Vertrouwen en compliance
Vertrouwen en compliance voor gereguleerde organisaties
FromNine is ISO/IEC 27001-gecertificeerd. Op deze pagina leest u hoe wij als leverancier uw systemen en gegevens beschermen, wat wij bijdragen aan uw verplichtingen onder NIS2, DORA en de AI-verordening, en hoe u onze beveiligingsdocumentatie opvraagt.
Voor Belgische overheden, financiële instellingen en ondernemingen die onder de NIS2-wet vallen, vanuit onze kantoren in Antwerpen en Gent.
Onze afspraken
Vijf afspraken in elke opdracht
Overheden en gereguleerde bedrijven vertrouwen ons gevoelige gegevens toe, en systemen die echte beslissingen ondersteunen. Hierop kunnen zij ons aanspreken.
Beheer van informatiebeveiliging
GecertificeerdOns managementsysteem voor informatiebeveiliging is gecertificeerd volgens ISO/IEC 27001, de internationale norm voor het beheer van informatiebeveiliging. Beveiligingsmaatregelen, leveranciersbeheer en incidentafhandeling volgen dat systeem in elke opdracht.
Toegang tot uw systemen en gegevens spreken we af voordat het werk begint. We beperken die tot wat het werk vraagt en herzien ze telkens wanneer het team wijzigt.
ISO/IEC 27001-gecertificeerd
Persoonsgegevens en AVG
Hoe we werkenDoelen, toegangsgrenzen en bewaartermijnen spreken we af voordat we bouwen. Verwerken we persoonsgegevens in uw opdracht, dan treden we op als verwerker op basis van een verwerkersovereenkomst, zoals artikel 28 van de AVG vereist.
Brengt een verwerking waarschijnlijk een hoog risico mee, dan leveren we de technische input voor uw gegevensbeschermingseffectbeoordeling (DPIA).
Menselijk toezicht op AI
Hoe we werkenElke AI-toepassing classificeren we samen met u tijdens de verkenning. Goedkeuringsstappen, logging en technische documentatie zitten vanaf de eerste release in het systeem en worden niet pas vlak voor een audit toegevoegd. Agents werken met afgebakende rechten en vragen goedkeuring vóór stappen met gevolgen.
Toegankelijkheid
Hoe we werkenWe ontwerpen en testen interfaces volgens EN 301 549 en WCAG 2.2 niveau AA, met geautomatiseerde controles en handmatige beoordeling met hulptechnologie, en leveren een conformiteitsrapport met de bekende problemen.
Dataresidentie in de EU
Per opdrachtHostingregio’s, het beheer van encryptiesleutels en de locaties van waaruit support toegang heeft, bepalen we samen met u voordat we bouwen. We leggen ze vast in de architectuur, inclusief soevereine opties waar uw eisen daarom vragen.
Deze pagina beschrijft hoe wij als leverancier werken. Ze is geen verklaring van naleving namens u: welke verplichtingen gelden, hangt af van uw organisatie en uw toepassing, en de juridische beoordeling blijft bij uw eigen juristen.
NIS2
NIS2: steun voor de beveiliging van uw toeleveringsketen
De NIS2-richtlijn, Richtlijn (EU) 2022/2555, verplicht essentiële en belangrijke entiteiten om de cyberbeveiligingsrisico’s voor hun netwerk- en informatiesystemen te beheersen. De beveiliging van de toeleveringsketen is een van de minimale maatregelen uit artikel 21, lid 2. Artikel 21, lid 3, vraagt entiteiten bovendien rekening te houden met de beveiligingspraktijken van hun rechtstreekse leveranciers en dienstverleners.
Als uw leverancier maken we dat deel van uw verplichtingen beter aantoonbaar. Beveiligingsclausules, meldkanalen voor incidenten en de aanpak van kwetsbaarheden spreken we per contract af, en de maatregelen die voor uw opdracht gelden, documenteren we zo dat uw beoordeling van leveranciersrisico’s ze kan toetsen. Of en hoe de nationale NIS2-regels op uw organisatie van toepassing zijn, blijft uw eigen beoordeling.
Beveiligingsclausules in het contract
Toegang, onderaanneming, incidentmelding en medewerking aan audits leggen we schriftelijk vast in plaats van ze te veronderstellen.
Een meldkanaal dat werkt
Vaste contactpersonen en afgesproken termijnen, zodat een incident aan onze kant u op tijd bereikt voor de vroegtijdige waarschuwing die NIS2 binnen 24 uur verwacht (artikel 23, lid 4).
Aanpak van kwetsbaarheden
Scans van afhankelijkheden, code en infrastructuur draaien in de releasepijplijn. Bevindingen lossen we op of melden we via het afgesproken kanaal.
Bewijs op verzoek
Ons ISO/IEC 27001-certificaat en een beschrijving van de maatregelen die voor uw opdracht gelden.
- Cloud- en platformengineeringIncidentprocessen die ook de meldplichten uit NIS2 en DORA ondersteunen.
- Publieke sector en overheidLevering die rekening houdt met NIS2, voor overheidsorganisaties.
DORA
DORA: ICT-risico van derde aanbieders in de financiële sector
De Digital Operational Resilience Act, Verordening (EU) 2022/2554, geldt sinds 17 januari 2025. Banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en andere financiële entiteiten beheren het ICT-risico van derde aanbieders binnen hun kader voor ICT-risicobeheer, houden een informatieregister bij van alle contractuele overeenkomsten over ICT-diensten (artikel 28) en nemen belangrijke contractuele bepalingen op in die overeenkomsten (artikel 30).
Leveren wij ICT-diensten aan een financiële entiteit, dan spreken we de bepalingen uit artikel 30 af: een volledige beschrijving van de diensten, de locaties waar ze worden verleend en waar gegevens worden verwerkt, bijstand bij een ICT-incident, medewerking met uw bevoegde autoriteiten en beëindigingsrechten. Voor diensten die kritieke of belangrijke functies ondersteunen, regelt het contract ook exitstrategieën en onze deelname aan uw weerbaarheidstests.
We leveren de informatie die uw informatieregister nodig heeft, en documenteren exitplannen vanaf het begin, zodat overstappen een realistische optie blijft.
- Financiële dienstverleningGereguleerde AI, weerbare platformen en een beheer dat rond DORA is ontworpen.
AI-verordening
AI-verordening: menselijk toezicht en documentatie in het ontwerp
De AI-verordening, Verordening (EU) 2024/1689, wordt gefaseerd van toepassing. Verboden praktijken en AI-geletterdheid gelden sinds februari 2025, de transparantieverplichtingen van artikel 50 sinds augustus 2026. Volgens de AI-verordening zoals gewijzigd in 2026 door Verordening (EU) 2026/1744 gelden de regels voor systemen met een hoog risico uit bijlage III vanaf 2 december 2027.
Voor systemen met een hoog risico vraagt de verordening technische documentatie (artikel 11), automatische registratie van gebeurtenissen (artikel 12) en een ontwerp waarop mensen doeltreffend toezicht kunnen houden (artikel 14). Gebruiksverantwoordelijken moeten dat toezicht opdragen aan mensen met de nodige bekwaamheid en autoriteit (artikel 26). Daar bouwen we vanaf de eerste release op: goedkeuringsstappen en de mogelijkheid om in te grijpen zitten waar beslissingen mensen raken, en de documentatie groeit mee met de code.
Of uw organisatie aanbieder of gebruiksverantwoordelijke is, hangt af van hoe het systeem in gebruik wordt genomen. Die vraag hoort bij de juridische beoordeling, die bij uw eigen juristen blijft; wij leveren de technische feiten die daarvoor nodig zijn.
- De AI-verordening voor overheidsorganisatiesWat vandaag al geldt, wat in december 2027 volgt en een voorbereidingsplan.
- AI-agents en automatiseringAgents met afgebakende rechten, goedkeuringsstappen en volledige logging.
In de uitvoering
Beveiliging in elke fase van de uitvoering
Bewijs van naleving ontstaat uit de manier waarop het werk wordt gedaan, niet uit een document dat aan het einde wordt geschreven.
Toegang op basis van minimale rechten
Toegang tot uw omgevingen en gegevens is beperkt tot wat het werk vraagt, wordt afgesproken voordat het werk begint en wordt herzien telkens wanneer het team wijzigt.
Beoordeelde en gescande wijzigingen
Wijzigingen worden door collega’s beoordeeld voordat ze live gaan. Scans van afhankelijkheden, code en infrastructuur draaien automatisch, en beveiligingstests worden per release gepland.
Incidenten volgens een afgesproken proces
Classificatie van incidenten, contactpersonen voor meldingen en het verzamelen van bewijs worden bij de start afgesproken, en ingebouwd in het incidentproces waar NIS2 of DORA op u van toepassing is.
Gedocumenteerde overdracht en exit
Runbooks, architectuurbeslissingen en datamodellen worden met het systeem overgedragen, en exitplannen houden de teruggave van gegevens en de kosten van overstappen vanaf het begin zichtbaar.
Due diligence
Vraag onze beveiligingsdocumentatie op
Inkoop-, security- en juridische teams willen bewijs zien voordat een contract wordt getekend. Vraag ons om ons ISO/IEC 27001-certificaat en de reikwijdte ervan, om antwoorden op uw beveiligingsvragenlijst voor leveranciers en om de verwerkingsvoorwaarden die voor uw opdracht zouden gelden.
Stuur uw aanvraag via de contactpagina en vermeld het kader waaraan u leveranciers toetst, bijvoorbeeld NIS2, DORA of een nationale beveiligingsbaseline. De juiste mensen nemen contact met u op.
- Neem contact opVermeld in uw bericht dat het om beveiligingsdocumentatie gaat.
- Juridische informatieBedrijfs- en registratiegegevens voor uw leveranciersdossier.
België
De Belgische NIS2-wet en uw leveranciers
In België zet de wet van 26 april 2024 NIS2 om; ze is van kracht sinds 18 oktober 2024. Het Centrum voor Cybersecurity België (CCB) is de nationale cyberbeveiligingsautoriteit en biedt met het CyberFundamentals-kader een referentie voor de maatregelen die van entiteiten verwacht worden, ook voor de beveiliging van hun toeleveringsketen. Financiële instellingen passen DORA toe onder toezicht van de Nationale Bank van België en de FSMA, en de Gegevensbeschermingsautoriteit (GBA) ziet toe op de AVG. Wij stemmen contractclausules, meldkanalen en bewijsstukken af op het kader dat u zelf hanteert.
- NIS2-wetNIS2-wet van 26 april 2024 (CCB) (opent een externe website)
- CyberFundamentalsCyberFundamentals-raamwerk (CyFun) van het CCB (opent een externe website)
- DORAVerordening (EU) 2022/2554 betreffende digitale operationele weerbaarheid voor de financiële sector (DORA) (opent een externe website)
- AVGAlgemene verordening gegevensbescherming (AVG) (opent een externe website)
Vragen van inkoop- en securityteams
Is FromNine ISO/IEC 27001-gecertificeerd?
Ja. Ons managementsysteem voor informatiebeveiliging is gecertificeerd volgens ISO/IEC 27001. Het certificaat en de reikwijdte ervan delen we op verzoek, als onderdeel van uw due diligence.
Hoe ondersteunt u als leverancier onze NIS2-verplichtingen?
We spreken beveiligingsclausules, meldkanalen voor incidenten en de aanpak van kwetsbaarheden af in het contract, documenteren de maatregelen die voor uw opdracht gelden en geven u het bewijs dat uw beoordeling van leveranciersrisico’s nodig heeft. Of en hoe NIS2 op uw organisatie van toepassing is, beoordeelt u samen met uw juristen.
Spreekt u de contractuele bepalingen af die DORA vereist?
Ja. We spreken de bepalingen uit artikel 30 van DORA af, melden incidenten via het afgesproken kanaal, documenteren exitplannen, nemen deel aan weerbaarheidstests en leveren de informatie die uw informatieregister nodig heeft.
Wie is verantwoordelijk voor naleving van de AI-verordening?
Dat hangt af van uw rol, als aanbieder of gebruiksverantwoordelijke, en van de risicoklasse van de toepassing. We classificeren elke toepassing samen met u tijdens de verkenning, bouwen toezicht, logging en documentatie in het systeem in en leveren de technische feiten die uw juristen nodig hebben voor de juridische beoordeling.
Waar worden onze gegevens gehost en verwerkt?
Op locaties die we vóór de bouw met u afspreken: in uw eigen cloudomgeving, in een EU-regio van een publieke cloud of on-premises voor gevoelige workloads. Hosting- en AI-diensten kiezen we daarop, en de keuze documenteren we met de bijbehorende exitopties.
Hoe vragen we uw beveiligingsdocumentatie op?
Via de contactpagina. Laat ons weten welke documenten u nodig hebt en aan welk kader u leveranciers toetst, dan nemen de juiste mensen contact met u op.
Vraag het bewijs op
Laat ons weten aan welk kader u leveranciers toetst, CyberFundamentals, ISO/IEC 27001 of uw eigen vragenlijst, en welke documenten u nodig hebt. Een eerste gesprek kan in Antwerpen, in Gent of bij u ter plaatse.