Joan eduki nagusira
FromNine
Menua

Konfiantza eta arau-betetzea

Konfiantza eta arau-betetzea erakunde arautuentzat

FromNinek ISO/IEC 27001 ziurtagiria du. Orri honetan azaltzen dugu nola babesten ditugun zure sistemak eta datuak hornitzaile gisa, zer ekartzen diegun NIS2, DORA eta EBko AA Erregelamenduaren araberako zure betebeharrei, eta nola eska dezakezun gure segurtasun-dokumentazioa.

Euskadiko eta Espainia osoko erakunde publiko eta enpresa arautuentzat: EBko arauei Estatuko eta Euskadiko agintaritzek beren eskakizunak gehitzen dizkiete.

Eskatu dokumentazioaGure konpromisoak

Gure konpromisoak

Bost konpromiso proiektu guztietan

Erakunde publikoek eta enpresa arautuek datu sentikorrak eta benetako erabakiei laguntzen dieten sistemak uzten dizkigute. Hau da gugandik eska dezaketena.

  • Informazioaren segurtasunaren kudeaketa

    Ziurtatua

    Informazioaren segurtasuna kudeatzeko gure sistemak ISO/IEC 27001 ziurtagiria du; informazioaren segurtasuna kudeatzeko nazioarteko estandarra da. Kontrolek, hornitzaileen kudeaketak eta gorabeheren kudeaketak sistema hori jarraitzen dute proiektu guztietan.

    Zure sistemetarako eta datuetarako sarbidea lana hasi aurretik adosten da, lanak behar duenera mugatzen da eta taldea aldatzen denean berrikusten da.

    ISO/IEC 27001 ziurtagiria

  • Datu pertsonalak eta DBEO

    Gure lan-modua

    Helburuak, sarbide-mugak eta kontserbazio-epeak eraiki aurretik adosten dira. Zure izenean datu pertsonalak tratatzen ditugunean, zure tratamenduaren eragile gisa jarduten dugu, tratamendu-kontratu baten arabera, DBEOren 28. artikuluak eskatzen duen bezala.

    Tratamenduak arrisku handia ekar dezakeenean, datuen babesari buruzko zure eragin-ebaluaziorako ekarpen teknikoa ematen dugu.

  • AAren giza gainbegiratzea

    Gure lan-modua

    AA erabilera-kasu bakoitza zurekin sailkatzen da aurkikuntza-fasean. Onarpen-urratsak, erregistroak eta dokumentazio teknikoa lehen bertsiotik sartzen dira sisteman, ez auditoretza baten aurretik. Agenteek baimen mugatuekin lan egiten dute, eta onarpena eskatzen dute ondorioak dituzten urratsen aurretik.

  • Irisgarritasuna

    Gure lan-modua

    Interfazeak EN 301 549 arauaren eta WCAG 2.2 AA mailaren arabera diseinatu eta probatzen ditugu, egiaztapen automatikoekin eta laguntza-teknologiekin egindako eskuzko berrikuspenarekin, eta ezagutzen diren arazoak zerrendatzen dituen adostasun-txosten bat ematen dugu.

  • Datuak EBn

    Proiektu bakoitzean

    Ostatatze-eskualdeak, zifratze-gakoen kontrola eta laguntzarako sarbide-kokapenak zurekin erabakitzen dira eraiki aurretik, eta arkitekturan idazten dira, baita aukera burujabeak ere zure eskakizunek hala eskatzen dutenean.

Orri honek hornitzaile gisa dugun lan-modua deskribatzen du. Ez da zure izenean egindako arau-betetzearen adierazpen bat: zer betebehar aplikatzen zaizkizun zure erakundearen eta erabilera-kasuaren araberakoa da, eta ebaluazio juridikoa zure aholkulari juridikoari dagokio.

NIS2

NIS2: zure hornikuntza-katearen segurtasunari laguntza

NIS2 Zuzentarauak, (EB) 2022/2555 Zuzentarauak, entitate funtsezko eta garrantzitsuei eskatzen die beren sare- eta informazio-sistemen zibersegurtasun-arriskuak kudeatzea. Hornikuntza-katearen segurtasuna 21.2 artikuluko gutxieneko neurrietako bat da, eta 21.3 artikuluak eskatzen die entitateei beren hornitzaile eta zerbitzu-emaile zuzenen segurtasun-praktikak kontuan hartzea.

Zure hornitzaile gisa, betebehar horren zati hori frogatzen errazten dizugu. Segurtasun-klausulak, gorabeheren kanalak eta ahultasunen kudeaketa kontratu bakoitzean adosten dira, eta zure proiektuari aplikatzen zaizkion kontrolak dokumentatzen dira, zure hornitzaileen arriskuen prozesuak ebalua ditzan. Espainiak oraindik ez du NIS2 Zuzentaraua transposatu; arau nazionalak zure erakundeari aplikatzen zaizkion eta nola, zuk zeuk ebaluatu behar duzu.

  • Segurtasun-klausulak kontratuan

    Sarbidea, azpikontratazioa, gorabeheren jakinarazpena eta auditoretzekiko lankidetza idatziz adosten dira, ez dira suposatzen.

  • Funtzionatzen duen gorabehera-kanala

    Harremanetarako pertsona izendatuak eta epe adostuak, gure aldean gertatutako gorabehera bat garaiz irits dakizun NIS2k 24 orduko epean eskatzen duen abisu goiztiarrerako (23.4 artikulua).

  • Ahultasunen kudeaketa

    Mendekotasunen, kodearen eta azpiegituraren eskaneatzeak entrega-pipelinean exekutatzen dira, eta aurkikuntzak konpondu egiten dira edo adostutako kanalaren bidez jakinarazten dira.

  • Ebidentzia, eskatuta

    Gure ISO/IEC 27001 ziurtagiria eta zure proiektuari aplikatzen zaizkion kontrolen deskribapena.

DORA

DORA: IKT hirugarrenen arriskua finantza-entitateentzat

Erresilientzia Operatibo Digitalari buruzko Erregelamendua, (EB) 2022/2554 Erregelamendua, 2025eko urtarrilaren 17tik aplikatzen da. Bankuek, aseguru-etxeek, inbertsio-enpresek, ordainketa-erakundeek eta beste finantza-entitate batzuek IKT hirugarrenen arriskua kudeatu behar dute beren IKT arriskuen kudeaketa-esparruaren barruan, IKT zerbitzuetarako kontratu-hitzarmen guztien informazio-erregistro bat izan behar dute (28. artikulua), eta funtsezko kontratu-xedapenak sartu behar dituzte kontratu horietan (30. artikulua).

Finantza-entitate bati IKT zerbitzuak ematen dizkiogunean, 30. artikuluak zerrendatzen dituen xedapenak adosten ditugu: zerbitzuen deskribapen osoa, zerbitzuak ematen diren eta datuak tratatzen diren tokiak, IKT gorabehera bat gertatzen denean laguntza, zure agintaritza eskudunekiko lankidetza eta kontratua amaitzeko eskubideak. Eginkizun kritiko edo garrantzitsuei laguntzen dieten zerbitzuetan, kontratuak irteera-estrategiak eta zure erresilientzia-probetan dugun parte-hartzea ere jasotzen ditu.

Zure informazio-erregistroak behar duen informazioa ematen dugu, eta irteera-planak hasieratik dokumentatzen ditugu, hornitzailez aldatzea aukera erreala izan dadin.

  • Finantza-zerbitzuakAA arautua, plataforma erresilienteak eta DORAren inguruan diseinatutako eragiketak.

EBko AA Erregelamendua

EBko AA Erregelamendua: giza gainbegiratzea eta dokumentazioa diseinutik

AA Erregelamendua, (EB) 2024/1689 Erregelamendua, fasetan aplikatzen da. Debekatutako praktikak eta AAren arloko alfabetatzea 2025eko otsailetik aplikatzen dira, eta 50. artikuluko gardentasun-betebeharrak 2026ko abuztutik. (EB) 2026/1744 Erregelamenduak 2026an egindako aldaketaren ondoren, III. eranskinean zerrendatutako arrisku handiko sistemen arauak 2027ko abenduaren 2tik aurrera aplikatuko dira.

Arrisku handiko sistemetarako, Erregelamenduak dokumentazio teknikoa (11. artikulua), erregistro automatikoa (12. artikulua) eta pertsonek modu eraginkorrean gainbegira dezaketen diseinua (14. artikulua) eskatzen ditu, eta hedapenaren arduradunek gainbegiratze hori jarduteko gaitasuna eta eskumena duten pertsonei esleitu behar diete (26. artikulua). Lehen bertsiotik eraikitzen dugu horretarako: onarpen-urratsak eta erabakia baliogabetzeko aukera erabakiek pertsonei eragiten dieten tokian daude, eta dokumentazioa kodearekin batera idazten da.

Zure erakundea hornitzailea ala hedapenaren arduraduna den, sistema zerbitzuan nola jartzen den araberakoa da. Galdera hori ebaluazio juridikoaren parte da, eta zure aholkulari juridikoari dagokio; guk behar dituen datu teknikoak ematen ditugu.

Entregan

Segurtasuna entregaren fase guztietan

Arau-betetzearen ebidentzia lana egiteko modutik dator, ez amaieran idatzitako dokumentu batetik.

  • Gutxieneko pribilegioko sarbidea

    Zure inguruneetarako eta datuetarako sarbidea lanak behar duenera mugatzen da, lana hasi aurretik adosten da eta taldea aldatzen den bakoitzean berrikusten da.

  • Aldaketa berrikusiak eta eskaneatuak

    Aldaketak lankideek berrikusten dituzte argitaratu aurretik. Mendekotasunen, kodearen eta azpiegituraren eskaneatzeak automatikoki exekutatzen dira, eta segurtasun-probak bertsio bakoitzeko planifikatzen dira.

  • Gorabeherak, prozesu adostu baten arabera

    Gorabeheren sailkapena, jakinarazpenetarako harremanak eta ebidentzien bilketa hasieran adosten dira, eta gorabeheren prozesuan txertatzen dira NIS2 edo DORA aplikatzen zaizkizunean.

  • Eskualdatze eta irteera dokumentatuak

    Eragiketa-eskuliburuak, arkitektura-erabakiak eta datu-ereduak sistemarekin batera eskualdatzen dira, eta irteera-planek datuen itzulera eta aldaketa-kostuak ikusgai mantentzen dituzte hasieratik.

Hornitzaileen egiaztapena

Eskatu gure segurtasun-dokumentazioa

Kontratazio-, segurtasun- eta lege-taldeek ebidentzia behar dute kontratu bat sinatu aurretik. Eskatu gure ISO/IEC 27001 ziurtagiria eta haren irismena, zure hornitzaileen segurtasun-galdetegiaren erantzunak eta zure proiektuari aplikatuko litzaizkiokeen datu-tratamenduko baldintzak.

Bidali eskaera harremanetarako orriaren bidez, eta aipatu hornitzaileak zein esparruren arabera ebaluatzen dituzun, hala nola NIS2, DORA edo ENS eskema. Pertsona egokiek erantzungo dizute.

  • Jarri harremanetanAipatu segurtasun-dokumentazioa zure mezuan.
  • Lege-oharraEnpresaren eta erregistroaren datuak, zure hornitzaileen erregistroetarako.

Espainia

EBko oinarria, Espainiako eta Euskadiko agintaritzak

DBEO, DORA eta AA Erregelamendua zuzenean aplikatzen dira Espainian. NIS2 zuzentaraua da, eta Espainiak oraindik ez du NIS2 Zuzentaraua transposatu. Ministro Kontseiluak Zibersegurtasuna Koordinatzeko eta Gobernatzeko Legearen aurreproiektua onartu zuen 2025eko urtarrilaren 14an, eta 2026ko martxoan izapidetzen ari zen oraindik (2026ko azaroko egoera). Gaur indarrean daude 12/2018 Errege Lege-dekretua eta ENS eskema (311/2022 Errege Dekretua); ENS eskema kontratu bidez erakunde publikoei zerbitzuak ematen dizkieten hornitzaileen informazio-sistemei ere aplikatzen zaie (2.3 artikulua).

Ikuskapena nazionala da kasu guztietan. Datuen babesean, Agencia Española de Protección de Datos (AEPD) da bere kontura jarduten duten enpresa pribatuen agintaritza; Datuak Babesteko Euskal Agintaritzaren eremuan, berriz, Euskadiko sektore publikoa eta haren zerbitzura dauden tratamenduaren eragileak daude (16/2023 Legea, 2. artikulua). DORAn, finantza-entitateak entitate motaren arabera ikuskatzen dituzte Banco de España, CNMV eta Dirección General de Seguros y Fondos de Pensiones (DGSFP) erakundeek. AA Erregelamenduan, Batzordearen zerrendan Agencia Española de Supervisión de Inteligencia Artificial (AESIA) ageri da Espainiako harremanetarako gune bakar gisa, haren izendapena behin betiko onartzeko zain dagoela (2026ko azaroko egoera).

Herrialde bat baino gehiagoko programetan, kontrol-multzo bakarra adosten dugu, eta gorabehera-kanal bakoitza dagokion entitateak jakinarazi behar dion agintaritzarekin lotzen dugu.

Kontratazio- eta segurtasun-taldeen galderak

FromNinek ISO/IEC 27001 ziurtagiria du?

Bai. Informazioaren segurtasuna kudeatzeko gure sistemak ISO/IEC 27001 ziurtagiria du. Ziurtagiria eta haren irismena eskatuta partekatzen ditugu, zure egiaztapen-prozesuaren barruan.

Nola laguntzen die FromNinek hornitzaile gisa gure NIS2 betebeharrei?

Segurtasun-klausulak, gorabeheren jakinarazpen-kanalak eta ahultasunen kudeaketa kontratuan adosten ditugu, zure proiektuari aplikatzen zaizkion kontrolak dokumentatzen ditugu, eta zure hornitzaileen arrisku-ebaluazioak behar duen ebidentzia ematen dizugu. Espainiak oraindik ez du NIS2 Zuzentaraua transposatu; NIS2 zure erakundeari aplikatzen zaion eta nola, zure erakundeak eta haren aholkulari juridikoak ebaluatu behar dute.

FromNinek onartzen ditu DORAk eskatzen dituen kontratu-xedapenak?

Bai. DORAren 30. artikuluko xedapenak adosten ditugu, gorabeherak adostutako kanalaren bidez jakinarazten ditugu, irteera-planak dokumentatzen ditugu, erresilientzia-probetan parte hartzen dugu eta zure informazio-erregistroak behar duen informazioa ematen dugu.

Nor da AA Erregelamendua betetzearen arduraduna?

Zure rolaren araberakoa da, hornitzaile edo hedapenaren arduradun gisa, eta erabilera-kasuaren arrisku-mailaren araberakoa. Erabilera-kasu bakoitza zurekin sailkatzen dugu aurkikuntza-fasean, gainbegiratzea, erregistroak eta dokumentazioa sisteman txertatzen ditugu, eta zure aholkulari juridikoak ebaluazio juridikorako behar dituen datu teknikoak ematen ditugu.

Non ostatatu eta tratatuko dira gure datuak?

Eraiki aurretik zurekin adostutako tokietan: zure hodei-ingurune propioan, hodei publiko baten EBko eskualde batean edo zure instalazioetan, lan-karga sentikorrentzat. Ostatatze- eta AA zerbitzuak horren arabera aukeratzen dira, eta aukera dokumentatu egiten da, irteera-aukerekin batera.

Nola eskatzen da segurtasun-dokumentazioa?

Harremanetarako orriaren bidez. Esan zer dokumentu behar dituzun eta hornitzaileak zein esparruren arabera ebaluatzen dituzun, eta pertsona egokiek erantzungo dizute.

Eskatu ebidentzia

Esan zein esparruren arabera ebaluatzen dituzun hornitzaileak eta zer dokumentu behar dituzun. Zer parteka dezakegun eta nola esango dizugu.

Eskatu dokumentazioaNor gara