Gå til hovedindholdet
FromNine
Menu

Tillid og compliance

Tillid og compliance for regulerede organisationer

FromNine er certificeret efter ISO/IEC 27001. Her kan du læse, hvordan vi beskytter dine systemer og data som leverandør, hvad vi bidrager med til dine forpligtelser efter NIS 2-loven, DORA og AI-forordningen, og hvordan du beder om vores sikkerheds­dokumentation.

For offentlige myndigheder og regulerede virksomheder i Danmark, hvor danske love og tilsynsmyndigheder supplerer EU-reglerne.

Bed om sikkerheds­dokumentationDet forpligter vi os til

Vores forpligtelser

Fem forpligtelser i hver opgave

Offentlige myndigheder og regulerede virksomheder betror os følsomme data og systemer, der understøtter rigtige beslutninger. Det her kan de holde os op på.

  • Styring af informationssikkerhed

    Certificeret

    Vores ledelsessystem for informationssikkerhed er certificeret efter ISO/IEC 27001, den internationale standard for styring af informationssikkerhed. Kontroller, styring af underleverandører og håndtering af hændelser følger det system i hver opgave.

    Adgang til dine systemer og data aftales, før arbejdet starter, begrænses til det, opgaven kræver, og gennemgås, når teamet ændres.

    ISO/IEC 27001-certificeret

  • Personoplysninger og GDPR

    Sådan arbejder vi

    Formål, adgangsgrænser og opbevaringstid aftales, før vi bygger. Når vi behandler personoplysninger på dine vegne, er vi din databehandler under en databehandleraftale, sådan som artikel 28 i GDPR kræver.

    Hvor en behandling sandsynligvis indebærer en høj risiko, leverer vi det tekniske input til din konsekvensanalyse vedrørende databeskyttelse.

  • Menneskeligt tilsyn med AI

    Sådan arbejder vi

    Hver AI-use case klassificeres sammen med dig i den første afklaring. Godkendelsestrin, logning og teknisk dokumentation bygges ind i systemet fra den første release og tilføjes ikke lige før en revision. Agenter arbejder med afgrænsede rettigheder og beder om godkendelse før skridt med konsekvenser.

  • Tilgængelighed

    Sådan arbejder vi

    Vi designer og tester brugerflader efter EN 301 549 og WCAG 2.2 niveau AA med automatiske tjek og manuel gennemgang med hjælpemidler, og vi leverer en overensstemmelsesrapport, der lister kendte problemer.

  • Data opbevares i EU

    Aftales for hver opgave

    Hostingregioner, kontrol med krypteringsnøgler og hvorfra der gives support, besluttes sammen med dig, før vi bygger, og skrives ind i arkitekturen, også suveræne løsninger, hvor dine krav kræver det.

Siden beskriver, hvordan vi arbejder som leverandør. Det er ikke en erklæring om compliance på dine vegne: hvilke forpligtelser der gælder, afhænger af din organisation og din use case, og den juridiske vurdering ligger hos din juridiske rådgiver.

NIS 2

NIS 2-loven: vi understøtter sikkerheden i din forsyningskæde

NIS 2-direktivet, direktiv (EU) 2022/2555, kræver, at væsentlige og vigtige enheder styrer cybersikkerhedsrisiciene for deres net- og informationssystemer. Forsyningskædesikkerhed er et af minimumstiltagene i artikel 21, stk. 2, og efter artikel 21, stk. 3, skal enhederne tage højde for sikkerhedspraksis hos deres direkte leverandører og tjenesteudbydere. I Danmark gennemføres direktivet af NIS 2-loven, lov nr. 434 af 6. maj 2025, som har gældt siden 1. juli 2025. Styrelsen for Samfundssikkerhed (SAMSIK) er kompetent myndighed, sektormyndighederne fører tilsyn i deres sektorer, og fristen for registrering var 1. oktober 2025. Væsentlige hændelser indberettes via Virk.dk, som sender dem videre til sektormyndigheden og den nationale CSIRT.

Som din leverandør gør vi det lettere at dokumentere den del af din pligt. Sikkerhedsklausuler, kanaler for hændelser og håndtering af sårbarheder aftales i hver kontrakt, og de kontroller, der gælder for din opgave, dokumenteres, så din proces for leverandørrisiko kan vurdere dem. Om og hvordan NIS 2-loven gælder for din organisation, er din egen vurdering.

  • Sikkerhedsklausuler i kontrakten

    Adgang, underleverandører, underretning om hændelser og samarbejde ved revisioner aftales skriftligt, ikke underforstået.

  • En kanal for hændelser, der virker

    Navngivne kontaktpersoner og aftalte frister, så en hændelse hos os når frem til dig i tide til den tidlige varsling, som NIS 2 forventer inden for 24 timer (artikel 23, stk. 4).

  • Håndtering af sårbarheder

    Scanninger af afhængigheder, kode og infrastruktur kører i leverancepipelinen, og fund bliver rettet eller rapporteret via den aftalte kanal.

  • Dokumentation efter behov

    Vores ISO/IEC 27001-certifikat og en beskrivelse af de kontroller, der gælder for din opgave.

DORA

DORA: IKT-tredjeparts­risiko i den finansielle sektor

Forordningen om digital operationel modstandsdygtighed, forordning (EU) 2022/2554, har gældt siden 17. januar 2025. Banker, forsikringsselskaber, investeringsselskaber, betalingsinstitutter og andre finansielle enheder skal styre IKT-tredjeparts­risiko inden for deres ramme for IKT-risikostyring, føre et register over oplysninger om alle aftaler om IKT-tjenester (artikel 28) og have de centrale kontraktbestemmelser med i aftalerne (artikel 30). I Danmark fører Finanstilsynet tilsyn med, at DORA overholdes.

Når vi leverer IKT-tjenester til en finansiel enhed, aftaler vi de bestemmelser, artikel 30 nævner: en fuldstændig beskrivelse af tjenesterne, hvor de leveres, og hvor data behandles, bistand ved en IKT-hændelse, samarbejde med dine kompetente myndigheder og ret til opsigelse. For tjenester, der understøtter kritiske eller vigtige funktioner, dækker aftalen også exitstrategier og vores deltagelse i din test af digital operationel modstandsdygtighed.

Vi leverer det, dit register over oplysninger skal indeholde, og vi dokumenterer exitplaner fra starten, så et skift af leverandør forbliver en realistisk mulighed.

  • Finansiel sektorReguleret AI, robuste platforme og drift designet med DORA for øje.

AI-forordningen

AI-forordningen: menneskeligt tilsyn og dokumentation fra designet

AI-forordningen, forordning (EU) 2024/1689, gælder i etaper. Forbuddene og kravet om AI-færdigheder har gældt siden februar 2025, og gennemsigtighedskravene i artikel 50 siden august 2026. Efter ændringen i 2026 ved forordning (EU) 2026/1744 gælder reglerne for højrisiko-AI-systemer i bilag III fra 2. december 2027.

For højrisikosystemer kræver forordningen teknisk dokumentation (artikel 11), automatisk logning (artikel 12) og et design, som mennesker effektivt kan føre tilsyn med (artikel 14), og idriftsættere skal overlade tilsynet til personer med den nødvendige kompetence og myndighed (artikel 26). Det bygger vi efter fra den første release: godkendelsestrin og mulighed for at tilsidesætte sidder dér, hvor beslutninger påvirker mennesker, og dokumentationen skrives sammen med koden.

Om din organisation er udbyder eller idriftsætter, afhænger af, hvordan systemet tages i brug. Det spørgsmål er en del af den juridiske vurdering, som ligger hos din juridiske rådgiver; vi leverer de tekniske fakta, den kræver. I Danmark er Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen nationale kompetente myndigheder efter lov nr. 467 af 14. maj 2025, og Digitaliseringsstyrelsen er det centrale kontaktpunkt.

I leverancen

Sikkerhed i hver fase af leverancen

Dokumentation for compliance kommer fra den måde, arbejdet udføres på, ikke fra et dokument, der skrives til sidst.

  • Adgang efter mindste privilegium

    Adgang til dine miljøer og data begrænses til det, opgaven kræver, aftales, før arbejdet starter, og gennemgås, hver gang teamet ændres.

  • Gennemgåede og scannede ændringer

    Ændringer gennemgås af en kollega, før de leveres. Scanninger af afhængigheder, kode og infrastruktur kører automatisk, og sikkerhedstest planlægges for hver release.

  • Hændelser håndteres efter en aftalt proces

    Klassificering af hændelser, kontaktpersoner for underretning og indsamling af dokumentation aftales ved starten og bygges ind i processen for hændelser, hvor NIS 2-loven eller DORA gælder for dig.

  • Dokumenteret overdragelse og exit

    Driftsvejledninger, arkitekturbeslutninger og datamodeller overdrages sammen med systemet, og exitplaner holder tilbagelevering af data og omkostninger ved skift synlige fra starten.

Leverandørvurdering

Bed om vores sikkerheds­dokumentation

Indkøbs-, sikkerheds- og juristteams har brug for dokumentation, før en kontrakt underskrives. Bed os om vores ISO/IEC 27001-certifikat og dets omfang, om svar på jeres spørgeskema om leverandørsikkerhed og om de vilkår for databehandling, der vil gælde for opgaven.

Send din forespørgsel via kontaktsiden, og nævn de krav, du vurderer leverandører efter, for eksempel NIS 2-loven, DORA eller organisationens egne sikkerhedskrav. De rette folk vender tilbage til dig.

Danmark

Et fælles EU-grundlag, danske tilsynsmyndigheder

GDPR, DORA og AI-forordningen er forordninger, der gælder direkte i hele EU. NIS 2 er et direktiv og gælder i Danmark gennem NIS 2-loven, der har sine egne regler om registrering og indberetning. Tilsynet er nationalt: Styrelsen for Samfundssikkerhed og sektormyndighederne for NIS 2-loven, Finanstilsynet for DORA og Datatilsynet for GDPR. For AI-forordningen er Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen nationale kompetente myndigheder.

For programmer, der spænder over flere lande, aftaler vi ét sæt kontroller og knytter hver kanal for hændelser til den myndighed, som den pågældende enhed indberetter til.

Spørgsmål fra indkøbs- og sikkerhedsteams

Er FromNine certificeret efter ISO/IEC 27001?

Ja. Vores ledelsessystem for informationssikkerhed er certificeret efter ISO/IEC 27001. Vi deler certifikatet og dets omfang efter forespørgsel som en del af din leverandørvurdering.

Hvordan understøtter I vores forpligtelser efter NIS 2-loven som leverandør?

Vi aftaler sikkerhedsklausuler, kanaler for underretning om hændelser og håndtering af sårbarheder i kontrakten, dokumenterer de kontroller, der gælder for din opgave, og giver dig den dokumentation, din vurdering af leverandørrisiko kræver. Om og hvordan NIS 2-loven gælder for din organisation, vurderer du og din juridiske rådgiver.

Vil I aftale de kontraktbestemmelser, DORA kræver?

Ja. Vi aftaler bestemmelserne i artikel 30 i DORA, underretter om hændelser via den aftalte kanal, dokumenterer exitplaner, deltager i test af modstandsdygtighed og leverer det, dit register over oplysninger skal indeholde.

Hvem har ansvaret for at overholde AI-forordningen?

Det afhænger af din rolle som udbyder eller idriftsætter og af risikoklassen for din use case. Vi klassificerer hver use case sammen med dig i den første afklaring, bygger tilsyn, logning og dokumentation ind i systemet og leverer de tekniske fakta, din juridiske rådgiver har brug for til den juridiske vurdering.

Hvor bliver vores data hostet og behandlet?

På steder, vi aftaler med dig, før vi bygger: din egen cloudtenant, en EU-region hos en offentlig cloududbyder eller on premises til følsomme arbejdsbelastninger. Hosting og AI-tjenester vælges derefter, og valget dokumenteres sammen med mulighederne for exit.

Hvordan beder vi om jeres sikkerheds­dokumentation?

Via kontaktsiden. Fortæl os, hvilke dokumenter du har brug for, og hvilke krav du vurderer leverandører efter, så vender de rette folk tilbage til dig.

Bed om dokumentationen

Fortæl os, hvilke krav du vurderer leverandører efter, og hvilke dokumenter du har brug for. Vi fortæller dig, hvad vi kan dele, og hvordan.

Bed om sikkerheds­dokumentationOm FromNine