Ugrás a fő tartalomra
FromNine
Menü

Bizalom és megfelelés

Bizalom és megfelelés szabályozott szervezeteknek

A FromNine ISO/IEC 27001 szerint tanúsított. Ez az oldal bemutatja, hogyan védjük szállítóként az Ön rendszereit és adatait, mivel járulunk hozzá a kiberbiztonsági törvény, a DORA és az MI-rendelet szerinti kötelezettségeihez, és hogyan kérheti el biztonsági dokumentációnkat.

Magyarországi közintézményeknek és szabályozott vállalatoknak, ahol az uniós szabályokat hazai törvények és felügyeleti hatóságok egészítik ki.

Biztonsági dokumentációAmit vállalunk

Vállalásaink

Öt vállalás minden megbízásban

Közintézmények és szabályozott vállalatok bíznak ránk érzékeny adatokat és olyan rendszereket, amelyek valódi döntéseket támogatnak. Ezeket a vállalásokat kérhetik számon rajtunk.

  • Információ­biztonsági irányítás

    Tanúsítva

    Információbiztonsági irányítási rendszerünk az ISO/IEC 27001, az információbiztonság irányításának nemzetközi szabványa szerint tanúsított. A kontrollok, a beszállítók kezelése és az incidenskezelés minden megbízásban ezt a rendszert követi.

    Az Ön rendszereihez és adataihoz való hozzáférést a munka kezdete előtt egyeztetjük, a munkához szükséges mértékre korlátozzuk, és a csapat minden változásakor felülvizsgáljuk.

    ISO/IEC 27001 tanúsítás

  • Személyes adatok és GDPR

    Így dolgozunk

    A célokat, a hozzáférési határokat és a megőrzési időt a fejlesztés előtt egyeztetjük. Ahol az Ön megbízásából kezelünk személyes adatot, adatfeldolgozóként járunk el, adatfeldolgozási szerződés alapján, ahogy a GDPR 28. cikke előírja.

    Ahol az adatkezelés valószínűleg magas kockázattal jár, megadjuk a műszaki hátteret az Ön adatvédelmi hatásvizsgálatához.

  • Az MI emberi felügyelete

    Így dolgozunk

    Minden MI-felhasználási esetet a felmérési szakaszban, Önnel közösen sorolunk be. A jóváhagyási lépések, a naplózás és a műszaki dokumentáció az első kiadástól a rendszer része, nem egy audit előtt kerül bele. Az ügynökök korlátozott jogosultságokkal dolgoznak, és a következményekkel járó lépések előtt jóváhagyást kérnek.

  • Akadálymentesség

    Így dolgozunk

    A felületeket az EN 301 549 és a WCAG 2.2 AA szint szerint tervezzük és teszteljük, automatizált ellenőrzésekkel és kisegítő technológiával végzett kézi átnézéssel, és megfelelőségi jelentést adunk át, amely felsorolja az ismert hiányosságokat.

  • Adattárolás az EU-n belül

    Megbízásonként

    A tárhely régióit, a titkosítási kulcsok kezelését és a támogatási hozzáférés helyszíneit a fejlesztés előtt Önnel együtt döntjük el, és rögzítjük az architektúrában, szuverén megoldásokkal együtt, ha követelményei ezt kívánják.

Ez az oldal azt írja le, hogyan dolgozunk szállítóként. Nem az Ön nevében tett megfelelési nyilatkozat: hogy mely kötelezettségek vonatkoznak Önre, az a szervezetétől és a felhasználási esettől függ, a jogi értékelés pedig jogi tanácsadójánál marad.

NIS2

NIS2 és kiberbiztonsági törvény: az ellátási lánc biztonsága

A NIS2-irányelv, vagyis az (EU) 2022/2555 irányelv előírja, hogy az alapvető és fontos szervezetek kezeljék hálózati és információs rendszereik kiberbiztonsági kockázatait. Az ellátási lánc biztonsága a 21. cikk (2) bekezdésében felsorolt minimális intézkedések egyike, a 21. cikk (3) bekezdése pedig elvárja, hogy a szervezetek vegyék figyelembe közvetlen beszállítóik és szolgáltatóik biztonsági gyakorlatát. Magyarországon az irányelvet a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról ültette át, amely 2025. január 1-jén lépett hatályba, végrehajtási rendelete a 418/2024. (XII. 23.) Korm. rendelet. A magánszféra szervezeteit a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH), a közigazgatást és az állami tulajdonú szervezeteket az NKI felügyeli. A már működő szervezeteknek 2025. február 15-ig kellett jelentkezniük az SZTFH-nál, az első kiberbiztonsági auditot pedig 2025. december 31-ig kellett elvégezni.

Szállítóként megkönnyítjük, hogy kötelezettségének ezt a részét igazolni tudja. A biztonsági kikötéseket, az incidenscsatornákat és a sérülékenységkezelést szerződésenként rögzítjük, a megbízására vonatkozó kontrollokat pedig dokumentáljuk, hogy beszállítói kockázatértékelése fel tudja mérni őket. Azt, hogy a kiberbiztonsági törvény vonatkozik-e szervezetére, és ha igen, hogyan, Ön értékeli.

  • Biztonsági kikötések a szerződésben

    A hozzáférést, az alvállalkozók bevonását, az incidensek bejelentését és az auditokban való együttműködést írásban rögzítjük, nem feltételezzük.

  • Működő incidenscsatorna

    Megnevezett kapcsolattartók és egyeztetett határidők, hogy a nálunk történt incidensről időben értesüljön a NIS2 által 24 órán belül elvárt korai figyelmeztetéshez (23. cikk (4) bekezdés).

  • Sérülékenység­kezelés

    A függőségek, a kód és az infrastruktúra vizsgálata a CI/CD-folyamatban fut, a talált hibákat kijavítjuk, vagy az egyeztetett csatornán jelentjük.

  • Bizonyíték kérésre

    ISO/IEC 27001 tanúsítványunk és a megbízására vonatkozó kontrollok leírása.

  • Felhő- és platformfejlesztésIncidenskezelési folyamatok, amelyek a kiberbiztonsági törvény és a DORA szerinti bejelentéseket is kiszolgálják.
  • KözszféraA kiberbiztonsági törvényt szem előtt tartó szállítás a közigazgatásnak.

DORA

DORA: IKT-harmadikfél-kockázat pénzügyi szervezeteknek

A digitális működési rezilienciáról szóló rendelet, az (EU) 2022/2554 rendelet 2025. január 17. óta alkalmazandó. A bankoknak, biztosítóknak, befektetési vállalkozásoknak, pénzforgalmi intézményeknek és más pénzügyi szervezeteknek IKT-kockázatkezelési keretrendszerükön belül kell kezelniük a harmadik fél IKT-szolgáltatókkal kapcsolatos kockázatot, nyilvántartást kell vezetniük az IKT-szolgáltatásokra vonatkozó összes szerződéses megállapodásról (28. cikk), és ezekbe a szerződésekbe bele kell foglalniuk a legfontosabb szerződéses rendelkezéseket (30. cikk). Magyarországon a DORA szerinti illetékes hatóság a Magyar Nemzeti Bank.

Amikor IKT-szolgáltatást nyújtunk egy pénzügyi szervezetnek, elfogadjuk a 30. cikkben felsorolt rendelkezéseket: a szolgáltatások teljes leírását, a szolgáltatásnyújtás és az adatkezelés helyszíneit, segítségnyújtást IKT-incidens esetén, együttműködést az Ön illetékes hatóságaival és a felmondási jogokat. A kritikus vagy fontos funkciókat támogató szolgáltatásoknál a szerződés a kilépési stratégiákra és a rezilienciatesztelésben való részvételünkre is kiterjed.

Megadjuk az információkat, amelyekre nyilvántartásának szüksége van, és a kilépési terveket kezdettől dokumentáljuk, hogy a szolgáltatóváltás reális lehetőség maradjon.

MI-rendelet

MI-rendelet: emberi felügyelet és dokumentáció a tervezéstől

Az MI-rendelet, vagyis az (EU) 2024/1689 rendelet szakaszosan alkalmazandó. A tiltott gyakorlatokra és az MI-jártasságra vonatkozó szabályok 2025 februárja, az 50. cikk átláthatósági kötelezettségei 2026 augusztusa óta alkalmazandók. Az (EU) 2026/1744 rendelettel 2026-ban módosított szöveg szerint a III. mellékletben felsorolt nagy kockázatú rendszerekre vonatkozó szabályok 2027. december 2-től alkalmazandók. Magyarországon a rendelet végrehajtásáról a 2025. évi LXXV. törvény rendelkezik, amely létrehozta a Magyar Mesterséges Intelligencia Tanácsot.

A nagy kockázatú rendszereknél a rendelet műszaki dokumentációt (11. cikk), automatikus naplózást (12. cikk) és olyan kialakítást ír elő, amely mellett az emberek ténylegesen felügyelhetik a rendszert (14. cikk), az alkalmazóknak pedig ezt a felügyeletet olyan személyekre kell bízniuk, akiknek megvan a beavatkozáshoz szükséges szakértelmük és jogkörük (26. cikk). Erre az első kiadástól építünk: a jóváhagyási lépések és a felülbírálás lehetősége ott van, ahol a döntések embereket érintenek, a dokumentáció pedig a kóddal együtt készül.

Hogy szervezete szolgáltatóként vagy alkalmazóként jár el, az attól függ, hogyan helyezik üzembe a rendszert. Ez a kérdés a jogi értékelés része, amely jogi tanácsadójánál marad; mi a hozzá szükséges műszaki tényeket adjuk.

A szállítás során

Biztonság a szállítás minden szakaszában

A megfelelés bizonyítéka abból születik, ahogyan a munka folyik, nem egy a végén megírt dokumentumból.

  • A legkisebb jogosultság elve

    Az Ön környezeteihez és adataihoz való hozzáférés a munkához szükséges mértékre korlátozódik, a munka kezdete előtt egyeztetjük, és a csapat minden változásakor felülvizsgáljuk.

  • Átnézett és vizsgált változtatások

    A változtatásokat kiadás előtt kollégák nézik át. A függőségek, a kód és az infrastruktúra vizsgálata automatikusan fut, a biztonsági tesztelést kiadásonként tervezzük.

  • Egyeztetett incidenskezelés

    Az incidensek besorolását, a bejelentési kapcsolattartókat és a bizonyítékgyűjtést az elején egyeztetjük, és beépítjük az incidenskezelési folyamatba, ha Önre a kiberbiztonsági törvény vagy a DORA vonatkozik.

  • Dokumentált átadás és kilépés

    Az üzemeltetési kézikönyveket, az architektúradöntéseket és az adatmodelleket a rendszerrel együtt adjuk át, a kilépési tervek pedig kezdettől láthatóvá teszik az adatok visszaadását és a váltás költségeit.

Átvilágítás

Kérje el biztonsági dokumentációnkat

A beszerzési, biztonsági és jogi csapatoknak a szerződés aláírása előtt bizonyíték kell. Kérje el ISO/IEC 27001 tanúsítványunkat és annak hatályát, a beszállítói biztonsági kérdőívére adott válaszainkat és a megbízására vonatkozó adatfeldolgozási feltételeket.

Kérését a kapcsolati oldalon küldje el, és nevezze meg a keretrendszert, amely szerint a szállítókat értékeli, például a kiberbiztonsági törvényt, a DORA-t vagy egy belső biztonsági alapkövetelményt. Az illetékes kollégák felveszik Önnel a kapcsolatot.

  • KapcsolatÜzenetében említse meg a biztonsági dokumentációt.
  • ImpresszumCég- és nyilvántartási adatok a beszállítói nyilvántartásához.

Magyarország

Uniós alap, hazai felügyelet

A GDPR, a DORA és az MI-rendelet közvetlenül alkalmazandó uniós rendelet. A NIS2 ezzel szemben irányelv, ezért a hatályt, a nyilvántartásba vételt és a bejelentést Magyarországon a kiberbiztonsági törvény (2024. évi LXIX. törvény) határozza meg: a magánszféra szervezeteit az SZTFH, a közigazgatást és az állami tulajdonú szervezeteket az NKI felügyeli, a nemzeti kiberbiztonsági incidenskezelő központ a Nemzetbiztonsági Szakszolgálat.

A DORA szerinti illetékes hatóság a Magyar Nemzeti Bank, a GDPR szerinti felügyeleti hatóság a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH). Az MI-rendelet hazai végrehajtásáról a 2025. évi LXXV. törvény rendelkezik. Több országot átfogó programoknál egyetlen kontrollkészletben állapodunk meg, és minden incidenscsatornát ahhoz a hatósághoz rendelünk, amelynek az érintett szervezet jelent.

Kérdések beszerzési és biztonsági csapatoktól

Rendelkezik a FromNine ISO/IEC 27001 tanúsítással?

Igen. Információbiztonsági irányítási rendszerünk az ISO/IEC 27001 szerint tanúsított. A tanúsítványt és annak hatályát kérésre, az átvilágítás részeként megosztjuk.

Hogyan támogatják szállítóként a kiberbiztonsági törvény szerinti kötelezettségeinket?

A szerződésben rögzítjük a biztonsági kikötéseket, az incidensbejelentési csatornákat és a sérülékenységkezelést, dokumentáljuk a megbízására vonatkozó kontrollokat, és megadjuk a bizonyítékokat, amelyekre beszállítói kockázatértékelésének szüksége van. Azt, hogy a kiberbiztonsági törvény vonatkozik-e szervezetére, és ha igen, hogyan, Önnek és jogi tanácsadójának kell értékelnie.

Elfogadják a DORA által előírt szerződéses rendelkezéseket?

Igen. Elfogadjuk a DORA 30. cikkének rendelkezéseit, az incidenseket az egyeztetett csatornán jelentjük, dokumentáljuk a kilépési terveket, részt veszünk a rezilienciatesztelésben, és megadjuk az információkat, amelyekre nyilvántartásának szüksége van.

Ki felel az MI-rendeletnek való megfelelésért?

Ez az Ön szerepétől, vagyis attól függ, hogy szolgáltató vagy alkalmazó, valamint a felhasználási eset kockázati besorolásától. Minden felhasználási esetet a felmérési szakaszban Önnel közösen sorolunk be, a felügyeletet, a naplózást és a dokumentációt beépítjük a rendszerbe, és megadjuk a műszaki tényeket, amelyekre jogi tanácsadójának a jogi értékeléshez szüksége van.

Hol tárolják és kezelik az adatainkat?

Olyan helyen, amelyet a fejlesztés előtt Önnel egyeztetünk: a saját felhőbérletében, egy nyilvános felhő EU-n belüli régiójában, vagy érzékeny munkaterheléseknél saját üzemeltetésű környezetben. A tárhely- és MI-szolgáltatásokat ennek megfelelően választjuk ki, a döntést pedig a kilépési lehetőségekkel együtt dokumentáljuk.

Hogyan kérhetjük el a biztonsági dokumentációjukat?

A kapcsolati oldalon. Írja meg, mely dokumentumokra van szüksége, és milyen keretrendszer szerint értékeli a szállítókat, az illetékes kollégák pedig felveszik Önnel a kapcsolatot.

Kérje el a bizonyítékokat

Írja meg, milyen keretrendszer szerint értékeli a szállítókat, és mely dokumentumokra van szüksége. Megmondjuk, mit tudunk megosztani, és hogyan.

Biztonsági dokumentációRólunk