Confianza y cumplimiento
Confianza y cumplimiento para organizaciones reguladas
FromNine cuenta con la certificación ISO/IEC 27001. En esta página explicamos cómo protegemos sus sistemas y sus datos como proveedor, qué aportamos a sus obligaciones derivadas de NIS2, DORA y el Reglamento Europeo de IA, y cómo solicitar nuestra documentación de seguridad.
Para administraciones públicas, entidades financieras y empresas en España, con el Esquema Nacional de Seguridad presente desde la primera conversación.
Nuestros compromisos
Cinco compromisos en cada proyecto
Instituciones públicas y empresas de sectores regulados nos confían datos sensibles y sistemas que respaldan decisiones reales. Esto es lo que pueden exigirnos.
Gestión de la seguridad de la información
CertificadoNuestro sistema de gestión de la seguridad de la información está certificado conforme a ISO/IEC 27001, la norma internacional para la gestión de la seguridad de la información. Las medidas de seguridad, la gestión de proveedores y el tratamiento de incidentes siguen ese sistema en cada proyecto.
El acceso a sus sistemas y datos se acuerda antes de empezar, se limita a lo que exige el trabajo y se revisa cada vez que cambia el equipo.
Certificación ISO/IEC 27001
Datos personales y RGPD
Cómo trabajamosLas finalidades, los límites de acceso y los plazos de conservación se acuerdan antes de construir. Cuando tratamos datos personales por cuenta de usted, actuamos como encargado del tratamiento al amparo de un contrato de encargo, tal como exige el artículo 28 del RGPD.
Si es probable que un tratamiento entrañe un alto riesgo, aportamos la información técnica para su evaluación de impacto relativa a la protección de datos (EIPD).
Supervisión humana de la IA
Cómo trabajamosClasificamos con usted cada caso de uso de IA durante la fase de análisis. Los pasos de aprobación, el registro de actividad y la documentación técnica forman parte del sistema desde la primera versión, no se añaden justo antes de una auditoría. Los agentes trabajan con permisos acotados y piden aprobación antes de los pasos con consecuencias.
Accesibilidad
Cómo trabajamosDiseñamos y probamos las interfaces conforme a EN 301 549 y WCAG 2.2 nivel AA, con comprobaciones automatizadas y revisión manual con tecnologías de apoyo, y entregamos un informe de conformidad con los problemas conocidos.
Residencia de datos en la UE
Según el proyectoLas regiones de alojamiento, el control de las claves de cifrado y los lugares desde los que el soporte puede acceder se deciden con usted antes de construir y quedan fijados en la arquitectura, con opciones soberanas cuando sus requisitos lo exigen.
Esta página describe cómo trabajamos como proveedor. No es una declaración de cumplimiento en su nombre: las obligaciones dependen de su organización y de su caso de uso, y la valoración jurídica corresponde a sus propios asesores legales.
NIS2
NIS2: apoyo a la seguridad de su cadena de suministro
La Directiva NIS2, Directiva (UE) 2022/2555, obliga a las entidades esenciales e importantes a gestionar los riesgos para la seguridad de sus sistemas de redes y de información. La seguridad de la cadena de suministro es una de las medidas mínimas del artículo 21, apartado 2, y el artículo 21, apartado 3, pide a las entidades que tengan en cuenta las prácticas de seguridad de sus proveedores y prestadores de servicios directos.
Como proveedor, hacemos que esa parte de sus obligaciones sea más fácil de acreditar. Las cláusulas de seguridad, los canales de notificación de incidentes y la gestión de vulnerabilidades se acuerdan en cada contrato, y las medidas aplicables a su proyecto se documentan para que su evaluación de riesgos de proveedores pueda revisarlas. Si las normas nacionales de NIS2 se aplican a su organización, y cómo, sigue siendo una valoración suya.
Cláusulas de seguridad en el contrato
El acceso, la subcontratación, la notificación de incidentes y la cooperación en auditorías se acuerdan por escrito, no se dan por supuestos.
Un canal de incidentes que funciona
Interlocutores designados y plazos acordados, para que un incidente en nuestro lado le llegue a tiempo para la alerta temprana que NIS2 exige en el plazo de 24 horas (artículo 23, apartado 4).
Gestión de vulnerabilidades
Los análisis de dependencias, código e infraestructura se ejecutan en la cadena de entrega, y los hallazgos se corrigen o se comunican por el canal acordado.
Evidencias a petición
Nuestro certificado ISO/IEC 27001 y una descripción de las medidas aplicables a su proyecto.
- Cloud e ingeniería de plataformasProcesos de incidentes que también sirven a las obligaciones de notificación de NIS2 y DORA.
- Sector público y AdministraciónUna ejecución que tiene en cuenta NIS2, para las administraciones públicas.
DORA
DORA: el riesgo de terceros proveedores de TIC en el sector financiero
El Reglamento sobre la resiliencia operativa digital (DORA), Reglamento (UE) 2022/2554, se aplica desde el 17 de enero de 2025. Bancos, aseguradoras, empresas de servicios de inversión, entidades de pago y otras entidades financieras deben gestionar el riesgo relacionado con las TIC derivado de terceros dentro de su marco de gestión del riesgo, mantener un registro de información sobre todos los acuerdos contractuales de servicios TIC (artículo 28) e incluir en esos acuerdos las cláusulas contractuales fundamentales (artículo 30).
Cuando prestamos servicios TIC a una entidad financiera, acordamos las cláusulas del artículo 30: una descripción completa de los servicios, los lugares donde se prestan y donde se tratan los datos, la asistencia ante un incidente relacionado con las TIC, la cooperación con sus autoridades competentes y los derechos de resolución. Para los servicios que respaldan funciones esenciales o importantes, el contrato regula además las estrategias de salida y nuestra participación en sus pruebas de resiliencia.
Facilitamos la información que necesita su registro de información y documentamos los planes de salida desde el principio, para que cambiar de proveedor siga siendo una opción realista.
- Servicios financierosIA regulada, plataformas resilientes y una operación diseñada en torno a DORA.
Reglamento de IA
Reglamento de IA: supervisión humana y documentación desde el diseño
El Reglamento de IA, Reglamento (UE) 2024/1689, se aplica por fases. Las prácticas prohibidas y la alfabetización en IA se aplican desde febrero de 2025, y las obligaciones de transparencia del artículo 50, desde agosto de 2026. En su versión modificada en 2026 por el Reglamento (UE) 2026/1744, las normas para los sistemas de alto riesgo del anexo III se aplican a partir del 2 de diciembre de 2027.
Para los sistemas de alto riesgo, el Reglamento exige documentación técnica (artículo 11), el registro automático de eventos (artículo 12) y un diseño que permita una supervisión humana efectiva (artículo 14). Los responsables del despliegue deben encomendar esa supervisión a personas con la competencia y la autoridad necesarias (artículo 26). Lo tenemos en cuenta desde la primera versión: los pasos de aprobación y la posibilidad de intervenir están donde las decisiones afectan a personas, y la documentación se escribe junto con el código.
Que su organización actúe como proveedor o como responsable del despliegue depende de cómo se ponga en servicio el sistema. Esa cuestión forma parte de la valoración jurídica, que corresponde a sus asesores legales; nosotros aportamos los datos técnicos que necesita.
- El Reglamento de IA para los organismos públicosQué se aplica ya, qué llega en diciembre de 2027 y un plan de preparación.
- Agentes de IA y automatizaciónAgentes con permisos acotados, pasos de aprobación y registro completo.
En la ejecución
Seguridad en cada fase del proyecto
Las evidencias de cumplimiento nacen de la forma de trabajar, no de un documento redactado al final.
Acceso con mínimo privilegio
El acceso a sus entornos y datos se limita a lo que exige el trabajo, se acuerda antes de empezar y se revisa cada vez que cambia el equipo.
Cambios revisados y analizados
Cada cambio pasa una revisión por pares antes de publicarse. Los análisis de dependencias, código e infraestructura son automáticos, y las pruebas de seguridad se planifican en cada versión.
Incidentes con un proceso acordado
La clasificación de incidentes, los interlocutores para las notificaciones y la recogida de evidencias se acuerdan al inicio y se integran en el proceso de incidentes cuando NIS2 o DORA le son aplicables.
Traspaso y salida documentados
Los procedimientos de operación, las decisiones de arquitectura y los modelos de datos se entregan con el sistema, y los planes de salida mantienen visibles desde el principio la devolución de los datos y el coste de un cambio.
Diligencia debida
Solicite nuestra documentación de seguridad
Los equipos de compras, seguridad y asesoría jurídica necesitan evidencias antes de firmar un contrato. Solicítenos nuestro certificado ISO/IEC 27001 y su alcance, las respuestas a su cuestionario de seguridad para proveedores y las condiciones de tratamiento de datos que se aplicarían a su proyecto.
Envíe su solicitud a través de la página de contacto e indique el marco con el que evalúa a sus proveedores, por ejemplo NIS2, DORA o un esquema nacional de seguridad. Las personas adecuadas se pondrán en contacto con usted.
- ContactoIndique en su mensaje que se trata de documentación de seguridad.
- Aviso legalDatos de la sociedad y de su inscripción registral, para su expediente de proveedor.
España
El ENS y sus proveedores
En España, el Esquema Nacional de Seguridad (Real Decreto 311/2022) se aplica también a las empresas privadas que prestan servicios o proveen soluciones al sector público: los pliegos deben exigir la conformidad con el ENS, y esa exigencia puede extenderse a la cadena de suministro. La categoría del sistema determina si basta una autoevaluación o hace falta una auditoría de certificación. En el sector financiero, el Banco de España y la CNMV supervisan la aplicación de DORA, y la AEPD vela por el cumplimiento del RGPD y la LOPDGDD. En cada licitación revisamos con usted qué medidas del ENS corresponden a su sistema.
- ENSEsquema Nacional de Seguridad (RD 311/2022) (se abre en un sitio externo)
- Directiva NIS2Directiva (UE) 2022/2555 (NIS2) (se abre en un sitio externo)
- DORAReglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero (DORA) (se abre en un sitio externo)
- RGPDReglamento General de Protección de Datos (RGPD) (se abre en un sitio externo)
Preguntas de los equipos de compras y seguridad
¿Cuenta FromNine con la certificación ISO/IEC 27001?
Sí. Nuestro sistema de gestión de la seguridad de la información está certificado conforme a ISO/IEC 27001. Facilitamos el certificado y su alcance a petición, como parte de su proceso de diligencia debida.
¿Cómo respaldan, como proveedor, nuestras obligaciones de NIS2?
Acordamos en el contrato las cláusulas de seguridad, los canales de notificación de incidentes y la gestión de vulnerabilidades, documentamos las medidas aplicables a su proyecto y le facilitamos las evidencias que necesita su evaluación de riesgos de proveedores. Si NIS2 se aplica a su organización, y cómo, lo valoran usted y sus asesores legales.
¿Acuerdan las cláusulas contractuales que exige DORA?
Sí. Acordamos las cláusulas del artículo 30 de DORA, notificamos los incidentes por el canal acordado, documentamos los planes de salida, participamos en las pruebas de resiliencia y facilitamos la información que necesita su registro de información.
¿Quién es responsable del cumplimiento del Reglamento de IA?
Depende de su papel, como proveedor o como responsable del despliegue, y del nivel de riesgo del caso de uso. Clasificamos con usted cada caso de uso durante el análisis, integramos la supervisión, el registro y la documentación en el sistema y aportamos a sus asesores los datos técnicos que necesitan para la valoración jurídica.
¿Dónde se alojarán y tratarán nuestros datos?
En los lugares que acordemos con usted antes de construir: su propio entorno cloud, una región de la UE de una nube pública o sus propias instalaciones para las cargas sensibles. El alojamiento y los servicios de IA se eligen en consecuencia, y la decisión se documenta con sus opciones de salida.
¿Cómo solicitamos su documentación de seguridad?
A través de la página de contacto. Indíquenos qué documentos necesita y con qué marco evalúa a sus proveedores, y las personas adecuadas se pondrán en contacto con usted.
Solicite las evidencias
Indíquenos con qué marco evalúa a sus proveedores, el ENS, la ISO/IEC 27001 o su propio cuestionario, y qué documentos necesita. Le diremos qué podemos compartir y de qué forma.