Povjerenje i usklađenost
Povjerenje i usklađenost za regulirane organizacije
Tvrtka FromNine ima certifikat ISO/IEC 27001. Na ovoj stranici opisujemo kako kao dobavljač štitimo vaše sustave i podatke, čime pridonosimo vašim obvezama prema Zakonu o kibernetičkoj sigurnosti, DORA-i i Aktu o umjetnoj inteligenciji te kako zatražiti našu sigurnosnu dokumentaciju.
Za javne institucije i regulirane tvrtke u Hrvatskoj i diljem Europe, gdje nacionalna nadležna tijela pravilima EU-a dodaju vlastite zahtjeve.
Naše obveze
Pet obveza u svakoj suradnji
Javne institucije i regulirane tvrtke povjeravaju nam osjetljive podatke i sustave koji podržavaju stvarne odluke. Na ovo nas mogu obvezati.
Upravljanje informacijskom sigurnošću
CertificiranoNaš sustav upravljanja informacijskom sigurnošću certificiran je prema normi ISO/IEC 27001, međunarodnom standardu za upravljanje informacijskom sigurnošću. Kontrole, upravljanje dobavljačima i postupanje s incidentima u svakoj suradnji slijede taj sustav.
Pristup vašim sustavima i podacima dogovaramo prije početka rada, ograničavamo ga na ono što posao traži i preispitujemo ga kada se tim promijeni.
Certifikat ISO/IEC 27001
Osobni podaci i GDPR
Kako radimoSvrhe, granice pristupa i rokove čuvanja dogovaramo prije izgradnje. Kada osobne podatke obrađujemo u vaše ime, djelujemo kao vaš izvršitelj obrade na temelju ugovora o obradi podataka, kako to traži članak 28. Opće uredbe o zaštiti podataka (GDPR).
Kada je vjerojatno da će obrada prouzročiti visok rizik, dajemo tehničke podatke za vašu procjenu učinka na zaštitu podataka.
Ljudski nadzor nad umjetnom inteligencijom
Kako radimoSvaki slučaj uporabe umjetne inteligencije (AI) klasificiramo s vama u fazi razumijevanja. Koraci odobrenja, zapisi i tehnička dokumentacija ugrađuju se u sustav od prvog izdanja, a ne dodaju se pred reviziju. Agenti rade s ograničenim ovlastima i traže odobrenje prije koraka s posljedicama.
Pristupačnost
Kako radimoSučelja projektiramo i testiramo prema normi EN 301 549 i razini AA smjernica WCAG 2.2, i to automatiziranim provjerama i ručnim pregledom uz pomoćne tehnologije, te isporučujemo izvješće o sukladnosti s popisom poznatih nedostataka.
Podaci u EU-u
Za svaku suradnjuRegije smještaja, kontrolu nad ključevima za šifriranje i lokacije s kojih se pruža podrška određujemo s vama prije izgradnje i upisujemo ih u arhitekturu, uključujući suverene opcije kada to vaši zahtjevi traže.
Ova stranica opisuje kako radimo kao dobavljač. Nije izjava o usklađenosti u vaše ime: koje se obveze primjenjuju, ovisi o vašoj organizaciji i vašem slučaju uporabe, a pravna procjena ostaje na vašim pravnim savjetnicima.
NIS 2
Zakon o kibernetičkoj sigurnosti: podrška sigurnosti vašeg lanca opskrbe
Direktiva NIS 2, Direktiva (EU) 2022/2555, od ključnih i važnih subjekata traži da upravljaju kibernetičkim rizicima za svoje mrežne i informacijske sustave. Sigurnost lanca opskrbe jedna je od minimalnih mjera iz članka 21. stavka 2., a članak 21. stavak 3. traži da subjekti uzmu u obzir sigurnosne prakse svojih izravnih dobavljača i pružatelja usluga. U Hrvatskoj direktivu prenosi Zakon o kibernetičkoj sigurnosti (NN 14/2024), na snazi od 15. veljače 2024., uz Uredbu o kibernetičkoj sigurnosti (NN 135/2024).
Kao vaš dobavljač olakšavamo vam dokazivanje tog dijela vaše obveze. Sigurnosne odredbe, kanale za incidente i postupanje s ranjivostima dogovaramo u svakom ugovoru, a kontrole koje se odnose na vašu suradnju dokumentiramo kako bi ih vaš postupak procjene rizika dobavljača mogao ocijeniti. Primjenjuje li se Zakon o kibernetičkoj sigurnosti na vašu organizaciju i na koji način, ostaje vaša procjena.
Sigurnosne odredbe u ugovoru
Pristup, podugovaranje, obavješćivanje o incidentima i suradnja pri revizijama dogovaraju se pisano, a ne podrazumijevaju.
Kanal za incidente koji radi
Imenovane kontaktne osobe i dogovoreni rokovi, tako da incident na našoj strani do vas stigne na vrijeme za rano upozorenje u roku od 24 sata koje traži NIS 2 (članak 23. stavak 4. direktive).
Postupanje s ranjivostima
Skeniranje ovisnosti, koda i infrastrukture radi u cjevovodu isporuke, a nalazi se ispravljaju ili prijavljuju kroz dogovoreni kanal.
Dokazi na zahtjev
Naš certifikat ISO/IEC 27001 i opis kontrola koje se odnose na vašu suradnju.
- Cloud i platformski inženjeringPostupci za incidente koji služe i obvezama izvješćivanja prema NIS 2 i DORA-i.
- Javni sektorIsporuka za javnu upravu uz Zakon o kibernetičkoj sigurnosti.
DORA
DORA: IKT rizik povezan s trećim stranama za financijske subjekte
Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor (DORA) primjenjuje se od 17. siječnja 2025. Banke, osiguravatelji, investicijska društva, platne institucije i drugi financijski subjekti moraju upravljati IKT rizikom povezanim s trećim stranama u okviru upravljanja IKT rizicima, voditi registar informacija o svim ugovornim aranžmanima za IKT usluge (članak 28.) i u te ugovore uključiti ključne ugovorne odredbe (članak 30.).
Kada financijskom subjektu pružamo IKT usluge, dogovaramo odredbe koje navodi članak 30.: potpun opis usluga, lokacije na kojima se pružaju i na kojima se obrađuju podaci, pomoć pri IKT incidentu, suradnju s vašim nadležnim tijelima i prava raskida. Za usluge koje podupiru ključne ili važne funkcije ugovor obuhvaća i izlazne strategije te naše sudjelovanje u vašem testiranju otpornosti.
Dajemo informacije potrebne za vaš registar informacija, a izlazne planove dokumentiramo od početka, tako da promjena dobavljača ostaje realna mogućnost.
- Financijske uslugeRegulirana umjetna inteligencija, otporne platforme i rad sustava projektiran oko DORA-e.
Akt o umjetnoj inteligenciji
Akt o umjetnoj inteligenciji: ljudski nadzor i dokumentacija od samog dizajna
Akt o umjetnoj inteligenciji, Uredba (EU) 2024/1689, primjenjuje se u fazama. Zabranjene prakse i pismenost u području umjetne inteligencije primjenjuju se od veljače 2025., a obveze transparentnosti iz članka 50. od kolovoza 2026. Nakon izmjene iz 2026. Uredbom (EU) 2026/1744 pravila za visokorizične sustave iz Priloga III. primjenjuju se od 2. prosinca 2027.
Za visokorizične sustave Akt traži tehničku dokumentaciju (članak 11.), automatsko vođenje zapisa (članak 12.) i dizajn koji ljudima omogućuje djelotvoran nadzor nad sustavom (članak 14.), a subjekti koji uvode sustav moraju taj nadzor povjeriti osobama s potrebnim kompetencijama i ovlastima (članak 26.). Za to gradimo od prvog izdanja: koraci odobrenja i mogućnost poništavanja odluke nalaze se ondje gdje odluke utječu na ljude, a dokumentacija nastaje usporedno s kodom.
Djeluje li vaša organizacija kao dobavljač ili kao subjekt koji uvodi sustav, ovisi o tome kako se sustav stavlja u uporabu. To pitanje dio je pravne procjene, koja ostaje na vašim pravnim savjetnicima; mi dajemo tehničke činjenice koje su joj potrebne.
- Akt o umjetnoj inteligenciji za javna tijelaŠto se primjenjuje danas, što slijedi u prosincu 2027. i plan pripreme.
- AI agenti i automatizacijaAgenti s ograničenim ovlastima, točkama odobrenja i potpunim zapisima.
U isporuci
Sigurnost u svakoj fazi isporuke
Dokazi o usklađenosti proizlaze iz načina na koji se posao obavlja, a ne iz dokumenta napisanog na kraju.
Pristup prema načelu najmanjih ovlasti
Pristup vašim okruženjima i podacima ograničen je na ono što posao traži, dogovara se prije početka rada i preispituje se pri svakoj promjeni tima.
Pregledane i skenirane promjene
Promjene prije isporuke pregledava drugi stručnjak. Skeniranje ovisnosti, koda i infrastrukture radi automatski, a sigurnosno testiranje planira se za svako izdanje.
Incidenti prema dogovorenom postupku
Klasifikaciju incidenata, kontakte za obavješćivanje i prikupljanje dokaza dogovaramo na početku i ugrađujemo u postupak za incidente kada se na vas primjenjuju Zakon o kibernetičkoj sigurnosti ili DORA.
Dokumentirana primopredaja i izlaz
Operativni priručnici, arhitektonske odluke i modeli podataka predaju se zajedno sa sustavom, a izlazni planovi od početka drže vidljivima povrat podataka i troškove promjene dobavljača.
Provjera dobavljača
Zatražite našu sigurnosnu dokumentaciju
Timovima za nabavu, sigurnost i pravna pitanja dokazi su potrebni prije potpisivanja ugovora. Zatražite od nas certifikat ISO/IEC 27001 i njegov opseg, odgovore na vaš sigurnosni upitnik za dobavljače i uvjete obrade podataka koji bi se primjenjivali na vašu suradnju.
Zahtjev pošaljite putem stranice za kontakt i navedite okvir prema kojem procjenjujete dobavljače, primjerice Zakon o kibernetičkoj sigurnosti, DORA ili Akt o umjetnoj inteligenciji. Javit će vam se pravi ljudi.
- KontaktU poruci navedite da trebate sigurnosnu dokumentaciju.
- Pravne informacijePodaci o društvu i registraciji za vašu evidenciju dobavljača.
Hrvatska
Pravila EU-a, hrvatska nadležna tijela
GDPR, DORA i Akt o umjetnoj inteligenciji uredbe su koje se izravno primjenjuju u cijeloj Uniji. Direktivu NIS 2 Hrvatska je prenijela Zakonom o kibernetičkoj sigurnosti (NN 14/2024), uz Uredbu o kibernetičkoj sigurnosti (NN 135/2024); Nacionalni centar za kibernetičku sigurnost u sastavu Sigurnosno-obavještajne agencije (SOA) koordinira sektorska nadležna tijela. Za provedbu DORA-e u Hrvatskoj nadležne su Hrvatska narodna banka (HNB) i Hrvatska agencija za nadzor financijskih usluga (HANFA), svaka za svoje subjekte (NN 136/2024). Nadzorno tijelo za zaštitu osobnih podataka je Agencija za zaštitu osobnih podataka (AZOP). Za programe koji obuhvaćaju više zemalja dogovaramo jedan skup kontrola, a svaki kanal za incidente povezujemo s tijelom kojem dotični subjekt podnosi prijave.
- Zakon o kibernetičkoj sigurnostiZakon o kibernetičkoj sigurnosti (NN 14/2024) kojim se prenosi Direktiva NIS 2, s Uredbom o kibernetičkoj sigurnosti (NN 135/2024); Nacionalni centar za kibernetičku sigurnost u sastavu Sigurnosno-obavještajne agencije (SOA) koordinira sektorska nadležna tijela (otvara vanjsku stranicu)
- DORAUredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor (DORA) (otvara vanjsku stranicu)
- Akt o umjetnoj inteligencijiAkt o umjetnoj inteligenciji, Uredba (EU) 2024/1689 (otvara vanjsku stranicu)
- Opća uredba o zaštiti podatakaOpća uredba o zaštiti podataka, Uredba (EU) 2016/679 (GDPR) (otvara vanjsku stranicu)
Pitanja timova za nabavu i sigurnost
Ima li tvrtka FromNine certifikat ISO/IEC 27001?
Da. Naš sustav upravljanja informacijskom sigurnošću certificiran je prema normi ISO/IEC 27001. Certifikat i njegov opseg dijelimo na zahtjev, u sklopu vaše provjere dobavljača.
Kako kao dobavljač podržavate naše obveze prema Zakonu o kibernetičkoj sigurnosti?
U ugovoru dogovaramo sigurnosne odredbe, kanale za obavješćivanje o incidentima i postupanje s ranjivostima, dokumentiramo kontrole koje se odnose na vašu suradnju i dajemo vam dokaze potrebne za procjenu rizika dobavljača. Primjenjuje li se Zakon o kibernetičkoj sigurnosti na vašu organizaciju i na koji način, procjenjujete vi i vaši pravni savjetnici.
Hoćete li ugovoriti odredbe koje traži DORA?
Da. Ugovaramo odredbe iz članka 30. DORA-e, obavještavamo o incidentima kroz dogovoreni kanal, dokumentiramo izlazne planove, sudjelujemo u testiranju otpornosti i dajemo informacije potrebne za vaš registar informacija.
Tko je odgovoran za usklađenost s Aktom o umjetnoj inteligenciji?
To ovisi o vašoj ulozi, kao dobavljača ili subjekta koji uvodi sustav, i o razredu rizika slučaja uporabe. Svaki slučaj uporabe klasificiramo s vama u fazi razumijevanja, u sustav ugrađujemo nadzor, zapise i dokumentaciju te dajemo tehničke činjenice koje su vašim pravnim savjetnicima potrebne za pravnu procjenu.
Gdje će se naši podaci smještati i obrađivati?
Na lokacijama koje s vama dogovorimo prije izgradnje: u vašem vlastitom cloud okruženju, u EU regiji javnog clouda ili na vlastitoj infrastrukturi za osjetljiva opterećenja. Usluge smještaja i AI usluge biramo u skladu s tim, a izbor dokumentiramo zajedno s mogućnostima izlaza.
Kako zatražiti vašu sigurnosnu dokumentaciju?
Putem stranice za kontakt. Navedite koje dokumente trebate i prema kojem okviru procjenjujete dobavljače, a javit će vam se pravi ljudi.
Zatražite dokaze
Recite nam prema kojem okviru procjenjujete dobavljače i koje dokumente trebate. Reći ćemo vam što možemo podijeliti i na koji način.