Vai al contenuto principale
FromNine
Menu

Fiducia e conformità

Fiducia e conformità per organizzazioni regolamentate

FromNine è certificata ISO/IEC 27001. In questa pagina spieghiamo come proteggiamo i Suoi sistemi e i Suoi dati in qualità di fornitore, che cosa apportiamo ai Suoi obblighi derivanti da NIS2, DORA e AI Act, e come richiedere la nostra documentazione di sicurezza.

Per pubbliche amministrazioni, banche, assicurazioni e imprese in Italia, nel quadro definito da ACN, Banca d’Italia e Garante privacy.

Richieda la documentazione di sicurezzaI nostri impegni

I nostri impegni

Cinque impegni in ogni incarico

Istituzioni pubbliche e imprese regolamentate ci affidano dati sensibili e sistemi che supportano decisioni reali. Ecco su che cosa possono chiederci conto.

  • Gestione della sicurezza delle informazioni

    Certificato

    Il nostro sistema di gestione della sicurezza delle informazioni è certificato ISO/IEC 27001, lo standard internazionale per la gestione della sicurezza delle informazioni. Misure di sicurezza, gestione dei fornitori e trattamento degli incidenti seguono questo sistema in ogni incarico.

    L’accesso ai Suoi sistemi e ai Suoi dati viene concordato prima dell’inizio dei lavori, limitato a ciò che il lavoro richiede e rivisto a ogni cambiamento nel team.

    Certificazione ISO/IEC 27001

  • Dati personali e GDPR

    Come lavoriamo

    Finalità, perimetri di accesso e tempi di conservazione vengono concordati prima dello sviluppo. Quando trattiamo dati personali per Suo conto, operiamo come responsabile del trattamento sulla base di un contratto, come richiede l’articolo 28 del GDPR.

    Se un trattamento può presentare un rischio elevato, forniamo gli elementi tecnici per la Sua valutazione d’impatto sulla protezione dei dati (DPIA).

  • Sorveglianza umana dell’IA

    Come lavoriamo

    Ogni caso d’uso dell’IA viene classificato insieme a Lei nella fase di analisi. Passaggi di approvazione, registrazione delle attività e documentazione tecnica fanno parte del sistema dal primo rilascio e non vengono aggiunti alla vigilia di un audit. Gli agenti operano con permessi circoscritti e chiedono l’approvazione prima dei passaggi che hanno conseguenze.

  • Accessibilità

    Come lavoriamo

    Progettiamo e verifichiamo le interfacce secondo EN 301 549 e WCAG 2.2 livello AA, con controlli automatici e revisione manuale tramite tecnologie assistive, e consegniamo un rapporto di conformità con gli eventuali problemi noti.

  • Residenza dei dati nell’UE

    Per ogni incarico

    Regioni di hosting, controllo delle chiavi di cifratura e sedi da cui il supporto può accedere vengono decisi con Lei prima dello sviluppo e fissati nell’architettura, comprese soluzioni sovrane quando i Suoi requisiti lo richiedono.

Questa pagina descrive come lavoriamo in qualità di fornitore. Non costituisce una dichiarazione di conformità per Suo conto: gli obblighi dipendono dalla Sua organizzazione e dal Suo caso d’uso, e la valutazione legale resta di competenza dei Suoi consulenti legali.

NIS2

NIS2: supporto alla sicurezza della Sua catena di approvvigionamento

La direttiva NIS2, direttiva (UE) 2022/2555, impone ai soggetti essenziali e importanti di gestire i rischi per la sicurezza dei sistemi informativi e di rete. La sicurezza della catena di approvvigionamento è una delle misure minime dell’articolo 21, paragrafo 2, e l’articolo 21, paragrafo 3, chiede ai soggetti di tenere conto delle pratiche di sicurezza dei loro diretti fornitori e fornitori di servizi.

Come Suo fornitore, rendiamo questa parte dei Suoi obblighi più facile da dimostrare. Clausole di sicurezza, canali di notifica degli incidenti e gestione delle vulnerabilità vengono concordati in ogni contratto, e le misure che si applicano al Suo incarico sono documentate in modo che la Sua valutazione dei rischi dei fornitori possa esaminarle. Se e come le norme nazionali di recepimento della NIS2 si applichino alla Sua organizzazione resta una Sua valutazione.

  • Clausole di sicurezza nel contratto

    Accessi, subappalto, notifica degli incidenti e collaborazione agli audit vengono concordati per iscritto, non dati per scontati.

  • Un canale per gli incidenti che funziona

    Referenti designati e tempi concordati, perché un incidente dalla nostra parte Le arrivi in tempo per il preallarme che la NIS2 richiede entro 24 ore (articolo 23, paragrafo 4).

  • Gestione delle vulnerabilità

    Le analisi di dipendenze, codice e infrastruttura vengono eseguite nella pipeline di rilascio, e i rilievi vengono corretti o segnalati attraverso il canale concordato.

  • Evidenze su richiesta

    Il nostro certificato ISO/IEC 27001 e una descrizione delle misure che si applicano al Suo incarico.

DORA

DORA: il rischio dei fornitori terzi di servizi ICT nella finanza

Il regolamento sulla resilienza operativa digitale (DORA), regolamento (UE) 2022/2554, si applica dal 17 gennaio 2025. Banche, compagnie assicurative, imprese di investimento, istituti di pagamento e altre entità finanziarie devono gestire i rischi informatici derivanti da terzi nel proprio quadro di gestione dei rischi ICT, mantenere un registro di informazioni su tutti gli accordi contrattuali per servizi ICT (articolo 28) e inserire in tali accordi le principali disposizioni contrattuali (articolo 30).

Quando forniamo servizi ICT a un’entità finanziaria, concordiamo le disposizioni dell’articolo 30: una descrizione completa dei servizi, i luoghi in cui vengono prestati e in cui i dati vengono trattati, l’assistenza in caso di incidente ICT, la collaborazione con le Sue autorità competenti e i diritti di recesso. Per i servizi che supportano funzioni essenziali o importanti, il contratto disciplina anche le strategie di uscita e la nostra partecipazione ai Suoi test di resilienza.

Forniamo le informazioni necessarie al Suo registro di informazioni e documentiamo i piani di uscita fin dall’inizio, perché cambiare fornitore resti un’opzione realistica.

  • Servizi finanziariIA regolamentata, piattaforme resilienti e un’operatività progettata attorno a DORA.

AI Act

AI Act: sorveglianza umana e documentazione fin dalla progettazione

L’AI Act, regolamento (UE) 2024/1689, si applica per fasi. Le pratiche vietate e l’alfabetizzazione in materia di IA si applicano da febbraio 2025, gli obblighi di trasparenza dell’articolo 50 da agosto 2026. Come modificato nel 2026 dal regolamento (UE) 2026/1744, l’AI Act applica le regole per i sistemi ad alto rischio dell’allegato III dal 2 dicembre 2027.

Per i sistemi ad alto rischio il regolamento richiede una documentazione tecnica (articolo 11), la registrazione automatica degli eventi (articolo 12) e una progettazione che consenta un’efficace sorveglianza umana (articolo 14). I deployer devono affidare questa sorveglianza a persone con la competenza e l’autorità necessarie (articolo 26). Ne teniamo conto dal primo rilascio: passaggi di approvazione e possibilità di intervento si trovano dove le decisioni riguardano le persone, e la documentazione viene scritta insieme al codice.

Se la Sua organizzazione agisca come fornitore o come deployer dipende da come il sistema viene messo in servizio. La questione fa parte della valutazione legale, che resta ai Suoi consulenti; noi forniamo gli elementi tecnici di cui ha bisogno.

Nella realizzazione

Sicurezza in ogni fase della realizzazione

Le evidenze di conformità nascono dal modo in cui si lavora, non da un documento scritto alla fine.

  • Accessi secondo il privilegio minimo

    L’accesso ai Suoi ambienti e dati è limitato a ciò che il lavoro richiede, concordato prima dell’inizio dei lavori e rivisto a ogni cambiamento nel team.

  • Modifiche revisionate e analizzate

    Ogni modifica viene revisionata da un collega prima del rilascio. Le analisi di dipendenze, codice e infrastruttura sono automatiche, e i test di sicurezza vengono pianificati a ogni rilascio.

  • Incidenti gestiti secondo un processo concordato

    Classificazione degli incidenti, referenti per le notifiche e raccolta delle evidenze vengono concordati all’avvio e integrati nel processo di gestione degli incidenti quando NIS2 o DORA La riguardano.

  • Passaggio di consegne e uscita documentati

    Procedure operative, decisioni di architettura e modelli di dati vengono consegnati con il sistema, e i piani di uscita rendono visibili fin dall’inizio la restituzione dei dati e i costi di un cambio.

Due diligence

Richieda la nostra documentazione di sicurezza

Gli uffici acquisti, sicurezza e legale hanno bisogno di evidenze prima di firmare un contratto. Ci chieda il nostro certificato ISO/IEC 27001 con il relativo campo di applicazione, le risposte al Suo questionario di sicurezza per i fornitori e le condizioni sul trattamento dei dati che si applicherebbero al Suo incarico.

Invii la richiesta tramite la pagina dei contatti indicando il quadro di riferimento con cui valuta i fornitori, per esempio NIS2, DORA o le misure di sicurezza nazionali. Le persone giuste La ricontatteranno.

  • ContattiIndichi nel messaggio che si tratta di documentazione di sicurezza.
  • Note legaliDati societari e di registrazione, per il Suo albo fornitori.

Italia

Il quadro italiano: ACN, D.Lgs. 138/2024 e Legge 132/2025

In Italia la NIS2 è recepita dal D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, con l’Agenzia per la cybersicurezza nazionale (ACN) come autorità nazionale competente. Tra le misure richieste rientra la sicurezza della catena di approvvigionamento, che si traduce in requisiti per i fornitori. Nel settore finanziario Banca d’Italia, IVASS e CONSOB vigilano sull’applicazione di DORA, e il Garante per la protezione dei dati personali sul rispetto del GDPR. La Legge 132/2025 affianca all’AI Act regole nazionali e designa AgID e ACN come autorità per l’intelligenza artificiale. Concordiamo con Lei clausole, canali di notifica ed evidenze in base al quadro che adotta.

Domande degli uffici acquisti e sicurezza

FromNine è certificata ISO/IEC 27001?

Sì. Il nostro sistema di gestione della sicurezza delle informazioni è certificato ISO/IEC 27001. Forniamo il certificato e il relativo campo di applicazione su richiesta, nel quadro della Sua due diligence.

Come ci supportate, in qualità di fornitore, negli obblighi NIS2?

Concordiamo nel contratto clausole di sicurezza, canali di notifica degli incidenti e gestione delle vulnerabilità, documentiamo le misure che si applicano al Suo incarico e Le forniamo le evidenze necessarie alla Sua valutazione dei rischi dei fornitori. Se e come la NIS2 si applichi alla Sua organizzazione lo valutano Lei e i Suoi consulenti legali.

Accettate le disposizioni contrattuali richieste da DORA?

Sì. Concordiamo le disposizioni dell’articolo 30 di DORA, notifichiamo gli incidenti tramite il canale concordato, documentiamo i piani di uscita, partecipiamo ai test di resilienza e forniamo le informazioni necessarie al Suo registro di informazioni.

Chi è responsabile della conformità all’AI Act?

Dipende dal Suo ruolo, di fornitore o di deployer, e dalla classe di rischio del caso d’uso. Classifichiamo con Lei ogni caso d’uso nella fase di analisi, integriamo sorveglianza, registrazione e documentazione nel sistema e forniamo ai Suoi consulenti gli elementi tecnici necessari alla valutazione legale.

Dove saranno ospitati e trattati i nostri dati?

Nei luoghi concordati con Lei prima dello sviluppo: il Suo ambiente cloud, una regione UE di un cloud pubblico oppure infrastrutture on-premise per i carichi sensibili. I servizi di hosting e di IA vengono scelti di conseguenza, e la scelta è documentata con le relative opzioni di uscita.

Come richiediamo la vostra documentazione di sicurezza?

Tramite la pagina dei contatti. Ci indichi i documenti di cui ha bisogno e il quadro di riferimento con cui valuta i fornitori: le persone giuste La ricontatteranno.

Richieda le evidenze

Ci indichi il quadro con cui valuta i fornitori, le misure di sicurezza indicate dall’ACN, la ISO/IEC 27001 o il Suo questionario interno, e i documenti di cui ha bisogno. Le diremo che cosa possiamo condividere e in quale forma.

Richieda la documentazione di sicurezzaChi siamo