Доверие и съответствие
Доверие и съответствие за регулирани организации
FromNine е сертифицирана по ISO/IEC 27001. На тази страница описваме как защитаваме Вашите системи и данни като доставчик, с какво допринасяме за задълженията Ви по Закона за киберсигурност (NIS2), DORA и Акта за изкуствения интелект и как да поискате документацията ни за сигурност.
За публичния сектор и регулираните компании, в България и в Европа, където националните надзорни органи добавят свои изисквания към правилата на ЕС.
Нашите ангажименти
Пет ангажимента във всеки проект
Публичните институции и регулираните компании ни поверяват чувствителни данни и системи, на които се основават реални решения. Това е, което могат да изискват от нас.
Управление на сигурността на информацията
СертифицираноСистемата ни за управление на сигурността на информацията е сертифицирана по ISO/IEC 27001, международния стандарт за управление на сигурността на информацията. Контролите, управлението на доставчиците и обработката на инциденти следват тази система във всеки проект.
Достъпът до Вашите системи и данни се договаря, преди да започне работата, ограничава се до необходимото за нея и се преглежда при всяка промяна в екипа.
Сертифицирани по ISO/IEC 27001
Лични данни и GDPR
Начин на работаЦелите, границите на достъпа и сроковете за съхранение се договарят, преди да започнем. Когато обработваме лични данни от Ваше име, действаме като обработващ лични данни въз основа на договор за обработване, както изисква член 28 от Общия регламент относно защитата на данните (GDPR).
Когато има вероятност обработването да породи висок риск, предоставяме техническите данни за Вашата оценка на въздействието върху защитата на данните.
Човешки контрол над AI
Начин на работаВсеки случай на употреба на изкуствен интелект се класифицира заедно с Вас още в етапа на разбиране. Стъпките за одобрение, дневниците и техническата документация се вграждат в системата от първата версия, а не се добавят преди одит. Агентите работят с ограничени права и искат одобрение преди стъпки с последици.
Достъпност
Начин на работаПроектираме и тестваме интерфейсите по EN 301 549 и WCAG 2.2, ниво AA, с автоматични проверки и ръчен преглед с помощни технологии, и предаваме доклад за съответствие, в който са изброени известните проблеми.
Данните остават в ЕС
За всеки проектРегионите на хостване, контролът върху ключовете за криптиране и местата, от които се осъществява поддръжката, се решават с Вас, преди да започнем, и се записват в архитектурата, включително суверенни варианти, когато изискванията Ви го налагат.
Тази страница описва как работим като доставчик. Тя не е декларация за съответствие от Ваше име: кои задължения се прилагат зависи от организацията Ви и от случая на употреба, а правната оценка остава при Вашите юристи.
NIS2
Законът за киберсигурност и NIS2: сигурност на веригата на доставки
Директива (ЕС) 2022/2555 (NIS2) задължава съществените и важните субекти да управляват рисковете за киберсигурността на своите мрежи и информационни системи. Сигурността на веригата на доставки е една от минималните мерки по член 21, параграф 2, а член 21, параграф 3 изисква субектите да отчитат практиките за сигурност на преките си доставчици. В България NIS2 се прилага чрез Закона за киберсигурност, изменен през февруари 2026 г.
Като Ваш доставчик улесняваме доказването на тази част от задълженията Ви. Клаузите за сигурност, каналите за инциденти и обработката на уязвимости се договарят във всеки договор, а контролите, които се прилагат за проекта Ви, се документират, така че процесът Ви за оценка на доставчиците да може да ги прецени. Дали и как Законът за киберсигурност се прилага за Вашата организация, остава Ваша оценка.
Клаузи за сигурност в договора
Достъпът, подизпълнителите, уведомяването за инциденти и сътрудничеството при одити се договарят писмено, а не се предполагат.
Работещ канал за инциденти
Определени лица за контакт и договорени срокове, така че инцидент от наша страна да стигне до Вас навреме за ранното предупреждение, което NIS2 изисква в рамките на 24 часа (член 23, параграф 4).
Обработка на уязвимости
Сканирането на зависимостите, кода и инфраструктурата е част от процеса на доставка, а откритите проблеми се отстраняват или докладват по договорения канал.
Доказателства при поискване
Сертификатът ни по ISO/IEC 27001 и описание на контролите, които се прилагат за Вашия проект.
- Облак и платформен инженерингПроцеси за инциденти, които обслужват и задълженията за докладване по NIS2 и DORA.
- Публичен секторИзпълнение, съобразено със Закона за киберсигурност, за публичната администрация.
DORA
DORA: ИКТ риск от трети страни за финансовите субекти
Регламент (ЕС) 2022/2554 относно оперативната устойчивост на цифровите технологии във финансовия сектор (DORA) се прилага от 17 януари 2025 г. Банките, застрахователите, инвестиционните посредници, платежните институции и другите финансови субекти трябва да управляват ИКТ риска от трети страни в рамките на рамката си за управление на ИКТ риска, да поддържат регистър на информацията за всички договорни споразумения за ИКТ услуги (член 28) и да включват основни договорни клаузи в тези договори (член 30). В България надзорът се осъществява от Българската народна банка за банките и платежните институции и от Комисията за финансов надзор за застрахователите, инвестиционните посредници и пенсионноосигурителните дружества.
Когато предоставяме ИКТ услуги на финансов субект, договаряме клаузите, изброени в член 30: пълно описание на услугите, местата, където те се предоставят и където се обработват данните, съдействие при ИКТ инцидент, сътрудничество с Вашите компетентни органи и права за прекратяване. За услуги, които подпомагат критични или важни функции, договорът обхваща и стратегии за изход и участието ни в тестовете Ви за устойчивост.
Предоставяме информацията, необходима за регистъра Ви, и документираме плановете за изход от самото начало, така че смяната на доставчика да остане реална възможност.
- Финансови услугиРегулиран изкуствен интелект, устойчиви платформи и процеси, проектирани с оглед на DORA.
Акт за изкуствения интелект
Актът за изкуствения интелект: човешки контрол и документация от самото начало
Актът за изкуствения интелект, Регламент (ЕС) 2024/1689, се прилага на етапи. Забранените практики и грамотността в областта на изкуствения интелект се прилагат от февруари 2025 г., а задълженията за прозрачност по член 50 от август 2026 г. След изменението с Регламент (ЕС) 2026/1744 от 2026 г. правилата за високорисковите системи от приложение III се прилагат от 2 декември 2027 г. В България все още няма определен орган за надзор по Акта; законопроект, внесен през септември 2026 г., се обсъжда в Народното събрание (към ноември 2026 г.).
За високорисковите системи Актът изисква техническа документация (член 11), автоматично водене на дневници (член 12) и дизайн, който позволява ефективен надзор от хора (член 14), а внедрителите трябва да възложат този надзор на хора с нужната компетентност и правомощия (член 26). Изграждаме това от първата версия: стъпките за одобрение и възможността за намеса са там, където решенията засягат хора, а документацията се пише заедно с кода.
Дали организацията Ви действа като доставчик или като внедрител, зависи от начина, по който системата се пуска в действие. Този въпрос е част от правната оценка, която остава при Вашите юристи; ние предоставяме техническите факти, от които тя се нуждае.
- Актът за изкуствения интелект за публичните органиКакво се прилага днес, какво следва през декември 2027 г. и план за подготовка.
- AI агенти и автоматизацияАгенти с ограничени права, стъпки за одобрение и пълни дневници.
При изпълнението
Сигурност във всеки етап на изпълнението
Доказателствата за съответствие идват от начина, по който се върши работата, а не от документ, написан в края.
Достъп с минимални права
Достъпът до Вашите среди и данни се ограничава до необходимото за работата, договаря се, преди тя да започне, и се преглежда при всяка промяна в екипа.
Прегледани и сканирани промени
Всяка промяна се преглежда от колега, преди да бъде пусната. Сканирането на зависимостите, кода и инфраструктурата е автоматично, а тестовете за сигурност се планират за всяка версия.
Инциденти по договорен процес
Класификацията на инцидентите, лицата за уведомяване и събирането на доказателства се договарят в началото и се вграждат в процеса за инциденти, когато за Вас се прилагат NIS2 или DORA.
Документирано предаване и изход
Наръчниците, решенията за архитектурата и моделите на данните се предават заедно със системата, а плановете за изход поддържат видими връщането на данните и разходите за смяна от самото начало.
Проверка на доставчика
Поискайте документацията ни за сигурност
Екипите по обществени поръчки, сигурност и правни въпроси се нуждаят от доказателства, преди да бъде подписан договор. Поискайте сертификата ни по ISO/IEC 27001 и обхвата му, отговори на въпросника Ви за сигурност на доставчиците и условията за обработване на данни, които биха се прилагали за Вашия проект.
Изпратете запитването си през страницата за контакт и посочете рамката, по която оценявате доставчиците, например NIS2, DORA или Закона за киберсигурност. Ще Ви отговорят подходящите хора.
- Свържете се с насСпоменете документацията за сигурност в съобщението си.
- Правна информацияДанни за дружеството и регистрацията му за досието на доставчика.
България
Една основа в ЕС, национални надзорни органи
GDPR, DORA и Актът за изкуствения интелект са регламенти, които се прилагат пряко в целия Съюз. NIS2 е директива, затова обхватът, регистрацията и докладването се различават в отделните държави членки, а транспонирането все още не е завършено навсякъде. Надзорът е национален във всички случаи. За програми в няколко държави договаряме един набор от контроли и свързваме всеки канал за инциденти с органа, пред който докладва съответният субект.
В България това са секторните компетентни органи по Закона за киберсигурност, а за административните органи Министерството на иновациите и дигиталната трансформация, към което е и Националното единно звено за контакт. По DORA надзорът е на Българската народна банка и на Комисията за финансов надзор, а по GDPR на Комисията за защита на личните данни.
- Закон за киберсигурност (NIS2)Закон за киберсигурност, изменен и допълнен през февруари 2026 г. за въвеждане на Директивата NIS2, със секторни национални компетентни органи и Национално единно звено за контакт към Министерството на иновациите и дигиталната трансформация (отваря външен сайт)
- Директива МИС 2 (NIS2)Директива (ЕС) 2022/2555 относно мерки за високо общо ниво на киберсигурност в Съюза (Директива МИС 2) (отваря външен сайт)
- DORAРегламент (ЕС) 2022/2554 относно оперативната устойчивост на цифровите технологии във финансовия сектор (DORA) (отваря външен сайт)
- Акт за изкуствения интелектРегламент (ЕС) 2024/1689 за установяване на хармонизирани правила относно изкуствения интелект (Акт за изкуствения интелект) (отваря външен сайт)
- ОРЗДОбщ регламент относно защитата на данните (ОРЗД), Регламент (ЕС) 2016/679 (отваря външен сайт)
Въпроси от екипите по обществени поръчки и сигурност
Сертифицирана ли е FromNine по ISO/IEC 27001?
Да. Системата ни за управление на сигурността на информацията е сертифицирана по ISO/IEC 27001. Предоставяме сертификата и обхвата му при поискване, като част от проверката на доставчика.
Как подкрепяте като доставчик задълженията ни по Закона за киберсигурност?
Договаряме клаузи за сигурност, канали за уведомяване за инциденти и обработка на уязвимости, документираме контролите, които се прилагат за проекта Ви, и Ви предоставяме доказателствата, нужни за оценката на риска от доставчици. Дали и как Законът за киберсигурност и NIS2 се прилагат за Вашата организация, преценявате Вие и Вашите юристи.
Ще договорите ли клаузите, които изисква DORA?
Да. Договаряме клаузите по член 30 от DORA, уведомяваме за инциденти по договорения канал, документираме плановете за изход, участваме в тестовете за устойчивост и предоставяме информацията, необходима за регистъра Ви.
Кой отговаря за съответствието с Акта за изкуствения интелект?
Това зависи от ролята Ви, като доставчик или като внедрител, и от рисковия клас на случая на употреба. Класифицираме всеки случай на употреба заедно с Вас още в етапа на разбиране, вграждаме надзора, дневниците и документацията в системата и предоставяме техническите факти, от които юристите Ви се нуждаят за правната оценка.
Къде ще се хостват и обработват данните ни?
На места, договорени с Вас, преди да започнем: във Вашия собствен облачен абонамент, в регион на публичен облак в ЕС или във Ваша собствена инфраструктура за чувствителни натоварвания. Услугите за хостване и AI се избират според това, а изборът се документира заедно с възможностите за изход.
Как да поискаме документацията Ви за сигурност?
Чрез страницата за контакт. Посочете какви документи са Ви нужни и по каква рамка оценявате доставчиците, и ще Ви отговорят подходящите хора.
Поискайте доказателствата
Кажете ни по каква рамка оценявате доставчиците и какви документи са Ви нужни. Ще Ви кажем какво можем да предоставим и как.