Zum Hauptinhalt springen
FromNine
Menü

Vertrauen und Compliance

Vertrauen und Compliance für beaufsichtigte Organisationen

FromNine hält eine Zertifizierung nach ISO/IEC 27001. Hier erfahren Sie, wie wir Ihre Systeme und Daten als Dienstleister schützen, was wir zu Ihren Pflichten aus NIS2, DORA und KI-Verordnung beisteuern und wie Sie an unsere Sicherheitsunterlagen kommen.

Für öffentliche Einrichtungen und beaufsichtigte Unternehmen in Luxemburg, wo ILR, CSSF, CAA und CNPD die EU-Regeln im Alltag durchsetzen.

Sicherheits­unterlagen anfordernUnsere Zusagen

Unsere Zusagen

Fünf Zusagen, die in jedem Mandat gelten

Öffentliche Einrichtungen und beaufsichtigte Unternehmen überlassen uns sensible Daten und Systeme, an denen echte Entscheidungen hängen. Daran können sie uns messen.

  • Management der Informations­sicherheit

    Zertifiziert

    Unser Managementsystem für Informationssicherheit ist nach ISO/IEC 27001 zertifiziert, dem internationalen Standard für dieses Fachgebiet. Kontrollen, Lieferantensteuerung und Vorfallbehandlung richten sich in jedem Mandat nach diesem System.

    Welchen Zugang wir zu Ihren Systemen und Daten erhalten, wird vor Arbeitsbeginn vereinbart, auf das Nötige begrenzt und bei jedem Wechsel im Team erneut geprüft.

    Zertifiziert nach ISO/IEC 27001

  • Personen­bezogene Daten und DSGVO

    Unsere Praxis

    Bevor wir bauen, sind Zwecke, Zugriffsgrenzen und Aufbewahrung geregelt. Verarbeiten wir personenbezogene Daten in Ihrem Auftrag, handeln wir als Ihr Auftragsverarbeiter auf Basis eines Vertrags nach Artikel 28 DSGVO. Aufsichtsbehörde in Luxemburg ist die CNPD (Commission nationale pour la protection des données).

    Ist bei einer Verarbeitung mit hohem Risiko zu rechnen, bekommen Sie von uns die technischen Angaben für Ihre Datenschutz-Folgenabschätzung.

  • Menschliche Aufsicht über KI

    Unsere Praxis

    Die Einstufung jedes KI-Anwendungsfalls erfolgt in der Analyse, zusammen mit Ihnen. Freigaben, Protokolle und technische Dokumentation sind ab dem ersten Release eingebaut, nicht erst vor einem Audit. Agenten arbeiten mit eng begrenzten Rechten und fragen, bevor sie etwas mit Folgen tun.

  • Barriere­freiheit

    Unsere Praxis

    Gegen EN 301 549 und WCAG 2.2 Stufe AA wird gestaltet und getestet, automatisiert ebenso wie von Hand mit assistiven Technologien. Sie erhalten einen Konformitätsbericht mit allen bekannten Mängeln. Öffentliche Stellen in Luxemburg können ihn für die Prüfung nach RAWeb und RAAM nutzen, die der Service information et presse (SIP) auf Grundlage des Gesetzes vom 28. Mai 2019 vornimmt.

  • Daten in der EU

    Je Mandat

    Aus welcher Region gehostet wird, wer die Schlüssel kontrolliert und von wo der Support zugreifen darf, klären wir vor Baubeginn gemeinsam und halten es in der Architektur fest; souveräne Varianten sind möglich, wenn Ihre Vorgaben sie verlangen.

Hier beschreiben wir unsere Arbeitsweise als Dienstleister. Eine Konformitätserklärung in Ihrem Namen ist das nicht: Welche Pflichten gelten, richtet sich nach Ihrer Organisation und Ihrem Anwendungsfall, und rechtlich bewertet das Ihre Rechtsberatung.

NIS2

NIS2: Sicherheit in Ihrer Lieferkette

Wesentliche und wichtige Einrichtungen müssen nach der Richtlinie (EU) 2022/2555 (NIS2) die Cyberrisiken ihrer Netz- und Informationssysteme im Griff haben. Zu den Mindestmaßnahmen in Art. 21 Abs. 2 gehört die Sicherheit der Lieferkette; Abs. 3 verlangt, die Sicherheitspraxis unmittelbarer Lieferanten und Dienstleister einzubeziehen. Luxemburg hat die Richtlinie mit dem Gesetz vom 5. Mai 2026 umgesetzt, das seit dem 10. Mai 2026 gilt. Für die meisten Sektoren ist das Institut Luxembourgeois de Régulation (ILR) zuständig und führt auch das Registrierungsportal.

Als Ihr Dienstleister machen wir diesen Teil Ihrer Pflicht leichter belegbar. Sicherheitsklauseln, Meldewege und der Umgang mit Schwachstellen werden je Vertrag vereinbart, und die Kontrollen für Ihr Mandat sind so dokumentiert, dass Ihr Lieferantenrisikoprozess sie bewerten kann. Ob und wie das luxemburgische NIS2-Gesetz für Ihre Organisation gilt, bleibt Ihre eigene Einschätzung.

  • Sicherheits­klauseln im Vertrag

    Zugang, Unterbeauftragung, Meldung von Vorfällen und Mitwirkung bei Audits stehen schriftlich fest und werden nicht stillschweigend vorausgesetzt.

  • Ein Meldeweg, der funktioniert

    Benannte Kontakte und vereinbarte Fristen sorgen dafür, dass Sie von einem Vorfall bei uns rechtzeitig für die Frühwarnung erfahren, die NIS2 binnen 24 Stunden erwartet (Artikel 23 Absatz 4).

  • Umgang mit Schwachstellen

    Scans von Abhängigkeiten, Code und Infrastruktur sind Teil der Pipeline; was sie finden, wird behoben oder über den vereinbarten Kanal gemeldet.

  • Nachweise auf Anfrage

    Das Zertifikat nach ISO/IEC 27001 und eine Übersicht der Kontrollen, die in Ihrem Mandat greifen.

DORA

DORA: IKT-Drittparteien­risiko im Finanzsektor

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (Verordnung (EU) 2022/2554). Er verpflichtet Finanzunternehmen, darunter Banken, Fondsverwalter, Versicherer, Wertpapierfirmen und Zahlungsinstitute, das Risiko aus IKT-Drittdienstleistern im eigenen IKT-Risikomanagement zu steuern. Dazu gehören ein Informationsregister über alle Verträge zu IKT-Dienstleistungen (Art. 28) und Pflichtinhalte in diesen Verträgen (Art. 30). Am Finanzplatz Luxemburg wachen die CSSF (Commission de Surveillance du Secteur Financier) und das Commissariat aux Assurances (CAA) darüber; schwerwiegende IKT-Vorfälle melden die von der CSSF beaufsichtigten Unternehmen nach dem Rundschreiben CSSF 25/893 über das eDesk der CSSF.

Für Finanzunternehmen, denen wir IKT-Dienstleistungen erbringen, nehmen wir die Inhalte aus Art. 30 in den Vertrag auf: was genau geleistet wird, wo die Leistung erbracht und wo Daten verarbeitet werden, wie wir bei IKT-Vorfällen helfen, dass wir mit Ihren Aufsichtsbehörden kooperieren und wann gekündigt werden kann. Stützt die Leistung kritische oder wichtige Funktionen, kommen Exit-Strategien und unsere Mitwirkung an Ihren Resilienztests dazu.

Ihr Informationsregister versorgen wir mit den nötigen Angaben. Exit-Pläne halten wir ab dem ersten Tag fest, damit ein Anbieterwechsel machbar bleibt.

  • FinanzsektorKI unter Aufsicht, robuste Plattformen und ein Betrieb nach den Maßstäben von DORA.

KI-Verordnung

KI-Verordnung: menschliche Aufsicht und Dokumentation im Entwurf

Seit Februar 2025 gelten die Verbote bestimmter KI-Praktiken, und KI-Kompetenz ist Pflicht; seit August 2026 kommen die Transparenzpflichten aus Artikel 50 hinzu. Für Hochrisiko-Systeme aus Anhang III ist der Stichtag nach der Änderung durch die Verordnung (EU) 2026/1744 der 2. Dezember 2027. So staffelt die Verordnung (EU) 2024/1689 ihre Anwendung. In Luxemburg sieht der Gesetzentwurf Nr. 8476 die CNPD als allgemeine Marktüberwachungsbehörde vor; verabschiedet ist er noch nicht.

Hochrisiko-Systeme brauchen nach der Verordnung eine technische Dokumentation (Art. 11), automatisch erzeugte Logs (Art. 12) und eine Bauweise, die wirksame Aufsicht durch Menschen zulässt (Art. 14); Betreiber setzen dafür Personen ein, die fachlich geeignet und befugt sind (Art. 26). Wir richten Systeme vom ersten Release an danach aus. Wo Entscheidungen Menschen betreffen, gibt es Freigaben und die Möglichkeit zu übersteuern, und die Dokumentation entsteht zusammen mit dem Code.

Anbieter oder Betreiber? Das entscheidet sich daran, wie das System in Betrieb geht, und ist Teil der rechtlichen Prüfung durch Ihre Rechtsberatung. Wir steuern die technischen Fakten bei.

In der Lieferung

Sicherheit in jeder Phase der Lieferung

Belege für Compliance ergeben sich aus der täglichen Arbeitsweise und nicht aus einem Papier, das zum Schluss entsteht.

  • Minimale Zugriffsrechte

    Zugriff auf Ihre Umgebungen und Daten gibt es nur im Umfang, den die Arbeit verlangt, vereinbart vor dem Start und überprüft, sobald sich das Team ändert.

  • Begutachtete und gescannte Änderungen

    Jede Änderung sieht vor der Auslieferung eine zweite Person durch. Abhängigkeiten, Code und Infrastruktur werden automatisch gescannt, und Sicherheitstests sind pro Release eingeplant.

  • Vorfälle nach vereinbartem Ablauf

    Wie Vorfälle eingestuft werden, wer benachrichtigt wird und wie Beweise gesichert werden, steht ab Projektstart fest und fließt in den Vorfallprozess ein, sobald NIS2 oder DORA für Sie gelten.

  • Dokumentierte Übergabe und Exit

    Runbooks, Architekturentscheidungen und Datenmodelle gehen mit dem System an Sie über, und Exit-Pläne halten Datenrückgabe und Wechselkosten vom ersten Tag an sichtbar.

Lieferanten­prüfung

Sicherheits­unterlagen anfordern

Bevor unterschrieben wird, wollen Einkauf, Sicherheit und Recht Belege sehen. Bei uns erhalten Sie dafür das Zertifikat nach ISO/IEC 27001 samt Geltungsbereich, Antworten auf Ihren Sicherheitsfragebogen und die Bedingungen zur Auftragsverarbeitung für Ihr Mandat.

Ihre Anfrage erreicht uns über die Kontaktseite. Geben Sie dabei an, woran Sie Lieferanten messen, zum Beispiel am luxemburgischen NIS2-Gesetz, an DORA oder an den Vorgaben Ihrer Aufsicht. Wer zuständig ist, meldet sich bei Ihnen.

  • KontaktErwähnen Sie in Ihrer Nachricht die Sicherheitsunterlagen.
  • ImpressumFirmen- und Registerangaben für Ihre Lieferantenakte.

Luxemburg

EU-Regeln, Luxemburger Aufsicht

Als Verordnungen gelten DSGVO, DORA und KI-Verordnung direkt in jedem Mitgliedstaat. Bei NIS2 als Richtlinie ist das anders: Wer erfasst ist, wie registriert und wie gemeldet wird, bestimmt das nationale Gesetz, in Luxemburg das Gesetz vom 5. Mai 2026. Beaufsichtigt wird ohnehin national, im Großherzogtum durch das ILR (NIS2, die meisten Sektoren), die CSSF und das CAA (DORA) sowie die CNPD (Datenschutz). Laufen Programme über mehrere Länder, vereinbaren wir einheitliche Kontrollen und weisen jeden Meldeweg der Behörde zu, bei der die jeweilige Einrichtung berichtet.

Fragen aus Einkauf und Informations­sicherheit

Ist FromNine nach ISO/IEC 27001 zertifiziert?

Ja. Unser Managementsystem für Informationssicherheit trägt die Zertifizierung nach ISO/IEC 27001. Zertifikat und Geltungsbereich stellen wir im Rahmen Ihrer Lieferantenprüfung auf Anfrage bereit.

Wie unterstützen Sie als Dienstleister unsere Pflichten aus dem NIS2-Gesetz?

Sicherheitsklauseln, Meldewege und der Umgang mit Schwachstellen stehen im Vertrag. Die für Ihr Mandat geltenden Kontrollen sind dokumentiert, und Ihre Bewertung des Lieferantenrisikos erhält die passenden Nachweise. Ob und wie das Gesetz vom 5. Mai 2026 Ihre Organisation erfasst, klären Sie mit Ihrer Rechtsberatung.

Vereinbaren Sie die Vertragsbestimmungen, die DORA verlangt?

Ja: die Inhalte aus Art. 30 DORA, Meldungen über den vereinbarten Kanal, dokumentierte Exit-Pläne, Teilnahme an Resilienztests und die Angaben, die in Ihr Informationsregister gehören.

Wer trägt die Verantwortung für die KI-Verordnung?

Maßgeblich sind Ihre Rolle (Anbieter oder Betreiber) und die Risikoklasse des Anwendungsfalls. Die Einstufung nehmen wir in der Analysephase mit Ihnen vor; Aufsicht, Protokolle und Dokumentation bauen wir ins System, und Ihre Rechtsberatung erhält von uns die technische Grundlage für ihre Bewertung.

Wo werden unsere Daten gehostet und verarbeitet?

Dort, wo wir es vor Baubeginn mit Ihnen vereinbart haben: im eigenen Cloud-Tenant Ihrer Organisation, in einer EU-Region eines Public-Cloud-Anbieters oder, für sensible Lasten, on premises. Danach richtet sich die Auswahl der Hosting- und KI-Dienste, und die Entscheidung wird mit ihren Exit-Optionen dokumentiert.

Wie fordern wir Ihre Sicherheitsunterlagen an?

Über die Kontaktseite: Schreiben Sie, welche Unterlagen Sie benötigen und nach welchem Rahmen Sie bewerten, dann meldet sich die zuständige Person.

Fragen Sie nach den Belegen

Sagen Sie uns, nach welchem Rahmen Sie Lieferanten prüfen und welche Unterlagen Ihnen fehlen. Sie erfahren dann, was wir weitergeben können und wie.

Sicherheits­unterlagen anfordernÜber FromNine