Perguntas frequentes

Não diretamente, se não se enquadrarem no § 28 BSIG. Os seus clientes, porém, têm de considerar a segurança da cadeia de abastecimento e pedem frequentemente evidências. Com o Complass pode apresentá-las de forma estruturada, p. ex. através da ISO 27001.

A BSIG não exige certificação. A ISO/IEC 27001 é, contudo, um referencial comprovado; no Complass, interliga os dois catálogos para que as evidências contem para ambos.

A declaração de aplicabilidade, em inglês Statement of Applicability (SoA), é um documento obrigatório segundo a ISO/IEC 27001:2022, secção 6.1.3 d. Indica os controlos necessários com justificação, regista se estão implementados e justifica a exclusão de controlos do anexo A.

O ponto de partida é o tratamento de riscos: mostra que controlos são necessários. Compara-os com os 93 controlos do anexo A e regista para cada um se é aplicável, porquê e até que ponto está implementado. Juntam-se os controlos de regras setoriais ou contratos. Se os riscos ou o âmbito mudarem, atualiza a declaração.

O catálogo do anexo A é a sua declaração de aplicabilidade: para cada controlo regista aplicabilidade, justificação, estado e evidência, acrescenta controlos próprios e aprova o estado como versão. A aprovação só é possível quando cada entrada estiver decidida e justificada. Pode exportar em Word, Excel ou PDF.

Não. A certificação é realizada por um organismo de certificação acreditado. O Complass prepara-o com documentos, a declaração de aplicabilidade e evidências.

Sim. O Complass cobre a IEC 62443 com um módulo por função. Os fabricantes têm um módulo próprio para a IEC 62443-4-1 e 4-2, articulado com o CRA e o Regulamento Máquinas.

Muitas vezes ambos. O Complass mostra as sobreposições e interliga os catálogos para que apresente evidências uma só vez.

Não. O Complass calcula os prazos e prepara o conteúdo; a notificação é submetida através da plataforma de notificações.

Possivelmente, se a modificação for considerada substancial. O módulo contém uma avaliação específica com um modelo para o efeito.

Uma fase do módulo trata da interação entre o Regulamento Máquinas, o CRA e a IEC 62443; os catálogos podem ser interligados.

Para os componentes de segurança de IA que são sistemas de IA de risco elevado, desde 27 de julho de 2026 aplicam-se apenas alguns artigos do Regulamento IA; os seus requisitos chegam a partir de 2 de agosto de 2028 através do anexo III do Regulamento Máquinas. As funções de IA sem relação com a segurança, por exemplo uma previsão de desgaste, continuam a ter de ser avaliadas segundo as regras gerais do Regulamento IA. O módulo acompanha-o na classificação.

Ambos os módulos pertencem ao referencial IEC 62443 e utilizam o mesmo modelo de zonas. A análise de lacunas face aos requisitos de sistema individuais da 3-3 realiza-a no módulo para operadores, idealmente em conjunto com o seu cliente.

Não. As normas harmonizadas para o CRA estão em preparação; enquanto as suas referências não forem publicadas no Jornal Oficial, a IEC 62443 não estabelece presunção de conformidade. Pode, porém, descrever a 4-1 e a 4-2 como solução técnica escolhida na documentação técnica; o módulo contém para isso um modelo de correspondência.

Não necessariamente. Muitos fabricantes começam com uma autodeclaração de SL-C e comprovam o processo com evidências próprias. Um certificado de processo ou de produto emitido por um organismo independente reforça a confiança dos clientes; o módulo ajuda a reunir as evidências para isso.

Não. O Complass estrutura a implementação e a evidência; o aconselhamento e a monitorização continuam a ser tarefa do encarregado da proteção de dados, onde exista um. Os conteúdos não substituem aconselhamento jurídico.

Não. O Complass ajuda na avaliação, no conteúdo e na documentação da notificação; a notificação é submetida por si através da via de notificação da sua autoridade de controlo.

Sim. Os conteúdos seguem o regulamento, que se aplica em todos os Estados-Membros. As especificidades alemãs da BDSG estão assinaladas como notas nacionais; as regras nacionais de outros Estados-Membros verifica-as por si.

Sim, como responsável pela implantação: tem de tomar medidas de literacia em IA dos utilizadores e excluir práticas proibidas. Outras obrigações só surgem em finalidades de utilização de risco elevado ou casos de transparência.

A IA para controlo de qualidade ou otimização de desempenho não é considerada componente de segurança. Para componentes de segurança de máquinas baseados em IA, aplicam-se do Regulamento IA apenas poucos artigos; os requisitos vêm através do Regulamento Máquinas. O Complass liga para isso o projeto do Regulamento IA, do Regulamento Máquinas e do CRA.

Apenas em determinados casos. O art. 27.º, n.º 1, obriga os responsáveis pela implantação que sejam organismos de direito público ou entidades privadas que prestem serviços públicos, bem como os responsáveis pela implantação de sistemas de IA de risco elevado referidos no anexo III, ponto 5, alíneas b) e c) (solvabilidade, avaliação de riscos e fixação de preços nos seguros de vida e de saúde), antes da primeira utilização. A obrigação não se aplica aos sistemas de IA de risco elevado no domínio das infraestruturas críticas (anexo III, ponto 2). O Complass indica, com base na sua classificação, se a avaliação pode ser necessária; a decisão é sua.

Não. O Complass estrutura a classificação, as obrigações e as evidências com base no texto da lei; a avaliação jurídica em cada caso concreto cabe a si.

Em parte. A obrigação de conceber produtos para o acesso a dados só se aplica a produtos ligados e serviços conexos colocados no mercado depois de 12 de setembro de 2026; é determinante o dispositivo individual, não a série. Os direitos dos utilizadores de acesso a dados prontamente disponíveis e de partilha com terceiros não têm, pelo contrário, data de referência própria e aplicam-se desde 12 de setembro de 2025. Segundo as FAQ da Comissão Europeia, abrangem também máquinas que já estão no terreno.

As obrigações de acesso a dados nos termos do capítulo II não se aplicam a micro e pequenas empresas, desde que não tenham parceiros ou empresas associadas de maior dimensão e não tenham sido contratadas como subcontratantes para o fabrico ou a conceção de um produto ligado. As regras sobre cláusulas contratuais abusivas e sobre a mudança de cloud aplicam-se na mesma. O Complass guia-o nesta verificação.

Como utilizador, pode exigir ao detentor dos dados os dados prontamente disponíveis das suas máquinas, gratuitamente e em formato legível por máquina, e a partilha com um terceiro à sua escolha, por exemplo um parceiro de assistência. O Complass ajuda a solicitar os dados, a analisar contratos e a definir requisitos para a compra de novas máquinas.

Não. O Complass estrutura funções, obrigações e evidências com base no texto da lei e fornece modelos com formulações de exemplo; contratos e textos dirigidos a clientes devem ser submetidos a revisão jurídica antes da utilização.

Não. É direito alemão e aplica-se a instalações críticas na Alemanha. Os outros Estados-Membros da UE transpõem a Diretiva CER com leis próprias; para instalações aí situadas aplica-se o respetivo direito nacional.

O regulamento com os valores-limite ainda não foi publicado. Registe já agora os seus serviços, instalações e valores do grau de abastecimento e documente a avaliação. Se uma instalação for considerada crítica, há três meses para o registo; dez meses após o registo, o plano de resiliência e o sistema de notificação têm de estar implementados.

Não. A lei BSI regula a cibersegurança, o KRITIS-Dachgesetz a proteção física e a manutenção do abastecimento. O registo é, porém, feito em conjunto, e pode usar como evidência análises de riscos, documentos e certificados existentes (§ 17). No Complass, usa a gestão de riscos para os riscos de ambas as leis.

Só há coimas para determinadas infrações, com montantes máximos entre 100 000 euros e 1 milhão de euros: dados de registo em falta ou incorretos, incumprimento de ordens executórias, resultados de auditoria não transmitidos e recusa de acesso ou de informações numa inspeção (§ 24). Em caso de medidas em falta, a autoridade pode ordenar a correção das deficiências (§ 16); a direção responde nos termos do direito societário (§ 20).

Não. O Complass estrutura a verificação da abrangência, as obrigações e as evidências com base no texto da lei; a avaliação jurídica em cada caso concreto cabe a si.

Em regra, sim: a máquina com módulo de rádio passa a ser ela própria um equipamento de rádio e, se puder comunicar através da Internet, aplica-se o requisito de proteção da rede. O módulo RED do Complass ajuda-o na classificação.

Apenas se aplicar integralmente normas harmonizadas a todos os requisitos essenciais aplicáveis e nenhuma das restrições publicadas no Jornal Oficial se verificar, por exemplo porque, na aplicação dos pontos 6.2.5.1 e 6.2.5.2 da EN 18031, o utilizador pode não definir nem usar palavra-passe. Caso contrário, é necessário envolver um organismo notificado.

Sim. Os equipamentos de rádio colocados no mercado até lá têm de cumprir os requisitos da RED, e a avaliação de riscos, o conceito de segurança e os relatórios de ensaio podem ser transferidos para o seu projeto CRA.

Indiretamente, sim: os seus clientes têm de comprovar os requisitos de cibersegurança do MDR e esperam de si informações e compromissos para isso. Se vender o componente também a outros setores, aplica-se em regra adicionalmente o Cyber Resilience Act. O módulo contém uma fase própria para fornecedores.

Não. O Complass estrutura os requisitos de cibersegurança e as evidências e pode ser integrado no seu SGQ existente; a avaliação da conformidade e as aprovações permanecem consigo e com o seu organismo notificado.

O módulo descreve as atividades por palavras próprias, com referência às secções. O texto da norma obtém-no através do comércio de normas; pode guardar no projeto excertos da sua edição licenciada.

A lei não o impõe, mas o serviço de denúncias deve tratar as denúncias anónimas. O Complass oferece por defeito a via anónima, porque reduz a barreira à denúncia; quem o desejar pode indicar voluntariamente o seu nome.

Só se fizer ela própria parte do serviço de denúncias. Os administradores designam o serviço de denúncias, mas não veem os conteúdos. Os membros anteriores veem de imediato qualquer alteração da composição, para que ninguém leia às escondidas.

Para a maioria das empresas mais pequenas a obrigação não se aplica, com exceção das instituições financeiras. Como o canal de denúncia e o referencial estão incluídos na proteção de base, pode, ainda assim, disponibilizar o canal sem custos adicionais.

Não. O Complass disponibiliza o canal de denúncia, o procedimento e as evidências; a avaliação jurídica de uma infração comunicada cabe ao seu serviço de denúncias, caso a caso.

Sim, indiretamente, se prestar serviços de TIC a instituições financeiras. Os seus clientes têm de acordar consigo o conteúdo contratual nos termos do art. 30.º e exigem informações para o seu registo de informações, apoio em incidentes, auditorias e regras de saída. A supervisão direta só abrange os prestadores terceiros críticos de serviços de TIC nos termos do art. 31.º.

Para as instituições financeiras, o DORA é o ato mais específico; o § 28, n.º 6, BSIG exclui-as das principais obrigações da NIS2. Os prestadores de serviços de TIC podem, por outro lado, ficar eles próprios abrangidos pela NIS2 e ter de cumprir adicionalmente os requisitos DORA dos seus clientes. A verificação de abrangência no Complass analisa o lado da NIS2.

Não. O Complass ajuda a documentar incidentes com carimbos de data/hora, a fundamentar a classificação como grave com perguntas de verificação, a calcular os prazos de notificação e a preparar as notificações com as suas informações obrigatórias. A notificação propriamente dita é transmitida por si através do canal indicado pela autoridade de supervisão; a avaliação jurídica de cada caso continua a ser sua.

No registo «Contratos e licenças» da gestão de ativos, com duração, prazo de pré-aviso, responsáveis, ativos associados e evidências; com a gestão de fornecedores, também junto do prestador de serviços em causa. Fornece informações para o seu registo de informações nos termos do art. 28.º do DORA; o Complass não oferece uma exportação no formato do Regulamento de Execução (UE) 2024/2956.

Não. O Complass não é o seu sistema GxP. Ajuda a planear, documentar e comprovar a aplicação do Anexo 11. Os registos relevantes para as GMP e as assinaturas eletrónicas permanecem nos seus sistemas validados. Se mantivesse tais registos no Complass, o próprio Complass seria um sistema computorizado que teria de validar.

A versão de 2011 em vigor, com o texto oficial. Os pontos do projeto de 2025 constam de um grupo separado assinalado como «não em vigor». Assim que o texto final for publicado, adaptamos o referencial; as suas avaliações são mantidas.

Se mantiver registos exigidos pela FDA, sim. No Complass, ambos os referenciais têm as mesmas fases e modelos. Pode contratá-los em separado ou em conjunto; o modelo setorial «GxP e ciências da vida» no configurador pré-seleciona ambos, com gestão de fornecedores e gestão de riscos.

Não. A validação é realizada pela sua empresa ou pelos seus prestadores de serviços, e a avaliação cabe à autoridade competente. O Complass fornece a estrutura, explica os requisitos com palavras próprias e mantém as suas evidências prontas para a inspeção.

Não. O Complass não é o seu sistema GxP e não faz qualquer declaração de conformidade com o Part 11. Ajuda a planear, documentar e comprovar a aplicação. Os registos exigidos pela FDA e as assinaturas eletrónicas continuam a ser mantidos nos seus sistemas validados.

Não. O Part 11 aplica-se aos registos exigidos por uma Predicate Rule que mantém em formato eletrónico ou transmite eletronicamente à FDA. O Complass acompanha-o primeiro nesta delimitação e deduz dela o inventário de sistemas.

Na UE aplica-se o EU GMP Annex 11; para os registos exigidos pela FDA aplica-se também o Part 11. No Complass, ambos os referenciais têm as mesmas fases e modelos. Pode contratá-los em separado ou em conjunto; o modelo setorial «GxP e ciências da vida» no configurador pré-seleciona ambos, com gestão de fornecedores e gestão de riscos.

O texto do Part 11 é apresentado no original em inglês, tal como a FDA o aplica. As explicações, os passos e os modelos estão disponíveis em alemão e em inglês.

Não. O organismo de certificação para a ISO 27001 com base no IT-Grundschutz é o BSI; a auditoria é realizada por um auditor certificado pelo BSI. O Complass prepara-o para isso com modelos, catálogos e evidências.

Não. Para a edição 2023, o Complass contém identificadores, níveis e descrições breves próprias; o texto integral pode ser consultado no compêndio gratuito do BSI. Os requisitos do Grundschutz++ são publicados pelo BSI sob a licença CC BY-SA 4.0 e estão incluídos no texto original.

Quem pretender certificar-se a curto prazo pode fazê-lo até 30 de novembro de 2031 com base no IT-Grundschutz clássico. Quem só pretender certificar-se em 2027 ou mais tarde deve planear diretamente com o Grundschutz++; a análise da estrutura, as necessidades de proteção e a análise de riscos continuam a ser utilizáveis em ambos os casos.

Não. O rótulo pressupõe um assessment por um prestador de auditoria autorizado pela ENX, e é esse assessment que decide se o obtém. O Complass prepara-o para isso: com autoavaliação, nível de maturidade atual por requisito, modelos, evidências e plano de medidas.

Não. O Complass indica, para cada requisito, apenas o número do VDA ISA e descreve-o por palavras próprias. O catálogo oficial descarrega-o na ENX e utiliza-o em paralelo; pode guardar extratos no projeto.

Não. O registo, a encomenda ao prestador de auditoria e a partilha do resultado são feitos através do portal da ENX. O Complass prepara os dados necessários com uma lista de verificação.

Sim. O VDA ISA assenta de perto na ISO/IEC 27001 e 27002, pelo que já terá implementado muitos requisitos. Os modelos de políticas do módulo TISAX têm a mesma estrutura do módulo ISO 27001. A proteção de protótipos e a proteção de dados acrescem quando necessário.

Para os assessments encomendados a partir de 01/01/2027, aplica-se o VDA ISA 2027, com números em parte novos. As suas respostas no Complass estão associadas a identificadores próprios e estáveis e são mantidas na transição. Os números segundo o VDA ISA 2027 estão em preparação.

O prestador pode implementar a tecnologia, mas a responsabilidade permanece com a direção do consultório. As regras para a equipa, a formação e as evidências cabem a si. No Complass, regista que requisitos o prestador confirma e quais o consultório implementa por si.

Não, os consultórios dentários aplicam a diretiva da KZBV. Ambas as versões têm a mesma estrutura e numeração; o Complass mostra em cada requisito o texto da KBV e, onde diverge, o da KZBV.

Não. A diretiva não prescreve certificado. Tem, porém, de poder comprovar a implementação, por exemplo perante a Associação de Médicos Convencionados ou de Dentistas Convencionados, a autoridade de proteção de dados ou, após um incidente, perante seguradoras.

Uma gestão de riscos específica para hospitais, que avalia a segurança dos doentes e a eficácia do tratamento além da disponibilidade, integridade, autenticidade e confidencialidade. A isto juntam-se requisitos sobre direção e ISMS, gestão de emergências, gestão de ativos, arquitetura, segurança física e de pessoal, tratamento de incidentes, auditorias e prestadores de serviços, e temas técnicos desde a segmentação de rede até à tecnologia médica ligada.

Os operadores de instalações críticas comprovam a implementação perante o BSI de três em três anos através de auditorias de uma entidade auditora adequada (§ 39 BSIG). Para os restantes hospitais, o § 391 SGB V não prevê prova regular, mas a documentação deve ser sólida. No Complass, as evidências ficam diretamente nos requisitos do seu projeto.

O § 391 SGB V aplica-se a todos os hospitais e exige medidas segundo o estado da técnica. O B3S é o caminho reconhecido como adequado pelo BSI e, por isso, também para hospitais mais pequenos a referência natural.

Não. O B3S é uma obra da DKG. O Complass descreve os requisitos por palavras próprias e remete para capítulos e números ANF. A norma obtém-na gratuitamente junto da DKG; pode guardar excertos no seu projeto.

Não. As medidas que documenta no projeto B3S, o Complass associa-as, através do catálogo de medidas comum, também ao referencial NIS2.

Para a exploração de redes e para instalações de energia de entidades importantes ou particularmente importantes aplicam-se os §§ 5c a 5e EnWG; a maioria das obrigações da lei BSI deixa de se aplicar. A classificação e o registo nos termos da lei BSI mantêm-se. Para outros setores, como água ou águas residuais, aplica-se a lei BSI. Se a instalação de energia for apenas uma atividade acessória em relação à atividade total, aplica-se igualmente a lei BSI.

Para operadores de redes, o catálogo de agosto de 2015; para operadores de instalações, o catálogo de dezembro de 2018. Ambos continuam a aplicar-se, segundo a Agência Federal de Redes, até ser publicado um novo catálogo. Data da verificação: 02.11.2026.

The Federal Network Agency, together with the BSI, is revising the catalogues into one catalogue that is also to apply to digital energy services. Specialist articles cite 1 January 2027 from a draft as the start of application; the Federal Network Agency has not confirmed this date. Nothing has been fixed yet. Your work on the twelve topics of section 5c(4) EnWG counts in any case, because every catalogue must contain them.

Se até agora estava abrangido pelo § 8a BSIG na versão antiga, continue a implementar o «B3S Aggregatoren» do BDEW. Caso contrário, construa um SGSI segundo a ISO/IEC 27001 e oriente-se pelos doze temas. No Complass, avalia esses temas e acrescenta o novo catálogo assim que for fixado.

Ao ponto de notificação do BSI: uma notificação inicial precoce no prazo de 24 horas, uma notificação no prazo de 72 horas e uma notificação final o mais tardar um mês depois. Se o incidente tiver relevância para a segurança do abastecimento de energia, o BSI reencaminha a notificação para a Agência Federal de Redes (§ 5d, n.º 5, EnWG).

Não. O Complass estrutura a verificação da abrangência, as obrigações e as evidências com base no texto da lei e dos catálogos; a avaliação jurídica em cada caso concreto cabe a si.

Não. O CSF não é certificável. O Complass ajuda-o a descrever e a documentar a sua situação sob a forma de perfil; daí não resulta qualquer certificado ou selo.

Os quatro tiers (Partial, Risk Informed, Repeatable, Adaptive) indicam o grau de consolidação da sua governação e da sua gestão de riscos no seu conjunto. Regista o tier atual e o pretendido num modelo.

Não. Através das medidas comuns, o Complass propõe aproveitar avaliações e evidências. Verifica tecnicamente cada proposta antes de a confirmar.

Complass links the subcategories with the requirements of these frameworks through shared controls. This is a content-based mapping by Complass, not an official NIST mapping, and does not replace your own assessment.

Não. Complementa-as como forma de apresentação perante clientes e seguradores. As obrigações legais mantêm-se.

Não. Nem o SSDF nem o OWASP SAMM são certificáveis. O Complass ajuda-o a descrever e a documentar o seu estado de implementação e o seu nível de maturidade.

Não automaticamente. O SSDF abrange muitos requisitos de desenvolvimento e de tratamento de vulnerabilidades, e o Complass mostra a correspondência com o anexo I. A avaliação da conformidade nos termos do CRA continua a ser uma tarefa autónoma.

O SSDF diz o que fazer; o SAMM mostra o grau de consolidação. Com os níveis de 0 a 3 pode medir o progresso e definir objetivos.

Não. Através das medidas comuns, o Complass propõe aproveitar avaliações e evidências. Verifica cada proposta antes de a confirmar.

Sim. Enquanto fabricante, importador ou distribuidor, tem as suas obrigações mesmo que o mercado em linha tenha, além disso, obrigações próprias. O Complass atribui-lhe a função por produto.

Não. O Complass prepara os dados para a notificação no Safety Business Gateway e documenta o processo; a notificação é apresentada por si.

Não. O Complass estrutura funções, obrigações e evidências com base no texto do regulamento; a avaliação jurídica de cada caso continua a ser sua.

Sim, assim que o tratamento produza efeitos na Suíça, por exemplo através de clientes, utilizadores ou colaboradores aí localizados. Se é ainda necessário um representante na Suíça, verifica-o no primeiro passo do projeto.

Em grande parte. Tem sobretudo de acrescentar a lista de países suíça e a adaptação das cláusulas, o registo e o regulamento de tratamento em certos casos, o prazo de acesso de 30 dias e as responsabilidades pelas obrigações com sanção penal.

As coimas até 250 000 CHF dirigem-se à pessoa singular responsável que atue com dolo, e não automaticamente à empresa. Por isso, são importantes responsabilidades claras e verificações documentadas.

Não. O Complass apoia a avaliação, o conteúdo e a documentação; a notificação é apresentada através do formulário de notificação do EDÖB.

Não. O que é avaliado é a implementação dos controlos para um sistema determinado; a decisão sobre a exploração cabe à entidade responsável. O Complass prepara a avaliação, mas daí não resulta qualquer certificado.

Resulta da categorização do seu sistema em função do dano possível (Low, Moderate, High) ou do seu contrato. A baseline de privacidade acresce quando o sistema trata dados pessoais.

Não. Através das medidas comuns, o Complass propõe aproveitar avaliações e evidências. Verifica tecnicamente cada proposta antes de a confirmar.

O Complass prepara a implementação e a avaliação dos requisitos. O CMMC é um programa próprio do Departamento de Defesa dos EUA, com avaliações próprias; o Complass não emite qualquer certificado.

É determinante a revisão indicada no seu contrato. O módulo reflete a Rev. 3; esclareça a revisão com o seu cliente antes de reunir evidências.

Não. Através das medidas comuns, o Complass propõe aproveitar avaliações e evidências. Verifica cada proposta para confirmar se abrange o âmbito CUI.