Siirry pääsisältöön
FromNine
Valikko

Luottamus ja vaatimusten­mukaisuus

Luottamus ja vaatimusten­mukaisuus säännellyille organisaatioille

FromNine on ISO/IEC 27001 -sertifioitu. Tällä sivulla kerromme, miten suojaamme järjestelmiäsi ja tietojasi toimittajana, miten tuemme velvoitteitasi kyberturvallisuuslain, DORA:n ja tekoälysäädöksen mukaan ja miten voit pyytää tietoturva-aineistomme.

Julkisille organisaatioille ja säännellyille yrityksille Suomessa, missä kansalliset valvojat täydentävät EU:n sääntöjä.

Pyydä tietoturva-aineistoMihin sitoudumme

Sitoumuksemme

Viisi sitoumusta jokaisessa toimeksiannossa

Julkiset organisaatiot ja säännellyt yritykset uskovat meille arkaluonteista tietoa ja järjestelmiä, joiden varassa tehdään todellisia päätöksiä. Näistä asioista voit pitää meidät vastuussa.

  • Tietoturvallisuuden hallinta

    Sertifioitu

    Tietoturvallisuuden hallintajärjestelmämme on sertifioitu ISO/IEC 27001 -standardin mukaan. Se on kansainvälinen standardi tietoturvallisuuden hallintaan. Hallintakeinot, toimittajien hallinta ja poikkeamien käsittely noudattavat tätä järjestelmää jokaisessa toimeksiannossa.

    Pääsy järjestelmiisi ja tietoihisi sovitaan ennen työn alkua, rajataan siihen, mitä työ vaatii, ja tarkistetaan, kun tiimi muuttuu.

    ISO/IEC 27001 -sertifioitu

  • Henkilötiedot ja tietosuoja-asetus

    Näin toimimme

    Käyttötarkoitukset, pääsyn rajat ja säilytysajat sovitaan ennen rakentamista. Kun käsittelemme henkilötietoja puolestasi, toimimme henkilötietojen käsittelijänä käsittelysopimuksen perusteella, kuten tietosuoja-asetuksen 28 artikla edellyttää.

    Jos käsittely todennäköisesti aiheuttaa korkean riskin, toimitamme tekniset tiedot tietosuojan vaikutustenarviointiasi varten.

  • Ihmisen valvonta tekoälyssä

    Näin toimimme

    Jokainen tekoälyn käyttötapaus luokitellaan kanssasi kartoitusvaiheessa. Hyväksyntävaiheet, lokitus ja tekninen dokumentaatio rakennetaan järjestelmään ensimmäisestä julkaisusta alkaen, ei vasta ennen auditointia. Agentit toimivat rajatuin oikeuksin ja pyytävät hyväksyntää ennen vaiheita, joilla on seurauksia.

  • Saavutettavuus

    Näin toimimme

    Suunnittelemme ja testaamme käyttöliittymät EN 301 549 -standardia ja WCAG 2.2 AA -tasoa vasten automaattisin tarkistuksin ja käsin apuvälineitä käyttäen ja toimitamme vaatimusten­mukaisuusraportin, jossa tunnetut puutteet on lueteltu. Raportti tukee julkisen organisaation saavutettavuusselostetta.

  • Tiedot pysyvät EU:ssa

    Toimeksiantokohtaisesti

    Sijaintialueet, salausavainten hallinta ja tukipalvelun pääsypaikat päätetään kanssasi ennen rakentamista ja kirjataan arkkitehtuuriin, tarvittaessa myös suvereenit vaihtoehdot.

Tämä sivu kuvaa toimintatapaamme toimittajana. Se ei ole vaatimusten­mukaisuuslausunto organisaatiosi puolesta: se, mitkä velvoitteet koskevat sinua, riippuu organisaatiostasi ja käyttötapauksestasi, ja oikeudellinen arvio jää juristeillesi.

NIS2

Kyber­turvallisuus­laki: tuki toimitusketjusi turvallisuudelle

NIS2-direktiivi, direktiivi (EU) 2022/2555, velvoittaa keskeiset ja tärkeät toimijat hallitsemaan verkko- ja tietojärjestelmiinsä kohdistuvia kyberturvallisuusriskejä. Toimitusketjun turvallisuus on yksi 21 artiklan 2 kohdan vähimmäistoimenpiteistä, ja 21 artiklan 3 kohdan mukaan toimijoiden on otettava huomioon suorien toimittajiensa ja palveluntarjoajiensa tietoturvakäytännöt.

Suomessa direktiivi on pantu täytäntöön kyberturvallisuuslailla (124/2025), joka on ollut voimassa 8. huhtikuuta 2025 alkaen. Valvonta kuuluu toimialakohtaisille viranomaisille, ja Traficomin Kyberturvallisuuskeskus toimii keskitettynä yhteyspisteenä ja kansallisena CSIRT-yksikkönä. Toimittajanasi helpotamme velvoitteesi tämän osan osoittamista. Tietoturvaehdot, poikkeamien ilmoituskanavat ja haavoittuvuuksien käsittely sovitaan sopimuskohtaisesti, ja toimeksiantoasi koskevat hallintakeinot dokumentoidaan niin, että toimittajariskiprosessisi voi arvioida ne. Se, koskeeko kyberturvallisuuslaki organisaatiotasi ja miten, on oma arviosi.

  • Tietoturvaehdot sopimukseen

    Pääsy, alihankinta, poikkeamista ilmoittaminen ja yhteistyö auditoinneissa sovitaan kirjallisesti, ei oletuksena.

  • Toimiva ilmoituskanava

    Nimetyt yhteyshenkilöt ja sovitut aikataulut, jotta meillä havaittu poikkeama tavoittaa sinut ajoissa NIS2:n edellyttämää 24 tunnin ennakkovaroitusta varten (23 artiklan 4 kohta).

  • Haavoit­tuvuuksien käsittely

    Riippuvuuksien, koodin ja infrastruktuurin tarkistukset ajetaan julkaisuputkessa, ja löydökset korjataan tai niistä ilmoitetaan sovittua kanavaa pitkin.

  • Näyttö pyynnöstä

    ISO/IEC 27001 -sertifikaattimme ja kuvaus toimeksiantoasi koskevista hallintakeinoista.

DORA

DORA: kolmansiin osapuoliin liittyvä ICT-riski finanssialalla

Finanssialan digitaalista häiriönsietokykyä koskevaa asetusta (DORA), asetusta (EU) 2022/2554, on sovellettu 17. tammikuuta 2025 alkaen. Pankkien, vakuutusyhtiöiden, sijoituspalveluyritysten, maksulaitosten ja muiden finanssiyhteisöjen on hallittava kolmansiin osapuoliin liittyvää ICT-riskiä osana ICT-riskienhallintaansa, pidettävä tietorekisteriä kaikista ICT-palveluja koskevista sopimusjärjestelyistä (28 artikla) ja sisällytettävä sopimuksiin keskeiset sopimusehdot (30 artikla). Suomessa Finanssivalvonta valvoo finanssi- ja vakuutussektoria, myös DORA:n vaatimusten noudattamista.

Kun tarjoamme ICT-palveluja finanssiyhteisölle, sovimme 30 artiklassa luetelluista ehdoista: palvelujen täydellisestä kuvauksesta, paikoista, joissa palvelut tuotetaan ja tietoja käsitellään, avusta ICT-poikkeaman sattuessa, yhteistyöstä valvovien viranomaistesi kanssa sekä irtisanomisoikeuksista. Kun palvelut tukevat kriittisiä tai tärkeitä toimintoja, sopimus kattaa myös irtautumisstrategiat ja osallistumisemme häiriönsietokyvyn testaukseesi.

Toimitamme tiedot, joita tietorekisterisi tarvitsee, ja dokumentoimme irtautumissuunnitelmat alusta asti, jotta toimittajan vaihtaminen pysyy realistisena vaihtoehtona.

  • RahoitusalaSäänneltyä tekoälyä, kestäviä alustoja ja DORA:n mukaan suunniteltua toimintaa.

Tekoälysäädös

Tekoälysäädös: ihmisen valvonta ja dokumentaatio suunnittelusta alkaen

Tekoälysäädöstä, asetusta (EU) 2024/1689, sovelletaan vaiheittain. Kieltoja ja tekoälylukutaitoa koskevia säännöksiä on sovellettu helmikuusta 2025 ja 50 artiklan avoimuusvelvoitteita elokuusta 2026. Asetuksella (EU) 2026/1744 vuonna 2026 tehdyn muutoksen jälkeen liitteessä III lueteltuja suuririskisiä järjestelmiä koskevia sääntöjä sovelletaan 2. joulukuuta 2027 alkaen.

Suuririskisiltä järjestelmiltä säädös edellyttää teknistä dokumentaatiota (11 artikla), automaattista lokitusta (12 artikla) ja suunnittelua, jonka ansiosta ihmiset voivat valvoa järjestelmää tehokkaasti (14 artikla). Käyttöönottajien on annettava valvonta ihmisille, joilla on siihen tarvittava osaaminen ja valtuudet (26 artikla). Rakennamme tämän ensimmäisestä julkaisusta alkaen: hyväksyntävaiheet ja mahdollisuus ohittaa päätös ovat siellä, missä päätökset vaikuttavat ihmisiin, ja dokumentaatio kirjoitetaan koodin rinnalla.

Suomessa valvonnasta säädetään eräiden tekoälyjärjestelmien valvonnasta annetulla lailla (1377/2025). Traficom toimii keskitettynä yhteyspisteenä ja valvoo avoimuusvelvoitteita, tietosuojavaltuutettu valvoo kiellettyjä käytäntöjä, ja toimialojen viranomaiset valvovat suuririskisiä järjestelmiä. Se, toimiiko organisaatiosi tarjoajana vai käyttöönottajana, riippuu siitä, miten järjestelmä otetaan käyttöön. Kysymys kuuluu oikeudelliseen arvioon, joka jää juristeillesi; me toimitamme siihen tarvittavat tekniset tiedot.

Toimituksessa

Tietoturva toimituksen jokaisessa vaiheessa

Näyttö vaatimustenmukaisuudesta syntyy siitä, miten työ tehdään, ei lopussa kirjoitetusta asiakirjasta.

  • Vähimmät oikeudet

    Pääsy ympäristöihisi ja tietoihisi rajataan siihen, mitä työ vaatii, sovitaan ennen työn alkua ja tarkistetaan aina, kun tiimi muuttuu.

  • Katselmoidut ja tarkistetut muutokset

    Kollega katselmoi muutokset ennen julkaisua. Riippuvuuksien, koodin ja infrastruktuurin tarkistukset ajetaan automaattisesti, ja tietoturvatestaus suunnitellaan julkaisukohtaisesti.

  • Poikkeamat sovitulla prosessilla

    Poikkeamien luokittelu, ilmoitusten yhteyshenkilöt ja näytön keruu sovitaan alussa ja rakennetaan poikkeamaprosessiin, jos kyberturvallisuuslaki tai DORA koskee sinua.

  • Dokumentoitu luovutus ja irtautuminen

    Ajo-ohjeet, arkkitehtuuripäätökset ja tietomallit luovutetaan järjestelmän mukana, ja irtautumissuunnitelmat pitävät tietojen palauttamisen ja vaihtamisen kustannukset näkyvissä alusta asti.

Toimittaja-arviointi

Pyydä tietoturva-aineistomme

Hankinta-, tietoturva- ja lakitiimit tarvitsevat näyttöä ennen sopimuksen allekirjoittamista. Pyydä meiltä ISO/IEC 27001 -sertifikaatti ja sen soveltamisala, vastaukset toimittajien tietoturvakyselyysi ja toimeksiantoasi koskevat henkilötietojen käsittelyn ehdot.

Lähetä pyyntö yhteydenottosivun kautta ja kerro, minkä kehyksen mukaan arvioit toimittajia, esimerkiksi kyberturvallisuuslain, DORA:n tai kansallisen tietoturvavaatimuskokonaisuuden. Oikeat ihmiset ottavat sinuun yhteyttä.

  • Ota yhteyttäMainitse viestissäsi tietoturva-aineisto.
  • YritystiedotYritys- ja rekisteritiedot toimittajarekisteriäsi varten.

Suomi

EU:n perusta, suomalaiset valvojat

Tietosuoja-asetus, DORA ja tekoälysäädös ovat asetuksia, joita sovelletaan suoraan koko unionissa. NIS2 on direktiivi, ja Suomessa se on pantu täytäntöön kyberturvallisuuslailla. Valvonta on kansallista: tietosuojaa valvoo tietosuojavaltuutettu, kyberturvallisuuslakia toimialojen viranomaiset Traficomin Kyberturvallisuuskeskuksen toimiessa keskitettynä yhteyspisteenä, DORA:n noudattamista finanssialalla Finanssivalvonta ja tekoälysäädöstä Traficom, tietosuojavaltuutettu ja toimialojen viranomaiset. Useaan maahan ulottuvissa ohjelmissa sovimme yhdet hallintakeinot ja kytkemme jokaisen ilmoituskanavan siihen viranomaiseen, jolle kyseinen toimija raportoi.

Hankinta- ja tietoturva­tiimien kysymyksiä

Onko FromNine ISO/IEC 27001 -sertifioitu?

Kyllä. Tietoturvallisuuden hallintajärjestelmämme on sertifioitu ISO/IEC 27001 -standardin mukaan. Jaamme sertifikaatin ja sen soveltamisalan pyynnöstä osana toimittaja-arviointiasi.

Miten tuette kyberturvallisuuslain velvoitteitamme toimittajana?

Sovimme sopimuksessa tietoturvaehdot, poikkeamien ilmoituskanavat ja haavoittuvuuksien käsittelyn, dokumentoimme toimeksiantoasi koskevat hallintakeinot ja annamme näytön, jota toimittajariskien arviointisi tarvitsee. Sen, koskeeko kyberturvallisuuslaki organisaatiotasi ja miten, arvioit sinä ja juristisi.

Sovitteko DORA:n edellyttämät sopimusehdot?

Kyllä. Sovimme DORA:n 30 artiklan ehdot, ilmoitamme poikkeamista sovittua kanavaa pitkin, dokumentoimme irtautumissuunnitelmat, osallistumme häiriönsietokyvyn testaukseen ja toimitamme tiedot, joita tietorekisterisi tarvitsee.

Kuka vastaa tekoälysäädöksen noudattamisesta?

Se riippuu roolistasi tarjoajana tai käyttöönottajana ja käyttötapauksen riskiluokasta. Luokittelemme jokaisen käyttötapauksen kanssasi kartoitusvaiheessa, rakennamme valvonnan, lokituksen ja dokumentaation järjestelmään ja toimitamme tekniset tiedot, joita juristisi tarvitsevat oikeudelliseen arvioon.

Missä tietojamme säilytetään ja käsitellään?

Paikoissa, jotka sovitaan kanssasi ennen rakentamista: omassa pilviympäristössäsi, julkisen pilven EU-alueella tai arkaluonteisissa käyttötapauksissa omissa konesaleissasi. Ylläpitoympäristöt ja tekoälypalvelut valitaan sen mukaan, ja valinta dokumentoidaan irtautumisvaihtoehtoineen.

Miten pyydämme tietoturva-aineistonne?

Yhteydenottosivun kautta. Kerro, mitä asiakirjoja tarvitset ja minkä kehyksen mukaan arvioit toimittajia, niin oikeat ihmiset ottavat sinuun yhteyttä.

Pyydä näyttö

Kerro, minkä kehyksen mukaan arvioit toimittajia ja mitä asiakirjoja tarvitset. Kerromme, mitä voimme jakaa ja miten.

Pyydä tietoturva-aineistoTietoa meistä