Zum Hauptinhalt springen
FromNine
Menü

Vertrauen und Compliance

Verlässlich als Lieferant regulierter Organisationen

Unser Informationssicherheits-Management ist nach ISO/IEC 27001 zertifiziert. Hier erfahren Sie, wie wir als Lieferant Systeme und Daten schützen, welchen Beitrag wir zu Ihren Pflichten unter NISG 2026, DORA und KI-Verordnung leisten und wie Sie Sicherheitsunterlagen bekommen.

Für öffentliche Einrichtungen und regulierte Unternehmen in Österreich, wo FMA, DSB und das Bundesamt für Cybersicherheit die EU-Regeln vollziehen.

Sicherheits­unterlagen anfordernUnsere Zusagen

Unsere Zusagen

Fünf Zusagen in jedem Auftrag

Verwaltung und regulierte Unternehmen überlassen uns heikle Daten und Systeme, auf die sich echte Entscheidungen stützen. An diesen Zusagen lassen wir uns messen.

  • Informationssicherheits­management

    Zertifiziert

    Für unser Managementsystem der Informationssicherheit besteht eine Zertifizierung nach ISO/IEC 27001. Kontrollen, Steuerung von Unterlieferanten und Behandlung von Vorfällen richten sich in jedem Auftrag nach diesem System.

    Zugänge zu Ihren Systemen und Daten vereinbaren wir vor Arbeitsbeginn, beschränken sie auf das Nötige und prüfen sie erneut, sobald sich das Team ändert.

    Zertifiziert nach ISO/IEC 27001

  • Personenbezogene Daten, DSGVO und DSG

    Arbeitsweise

    Zwecke, Zugriffsgrenzen und Aufbewahrung legen wir fest, bevor wir bauen. Verarbeiten wir personenbezogene Daten in Ihrem Auftrag, tun wir das als Ihr Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO; das österreichische Datenschutzgesetz (DSG) ergänzt die DSGVO.

    Ist ein hohes Risiko für Betroffene wahrscheinlich, liefern wir die technischen Angaben für Ihre Datenschutz-Folgenabschätzung.

  • Menschliche Aufsicht über KI

    Arbeitsweise

    Gemeinsam mit Ihnen ordnen wir jeden KI-Anwendungsfall bereits in der Analyse einer Risikoklasse zu. Freigaben, Protokolle und technische Dokumentation entstehen mit dem ersten Release und nicht erst, wenn eine Prüfung ansteht. Agenten bekommen nur eng gefasste Rechte und warten vor folgenreichen Schritten auf eine Genehmigung.

  • Barrierefreiheit

    Arbeitsweise

    Maßstab für Gestaltung und Test der Oberflächen sind EN 301 549 und WCAG 2.2 Stufe AA, geprüft mit Werkzeugen und von Hand mit assistiven Technologien. Am Ende steht ein Konformitätsbericht, in dem auch bekannte Mängel aufgeführt sind.

  • Datenhaltung in der EU

    Je Vorhaben

    Hosting-Regionen, die Hoheit über die Schlüssel und die Orte, von denen aus Support zugreift, entscheiden wir mit Ihnen, bevor wir bauen, und schreiben sie in die Architektur, bei Bedarf auch mit souveränen Varianten.

Hier beschreiben wir unsere Arbeitsweise als Lieferant, nicht Ihre Rechtskonformität. Welche Pflichten Sie treffen, hängt von Organisation und Anwendungsfall ab; die rechtliche Einschätzung trifft Ihre Rechtsberatung.

NISG 2026

NISG 2026: Sicherheit in Ihrer Lieferkette

In Österreich setzt das Netz- und Informations­system­sicherheits­gesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) die NIS2-Richtlinie (EU) 2022/2555 um. Es gilt seit 1. Oktober 2026 und löst das NISG 2018 ab; zuständig ist das Bundesamt für Cybersicherheit (BCS), eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde. Die Richtlinie zählt die Sicherheit der Lieferkette zu den Mindestmaßnahmen (Art. 21 Abs. 2), und nach Art. 21 Abs. 3 müssen wesentliche und wichtige Einrichtungen die Sicherheitspraxis ihrer direkten Lieferanten und Dienstleister berücksichtigen.

Diesen Teil Ihrer Pflichten können Sie mit uns als Lieferant leichter nachweisen. Sicherheitsklauseln, Meldewege und das Schwachstellenmanagement regelt jeder Vertrag, und die für Ihren Auftrag geltenden Kontrollen sind so beschrieben, dass Ihre Bewertung von Lieferanten sie prüfen kann. Ob und in welchem Umfang das NISG 2026 für Ihre Organisation gilt, schätzen Sie selbst ein.

  • Sicherheitsklauseln im Vertrag

    Zugriffe, Unterlieferanten, Meldung von Vorfällen und Mitwirkung an Audits stehen schwarz auf weiß im Vertrag.

  • Ein Meldeweg, der funktioniert

    Namentlich bekannte Kontakte und abgestimmte Fristen sorgen dafür, dass Sie von einem Vorfall bei uns früh genug erfahren, um die Frühwarnung abzugeben, für die NIS2 maximal 24 Stunden vorsieht (Art. 23 Abs. 4).

  • Umgang mit Schwachstellen

    Die Auslieferungsstrecke scannt Abhängigkeiten, Code und Infrastruktur; Funde werden behoben oder über den vereinbarten Kanal gemeldet.

  • Nachweise auf Anfrage

    Unser Zertifikat nach ISO/IEC 27001 und eine Beschreibung der Kontrollen, die für Ihren Auftrag gelten.

DORA

DORA: IKT-Drittparteienrisiko im Finanzsektor

Seit 17. Jänner 2025 ist der Digital Operational Resilience Act, Verordnung (EU) 2022/2554, anzuwenden. Die Aufsicht in Österreich liegt bei der Finanzmarktaufsicht (FMA), die mit der Oesterreichischen Nationalbank (OeNB) zusammenarbeitet. Banken, Versicherungen, Wertpapierfirmen, Zahlungsinstitute und weitere Finanzunternehmen steuern das IKT-Drittparteienrisiko innerhalb ihres IKT-Risikomanagements, führen ein Informationsregister zu allen Verträgen über IKT-Dienstleistungen (Art. 28) und nehmen bestimmte Mindestinhalte in diese Verträge auf (Art. 30).

Liefern wir IKT-Dienstleistungen an ein Finanzunternehmen, enthält der Vertrag, was Art. 30 aufzählt: die Leistungen vollständig beschrieben, die Orte von Leistung und Datenverarbeitung, Hilfe bei IKT-Vorfällen, Kooperation mit den zuständigen Behörden und Kündigungsrechte. Stützen die Leistungen kritische oder wichtige Funktionen, kommen Ausstiegsstrategien und unsere Teilnahme an Ihren Resilienztests hinzu.

Was Ihr Informationsregister braucht, bekommen Sie von uns, und Ausstiegspläne halten wir ab Projektbeginn fest, damit ein Anbieterwechsel machbar bleibt. Schwerwiegende IKT-Vorfälle melden Finanzunternehmen in Österreich über die Incoming Platform der FMA.

KI-Verordnung

KI-Verordnung: Aufsicht und Dokumentation im Entwurf

Die KI-Verordnung, Verordnung (EU) 2024/1689, tritt in Etappen in Geltung. Seit Februar 2025 gelten die Verbote und die Pflicht zur KI-Kompetenz, seit August 2026 die Transparenzpflichten aus Art. 50. Hochrisiko-Systeme nach Anhang III unterliegen den Regeln in der 2026 durch die Verordnung (EU) 2026/1744 geänderten Fassung ab 2. Dezember 2027. Beratung in Österreich bietet die KI-Servicestelle der RTR; eine nationale Marktüberwachungsbehörde gibt es mit Stand Herbst 2026 noch nicht.

Bei Hochrisiko-Systemen fordert die Verordnung technische Dokumentation (Art. 11), automatisch erzeugte Protokolle (Art. 12) und eine Gestaltung, die wirksame menschliche Aufsicht erlaubt (Art. 14). Wer ein solches System betreibt, überträgt die Aufsicht Personen mit passender Kompetenz und Befugnis (Art. 26). Unsere Systeme sind ab dem ersten Release darauf ausgelegt: Wo Entscheidungen Menschen betreffen, gibt es Freigaben und Eingriffsmöglichkeiten, und die Dokumentation wächst mit dem Code.

Ob Sie als Anbieter oder als Betreiber gelten, entscheidet sich daran, wie das System in Betrieb geht. Das ist eine Rechtsfrage für Ihre Rechtsberatung; von uns kommen die technischen Fakten, die sie dafür benötigt.

In der Umsetzung

Sicherheit in jeder Phase der Umsetzung

Compliance lässt sich belegen, weil sie in der täglichen Arbeit steckt, nicht in einem Papier, das zum Schluss entsteht.

  • Minimale Zugriffsrechte

    Zugriff auf Ihre Umgebungen und Daten erhalten wir nur im nötigen Umfang, vereinbart vor Arbeitsbeginn und neu geprüft bei jedem Wechsel im Team.

  • Geprüfte und gescannte Änderungen

    Keine Änderung geht ohne Durchsicht durch eine zweite Person hinaus. Abhängigkeiten, Code und Infrastruktur werden automatisch gescannt, Sicherheitstests sind je Release eingeplant.

  • Vorfälle nach vereinbartem Ablauf

    Einstufung von Vorfällen, Meldekontakte und Beweissicherung legen wir zu Beginn fest und verankern sie im Vorfallsprozess, wenn NISG 2026 oder DORA für Sie gelten.

  • Dokumentierte Übergabe und Ausstieg

    Betriebshandbücher, Architekturentscheidungen und Datenmodelle übergeben wir mit dem System; Ausstiegspläne halten Datenrückgabe und Wechselkosten von Beginn an sichtbar.

Lieferantenprüfung

Unsere Sicherheits­unterlagen anfordern

Bevor ein Vertrag unterschrieben ist, wollen Beschaffung, IT-Sicherheit und Rechtsabteilung Belege sehen. Sie können bei uns das ISO/IEC-27001-Zertifikat mit Geltungsbereich anfordern, ausgefüllte Sicherheitsfragebögen und die Bedingungen der Auftragsverarbeitung für Ihren Auftrag.

Ihre Anfrage erreicht uns über die Kontaktseite. Geben Sie an, woran Sie Lieferanten messen, zum Beispiel NISG 2026, DORA oder hausinterne Sicherheitsvorgaben; wir melden uns mit den passenden Ansprechpersonen.

  • Kontakt aufnehmenErwähnen Sie in Ihrer Nachricht die Sicherheitsunterlagen.
  • ImpressumFirmen- und Registerdaten für Ihre Lieferantenstammdaten.

Österreich

EU-Recht, österreichische Aufsicht

DSGVO, DORA und KI-Verordnung gelten als Verordnungen unmittelbar in der ganzen Union. NIS2 ist eine Richtlinie, deshalb unterscheiden sich Anwendungsbereich und Meldedetails je Mitgliedstaat; in Österreich regelt sie das NISG 2026.

Die Aufsicht liegt in allen Fällen beim Mitgliedstaat. In Österreich sind das für NIS2 das Bundesamt für Cybersicherheit, für DORA die FMA gemeinsam mit der OeNB und für die DSGVO die Datenschutzbehörde (DSB). Für Programme über mehrere Länder vereinbaren wir einen gemeinsamen Satz an Kontrollen und ordnen jeden Meldeweg der Behörde zu, an die die betroffene Einheit berichtet.

Fragen aus Einkauf und IT-Sicherheit

Ist FromNine nach ISO/IEC 27001 zertifiziert?

Ja, unser Managementsystem für Informationssicherheit trägt eine Zertifizierung nach ISO/IEC 27001. Wenn Sie uns als Lieferanten prüfen, bekommen Sie Zertifikat und Geltungsbereich auf Anfrage.

Wie unterstützen Sie uns als Lieferant beim NISG 2026?

Im Vertrag stehen Sicherheitsklauseln, Meldewege bei Vorfällen und der Umgang mit Schwachstellen. Die Kontrollen für Ihren Auftrag beschreiben wir schriftlich und liefern die Belege für Ihre Lieferantenbewertung. Ob das NISG 2026 für Ihre Organisation gilt und in welchem Umfang, klären Sie mit Ihrer Rechtsberatung.

Vereinbaren Sie die Vertragsbestimmungen, die DORA verlangt?

Ja. Die Inhalte nach Art. 30 DORA nehmen wir in den Vertrag auf; Vorfälle melden wir über den abgestimmten Kanal, Ausstiegspläne halten wir fest, an Resilienztests nehmen wir teil, und für Ihr Informationsregister liefern wir die nötigen Angaben.

Wer trägt die Verantwortung für die Einhaltung der KI-Verordnung?

Entscheidend sind Ihre Rolle, Anbieter oder Betreiber, und die Risikoklasse des Einsatzes. In der Analyse ordnen wir jeden Fall gemeinsam ein, bauen Aufsicht, Protokolle und Dokumentation in das System und geben Ihrer Rechtsberatung die technischen Grundlagen für ihre Beurteilung.

Wo werden unsere Daten gespeichert und verarbeitet?

Dort, wo wir es vor Baubeginn mit Ihnen vereinbaren: in Ihrem eigenen Cloud-Mandanten, in einer EU-Region eines großen Cloud-Anbieters oder, bei sensiblen Lasten, im eigenen Rechenzentrum. Danach richtet sich die Wahl von Hosting und KI-Diensten, die wir samt Ausstiegsoptionen dokumentieren.

Wie fordern wir Ihre Sicherheitsunterlagen an?

Schreiben Sie uns über die Kontaktseite, welche Unterlagen Sie brauchen und woran Sie Lieferanten messen. Die zuständigen Personen kommen dann auf Sie zu.

Fordern Sie die Nachweise an

Sagen Sie uns, nach welchem Rahmen Sie Lieferanten bewerten und welche Unterlagen Sie brauchen. Wir antworten, was wir teilen können und auf welchem Weg.

Sicherheits­unterlagen anfordernÜber FromNine