito dall’autorità di vigilanza; la valutazione giuridica del singolo caso resta a Suo carico.

Nel registro “Contratti e licenze” dell’asset management, con durata, termine di disdetta, responsabili, asset collegati ed evidenze; con la gestione dei fornitori anche presso il fornitore di servizi interessato. Fornisce informazioni per il vostro registro delle informazioni ai sensi dell’art. 28 DORA; Complass non offre un’esportazione nel formato del regolamento di esecuzione (UE) 2024/2956.

No. Complass non è il Suo sistema GxP. La aiuta a pianificare, documentare e dimostrare l’attuazione dell’Annex 11. Le registrazioni rilevanti ai fini GMP e le firme elettroniche restano nei Suoi sistemi validati. Se tenesse tali registrazioni in Complass, Complass stesso sarebbe un sistema computerizzato da validare.

La versione del 2011 in vigore, con il testo ufficiale. I punti della bozza del 2025 si trovano in un gruppo separato contrassegnato «non in vigore». Non appena sarà pubblicato il testo definitivo, aggiorneremo il referenziale; le Sue valutazioni vengono conservate.

Se tiene registrazioni richieste dalla FDA, sì. In Complass i due referenziali hanno le stesse fasi e gli stessi modelli. Possono essere prenotati singolarmente o insieme; il modello settoriale «GxP e Life Sciences» nel configuratore preseleziona entrambi con gestione dei fornitori e risk management.

No. La validazione viene eseguita da Lei o dai Suoi fornitori di servizi, la valutazione spetta all’autorità competente. Complass fornisce la struttura, spiega i requisiti con parole proprie e tiene pronte le Sue evidenze per l’ispezione.

No. Complass non è il Suo sistema GxP e non rilascia alcuna dichiarazione di conformità a Part 11. La aiuta a pianificare, documentare e dimostrare l’attuazione. Le registrazioni richieste dalla FDA e le firme elettroniche continua a tenerle nei Suoi sistemi validati.

No. Part 11 si applica alle registrazioni richieste da una Predicate Rule che tiene in forma elettronica o trasmette elettronicamente alla FDA. Complass La guida innanzitutto in questa delimitazione e ne ricava l’inventario dei sistemi.

Nell’UE si applica EU GMP Annex 11; per le registrazioni richieste dalla FDA si applica inoltre Part 11. In Complass i due referenziali hanno le stesse fasi e gli stessi modelli. Possono essere prenotati singolarmente o insieme; il modello settoriale «GxP e Life Sciences» nel configuratore preseleziona entrambi con gestione dei fornitori e risk management.

Il testo di Part 11 è riportato nell’originale inglese, così come lo applica la FDA. Le spiegazioni, i passaggi e i modelli sono disponibili in tedesco e in inglese.

No. L’organismo di certificazione per ISO 27001 sulla base dell’IT-Grundschutz è il BSI; la verifica è condotta da un auditor certificato dal BSI. Complass La prepara con modelli, cataloghi ed evidenze.

No. Per l’edizione 2023 Complass contiene identificativi, livelli e brevi descrizioni proprie; il testo lo legge nel Compendio gratuito del BSI. I requisiti di Grundschutz++ sono pubblicati dal BSI con licenza CC BY-SA 4.0 e sono inclusi nel testo originale.

Chi vuole certificarsi a breve può farlo fino al 30 novembre 2031 sulla base dell’IT-Grundschutz classico. Chi intende certificarsi solo nel 2027 o più tardi fa meglio a pianificare direttamente con Grundschutz++; analisi della struttura, fabbisogno di protezione e analisi del rischio restano utilizzabili in entrambi i casi.

No. L’etichetta presuppone un assessment da parte di un fornitore di audit autorizzato da ENX, ed è questo assessment a decidere se la ottenete. Complass vi prepara: con autovalutazione, livello di maturità attuale per requisito, modelli, evidenze e piano delle misure.

No. Per ogni requisito Complass indica solo il numero del VDA ISA e lo descrive con parole proprie. Il catalogo ufficiale lo scaricate da ENX e lo usate in parallelo; potete salvare estratti nel progetto.

No. Registrazione, incarico al fornitore di audit e condivisione del risultato avvengono tramite il portale di ENX. Complass prepara i dati necessari con una checklist.

Sì. Il VDA ISA si basa strettamente su ISO/IEC 27001 e 27002, quindi molti requisiti li avete già attuati. I modelli di policy nel modulo TISAX sono strutturati come nel modulo ISO 27001. Protezione dei prototipi e protezione dei dati si aggiungono se necessario.

Per gli assessment commissionati a partire dal 01/01/2027 si applica il VDA ISA 2027, con numeri in parte nuovi. Le vostre risposte in Complass sono legate a identificatori propri e stabili e vengono mantenute nel passaggio. I numeri secondo il VDA ISA 2027 sono in preparazione.

Il fornitore di servizi può attuare la parte tecnica, ma la responsabilità resta alla direzione dello studio. Regole per il team, formazione ed evidenze restano a Lei. In Complass registra quali requisiti il fornitore di servizi conferma e quali lo studio attua autonomamente.

No, gli studi odontoiatrici attuano la direttiva della KZBV. Le due versioni hanno la stessa struttura e numerazione; per ogni requisito Complass mostra il testo della KBV e, dove diverge, quello della KZBV.

No. La direttiva non prescrive alcun certificato. Deve però poter dimostrare l’attuazione, ad esempio nei confronti dell’Associazione dei medici o dei dentisti convenzionati, dell’autorità di controllo sulla protezione dei dati o, dopo un incidente, nei confronti delle assicurazioni.

Una gestione dei rischi specifica per gli ospedali, che valuta la sicurezza dei pazienti e l’efficacia delle cure oltre a disponibilità, integrità, autenticità e riservatezza. A ciò si aggiungono requisiti su direzione e SGSI, gestione delle emergenze, gestione degli asset, architettura, sicurezza fisica e del personale, gestione degli incidenti, verifiche e fornitori di servizi, e temi tecnici dalla segmentazione di rete alla tecnologia medica connessa.

I gestori di impianti critici dimostrano l’attuazione al BSI ogni tre anni tramite verifiche di un organismo di verifica idoneo (§ 39 BSIG). Per gli altri ospedali il § 391 SGB V non prevede una prova periodica, ma la documentazione deve essere solida. In Complass le evidenze sono collegate direttamente ai requisiti del Suo progetto.

Il § 391 SGB V si applica a tutti gli ospedali e richiede precauzioni secondo lo stato dell’arte. Il B3S è la via riconosciuta come idonea dal BSI ed è quindi il parametro più naturale anche per le strutture più piccole.

No. Il B3S è un’opera della DKG. Complass descrive i requisiti con parole proprie e rimanda a capitoli e numeri ANF. Lo standard è disponibile gratuitamente presso la DKG; ne può archiviare estratti nel Suo progetto.

No. Le misure documentate nel progetto B3S vengono associate da Complass anche al framework NIS2 tramite il catalogo comune delle misure.

Per la gestione della rete e per gli impianti energetici di soggetti importanti o essenziali si applicano i §§ da 5c a 5e EnWG; per essi decadono la maggior parte degli obblighi della legge sul BSI. Classificazione e registrazione ai sensi della legge sul BSI restano. Per altri settori come acqua o acque reflue si applica la legge sul BSI. Se l’impianto energetico è soltanto un’attività accessoria rispetto all’intera attività aziendale, si applica parimenti la legge sul BSI.

Per i gestori di rete il catalogo di agosto 2015, per i gestori di impianti il catalogo di dicembre 2018. Secondo l’Agenzia federale delle reti entrambi restano validi finché non sarà pubblicato un nuovo catalogo. Data della verifica: 02.11.2026.

The Federal Network Agency, together with the BSI, is revising the catalogues into one catalogue that is also to apply to digital energy services. Specialist articles cite 1 January 2027 from a draft as the start of application; the Federal Network Agency has not confirmed this date. Nothing has been fixed yet. Your work on the twelve topics of section 5c(4) EnWG counts in any case, because every catalogue must contain them.

Se finora rientrava nel § 8a BSIG nella vecchia versione, continui ad attuare il “B3S Aggregatoren” del BDEW. In caso contrario costruisca un ISMS secondo ISO/IEC 27001 e si orienti ai dodici temi. In Complass valuta questi temi e integra il nuovo catalogo non appena sarà stabilito.

Al punto di segnalazione del BSI: un preallarme entro 24 ore, una notifica entro 72 ore e una notifica finale al più tardi un mese dopo. Se l’incidente riveste importanza per la sicurezza dell’approvvigionamento energetico, il BSI inoltra la notifica all’Agenzia federale delle reti (§ 5d, comma 5, EnWG).

No. Complass struttura verifica dell’applicabilità, obblighi ed evidenze sulla base del testo di legge e dei cataloghi; la valutazione giuridica nel singolo caso resta a Lei.

No. Il CSF non è certificabile. Complass La aiuta a descrivere e dimostrare il Suo stato come profilo; non ne deriva alcun certificato o marchio.

I quattro tier (Partial, Risk Informed, Repeatable, Adaptive) indicano quanto siano consolidati nel complesso la Sua governance e la Sua gestione dei rischi. Il tier attuale e quello perseguito li registra in un modello.

No. Tramite le misure comuni, Complass propone di riprendere valutazioni ed evidenze. Lei verifica ogni proposta nel merito prima di confermarla.

Complass links the subcategories with the requirements of these frameworks through shared controls. This is a content-based mapping by Complass, not an official NIST mapping, and does not replace your own assessment.

No. Le integra come rappresentazione nei confronti di clienti e assicuratori. Gli obblighi di legge restano.

No. Né l’SSDF né OWASP SAMM sono certificabili. Complass La aiuta a descrivere e dimostrare il Suo stato di attuazione e il Suo livello di maturità.

Non automaticamente. L’SSDF copre molti requisiti per lo sviluppo e la gestione delle vulnerabilità e Complass mostra l’associazione all’allegato I. La valutazione della conformità ai sensi del CRA resta un compito a sé.

L’SSDF dice che cosa fare; SAMM mostra quanto sia consolidato. Con i livelli da 0 a 3 può misurare i progressi e fissare obiettivi.

No. Tramite le misure comuni, Complass propone di riprendere valutazioni ed evidenze. Lei verifica ogni proposta prima di confermarla.

Sì. In qualità di fabbricante, importatore o distributore ha i Suoi obblighi anche quando il marketplace ha a sua volta obblighi propri. Complass Le assegna il ruolo per ciascun prodotto.

No. Complass prepara le informazioni per la notifica nel Safety Business Gateway e documenta il caso; la notifica la presenta Lei stesso.

No. Complass struttura ruoli, obblighi ed evidenze sulla base del testo del regolamento; la valutazione giuridica del singolo caso resta a Suo carico.

Sì, non appena il trattamento produce effetti in Svizzera, ad esempio tramite clienti, utenti o dipendenti ivi presenti. Se sia necessario anche un rappresentante in Svizzera, lo verifica nel primo passaggio del progetto.

In gran parte. Deve integrare soprattutto l’elenco svizzero dei Paesi e l’adattamento delle clausole, la registrazione e il regolamento sul trattamento in determinati casi, il termine di 30 giorni per l’accesso e le responsabilità per gli obblighi sanzionati penalmente.

Le multe fino a 250 000 CHF sono dirette alla persona fisica responsabile che agisce intenzionalmente, non automaticamente all’azienda. Competenze chiare e verifiche documentate sono quindi importanti.

No. Complass supporta valutazione, contenuto e documentazione; la segnalazione la effettua tramite il modulo di segnalazione dell’IFPDT.

No. Viene valutata l’attuazione dei controlli per un determinato sistema; sull’esercizio decide l’ente responsabile. Complass prepara la valutazione, ma non ne deriva alcun certificato.

Dipende dalla categorizzazione del Suo sistema in base al possibile danno (Low, Moderate, High) o dal Suo contratto. La baseline Privacy si aggiunge se il sistema tratta dati personali.

No. Tramite le misure comuni, Complass propone di riprendere valutazioni ed evidenze. Lei verifica ogni proposta nel merito prima di confermarla.

Complass prepara l’attuazione e la valutazione dei requisiti. Il CMMC è un programma autonomo del Dipartimento della Difesa statunitense con valutazioni proprie; Complass non rilascia alcun certificato.

Fa fede la revisione indicata nel Suo contratto. Il modulo riproduce la Rev. 3; chiarisca la revisione con il Suo committente prima di costruire le evidenze.

No. Tramite le misure comuni, Complass propone di riprendere valutazioni ed evidenze. Lei verifica ogni proposta per accertare che copra il perimetro CUI.