Direkt zum Haaptinhalt
FromNine
Menü

Vertrauen a Compliance

Vertrauen a Compliance fir reguléiert Organi­satiounen

FromNine ass zertifizéiert no ISO/IEC 27001. Dës Säit beschreift, wéi mir als Prestataire Är Systemer an Är Donnéeë schützen, wat mir zu Ären Obligatiounen ënner NIS2, DORA an dem KI-Reglement bäidroen, a wéi Dir eis Sécherheetsdokumentatioun ufroe kënnt.

Fir ëffentlech Institutiounen a reguléiert Firmen zu Lëtzebuerg, wou den ILR, d’CSSF an den CAA d’EU-Reegelen an hire Beräicher iwwerwaachen.

Sécherheets­dokumenter ufroenWat mir zousoen

Eis Verflichtungen

Fënnef Verflichtungen an all Projet

Ëffentlech Institutiounen a reguléiert Firme vertrauen eis sensibel Donnéeën a Systemer un, déi richteg Entscheedungen ënnerstëtzen. Dat hei kënne se vun eis verlaangen.

  • Management vun der Informatiouns­sécherheet

    Zertifizéiert

    Eise Managementsystem fir d’Informatiounssécherheet ass zertifizéiert no ISO/IEC 27001, dem internationale Standard fir d’Management vun der Informatiounssécherheet. Kontrollen, d’Gestioun vu Liwweranten an d’Behandlung vun Incidenter follegen an all Projet dësem System.

    Den Zougang zu Äre Systemer an Donnéeë gëtt festgeluecht, ier d’Aarbecht ufänkt, op dat limitéiert, wat d’Aarbecht brauch, an iwwerpréift, wann d’Equipe wiesselt.

    Zertifizéiert no ISO/IEC 27001

  • Perséinlech Donnéeën an den RGPD

    Wéi mir schaffen

    Zwecker, Zougangsgrenzen an d’Dauer vun der Späicherung gi festgeluecht, ier mir bauen. Wa mir perséinlech Donnéeën an Ärem Optrag veraarbechten, si mir Äre Sous-traitant ënner engem Kontrakt iwwer d’Veraarbechtung vun den Donnéeën, sou wéi den Artikel 28 vum RGPD et verlaangt.

    Wann eng Veraarbechtung warscheinlech en héije Risiko mat sech bréngt, liwwere mir déi technesch Informatioune fir Är Analys vun den Auswierkungen op den Dateschutz (AIPD).

  • Mënschlech Opsiicht iwwer KI

    Wéi mir schaffen

    All KI-Uwendungsfall gëtt an der Analysephas mat Iech klasséiert. Validatiounsschrëtt, Logging an technesch Dokumentatioun gi vun der éischter Versioun un an de System agebaut, net eréischt virun engem Audit dobäigesat. Agente schaffe mat limitéierte Berechtegungen a froen no enger Validatioun, ier se Schrëtt mat Konsequenze maachen.

  • Accessi­bilitéit

    Wéi mir schaffen

    Mir konzipéieren an testen Interfacen no EN 301 549 a WCAG 2.2 Niveau AA, mat automatesche Kontrollen a manueller Iwwerpréiwung mat Hëllefstechnologien, a liwweren e Konformitéitsrapport, deen all bekannte Problemer opzielt.

  • Donnéeën an der EU

    Pro Projet

    Hosting-Regiounen, d’Kontroll iwwer d’Schlëssele fir d’Verschlësselung an d’Standuerter vum Support-Zougang gi mat Iech festgeluecht, ier mir bauen, an an d’Architektur geschriwwen, och mat souveränen Optiounen, wou Är Ufuerderungen dat verlaangen.

Dës Säit beschreift, wéi mir als Prestataire schaffen. Si ass keng Konformitéitserklärung an Ärem Numm: wéi eng Obligatioune gëllen, hänkt vun Ärer Organisatioun an Ärem Uwendungsfall of, an déi juristesch Bewäertung bleift bei Äre Juristen.

NIS2

NIS2: Ënnerstëtzung fir d’Sécherheet vun Ärer Liwwerketten

D’NIS2-Direktiv, d’Direktiv (EU) 2022/2555, verlaangt vu wesentlechen a wichtegen Entitéiten, d’Cybersécherheetsrisike fir hir Netzwierk- an Informatiounssystemer ze geréieren. D’Sécherheet vun der Liwwerketten ass eng vun de Mindestmoossnamen am Artikel 21(2), an den Artikel 21(3) freet d’Entitéiten, d’Sécherheetspraktike vun hiren direkte Liwweranten a Prestatairen ze berécksiichtegen.

Als Äre Prestataire maache mir et Iech méi einfach, dësen Deel vun Ärer Obligatioun nozeweisen. Sécherheetsklauselen, Kanäl fir Incidenter an d’Behandlung vu Sécherheetslücke gi pro Kontrakt festgeluecht, an d’Kontrollen, déi fir Äre Projet gëllen, gi sou dokumentéiert, datt Äre Prozess fir d’Risike vu Liwwerante se bewäerte kann. Zu Lëtzebuerg gëtt d’Direktiv duerch d’NIS2-Gesetz vum 5. Mee 2026 ëmgesat, mam ILR als zoustänneg Autoritéit fir déi meescht Secteuren a mat der CSSF fir de Bankesecteur an d’Finanzmaartinfrastrukturen. Ob a wéi d’Gesetz fir Är Organisatioun gëllt, bleift Är eege Bewäertung.

  • Sécherheets­klauselen am Kontrakt

    Zougang, Sous-traitance, Meldung vun Incidenter an d’Zesummenaarbecht bei Audite gi schrëftlech festgehalen, net virausgesat.

  • En Incident-Kanal, dee funktionéiert

    Benannt Kontaktpersounen an ofgestëmmt Delaien, sou datt en Incident op eiser Säit Iech fréi genuch erreecht fir déi éischt Warnung, déi NIS2 bannent 24 Stonnen erwaart (Artikel 23(4)).

  • Behandlung vu Sécherheets­lücken

    Scans vun Ofhängegkeeten, Code an Infrastruktur lafen an der Deployment-Pipeline, an d’Resultater ginn entweder behuewen oder iwwer den ofgestëmmte Kanal gemellt.

  • Dokumenter op Ufro

    Eist Zertifikat no ISO/IEC 27001 an eng Beschreiwung vun de Kontrollen, déi fir Äre Projet gëllen.

DORA

DORA: IKT-Risike vun Drëttparteien am Finanzsecteur

Den Digital Operational Resilience Act, d’Reglement (EU) 2022/2554, gëllt zënter dem 17. Januar 2025. Banken, Versécherungen, Investitiounsentreprisen, Paiementsinstituter an aner Finanzentitéite mussen d’IKT-Risike vun Drëttparteien an hirem Kader fir d’IKT-Risikomanagement geréieren, e Register vun Informatiounen iwwer all vertraglech Arrangementer fir IKT-Déngschtleeschtunge féieren (Artikel 28) a wichteg Bestëmmungen an dës Kontrakter ophuelen (Artikel 30).

Wa mir IKT-Déngschtleeschtunge fir eng Finanzentitéit ubidden, stëmme mir d’Bestëmmungen of, déi den Artikel 30 opzielt: eng komplett Beschreiwung vun den Déngschtleeschtungen, d’Plazen, wou se geliwwert an d’Donnéeë veraarbecht ginn, Hëllef bei engem IKT-Incident, Zesummenaarbecht mat Ären zoustännegen Autoritéiten an d’Recht, de Kontrakt ze kënnegen. Fir Déngschtleeschtungen, déi kritesch oder wichteg Funktiounen ënnerstëtzen, deckt de Kontrakt och Exit-Strategien an eis Participatioun un Äre Resilienztester of.

Mir liwweren d’Informatiounen, déi Äre Register vun Informatioune brauch, a dokumentéieren Exit-Pläng vun Ufank un, sou datt e Wiessel eng realistesch Optioun bleift. Zu Lëtzebuerg sinn d’CSSF an de Commissariat aux Assurances (CAA) déi zoustänneg Autoritéite fir d’Entitéiten ënner hirer Opsiicht; d’Circulaire CSSF 25/893 reegelt d’Meldung vu groussen IKT-Incidenter un d’CSSF.

  • FinanzsecteurReguléiert KI, resilient Plattformen a Betrib, ronderëm DORA konzipéiert.

KI-Reglement

KI-Reglement: mënschlech Opsiicht an Dokumentatioun vun Ufank un

D’KI-Reglement (AI Act), d’Reglement (EU) 2024/1689, gëllt an Etappen. Verbuede Praktiken an d’KI-Kompetenz gëllen zënter Februar 2025, d’Transparenzobligatioune vum Artikel 50 zënter August 2026. No der Ännerung duerch d’Reglement (EU) 2026/1744 gëllen d’Reegele fir Héichrisikosystemer aus der Annex III vum 2. Dezember 2027 un.

Fir Héichrisikosystemer verlaangt d’Reglement eng technesch Dokumentatioun (Artikel 11), eng automatesch Protokolléierung (Artikel 12) an en Design, deen d’Leit effektiv iwwerwaache kënnen (Artikel 14), an d’Bedreiwer mussen dës Opsiicht Leit mat der néideger Kompetenz an Autoritéit uvertrauen (Artikel 26). Mir bauen dat vun der éischter Versioun un: Validatiounsschrëtt an d’Méiglechkeet, Entscheedungen ze korrigéieren, sëtzen do, wou Entscheedungen d’Leit betreffen, an d’Dokumentatioun entsteet parallel zum Code.

Ob Är Organisatioun als Ubidder oder als Bedreiwer handelt, hänkt dovun of, wéi de System an de Betrib geholl gëtt. Dës Fro gehéiert zur juristescher Bewäertung, déi bei Äre Juriste bleift; mir liwweren déi technesch Fakten, déi se dofir brauch.

An der Liwwerung

Sécherheet an all Etapp vun der Liwwerung

D’Compliance weist sech dorun, wéi d’Aarbecht gemaach gëtt, net un engem Dokument, dat um Enn geschriwwe gëtt.

  • Zougang mat minimale Rechter

    Den Zougang zu Ären Ëmfelder an Donnéeë gëtt op dat limitéiert, wat d’Aarbecht brauch, virum Ufank festgeluecht an iwwerpréift, all Kéier wann d’Equipe wiesselt.

  • Ännerungen, iwwerpréift a gescannt

    Ännerunge gi vun engem Kolleeg iwwerpréift, ier se live ginn. Scans vun Ofhängegkeeten, Code an Infrastruktur lafen automatesch, a Sécherheetstester gi pro Versioun geplangt.

  • Incidenter no engem ofgestëmmte Prozess

    D’Klassifikatioun vun Incidenter, d’Kontaktpersoune fir d’Meldung an d’Sammele vu Beweiser gi vun Ufank u festgeluecht an an den Incident-Prozess agebaut, wou NIS2 oder DORA fir Iech gëllen.

  • Dokumentéiert Iwwerreechung an Exit

    Runbooks, Architekturentscheedungen an Datemodeller ginn zesumme mam System iwwerginn, an Exit-Pläng halen de Retour vun den Donnéeën an d’Käschte vun engem Wiessel vun Ufank u siichtbar.

Due Diligence

Frot eis Sécherheets­dokumentatioun un

Equippe fir Akaf, Sécherheet a Recht brauche Beweiser, ier e Kontrakt ënnerschriwwe gëtt. Frot eis no eisem Zertifikat no ISO/IEC 27001, no Äntwerten op Äre Sécherheetsquestionnaire fir Liwweranten an no de Bestëmmunge fir d’Veraarbechtung vun Donnéeën, déi fir Äre Projet géife gëllen.

Schéckt Är Ufro iwwer eis Säit Kontakt a sot eis, no wéi engem Kader Dir Liwwerante bewäert, zum Beispill NIS2, DORA oder eng national Sécherheetsbasis. Déi richteg Leit melle sech bei Iech.

  • Kontaktéiert eisSchreift an Ärem Message, datt et ëm Sécherheetsdokumentatioun geet.
  • ImpressumDetailer iwwer d’Firma an hir Registréierung fir Är Liwwerantendossieren.

Lëtzebuerg

Eng EU-Basis, national Opsiicht

Den RGPD, DORA an d’KI-Reglement si Reglementer, déi direkt an der ganzer Unioun gëllen. NIS2 ass eng Direktiv: Ëmfang, Registréierung a Meldunge ginn duerch national Gesetzer festgeluecht, an d’Ëmsetzung ass nach net an all Memberstaat ofgeschloss. D’Opsiicht ass an all Fall national. Fir Programmer iwwer e puer Länner stëmme mir eng Rei Kontrollen of a verbannen all Incident-Kanal mat der Autoritéit, där déi betraffen Entitéit mellt.

Zu Lëtzebuerg sinn dat den ILR fir NIS2 an de meeschte Secteuren, d’CSSF fir de Bankesecteur an d’Finanzmaartinfrastrukturen, d’CSSF an den CAA fir DORA, an d’CNPD (Commission nationale pour la protection des données) fir den RGPD. Bedeitend Incidenter ënner dem NIS2-Gesetz vum 5. Mee 2026 ginn als éischt Warnung bannent 24 Stonne gemellt.

Froe vun Akafs- a Sécherheets­equippen

Ass FromNine zertifizéiert no ISO/IEC 27001?

Jo. Eise Managementsystem fir d’Informatiounssécherheet ass zertifizéiert no ISO/IEC 27001. Mir deelen d’Zertifikat op Ufro, am Kader vun Ärer Due Diligence.

Wéi ënnerstëtzt Dir eis NIS2-Obligatiounen als Liwwerant?

Mir stëmme Sécherheetsklauselen, Kanäl fir d’Meldung vun Incidenter an d’Behandlung vu Sécherheetslücken am Kontrakt of, dokumentéieren d’Kontrollen, déi fir Äre Projet gëllen, a ginn Iech d’Beweiser, déi Är Bewäertung vun de Risike vu Liwwerante brauch. Ob a wéi NIS2 an d’Lëtzebuerger NIS2-Gesetz fir Är Organisatioun gëllen, bewäert Dir mat Äre Juristen.

Stëmmt Dir de Kontraktbestëmmungen zou, déi DORA verlaangt?

Jo. Mir stëmmen d’Bestëmmunge vum Artikel 30 vun DORA of, mellen Incidenter iwwer den ofgestëmmte Kanal, dokumentéieren Exit-Pläng, maache bei Resilienztester mat a liwweren d’Informatiounen, déi Äre Register vun Informatioune brauch.

Wien ass verantwortlech fir d’Konformitéit mam KI-Reglement?

Dat hänkt vun Ärer Roll of, als Ubidder oder Bedreiwer, a vun der Risikoklass vum Uwendungsfall. Mir klasséieren all Uwendungsfall mat Iech an der Analysephas, bauen Opsiicht, Logging an Dokumentatioun an de System an a liwweren déi technesch Fakten, déi Är Juriste fir déi juristesch Bewäertung brauchen.

Wou ginn eis Donnéeë gehost a veraarbecht?

Op Plazen, déi mir mat Iech festleeën, ier mir bauen: an Ärem eegene Cloud-Tenant, an enger EU-Regioun vun enger ëffentlecher Cloud oder op Ärer eegener Infrastruktur fir sensibel Workloads. Hosting- a KI-Servicer ginn entspriechend gewielt, an d’Wiel gëtt mat hiren Exit-Optiounen dokumentéiert.

Wéi froe mir Är Sécherheetsdokumentatioun un?

Iwwer eis Säit Kontakt. Sot eis, wéi eng Dokumenter Dir braucht an no wéi engem Kader Dir Liwwerante bewäert, an déi richteg Leit melle sech bei Iech.

Frot no de Beweiser

Sot eis, no wéi engem Kader Dir Liwwerante bewäert a wéi eng Dokumenter Dir braucht. Mir soen Iech, wat mir deele kënnen a wéi.

Sécherheets­dokumenter ufroenIwwer FromNine