Często zadawane pytania

Nie bezpośrednio, jeśli sami nie podlegają Państwo pod § 28 BSIG. Państwa klienci muszą jednak uwzględniać bezpieczeństwo łańcucha dostaw i często proszą o dowody. Mogą je Państwo przedstawić w uporządkowany sposób za pomocą Complass, np. poprzez ISO 27001.

BSIG nie wymaga certyfikacji. ISO/IEC 27001 jest jednak sprawdzonymi ramami; w Complass łączą Państwo oba katalogi, tak aby dowody liczyły się dla obu.

Deklaracja stosowania, po angielsku Statement of Applicability (SoA), to obowiązkowy dokument według ISO/IEC 27001:2022, punkt 6.1.3 d. Wymienia niezbędne zabezpieczenia wraz z uzasadnieniem, odnotowuje, czy są wdrożone, i uzasadnia wyłączenie zabezpieczeń z załącznika A.

Punktem wyjścia jest postępowanie z ryzykiem: pokazuje ono, które zabezpieczenia są niezbędne. Porównują je Państwo ze wszystkimi 93 zabezpieczeniami z załącznika A i odnotowują dla każdego, czy ma zastosowanie, dlaczego i w jakim stopniu jest wdrożone. Dochodzą zabezpieczenia z przepisów branżowych lub umów. Gdy zmieniają się ryzyka lub zakres, aktualizują Państwo deklarację.

Katalog do załącznika A jest Państwa deklaracją stosowania: dla każdego zabezpieczenia zapisują Państwo zastosowanie, uzasadnienie, status i dowód, dodają własne zabezpieczenia i zatwierdzają stan jako wersję. Zatwierdzenie jest możliwe dopiero, gdy każdy wpis jest rozstrzygnięty i uzasadniony. Eksport jest możliwy do Word, Excel lub PDF.

Nie. Certyfikację przeprowadza akredytowana jednostka certyfikująca. Complass przygotowuje Państwa za pomocą dokumentów, deklaracji stosowania i dowodów.

Tak. Complass obejmuje IEC 62443 modułem dla każdej roli. Producenci mają własny moduł dla IEC 62443-4-1 i 4-2, powiązany z CRA i rozporządzeniem w sprawie maszyn.

Często oba. Complass pokazuje pokrywanie się wymagań i łączy katalogi, tak aby dowody przedstawiać tylko raz.

Nie. Complass wylicza terminy i przygotowuje treść; zgłoszenie przekazują Państwo za pośrednictwem platformy zgłoszeniowej.

Możliwe, jeśli modyfikacja jest istotna. Moduł zawiera do tego osobną ocenę z szablonem.

Jedna z faz w module dotyczy wzajemnego oddziaływania rozporządzenia w sprawie maszyn, CRA i IEC 62443; katalogi można powiązać.

W przypadku komponentów bezpieczeństwa AI, które są systemami AI wysokiego ryzyka, od 27 lipca 2026 r. stosuje się już tylko niewiele artykułów aktu w sprawie AI; ich wymagania obowiązują od 2 sierpnia 2028 r. za pośrednictwem załącznika III rozporządzenia w sprawie maszyn. Funkcje AI niezwiązane z bezpieczeństwem, np. prognozę zużycia, nadal należy oceniać według ogólnych zasad aktu w sprawie AI. Moduł prowadzi Państwa przez klasyfikację.

Oba moduły należą do regulacji IEC 62443 i korzystają z tego samego modelu stref. Analizę luk względem poszczególnych wymagań systemowych z 3-3 prowadzą Państwo w module dla operatorów, najlepiej wspólnie z klientem.

Nie. Normy zharmonizowane do CRA są w przygotowaniu; dopóki ich odniesienia nie zostaną opublikowane w Dzienniku Urzędowym, IEC 62443 nie daje domniemania zgodności. Mogą Państwo jednak opisać 4-1 i 4-2 jako wybrane rozwiązanie techniczne w dokumentacji technicznej; moduł zawiera w tym celu szablon porównania.

Niekoniecznie. Wielu producentów zaczyna od samodeklaracji dla SL-C i dokumentuje proces własnymi dowodami. Certyfikat procesu lub produktu wydany przez niezależną jednostkę wzmacnia zaufanie klientów; moduł pomaga zebrać do tego dowody.

Nie. Complass porządkuje wdrożenie i dowód; doradztwo i nadzór pozostają zadaniem inspektora ochrony danych, o ile został wyznaczony. Treści nie zastępują doradztwa prawnego.

Nie. Complass pomaga w ocenie, treści i dokumentacji zgłoszenia; zgłoszenie przekazują Państwo drogą zgłoszeniową Państwa organu nadzorczego.

Tak. Treści opierają się na rozporządzeniu, które obowiązuje we wszystkich państwach członkowskich. Niemieckie szczególne regulacje z BDSG są oznaczone jako wskazówki krajowe; przepisy krajowe innych państw członkowskich sprawdzają Państwo samodzielnie.

Tak, jako użytkowników: muszą Państwo podjąć środki dotyczące kompetencji użytkowników w zakresie AI i wykluczyć zakazane praktyki. Dalsze obowiązki powstają dopiero przy zastosowaniach wysokiego ryzyka lub przypadkach przejrzystości.

AI do kontroli jakości lub optymalizacji wydajności nie jest komponentem bezpieczeństwa. Dla komponentów bezpieczeństwa maszyn opartych na AI z rozporządzenia o AI obowiązuje tylko kilka artykułów; wymagania wynikają z rozporządzenia maszynowego. Complass łączy w tym celu projekty rozporządzenia o AI, rozporządzenia maszynowego i CRA.

Tylko w określonych przypadkach. Art. 27 ust. 1 nakłada ten obowiązek na podmioty stosujące będące podmiotami prawa publicznego lub podmioty prywatne świadczące usługi publiczne, a także na podmioty stosujące systemy AI wysokiego ryzyka, o których mowa w załączniku III pkt 5 lit. b) i c) (zdolność kredytowa, ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych), przed pierwszym użyciem. Obowiązek nie dotyczy systemów AI wysokiego ryzyka w obszarze infrastruktury krytycznej (załącznik III pkt 2). Complass na podstawie Państwa klasyfikacji wskazuje, czy ocena może być wymagana; decyzję podejmują Państwo.

Nie. Complass porządkuje klasyfikację, obowiązki i dowody na podstawie tekstu ustawy; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

Częściowo. Obowiązek projektowania produktów pod kątem dostępu do danych dotyczy tylko połączonych produktów i powiązanych usług wprowadzonych do obrotu po 12 września 2026 r.; decydujące jest pojedyncze urządzenie, nie seria. Prawa użytkowników do dostępu do danych łatwo dostępnych i do udostępniania stronom trzecim nie mają natomiast własnego terminu granicznego i obowiązują od 12 września 2025 r. Według FAQ Komisji Europejskiej obejmują także maszyny już eksploatowane.

Obowiązki dotyczące dostępu do danych według rozdziału II nie dotyczą mikro- i małych przedsiębiorstw, o ile nie mają większych przedsiębiorstw partnerskich ani powiązanych i nie zostały zlecone jako podwykonawcy do produkcji lub projektowania połączonego produktu. Przepisy o nieuczciwych klauzulach umownych i zmianie dostawcy chmury mimo to obowiązują. Complass prowadzi Państwa przez to sprawdzenie.

Jako użytkownik mogą Państwo żądać od posiadacza danych łatwo dostępnych danych swoich maszyn, nieodpłatnie i w formacie nadającym się do odczytu maszynowego, oraz udostępnienia ich wybranej stronie trzeciej, na przykład partnerowi serwisowemu. Complass pomaga przy żądaniu danych, przeglądzie umów i określaniu wymagań dla zakupu nowych maszyn.

Nie. Complass porządkuje role, obowiązki i dowody na podstawie tekstu ustawy i dostarcza szablony z przykładowymi sformułowaniami; umowy i teksty dla klientów należy przed użyciem poddać ocenie prawnej.

Nie. Jest to prawo niemieckie i obowiązuje dla obiektów krytycznych w Niemczech. Pozostałe państwa członkowskie UE wdrażają dyrektywę CER własnymi ustawami; dla obiektów tam położonych obowiązuje odpowiednie prawo krajowe.

Rozporządzenie z wartościami progowymi nie zostało jeszcze ogłoszone. Proszę już teraz zarejestrować swoje usługi, obiekty i wartości dotyczące stopnia zaopatrzenia oraz udokumentować ocenę. Jeśli obiekt zostanie uznany za krytyczny, na rejestrację pozostają trzy miesiące; dziesięć miesięcy po rejestracji muszą istnieć plan odporności i system zgłoszeń.

Nie. Ustawa BSI reguluje cyberbezpieczeństwo, a KRITIS-Dachgesetz ochronę fizyczną i utrzymanie zaopatrzenia. Rejestracja odbywa się jednak wspólnie, a istniejące analizy ryzyka, dokumenty i certyfikaty mogą Państwo wykorzystać jako dowód (§ 17). W Complass korzystają Państwo z zarządzania ryzykiem dla ryzyk obu ustaw.

Kary pieniężne grożą tylko za określone naruszenia, w maksymalnych kwotach od 100 000 euro do 1 mln euro: brakujące lub nieprawidłowe dane rejestracyjne, niestosowanie się do wykonalnych nakazów, nieprzekazane wyniki audytów oraz odmowa wstępu lub udzielenia informacji podczas kontroli (§ 24). W przypadku brakujących środków organ może nakazać usunięcie uchybień (§ 16); zarząd odpowiada według prawa spółek (§ 20).

Nie. Complass porządkuje sprawdzenie, czy Państwa dotyczy, obowiązki i dowody na podstawie tekstu ustawy; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

Zasadniczo tak: maszyna z modułem radiowym jest wtedy sama urządzeniem radiowym, a jeśli może komunikować się przez internet, obowiązuje wymaganie ochrony sieci. Moduł RED w Complass pomaga w zakwalifikowaniu.

Tylko jeśli w pełni stosują Państwo normy zharmonizowane dla wszystkich mających zastosowanie wymagań zasadniczych i nie zachodzi żadne z ograniczeń opublikowanych w Dzienniku Urzędowym, na przykład dlatego, że przy stosowaniu punktów 6.2.5.1 i 6.2.5.2 normy EN 18031 użytkownikowi wolno nie ustawiać lub nie używać hasła. W przeciwnym razie należy zaangażować jednostkę notyfikowaną.

Tak. Urządzenia radiowe wprowadzone do obrotu do tego czasu muszą spełniać wymagania RED, a ocenę ryzyka, koncepcję bezpieczeństwa i raporty z badań można przenieść do Państwa projektu CRA.

Pośrednio tak: Państwa klienci muszą wykazać spełnienie wymagań cybernetycznych MDR i oczekują w tym celu informacji i zobowiązań od Państwa. Jeśli sprzedają Państwo komponent także innym branżom, co do zasady dodatkowo obowiązuje dla niego Cyber Resilience Act. Moduł zawiera osobną fazę dla dostawców.

Nie. Complass porządkuje wymagania cybernetyczne i dowody i daje się włączyć do Państwa istniejącego QMS; ocena zgodności i zatwierdzenia pozostają po Państwa stronie i po stronie Państwa jednostki notyfikowanej.

Moduł opisuje działania własnymi słowami z odesłaniem do punktów normy. Samą treść normy nabywają Państwo w handlu normami; wyciągi z Państwa licencjonowanego wydania mogą Państwo zapisać w projekcie.

Prawo tego nie wymaga, ale urząd zgłoszeniowy powinien rozpatrywać także zgłoszenia anonimowe. Complass domyślnie oferuje ścieżkę anonimową, ponieważ obniża ona barierę zgłoszenia; kto chce, może dobrowolnie podać swoje imię i nazwisko.

Tylko wtedy, gdy sam należy do urzędu zgłoszeniowego. Administratorzy wskazują urząd zgłoszeniowy, ale nie widzą treści. Każdą zmianę składu dotychczasowi członkowie widzą od razu, aby nikt nie mógł niezauważenie czytać zgłoszeń.

W przypadku większości mniejszych firm obowiązek nie obowiązuje, z wyjątkiem instytucji finansowych. Ponieważ kanał zgłoszeń i ramy regulacyjne są zawarte w ochronie podstawowej, mogą Państwo mimo to oferować kanał bez dodatkowych kosztów.

Nie. Complass udostępnia kanał zgłoszeń, procedurę i dowody; ocenę prawną zgłoszonego naruszenia w danym przypadku przeprowadza Państwa urząd zgłoszeniowy.

Tak, pośrednio, jeśli świadczą Państwo usługi ICT dla przedsiębiorstw finansowych. Państwa klienci muszą uzgodnić z Państwem treść umów według art. 30 i wymagają danych do swojego rejestru informacji, wsparcia przy incydentach, audytów i uregulowań dotyczących wyjścia. Bezpośredni nadzór dotyczy tylko krytycznych zewnętrznych dostawców usług ICT według art. 31.

Dla przedsiębiorstw finansowych DORA jest aktem szczególnym; § 28 ust. 6 BSIG wyłącza je spod głównych obowiązków NIS2. Dostawcy usług ICT mogą natomiast sami podlegać NIS2 i dodatkowo musieć spełniać wymagania DORA swoich klientów. Test zakresu stosowania w Complass sprawdza stronę NIS2.

Nie. Complass pomaga dokumentować incydenty ze znacznikami czasu, uzasadniać zakwalifikowanie ich jako poważnych za pomocą pytań kontrolnych, obliczać terminy zgłoszeń i przygotowywać zgłoszenia z wymaganymi danymi. Samo zgłoszenie przekazują Państwo drogą wskazaną przez organ nadzoru; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

W rejestrze „Umowy i licencje” w zarządzaniu zasobami, z okresem obowiązywania, okresem wypowiedzenia, osobami odpowiedzialnymi, powiązanymi zasobami i dowodami; w połączeniu z zarządzaniem dostawcami także przy danym usługodawcy. Rejestr dostarcza informacji do Państwa rejestru informacji zgodnie z art. 28 DORA; Complass nie oferuje eksportu w formacie rozporządzenia wykonawczego (UE) 2024/2956.

Nie. Complass nie jest Państwa systemem GxP. Pomaga planować, dokumentować i wykazywać wdrożenie Annex 11. Zapisy istotne dla GMP i podpisy elektroniczne pozostają w Państwa zwalidowanych systemach. Gdyby Państwo prowadzili takie zapisy w Complass, sam Complass byłby systemem skomputeryzowanym, który musieliby Państwo zwalidować.

Obowiązującą wersję z 2011 roku z tekstem urzędowym. Punkty projektu z 2025 roku znajdują się w osobnej grupie oznaczonej jako „nieobowiązujące”. Gdy tylko zostanie opublikowany tekst ostateczny, zaktualizujemy zbiór wymagań; Państwa oceny zostaną zachowane.

Jeśli prowadzą Państwo zapisy wymagane przez FDA, tak. W Complass oba zbiory wymagań mają te same fazy i wzory. Można je zamówić osobno lub razem; szablon branżowy „GxP i nauki o życiu” w konfiguratorze wstępnie wybiera oba wraz z zarządzaniem dostawcami i zarządzaniem ryzykiem.

Nie. Walidację przeprowadzają Państwo lub Państwa usługodawcy, a oceny dokonuje właściwy organ. Complass zapewnia strukturę, wyjaśnia wymagania własnymi słowami i utrzymuje Państwa dowody w gotowości do inspekcji.

Nie. Complass nie jest Państwa systemem GxP i nie składa żadnego oświadczenia o zgodności z Part 11. Pomaga planować, dokumentować i wykazywać wdrożenie. Zapisy wymagane przez FDA i podpisy elektroniczne nadal prowadzą Państwo w swoich zwalidowanych systemach.

Nie. Part 11 dotyczy zapisów wymaganych przez Predicate Rule, które prowadzą Państwo w formie elektronicznej lub przekazują FDA elektronicznie. Complass najpierw prowadzi Państwa przez to rozgraniczenie i wyprowadza z niego inwentarz systemów.

W UE obowiązuje EU GMP Annex 11; dla zapisów wymaganych przez FDA obowiązuje dodatkowo Part 11. W Complass oba zbiory wymagań mają te same fazy i wzory. Można je zamówić osobno lub razem; szablon branżowy „GxP i nauki o życiu” w konfiguratorze wstępnie wybiera oba wraz z zarządzaniem dostawcami i zarządzaniem ryzykiem.

Tekst Part 11 jest przedstawiony w angielskim oryginale, tak jak stosuje go FDA. Objaśnienia, kroki i wzory są dostępne po niemiecku i angielsku.

Nie. Jednostką certyfikującą dla ISO 27001 na podstawie IT-Grundschutz jest BSI; audyt przeprowadza audytor certyfikowany przez BSI. Complass przygotowuje Państwa do niego za pomocą szablonów, katalogów i dowodów.

Nie. Dla edycji 2023 Complass zawiera oznaczenia, poziomy i własne krótkie opisy; brzmienie można przeczytać w bezpłatnym Kompendium BSI. Wymagania Grundschutz++ BSI publikuje na licencji CC BY-SA 4.0, są zawarte w oryginalnym brzmieniu.

Kto chce uzyskać certyfikat w krótkim terminie, może to zrobić do 30 listopada 2031 r. na podstawie klasycznego IT-Grundschutz. Kto chce certyfikować się dopiero w 2027 r. lub później, najlepiej od razu planuje z Grundschutz++; analiza struktury, potrzeba ochrony i analiza ryzyka pozostają przydatne w obu przypadkach.

Nie. Etykieta wymaga oceny przez dostawcę audytu uprawnionego przez ENX, a o jej przyznaniu decyduje ta ocena. Complass przygotowuje Państwa do niej: samooceną, aktualnym poziomem dojrzałości dla każdego wymagania, wzorami dokumentów, dowodami i planem działań.

Nie. Complass podaje dla każdego wymagania tylko numer w VDA ISA i opisuje je własnymi słowami. Oficjalny katalog pobierają Państwo z ENX i korzystają z niego równolegle; wyciągi z niego można zapisać w projekcie.

Nie. Rejestracja, zlecenie dla dostawcy audytu i udostępnienie wyniku odbywają się przez portal ENX. Complass przygotowuje potrzebne dane za pomocą listy kontrolnej.

Tak. VDA ISA jest merytorycznie ściśle oparty na ISO/IEC 27001 i 27002, więc wiele wymagań mają Państwo już wdrożonych. Wzory polityk w module TISAX mają taką samą strukturę jak w module ISO 27001. Ochrona prototypów i ochrona danych dochodzą w razie potrzeby.

Dla ocen zlecanych od 01.01.2027 obowiązuje VDA ISA 2027, z częściowo nowymi numerami. Państwa odpowiedzi w Complass są powiązane z własnymi, stabilnymi identyfikatorami i zostają zachowane przy przejściu. Numery według VDA ISA 2027 są w przygotowaniu.

Dostawca może wdrożyć technikę, ale odpowiedzialność pozostaje po stronie kierownictwa praktyki. Zasady dla zespołu, szkolenia i dowody leżą po Państwa stronie. W Complass zapisują Państwo, które wymagania potwierdza dostawca, a które praktyka wdraża sama.

Nie, praktyki dentystyczne wdrażają wytyczne KZBV. Obie wersje mają jednakową strukturę i numerację; Complass pokazuje przy każdym wymaganiu brzmienie KBV, a tam, gdzie się różni, także KZBV.

Nie. Wytyczne nie przewidują certyfikatu. Muszą Państwo jednak móc udokumentować wdrożenie, na przykład wobec Zrzeszenia Lekarzy Kasowych lub Dentystów Kasowych, organu ochrony danych lub po incydencie wobec ubezpieczycieli.

Zarządzania ryzykiem właściwego dla szpitali, które oprócz dostępności, integralności, autentyczności i poufności ocenia także bezpieczeństwo pacjentów i skuteczność leczenia. Do tego dochodzą wymagania dotyczące kierownictwa i ISMS, zarządzania kryzysowego, zarządzania zasobami, architektury, bezpieczeństwa fizycznego i osobowego, obsługi incydentów, audytów i dostawców usług oraz tematy techniczne od segmentacji sieci po połączoną technikę medyczną.

Operatorzy obiektów krytycznych wykazują wdrożenie przed BSI co trzy lata poprzez audyty odpowiedniego podmiotu audytującego (§ 39 BSIG). Dla pozostałych szpitali § 391 SGB V nie przewiduje regularnego dowodu, ale dokumentacja musi być rzetelna. W Complass dowody są przypisane bezpośrednio do wymagań Państwa projektu.

§ 391 SGB V obowiązuje wszystkie szpitale i wymaga środków zgodnych ze stanem techniki. B3S jest drogą uznaną przez BSI za odpowiednią i dlatego także dla mniejszych placówek stanowi naturalną miarę.

Nie. B3S jest dziełem DKG. Complass opisuje wymagania własnymi słowami i odsyła do rozdziałów i numerów ANF. Standard otrzymują Państwo bezpłatnie w DKG; wyciągi z niego mogą Państwo zapisać w swoim projekcie.

Nie. Działania, które dokumentują Państwo w projekcie B3S, Complass przypisuje przez wspólny katalog działań także do regulacji NIS2.

Dla eksploatacji sieci i dla instalacji energetycznych podmiotów ważnych lub szczególnie ważnych obowiązują §§ 5c do 5e EnWG; większość obowiązków ustawy BSI w tym zakresie odpada. Kwalifikacja i rejestracja według ustawy BSI pozostają. Dla innych sektorów, takich jak woda czy ścieki, obowiązuje ustawa BSI. Jeśli instalacja energetyczna jest w stosunku do całej działalności tylko działalnością uboczną, również obowiązuje ustawa BSI.

Dla operatorów sieci katalog z sierpnia 2015 r., dla operatorów instalacji katalog z grudnia 2018 r. Oba obowiązują według Federalnej Agencji Sieci nadal, dopóki nie zostanie opublikowany nowy katalog. Stan sprawdzenia: 02.11.2026.

The Federal Network Agency, together with the BSI, is revising the catalogues into one catalogue that is also to apply to digital energy services. Specialist articles cite 1 January 2027 from a draft as the start of application; the Federal Network Agency has not confirmed this date. Nothing has been fixed yet. Your work on the twelve topics of section 5c(4) EnWG counts in any case, because every catalogue must contain them.

Jeśli dotychczas podlegali Państwo § 8a BSIG w starym brzmieniu, nadal wdrażają Państwo „B3S Aggregatoren” BDEW. W przeciwnym razie budują Państwo ISMS według ISO/IEC 27001 i kierują się dwunastoma tematami. W Complass oceniają Państwo te tematy i uzupełniają nowy katalog, gdy tylko zostanie ustalony.

Do punktu zgłoszeniowego BSI: wczesne zgłoszenie wstępne w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i zgłoszenie końcowe najpóźniej miesiąc później. Jeśli incydent ma znaczenie dla bezpieczeństwa zaopatrzenia w energię, BSI przekazuje zgłoszenie do Federalnej Agencji Sieci (§ 5d ust. 5 EnWG).

Nie. Complass porządkuje sprawdzenie, czy Państwa dotyczy, obowiązki i dowody na podstawie tekstu ustawy i katalogów; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

Nie. CSF nie podlega certyfikacji. Complass pomaga opisać i udokumentować Państwa stan w postaci profilu; certyfikat ani etykieta z tego nie powstają.

Cztery tiery (Partial, Risk Informed, Repeatable, Adaptive) wskazują, na ile dojrzałe jest Państwa zarządzanie i zarządzanie ryzykiem jako całość. Tier bieżący i docelowy zapisują Państwo w szablonie.

Nie. Przez wspólne działania Complass proponuje przejęcie ocen i dowodów. Każdą propozycję sprawdzają Państwo merytorycznie, zanim ją potwierdzą.

Complass links the subcategories with the requirements of these frameworks through shared controls. This is a content-based mapping by Complass, not an official NIST mapping, and does not replace your own assessment.

Nie. Uzupełnia je jako sposób przedstawienia stanu wobec klientów i ubezpieczycieli. Obowiązki ustawowe pozostają w mocy.

Nie. Ani SSDF, ani OWASP SAMM nie podlegają certyfikacji. Complass pomaga opisać i udokumentować stan wdrożenia i poziom dojrzałości.

Nie automatycznie. SSDF obejmuje wiele wymagań dotyczących rozwoju i obsługi podatności, a Complass pokazuje powiązanie z załącznikiem I. Ocena zgodności według CRA pozostaje odrębnym zadaniem.

SSDF mówi, co należy zrobić; SAMM pokazuje, na ile jest to utrwalone. Dzięki poziomom od 0 do 3 można mierzyć postępy i wyznaczać cele.

Nie. Przez wspólne działania Complass proponuje przejęcie ocen i dowodów. Każdą propozycję sprawdzają Państwo, zanim ją potwierdzą.

Tak. Jako producent, importer lub dystrybutor mają Państwo swoje obowiązki także wtedy, gdy platforma handlowa ma dodatkowo własne obowiązki. Complass przypisuje Państwu rolę dla każdego produktu.

Nie. Complass przygotowuje dane do zgłoszenia w Safety Business Gateway i dokumentuje sprawę; zgłoszenia dokonują Państwo samodzielnie.

Nie. Complass porządkuje role, obowiązki i dowody na podstawie tekstu rozporządzenia; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

Tak, gdy tylko przetwarzanie wywiera skutki w Szwajcarii, na przykład przez klientów, użytkowników lub pracowników w tym kraju. Czy dodatkowo potrzebny jest przedstawiciel w Szwajcarii, sprawdzają Państwo w pierwszym kroku projektu.

W dużej części tak. Uzupełnić należy przede wszystkim szwajcarską listę krajów i dostosowanie klauzul, rejestrowanie zdarzeń i regulamin przetwarzania w określonych przypadkach, 30-dniowy termin udzielenia dostępu oraz odpowiedzialność za obowiązki zagrożone sankcją karną.

Grzywny do 250 000 CHF dotyczą odpowiedzialnej osoby fizycznej, która działa umyślnie, a nie automatycznie firmy. Jasny podział odpowiedzialności i udokumentowane kontrole są dlatego ważne.

Nie. Complass pomaga w ocenie, treści i dokumentacji; zgłoszenia dokonują Państwo przez formularz zgłoszeniowy EDÖB (szwajcarski organ ochrony danych).

Nie. Ocenie podlega wdrożenie zabezpieczeń dla konkretnego systemu; o jego eksploatacji decyduje odpowiedzialna jednostka. Complass przygotowuje ocenę, certyfikat jednak z tego nie powstaje.

Wynika to z klasyfikacji systemu według możliwej szkody (Low, Moderate, High) lub z umowy. Baza Privacy dochodzi, jeśli system przetwarza dane osobowe.

Nie. Przez wspólne działania Complass proponuje przejęcie ocen i dowodów. Każdą propozycję sprawdzają Państwo merytorycznie, zanim ją potwierdzą.

Complass przygotowuje wdrożenie i ocenę wymagań. CMMC to odrębny program Departamentu Obrony USA z własnymi ocenami; Complass nie wystawia certyfikatu.

Rozstrzyga rewizja wskazana w umowie. Moduł odzwierciedla Rev. 3; prosimy ustalić rewizję ze zleceniodawcą, zanim zaczną Państwo gromadzić dowody.

Nie. Przez wspólne działania Complass proponuje przejęcie ocen i dowodów. Każdą propozycję sprawdzają Państwo pod kątem tego, czy obejmuje obszar CUI.