Liikuge põhisisu juurde
FromNine
Menüü

Usaldus ja vastavus

Usaldus ja vastavus reguleeritud organisatsiooni­dele

FromNine’il on ISO/IEC 27001 sertifikaat. Sellel lehel kirjeldame, kuidas kaitseme tarnijana teie süsteeme ja andmeid, millega toetame teie kohustusi küberturvalisuse seaduse, DORA ja tehisintellekti määruse järgi ning kuidas meie turvadokumentatsiooni küsida.

Avaliku sektori asutustele ja reguleeritud ettevõtetele Eestis ja mujal Euroopas, kus riiklikud järelevalveasutused lisavad ELi reeglitele oma nõuded.

Küsige turvadokumentatsiooniMeie kohustused

Meie kohustused

Viis kohustust igas projektis

Avaliku sektori asutused ja reguleeritud ettevõtted usaldavad meile tundlikke andmeid ja süsteeme, mis toetavad päris otsuseid. Need on kohustused, mille täitmist nad saavad meilt nõuda.

  • Infoturbe juhtimine

    Sertifitseeritud

    Meie infoturbe juhtimissüsteemil on ISO/IEC 27001 sertifikaat. See on rahvusvaheline infoturbe juhtimise standard. Kontrollimeetmed, tarnijate haldus ja intsidentide käsitlus järgivad seda süsteemi igas projektis.

    Juurdepääs teie süsteemidele ja andmetele lepitakse kokku enne töö algust, piiratakse sellega, mida töö vajab, ja vaadatakse üle, kui meeskond muutub.

    ISO/IEC 27001 sertifikaat

  • Isikuandmed ja IKÜM

    Meie töökorraldus

    Eesmärgid, juurdepääsu piirid ja säilitamine lepitakse kokku enne ehitamist. Kui töötleme isikuandmeid teie nimel, oleme teie volitatud töötleja andmetöötluslepingu alusel, nagu nõuab isikuandmete kaitse üldmääruse (IKÜM) artikkel 28.

    Kui töötlemine toob tõenäoliselt kaasa suure riski, anname tehnilise sisendi teie andmekaitsealasele mõjuhinnangule.

  • Inimese järelevalve tehisintellekti üle

    Meie töökorraldus

    Iga TI-kasutusjuht liigitatakse koos teiega juba eeltöö ajal. Kinnitussammud, logimine ja tehniline dokumentatsioon ehitatakse süsteemi esimesest väljalaskest, mitte ei lisata vahetult enne auditit. TI-agendid töötavad piiratud õigustega ja küsivad enne tagajärgedega samme kinnitust.

  • Ligipääsetavus

    Meie töökorraldus

    Kavandame ja testime kasutajaliideseid EN 301 549 ja WCAG 2.2 AA taseme järgi automaatsete kontrollide ja abitehnoloogiaga tehtava käsitsi ülevaatusega ning anname vastavusaruande, kus on kirjas kõik teadaolevad puudused.

  • Andmed jäävad Euroopa Liitu

    Projektipõhiselt

    Majutuspiirkonnad, krüptovõtmete kontroll ja tugiteenuse juurdepääsu asukohad otsustatakse koos teiega enne ehitamist ja kirjutatakse arhitektuuri sisse, vajaduse korral ka suveräänsed lahendused.

See leht kirjeldab, kuidas me tarnijana töötame. See ei ole teie nimel antud vastavuskinnitus: millised kohustused kehtivad, sõltub teie organisatsioonist ja kasutusjuhust, ning õiguslik hinnang jääb teie juristidele.

NIS2 ja KüTS

NIS2 ja küber­turvalisuse seadus: tarneahela turvalisus

NIS2 direktiiv, direktiiv (EL) 2022/2555, nõuab selle kohaldamisalasse kuuluvatelt üksustelt oma võrgu- ja infosüsteemide küberturvalisuse riskide haldamist. Tarneahela turvalisus on üks artikli 21 lõikes 2 nimetatud miinimummeetmetest ning artikli 21 lõige 3 nõuab, et üksused arvestaksid oma otseste tarnijate ja teenuseosutajate turvatavadega. Eestis võeti direktiiv üle küberturvalisuse seaduse (KüTS) muudatusega, mis jõustus 1. jaanuaril 2026. Pädev asutus ja ühtne kontaktpunkt on Riigi Infosüsteemi Amet (RIA).

Teie tarnijana aitame selle kohustuse osa hõlpsamini tõendada. Turvaklauslid, intsidentide kanalid ja haavatavuste käsitlus lepitakse kokku iga lepinguga ning teie projektile kehtivad kontrollimeetmed dokumenteeritakse, et teie tarnijariskide protsess saaks neid hinnata. Kas ja kuidas KüTS teie organisatsioonile kehtib, jääb teie enda hinnata.

  • Turvaklauslid lepingus

    Juurdepääs, alltöövõtt, intsidentidest teavitamine ja koostöö auditite puhul lepitakse kokku kirjalikult, mitte ei eeldata.

  • Toimiv intsidendikanal

    Nimelised kontaktid ja kokkulepitud tähtajad, et intsident meie poolel jõuaks teieni õigel ajal varajase hoiatuse jaoks, mida NIS2 ootab 24 tunni jooksul (artikli 23 lõige 4).

  • Haavatavuste käsitlus

    Sõltuvuste, koodi ja taristu skaneerimine käib juurutusahelas ning leiud parandatakse või neist teatatakse kokkulepitud kanali kaudu.

  • Tõendid soovi korral

    Meie ISO/IEC 27001 sertifikaat ja kirjeldus teie projektile kehtivatest kontrollimeetmetest.

DORA

DORA: kolmandast isikust tulenev IKT-risk finantssektori ettevõtjatele

Finantssektori digitaalse tegevuskerksuse määrus (DORA), määrus (EL) 2022/2554, on kohaldatav alates 17. jaanuarist 2025. Krediidiasutused, kindlustusandjad, investeerimisühingud, makseasutused ja teised finantssektori ettevõtjad peavad haldama kolmandast isikust tulenevat IKT-riski oma IKT-riski juhtimise raamistikus, pidama teaberegistrit kõigi IKT-teenuste lepingute kohta (artikkel 28) ja lisama neisse lepingutesse peamised lepingusätted (artikkel 30). Eestis teeb DORA nõuete täitmise üle järelevalvet Finantsinspektsioon.

Kui osutame finantssektori ettevõtjale IKT-teenuseid, lepime kokku artiklis 30 loetletud tingimused: teenuste täielik kirjeldus, teenuste osutamise ja andmete töötlemise asukohad, abi IKT-intsidendi korral, koostöö teie pädevate asutustega ja lepingu lõpetamise õigused. Kriitilise tähtsusega või olulisi funktsioone toetavate teenuste puhul hõlmab leping ka väljumisstrateegiaid ja meie osalemist teie tegevuskerksuse testimises.

Anname teabe, mida teie teaberegister vajab, ja dokumenteerime väljumisplaanid algusest peale, et teenuseosutaja vahetamine jääks realistlikuks võimaluseks.

  • FinantsteenusedReguleeritud tehisintellekt, töökindlad platvormid ja DORA järgi kavandatud käitus.

Tehisintellekti määrus

Tehisintellekti määrus: inimese järelevalve ja dokumentatsioon algusest peale

Tehisintellekti määrust, määrust (EL) 2024/1689, kohaldatakse etapiti. Keelatud tavad ja tehisintellektipädevuse nõue kehtivad alates 2025. aasta veebruarist ning artikli 50 läbipaistvuskohustused alates 2026. aasta augustist. Määrusega (EL) 2026/1744 tehtud 2026. aasta muudatuse järgi kehtivad III lisas loetletud suure riskiga süsteemide reeglid alates 2. detsembrist 2027. Euroopa Komisjoni loetelus on Eesti turujärelevalve ühtne kontaktpunkt Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA).

Suure riskiga süsteemide puhul nõuab määrus tehnilist dokumentatsiooni (artikkel 11), automaatset logimist (artikkel 12) ja lahendust, mille üle inimesed saavad tõhusalt järelevalvet teha (artikkel 14), ning juurutajad peavad andma selle järelevalve inimestele, kellel on vajalik pädevus ja volitused (artikkel 26). Ehitame selle järgi esimesest väljalaskest: kinnitussammud ja võimalus otsus tühistada on seal, kus otsused mõjutavad inimesi, ja dokumentatsioon kirjutatakse koos koodiga.

Kas teie organisatsioon on pakkuja või juurutaja, sõltub sellest, kuidas süsteem kasutusele võetakse. See küsimus on osa õiguslikust hinnangust, mis jääb teie juristidele; meie anname tehnilised faktid, mida see vajab.

Tarnes

Turvalisus tarne igas etapis

Vastavuse tõendid tulevad sellest, kuidas tööd tehakse, mitte lõpus kirjutatud dokumendist.

  • Vähimad õigused

    Juurdepääs teie keskkondadele ja andmetele piiratakse sellega, mida töö vajab, lepitakse kokku enne töö algust ja vaadatakse üle iga kord, kui meeskond muutub.

  • Üle vaadatud ja skaneeritud muudatused

    Muudatused vaatab enne väljalaset üle kolleeg. Sõltuvuste, koodi ja taristu skaneerimine käivitub automaatselt ning turvatestimine kavandatakse iga väljalaske jaoks.

  • Intsidendid kokkulepitud protsessi järgi

    Intsidentide liigitus, teavituskontaktid ja tõendite kogumine lepitakse kokku alguses ja ehitatakse intsidendiprotsessi sisse, kui teile kehtib KüTS või DORA.

  • Dokumenteeritud üleandmine ja väljumine

    Käitusjuhendid, arhitektuuriotsused ja andmemudelid antakse üle koos süsteemiga ning väljumisplaanid hoiavad andmete tagastamise ja vahetamise kulud algusest peale nähtaval.

Hoolsuskontroll

Küsige meie turva­dokumentatsiooni

Hanke-, turva- ja õigusmeeskonnad vajavad tõendeid enne lepingu sõlmimist. Küsige meilt ISO/IEC 27001 sertifikaati ja selle ulatust, vastuseid oma tarnija turvaküsimustikule ja andmetöötlustingimusi, mis teie projektile kehtiksid.

Saatke päring kontaktilehe kaudu ja nimetage raamistik, mille järgi tarnijaid hindate, näiteks KüTS, DORA või NIS2. Teiega võtavad ühendust õiged inimesed.

Eesti

Üks ELi alus, riiklik järelevalve

IKÜM, DORA ja tehisintellekti määrus on määrused, mis kehtivad otse kogu liidus. NIS2 on direktiiv, mistõttu kohaldamisala, registreerimine ja teavitamise üksikasjad erinevad liikmesriigiti. Järelevalve on igal juhul riiklik.

Eestis on NIS2 üle võetud küberturvalisuse seadusega (KüTS) ja pädev asutus on Riigi Infosüsteemi Amet (RIA), mille juures tegutseb CERT-EE. DORA ülesandeid täidab Finantsinspektsioon ja isikuandmete kaitse üle teeb järelevalvet Andmekaitse Inspektsioon (AKI). Mitut riiki hõlmavates programmides lepime kokku ühe kontrollimeetmete kogumi ja seome iga intsidendikanali asutusega, kellele asjaomane üksus aru annab.

Hanke- ja turvameeskondade küsimused

Kas FromNine’il on ISO/IEC 27001 sertifikaat?

Jah. Meie infoturbe juhtimissüsteemil on ISO/IEC 27001 sertifikaat. Jagame sertifikaati ja selle ulatust soovi korral teie hoolsuskontrolli osana.

Kuidas toetate tarnijana meie KüTS-i ja NIS2 kohustusi?

Lepime lepingus kokku turvaklauslid, intsidentidest teavitamise kanalid ja haavatavuste käsitluse, dokumenteerime teie projektile kehtivad kontrollimeetmed ja anname tõendid, mida teie tarnijariskide hindamine vajab. Kas ja kuidas küberturvalisuse seadus teie organisatsioonile kehtib, hindate teie ja teie juristid.

Kas lepite kokku DORA nõutud lepingutingimused?

Jah. Lepime kokku DORA artikli 30 tingimused, teavitame intsidentidest kokkulepitud kanali kaudu, dokumenteerime väljumisplaanid, osaleme tegevuskerksuse testimises ja anname teabe, mida teie teaberegister vajab.

Kes vastutab tehisintellekti määruse nõuete täitmise eest?

See sõltub teie rollist, kas olete pakkuja või juurutaja, ja kasutusjuhu riskiklassist. Liigitame iga kasutusjuhu koos teiega eeltöö ajal, ehitame järelevalve, logimise ja dokumentatsiooni süsteemi sisse ning anname tehnilised faktid, mida teie juristid õiguslikuks hinnanguks vajavad.

Kus meie andmeid majutatakse ja töödeldakse?

Asukohtades, mis lepitakse teiega kokku enne ehitamist: teie oma pilvekeskkond, avaliku pilve ELi piirkond või tundlike töökoormuste puhul teie oma serverid. Majutus- ja TI-teenused valitakse selle järgi ning valik dokumenteeritakse koos väljumisvõimalustega.

Kuidas saame teie turvadokumentatsiooni küsida?

Kontaktilehe kaudu. Kirjutage, milliseid dokumente vajate ja millise raamistiku järgi tarnijaid hindate, ning teiega võtavad ühendust õiged inimesed.

Küsige tõendeid

Kirjutage, millise raamistiku järgi tarnijaid hindate ja milliseid dokumente vajate. Ütleme, mida saame jagada ja kuidas.

Küsige turvadokumentatsiooniFromNine’ist