Zum Hauptinhalt springen
FromNine
Menü

Vertrauen und Compliance

Vertrauen und Compliance für regulierte Organisationen

FromNine ist nach ISO/IEC 27001 zertifiziert. Hier lesen Sie, wie wir als Dienstleister Ihre Systeme und Daten schützen, was wir zu Ihren Pflichten aus NIS-2, DORA und der KI-Verordnung beitragen und wie Sie unsere Sicherheitsdokumentation anfordern.

Für Verwaltungen und Unternehmen in Deutschland, die unter das NIS2UmsuCG, DORA oder die KI-Verordnung fallen.

Sicherheitsdokumentation anfordernUnsere Verpflichtungen

Unsere Verpflichtungen

Fünf Verpflichtungen in jedem Projekt

Öffentliche Einrichtungen und regulierte Unternehmen vertrauen uns sensible Daten an und Systeme, die echte Entscheidungen unterstützen. Daran können sie uns messen.

  • Informationssicherheits-Management

    Zertifiziert

    Unser Informationssicherheits-Managementsystem ist nach ISO/IEC 27001 zertifiziert, der internationalen Norm für das Management der Informationssicherheit. Sicherheitsmaßnahmen, Lieferantenmanagement und Vorfallbehandlung folgen diesem System in jedem Projekt.

    Zugriffe auf Ihre Systeme und Daten vereinbaren wir vor Beginn der Arbeit, beschränken sie auf das, was die Aufgabe erfordert, und überprüfen sie bei jedem Wechsel im Team.

    Nach ISO/IEC 27001 zertifiziert

  • Personenbezogene Daten und DSGVO

    Unsere Arbeitsweise

    Zwecke, Zugriffsgrenzen und Aufbewahrungsfristen werden vor Beginn der Umsetzung vereinbart. Verarbeiten wir personenbezogene Daten in Ihrem Auftrag, handeln wir als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Artikel 28 DSGVO.

    Hat eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge, liefern wir die technischen Grundlagen für Ihre Datenschutz-Folgenabschätzung.

  • Menschliche Aufsicht über KI

    Unsere Arbeitsweise

    Jeden KI-Anwendungsfall stufen wir gemeinsam mit Ihnen schon in der Analysephase ein. Freigabeschritte, Protokollierung und technische Dokumentation sind ab dem ersten Release Teil des Systems und werden nicht erst kurz vor einem Audit ergänzt. Agenten arbeiten mit eng begrenzten Berechtigungen und holen vor folgenreichen Schritten eine Freigabe ein.

  • Barrierefreiheit

    Unsere Arbeitsweise

    Wir gestalten und testen Oberflächen nach EN 301 549 und WCAG 2.2 Stufe AA, mit automatisierten Prüfungen und manuellen Tests mit assistiven Technologien, und liefern einen Konformitätsbericht mit allen bekannten Mängeln.

  • Datenhaltung in der EU

    Je nach Projekt

    Hosting-Regionen, die Hoheit über Verschlüsselungsschlüssel und die Standorte, von denen aus der Support zugreifen darf, legen wir vor Beginn der Umsetzung mit Ihnen fest und schreiben sie in der Architektur fest, einschließlich souveräner Optionen, wo Ihre Anforderungen sie verlangen.

Diese Seite beschreibt, wie wir als Dienstleister arbeiten. Sie ist keine Konformitätserklärung in Ihrem Namen: Welche Pflichten gelten, hängt von Ihrer Organisation und Ihrem Anwendungsfall ab, und die rechtliche Bewertung bleibt bei Ihrer eigenen Rechtsberatung.

NIS-2

NIS-2: Unterstützung für die Sicherheit Ihrer Lieferkette

Die NIS-2-Richtlinie, Richtlinie (EU) 2022/2555, verpflichtet wesentliche und wichtige Einrichtungen, die Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu beherrschen. Die Sicherheit der Lieferkette gehört zu den Mindestmaßnahmen nach Artikel 21 Absatz 2, und Artikel 21 Absatz 3 verlangt, dass Einrichtungen die Cybersicherheitspraxis ihrer unmittelbaren Anbieter und Diensteanbieter berücksichtigen.

Als Ihr Dienstleister machen wir diesen Teil Ihrer Pflichten leichter nachweisbar. Sicherheitsklauseln, Meldewege für Vorfälle und den Umgang mit Schwachstellen vereinbaren wir je Vertrag, und die für Ihr Projekt geltenden Maßnahmen dokumentieren wir so, dass Ihr Lieferantenrisikomanagement sie prüfen kann. Ob und wie die nationalen NIS-2-Regeln für Ihre Organisation gelten, bleibt Ihre eigene Bewertung.

  • Sicherheitsklauseln im Vertrag

    Zugriffe, Unterauftragsvergabe, Meldung von Vorfällen und Mitwirkung bei Audits werden schriftlich vereinbart, nicht vorausgesetzt.

  • Ein Meldeweg, der funktioniert

    Benannte Ansprechpersonen und vereinbarte Fristen, damit ein Vorfall auf unserer Seite Sie rechtzeitig für die Frühwarnung erreicht, die NIS-2 innerhalb von 24 Stunden verlangt (Artikel 23 Absatz 4).

  • Umgang mit Schwachstellen

    Scans von Abhängigkeiten, Code und Infrastruktur laufen in der Delivery-Pipeline. Befunde werden behoben oder über den vereinbarten Weg gemeldet.

  • Nachweise auf Anfrage

    Unser ISO/IEC 27001-Zertifikat und eine Beschreibung der Maßnahmen, die für Ihr Projekt gelten.

DORA

DORA: IKT-Drittparteienrisiko im Finanzsektor

Der Digital Operational Resilience Act, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025. Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute und andere Finanzunternehmen managen das IKT-Drittparteienrisiko in ihrem IKT-Risikomanagementrahmen, führen ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen (Artikel 28) und nehmen wesentliche Vertragsbestimmungen in diese Verträge auf (Artikel 30).

Erbringen wir IKT-Dienstleistungen für ein Finanzunternehmen, vereinbaren wir die Bestimmungen nach Artikel 30: eine vollständige Beschreibung der Leistungen, die Standorte, an denen sie erbracht und Daten verarbeitet werden, Unterstützung bei einem IKT-Vorfall, die Zusammenarbeit mit Ihren zuständigen Behörden und Kündigungsrechte. Für Leistungen, die kritische oder wichtige Funktionen unterstützen, regelt der Vertrag zusätzlich Ausstiegsstrategien und unsere Mitwirkung an Ihren Resilienztests.

Wir liefern die Angaben, die Ihr Informationsregister benötigt, und dokumentieren Exit-Pläne von Anfang an, damit ein Wechsel eine realistische Option bleibt.

KI-Verordnung

KI-Verordnung: menschliche Aufsicht und Dokumentation von Anfang an

Die KI-Verordnung, Verordnung (EU) 2024/1689, gilt schrittweise. Verbotene Praktiken und KI-Kompetenz gelten seit Februar 2025, die Transparenzpflichten nach Artikel 50 seit August 2026. In der 2026 durch die Verordnung (EU) 2026/1744 geänderten Fassung gelten die Regeln für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027.

Für Hochrisiko-Systeme verlangt die Verordnung eine technische Dokumentation (Artikel 11), die automatische Aufzeichnung von Ereignissen (Artikel 12) und eine Gestaltung, die eine wirksame menschliche Aufsicht ermöglicht (Artikel 14). Betreiber müssen diese Aufsicht Personen mit der erforderlichen Kompetenz und Befugnis übertragen (Artikel 26). Darauf bauen wir ab dem ersten Release: Freigabeschritte und Eingriffsmöglichkeiten sitzen dort, wo Entscheidungen Menschen betreffen, und die Dokumentation entsteht zusammen mit dem Code.

Ob Ihre Organisation Anbieter oder Betreiber ist, hängt davon ab, wie das System in Betrieb genommen wird. Diese Frage gehört zur rechtlichen Bewertung, die bei Ihrer Rechtsberatung bleibt; wir liefern die technischen Fakten, die sie dafür braucht.

In der Umsetzung

Sicherheit in jeder Phase der Umsetzung

Compliance-Nachweise entstehen aus der Art, wie gearbeitet wird, nicht aus einem Dokument, das am Ende geschrieben wird.

  • Minimale Zugriffsrechte

    Zugriffe auf Ihre Umgebungen und Daten sind auf das beschränkt, was die Aufgabe erfordert, werden vor Beginn der Arbeit vereinbart und bei jedem Wechsel im Team überprüft.

  • Geprüfte und gescannte Änderungen

    Änderungen werden vor dem Release im Peer-Review geprüft. Scans von Abhängigkeiten, Code und Infrastruktur laufen automatisch, und Sicherheitstests werden je Release geplant.

  • Vorfälle nach einem vereinbarten Prozess

    Klassifizierung von Vorfällen, Ansprechpersonen für Meldungen und die Sicherung von Nachweisen werden zu Beginn vereinbart und dort in den Vorfallprozess eingebaut, wo NIS-2 oder DORA für Sie gelten.

  • Dokumentierte Übergabe und Exit

    Betriebshandbücher, Architekturentscheidungen und Datenmodelle werden mit dem System übergeben, und Exit-Pläne halten Datenrückgabe und Wechselkosten von Anfang an sichtbar.

Lieferantenprüfung

Fordern Sie unsere Sicherheitsdokumentation an

Einkauf, Informationssicherheit und Rechtsabteilung brauchen Nachweise, bevor ein Vertrag unterschrieben wird. Fragen Sie uns nach unserem ISO/IEC 27001-Zertifikat und seinem Geltungsbereich, nach Antworten auf Ihren Sicherheitsfragebogen für Lieferanten und nach den Bedingungen zur Auftragsverarbeitung, die für Ihr Projekt gelten würden.

Senden Sie Ihre Anfrage über die Kontaktseite und nennen Sie den Rahmen, an dem Sie Dienstleister messen, etwa NIS-2, DORA oder einen nationalen Sicherheitsstandard. Die zuständigen Personen melden sich bei Ihnen.

Deutschland

NIS2UmsuCG, BSI und Ihre Dienstleister

In Deutschland setzt das NIS2UmsuCG die Richtlinie um. Es ist seit Dezember 2025 in Kraft, und die Pflichten stehen im neu gefassten BSI-Gesetz. Besonders wichtige und wichtige Einrichtungen müssen sich beim BSI registrieren und Risikomanagementmaßnahmen umsetzen, zu denen die Sicherheit der Lieferkette gehört. Im Finanzsektor beaufsichtigt die BaFin die Anwendung von DORA, und für personenbezogene Daten gelten DSGVO und BDSG. Wir vereinbaren Sicherheitsklauseln, Meldewege und Nachweise so, dass Sie sie in Ihrem eigenen Lieferantenrisikomanagement verwenden können.

Fragen aus Einkauf und Informationssicherheit

Ist FromNine nach ISO/IEC 27001 zertifiziert?

Ja. Unser Informationssicherheits-Managementsystem ist nach ISO/IEC 27001 zertifiziert. Zertifikat und Geltungsbereich stellen wir Ihnen im Rahmen Ihrer Lieferantenprüfung auf Anfrage zur Verfügung.

Wie unterstützen Sie als Dienstleister unsere NIS-2-Pflichten?

Wir vereinbaren Sicherheitsklauseln, Meldewege für Vorfälle und den Umgang mit Schwachstellen im Vertrag, dokumentieren die für Ihr Projekt geltenden Maßnahmen und liefern die Nachweise, die Ihr Lieferantenrisikomanagement braucht. Ob und wie NIS-2 für Ihre Organisation gilt, bewerten Sie mit Ihrer Rechtsberatung.

Vereinbaren Sie die Vertragsbestimmungen, die DORA verlangt?

Ja. Wir vereinbaren die Bestimmungen nach Artikel 30 DORA, melden Vorfälle über den vereinbarten Kanal, dokumentieren Exit-Pläne, wirken an Resilienztests mit und liefern die Angaben, die Ihr Informationsregister benötigt.

Wer ist für die Einhaltung der KI-Verordnung verantwortlich?

Das hängt von Ihrer Rolle als Anbieter oder Betreiber ab und von der Risikoklasse des Anwendungsfalls. Wir stufen jeden Anwendungsfall gemeinsam mit Ihnen in der Analysephase ein, bauen Aufsicht, Protokollierung und Dokumentation in das System ein und liefern Ihrer Rechtsberatung die technischen Fakten für die rechtliche Bewertung.

Wo werden unsere Daten gehostet und verarbeitet?

An Standorten, die wir vor Beginn der Umsetzung mit Ihnen vereinbaren: in Ihrem eigenen Cloud-Mandanten, in einer EU-Region einer Public Cloud oder on-premises für sensible Workloads. Hosting und KI-Dienste wählen wir entsprechend aus und dokumentieren die Entscheidung mit ihren Exit-Optionen.

Wie fordern wir Ihre Sicherheitsdokumentation an?

Über die Kontaktseite. Nennen Sie uns die Dokumente, die Sie brauchen, und den Rahmen, an dem Sie Dienstleister messen. Die zuständigen Personen melden sich bei Ihnen.

Fordern Sie die Nachweise an

Nennen Sie uns den Rahmen, an dem Sie Dienstleister messen, etwa das BSI-Gesetz, den IT-Grundschutz oder Ihren eigenen Fragebogen, und die Unterlagen, die Sie brauchen. Wir sagen Ihnen, was wir teilen können und in welcher Form.

Sicherheitsdokumentation anfordernÜber FromNine