Fiduċja u konformità
Fiduċja u konformità għal organizzazzjonijiet regolati
FromNine għandha ċertifikazzjoni ISO/IEC 27001. Din il-paġna tispjega kif nipproteġu s-sistemi u d-data tiegħek bħala fornitur, x’nikkontribwixxu għall-obbligi tiegħek taħt in-NIS2, id-DORA u l-Att dwar l-Intelliġenza Artifiċjali, u kif titlob id-dokumentazzjoni tas-sigurtà tagħna.
Għal istituzzjonijiet pubbliċi u kumpaniji regolati f’Malta, fejn awtoritajiet nazzjonali bħall-MFSA, id-Dipartiment tas-CIP u l-IDPC jissorveljaw ir-regoli tal-UE.
L-impenji tagħna
Ħames impenji f’kull proġett
L-istituzzjonijiet pubbliċi u l-kumpaniji regolati jafdawna b’data sensittiva u b’sistemi li jappoġġaw deċiżjonijiet reali. Dan huwa dak li jistgħu jżommuna responsabbli għalih.
Ġestjoni tas-sigurtà tal-informazzjoni
IċċertifikatIs-sistema tagħna tal-ġestjoni tas-sigurtà tal-informazzjoni hija ċċertifikata skont ISO/IEC 27001, l-istandard internazzjonali għall-ġestjoni tas-sigurtà tal-informazzjoni. Il-kontrolli, il-ġestjoni tal-fornituri u t-trattament tal-inċidenti jsegwu dik is-sistema f’kull proġett.
L-aċċess għas-sistemi u għad-data tiegħek jiġi miftiehem qabel jibda x-xogħol, huwa limitat għal dak li jeħtieġ ix-xogħol u jiġi rivedut meta jinbidel it-tim.
Ċertifikazzjoni ISO/IEC 27001
Data personali u l-GDPR
Kif naħdmuL-għanijiet, il-limiti tal-aċċess u ż-żmien taż-żamma jiġu miftiehma qabel nibnu. Fejn nipproċessaw data personali f’ismek, naġixxu bħala l-proċessur tiegħek taħt ftehim dwar l-ipproċessar tad-data, kif jitlob l-Artikolu 28 tal-GDPR.
Fejn l-ipproċessar x’aktarx jirriżulta f’riskju għoli, nagħtu l-input tekniku għall-valutazzjoni tal-impatt fuq il-protezzjoni tad-data tiegħek.
Sorveljanza mill-bniedem fl-AI
Kif naħdmuKull każ ta’ użu tal-AI jiġi kklassifikat miegħek fl-istadju tal-fehim. Il-passi ta’ approvazzjoni, il-logs u d-dokumentazzjoni teknika jinbnew fis-sistema mill-ewwel rilaxx, mhux jiżdiedu qabel awditu. L-aġenti jaħdmu b’permessi limitati u jitolbu approvazzjoni qabel passi b’konsegwenzi.
Aċċessibbiltà
Kif naħdmuNiddisinjaw u nittestjaw l-interfaċċi skont l-EN 301 549 u WCAG 2.2 livell AA, b’kontrolli awtomatiċi u b’reviżjoni manwali b’teknoloġija assistiva, u nagħtu rapport ta’ konformità li jelenka kull problema magħrufa.
Id-data tibqa’ fl-UE
Għal kull proġettIr-reġjuni tal-hosting, il-kontroll taċ-ċwievet tal-kriptaġġ u l-postijiet minn fejn jingħata l-appoġġ jiġu deċiżi miegħek qabel nibnu u jinkitbu fl-arkitettura, inkluż għażliet sovrani fejn ir-rekwiżiti tiegħek jitolbu dan.
Din il-paġna tiddeskrivi kif naħdmu bħala fornitur. Mhijiex dikjarazzjoni ta’ konformità f’ismek: liema obbligi japplikaw jiddependi mill-organizzazzjoni tiegħek u mill-każ ta’ użu, u l-valutazzjoni legali tibqa’ f’idejn il-konsulenti legali tiegħek.
NIS2
NIS2: appoġġ għas-sigurtà tal-katina tal-provvista tiegħek
Id-Direttiva NIS 2, id-Direttiva (UE) 2022/2555, tobbliga lill-entitajiet essenzjali u importanti jimmaniġġjaw ir-riskji taċ-ċibersigurtà għan-netwerks u għas-sistemi tal-informazzjoni tagħhom. Is-sigurtà tal-katina tal-provvista hija waħda mill-miżuri minimi tal-Artikolu 21(2), u l-Artikolu 21(3) jitlob lill-entitajiet iqisu l-prattiki tas-sigurtà tal-fornituri diretti tagħhom. F’Malta d-direttiva ġiet trasposta bl-Ordni NIS2 ta’ Malta (A.L. 71 tal-2025, L.S. 460.41), fis-seħħ mit-23 ta’ Jannar 2026: id-Dipartiment tas-CIP huwa l-awtorità superviżorja nazzjonali u jħaddem is-sistema ta’ awtoreġistrazzjoni, u mis-7 ta’ April 2026 is-CSIRT nazzjonali huwa mwaqqaf fi ħdan il-MITA.
Bħala l-fornitur tiegħek, nagħmlulek eħfef li turi li qed tissodisfa din il-parti tad-dmir tiegħek. Il-klawżoli tas-sigurtà, il-kanali tal-inċidenti u t-trattament tal-vulnerabbiltajiet jiġu miftiehma f’kull kuntratt, u l-kontrolli li japplikaw għall-proġett tiegħek jiġu dokumentati biex il-proċess tiegħek tar-riskju tal-fornituri jkun jista’ jivvalutahom. Jekk u kif japplika l-Ordni NIS2 ta’ Malta għall-organizzazzjoni tiegħek tibqa’ l-valutazzjoni tiegħek.
Klawżoli tas-sigurtà fil-kuntratt
L-aċċess, is-sottokuntrattar, in-notifika tal-inċidenti u l-kooperazzjoni mal-awditi jiġu miftiehma bil-miktub, mhux meqjusa bħala mogħtija.
Kanal tal-inċidenti li jaħdem
Kuntatti bl-isem u skadenzi miftiehma, biex inċident min-naħa tagħna jasal għandek fil-ħin għat-twissija bikrija li n-NIS2 titlob fi żmien 24 siegħa (l-Artikolu 23(4)), f’Malta lis-CSIRT nazzjonali.
Trattament tal-vulnerabbiltajiet
Skans tad-dipendenzi, tal-kodiċi u tal-infrastruttura jsiru fil-proċess tar-rilaxx, u s-sejbiet jiġu rranġati jew irrappurtati permezz tal-kanal miftiehem.
Evidenza meta titlobha
Iċ-ċertifikat ISO/IEC 27001 tagħna u deskrizzjoni tal-kontrolli li japplikaw għall-proġett tiegħek.
- Cloud u inġinerija tal-pjattaformiProċessi tal-inċidenti li jservu wkoll l-obbligi ta’ rappurtar taħt in-NIS2 u d-DORA.
- Settur pubblikuKonsenja għall-amministrazzjoni pubblika li tqis in-NIS2.
DORA
DORA: ir-riskju tal-fornituri terzi tal-ICT fis-settur finanzjarju
Ir-Regolament dwar ir-Reżiljenza Operazzjonali Diġitali, ir-Regolament (UE) 2022/2554, japplika mis-17 ta’ Jannar 2025. Il-banek, l-impriżi tal-assigurazzjoni, id-ditti tal-investiment, l-istituzzjonijiet tal-pagament u entitajiet finanzjarji oħra jridu jimmaniġġjaw ir-riskju tal-fornituri terzi tal-ICT fi ħdan il-qafas tagħhom tal-ġestjoni tar-riskju tal-ICT, iżommu reġistru tal-informazzjoni dwar l-arranġamenti kuntrattwali kollha għal servizzi tal-ICT (l-Artikolu 28) u jinkludu dispożizzjonijiet kuntrattwali ewlenin f’dawk il-kuntratti (l-Artikolu 30). F’Malta l-MFSA hija l-awtorità kompetenti għad-DORA, bla ħsara għall-Bank Ċentrali Ewropew għall-istituzzjonijiet ta’ kreditu sinifikanti, u l-inċidenti kbar relatati mal-ICT jiġu rrappurtati permezz tas-CRMS fil-Licence Holder Portal.
Meta nipprovdu servizzi tal-ICT lil entità finanzjarja, naqblu d-dispożizzjonijiet li jelenka l-Artikolu 30: deskrizzjoni sħiħa tas-servizzi, il-postijiet fejn jingħataw u fejn tiġi pproċessata d-data, għajnuna meta jseħħ inċident tal-ICT, kooperazzjoni mal-awtoritajiet kompetenti tiegħek u drittijiet ta’ terminazzjoni. Għal servizzi li jappoġġaw funzjonijiet kritiċi jew importanti, il-kuntratt ikopri wkoll strateġiji ta’ ħruġ u l-parteċipazzjoni tagħna fl-ittestjar tar-reżiljenza tiegħek.
Nagħtu l-informazzjoni li jeħtieġ ir-reġistru tal-informazzjoni tiegħek, u niddokumentaw il-pjanijiet ta’ ħruġ mill-bidu biex il-bidla ta’ fornitur tibqa’ għażla realistika.
- Servizzi finanzjarjiAI regolata, pjattaformi reżiljenti u operazzjonijiet iddisinjati madwar id-DORA.
Att dwar l-Intelliġenza Artifiċjali
L-Att dwar l-Intelliġenza Artifiċjali: sorveljanza u dokumentazzjoni mid-disinn
L-Att dwar l-Intelliġenza Artifiċjali, ir-Regolament (UE) 2024/1689, japplika gradwalment. Il-prattiki pprojbiti u l-litteriżmu fl-AI japplikaw mit-2 ta’ Frar 2025, u l-obbligi ta’ trasparenza tal-Artikolu 50 mit-2 ta’ Awwissu 2026. Kif emendat fl-2026 bir-Regolament (UE) 2026/1744, ir-regoli għas-sistemi b’riskju għoli elenkati fl-Anness III japplikaw mit-2 ta’ Diċembru 2027. F’Malta l-Awtorità tal-Innovazzjoni Diġitali ta’ Malta (MDIA) hija l-awtorità ewlenija tas-sorveljanza tas-suq, u l-IDPC huwa l-awtorità tas-sorveljanza tas-suq għal ċerti sistemi tal-Anness III (A.L. 226 u 227 tal-2025).
Għas-sistemi b’riskju għoli, l-Att jitlob dokumentazzjoni teknika (l-Artikolu 11), reġistrazzjoni awtomatika tal-avvenimenti (l-Artikolu 12) u disinn li n-nies jistgħu jissorveljaw b’mod effettiv (l-Artikolu 14), u l-implimentaturi jridu jafdaw dik is-sorveljanza lil persuni bil-kompetenza u l-awtorità li jaġixxu (l-Artikolu 26). Nibnu għal dan mill-ewwel rilaxx: il-passi ta’ approvazzjoni u l-possibbiltà li deċiżjoni titwarrab jinsabu fejn id-deċiżjonijiet jolqtu lin-nies, u d-dokumentazzjoni tinkiteb flimkien mal-kodiċi.
Jekk l-organizzazzjoni tiegħek taġixxix bħala fornitur jew bħala implimentatur jiddependi minn kif is-sistema titqiegħed fis-servizz. Dik il-mistoqsija hija parti mill-valutazzjoni legali, li tibqa’ f’idejn il-konsulenti legali tiegħek; aħna nagħtu l-fatti tekniċi li teħtieġ.
- L-Att dwar l-Intelliġenza Artifiċjali għall-entitajiet pubbliċiX’japplika llum, x’jiġi f’Diċembru 2027, u pjan ta’ tħejjija.
- Aġenti tal-AI u awtomazzjoniAġenti b’permessi limitati, punti ta’ approvazzjoni u logs kompluti.
Fil-konsenja
Is-sigurtà f’kull stadju tal-konsenja
L-evidenza tal-konformità toħroġ mill-mod kif isir ix-xogħol, mhux minn dokument miktub fl-aħħar.
Aċċess limitat għal dak li hu meħtieġ
L-aċċess għall-ambjenti u għad-data tiegħek huwa limitat għal dak li jeħtieġ ix-xogħol, jiġi miftiehem qabel jibda x-xogħol u jiġi rivedut kull darba li jinbidel it-tim.
Bidliet riveduti u skannjati
Il-bidliet jiġu riveduti minn kollega qabel joħorġu. Skans tad-dipendenzi, tal-kodiċi u tal-infrastruttura jsiru awtomatikament, u t-testijiet tas-sigurtà jiġu ppjanati għal kull rilaxx.
Inċidenti ttrattati skont proċess miftiehem
Il-klassifikazzjoni tal-inċidenti, il-kuntatti għan-notifika u l-ġbir tal-evidenza jiġu miftiehma fil-bidu, u jinbnew fil-proċess tal-inċidenti fejn in-NIS2 jew id-DORA japplikaw għalik.
Konsenja u ħruġ dokumentati
Il-manwali operattivi, id-deċiżjonijiet tal-arkitettura u l-mudelli tad-data jingħaddu flimkien mas-sistema, u l-pjanijiet ta’ ħruġ iżommu viżibbli mill-bidu r-ritorn tad-data u l-ispejjeż tal-bidla ta’ fornitur.
Diliġenza dovuta
Itlob id-dokumentazzjoni tas-sigurtà tagħna
It-timijiet tal-akkwist, tas-sigurtà u legali jeħtieġu evidenza qabel jiġi ffirmat kuntratt. Itlobna ċ-ċertifikat ISO/IEC 27001 tagħna u l-ambitu tiegħu, it-tweġibiet għall-kwestjonarju tas-sigurtà tal-fornituri tiegħek u t-termini tal-ipproċessar tad-data li japplikaw għall-proġett tiegħek.
Ibgħat it-talba tiegħek mill-paġna tal-kuntatt u semmi l-qafas li bih tivvaluta l-fornituri, bħall-Ordni NIS2 ta’ Malta, id-DORA jew linja bażi nazzjonali tas-sigurtà. In-nies it-tajba jikkuntattjawk.
- IkkuntattjanaSemmi d-dokumentazzjoni tas-sigurtà fil-messaġġ tiegħek.
- Avviż legaliId-dettalji tal-kumpanija u tar-reġistrazzjoni għar-rekords tal-fornituri tiegħek.
Malta
Bażi waħda tal-UE, superviżuri Maltin
Il-GDPR, id-DORA u l-Att dwar l-Intelliġenza Artifiċjali huma regolamenti li japplikaw direttament fl-Unjoni kollha. In-NIS2 hija direttiva, u f’Malta ġiet trasposta bl-Ordni NIS2 ta’ Malta, fis-seħħ mit-23 ta’ Jannar 2026 u emendat f’April 2026.
Is-superviżjoni f’Malta hija nazzjonali: id-Dipartiment tas-CIP għan-NIS2, l-MFSA għad-DORA (il-Bank Ċentrali Ewropew għall-istituzzjonijiet ta’ kreditu sinifikanti), l-IDPC għall-GDPR, u l-MDIA bħala l-awtorità ewlenija tas-sorveljanza tas-suq taħt l-Att dwar l-Intelliġenza Artifiċjali. Għal programmi f’diversi pajjiżi, naqblu sett wieħed ta’ kontrolli u norbtu kull kanal tal-inċidenti mal-awtorità li lilha tirrapporta l-entità kkonċernata.
- Ordni NIS2 ta’ MaltaOrdni tal-2025 dwar Miżuri għal Livell Għoli Komuni taċ-Ċibersigurtà madwar l-Unjoni Ewropea (Malta), bid-Dipartiment għall-Ħarsien tal-Infrastruttura Kritika bħala l-awtorità kompetenti (jiftaħ sit estern)
- Direttiva NIS 2Direttiva (UE) 2022/2555 dwar miżuri għal livell għoli komuni ta’ ċibersigurtà madwar l-Unjoni kollha (Direttiva NIS 2) (jiftaħ sit estern)
- DORARegolament (UE) 2022/2554 dwar ir-reżiljenza operazzjonali diġitali għas-settur finanzjarju (DORA) (jiftaħ sit estern)
- Att dwar l-Intelliġenza ArtifiċjaliRegolament (UE) 2024/1689 li jistabbilixxi regoli armonizzati dwar l-intelliġenza artifiċjali (l-Att dwar l-Intelliġenza Artifiċjali) (jiftaħ sit estern)
- Ħatriet taħt l-Att dwar l-AIL-Avviżi Legali 226 u 227 tal-2025: l-Awtorità tal-Innovazzjoni Diġitali ta’ Malta (MDIA) bħala l-awtorità ewlenija tas-sorveljanza tas-suq, u l-Kummissarju għall-Informazzjoni u l-Protezzjoni tad-Data (IDPC) għal ċerti sistemi tal-AI b’riskju għoli tal-Anness III (jiftaħ sit estern)
- Regolament Ġenerali dwar il-Protezzjoni tad-DataRegolament Ġenerali dwar il-Protezzjoni tad-Data (GDPR), Regolament (UE) 2016/679 (jiftaħ sit estern)
Mistoqsijiet mit-timijiet tal-akkwist u tas-sigurtà
FromNine għandha ċertifikazzjoni ISO/IEC 27001?
Iva. Is-sistema tagħna tal-ġestjoni tas-sigurtà tal-informazzjoni hija ċċertifikata skont ISO/IEC 27001. Naqsmu ċ-ċertifikat u l-ambitu tiegħu meta titlobhom, bħala parti mid-diliġenza dovuta tiegħek.
Kif tgħin FromNine fl-obbligi NIS2 tal-organizzazzjoni tiegħi bħala fornitur?
Naqblu fil-kuntratt il-klawżoli tas-sigurtà, il-kanali tan-notifika tal-inċidenti u t-trattament tal-vulnerabbiltajiet, niddokumentaw il-kontrolli li japplikaw għall-proġett tiegħek u nagħtuk l-evidenza li teħtieġ il-valutazzjoni tiegħek tar-riskju tal-fornituri. Jekk u kif japplika l-Ordni NIS2 ta’ Malta għall-organizzazzjoni tiegħek, inkluż ir-reġistrazzjoni mad-Dipartiment tas-CIP, tivvalutah int flimkien mal-konsulenti legali tiegħek.
FromNine taqbel mad-dispożizzjonijiet kuntrattwali li titlob id-DORA?
Iva. Naqblu d-dispożizzjonijiet tal-Artikolu 30 tad-DORA, ninnotifikaw l-inċidenti permezz tal-kanal miftiehem, niddokumentaw il-pjanijiet ta’ ħruġ, nieħdu sehem fl-ittestjar tar-reżiljenza u nagħtu l-informazzjoni li jeħtieġ ir-reġistru tal-informazzjoni tiegħek.
Min hu responsabbli għall-konformità mal-Att dwar l-Intelliġenza Artifiċjali?
Jiddependi mir-rwol tiegħek, bħala fornitur jew bħala implimentatur, u mill-klassi tar-riskju tal-każ ta’ użu. Nikklassifikaw kull każ ta’ użu miegħek fl-istadju tal-fehim, nibnu s-sorveljanza, il-logs u d-dokumentazzjoni fis-sistema, u nagħtu l-fatti tekniċi li jeħtieġu l-konsulenti legali tiegħek għall-valutazzjoni legali.
Fejn se tiġi ospitata u pproċessata d-data tagħna?
F’postijiet miftiehma miegħek qabel nibnu: l-ambjent tal-cloud tiegħek, reġjun tal-UE ta’ cloud pubbliku jew fuq is-servers tiegħek għal xogħol sensittiv. Is-servizzi tal-hosting u tal-AI jintgħażlu skont dan, u l-għażla tiġi dokumentata flimkien mal-għażliet ta’ ħruġ.
Kif nista’ nitlob id-dokumentazzjoni tas-sigurtà ta’ FromNine?
Mill-paġna tal-kuntatt. Għidilna liema dokumenti għandek bżonn u l-qafas li bih tivvaluta l-fornituri, u n-nies it-tajba jikkuntattjawk.
Itlob l-evidenza
Għidilna l-qafas li bih tivvaluta l-fornituri u liema dokumenti għandek bżonn. Ngħidulek x’nistgħu naqsmu, u kif.