Saltar para o conteúdo principal
FromNine
Menu

Confiança e conformidade

Confiança e conformidade para organizações reguladas

A FromNine tem certificação ISO/IEC 27001. Esta página explica como protegemos os seus sistemas e dados enquanto fornecedor, o que contribuímos para as suas obrigações ao abrigo do Regime Jurídico da Cibersegurança (NIS2), do DORA e do Regulamento da Inteligência Artificial (Regulamento da IA), e como pedir a nossa documentação de segurança.

Para entidades públicas e empresas reguladas em Portugal, onde as regras da UE se aplicam sob a supervisão de autoridades nacionais.

Pedir documentação de segurançaOs nossos compromissos

Os nossos compromissos

Cinco compromissos em cada projeto

Entidades públicas e empresas reguladas confiam-nos dados sensíveis e sistemas que apoiam decisões reais. É isto que nos podem exigir.

  • Gestão da segurança da informação

    Com certificação

    O nosso sistema de gestão da segurança da informação tem certificação ISO/IEC 27001, a norma internacional para a gestão da segurança da informação. Os controlos, a gestão de fornecedores e o tratamento de incidentes seguem esse sistema em cada projeto.

    O acesso aos seus sistemas e dados é acordado antes do início do trabalho, limitado ao que o trabalho exige e revisto quando a equipa muda.

    Certificação ISO/IEC 27001

  • Dados pessoais e RGPD

    Como trabalhamos

    Finalidades, limites de acesso e prazos de conservação são acordados antes de construirmos. Quando tratamos dados pessoais por conta da sua organização, atuamos como subcontratante ao abrigo de um acordo de tratamento de dados, como exige o artigo 28.º do RGPD.

    Quando o tratamento for suscetível de implicar um risco elevado, fornecemos os elementos técnicos para a sua avaliação de impacto sobre a proteção de dados.

  • Supervisão humana da IA

    Como trabalhamos

    Cada caso de uso de IA é classificado consigo na fase de descoberta. Os passos de aprovação, o registo de eventos e a documentação técnica são integrados no sistema desde a primeira versão, e não acrescentados antes de uma auditoria. Os agentes trabalham com permissões delimitadas e pedem aprovação antes dos passos com consequências.

  • Acessibilidade

    Como trabalhamos

    Concebemos e testamos as interfaces segundo a EN 301 549 e a WCAG 2.2, nível AA, com verificações automáticas e revisão manual com tecnologias de apoio, e entregamos um relatório de conformidade que lista os problemas conhecidos.

  • Dados alojados na UE

    Por projeto

    As regiões de alojamento, o controlo das chaves de cifragem e os locais de onde se presta suporte são decididos consigo antes de construirmos e ficam escritos na arquitetura, incluindo opções soberanas quando os seus requisitos o exigem.

Esta página descreve a forma como trabalhamos enquanto fornecedor. Não é uma declaração de conformidade em nome da sua organização: as obrigações aplicáveis dependem da sua organização e do seu caso de uso, e a avaliação jurídica cabe aos seus advogados.

NIS2

NIS2: apoio à segurança da sua cadeia de abastecimento

A Diretiva NIS2, Diretiva (UE) 2022/2555, exige que as entidades essenciais e importantes giram os riscos de cibersegurança dos seus sistemas de rede e informação. A segurança da cadeia de abastecimento é uma das medidas mínimas do artigo 21.º, n.º 2, e o artigo 21.º, n.º 3, pede às entidades que tenham em conta as práticas de segurança dos seus fornecedores diretos e prestadores de serviços. Em Portugal, a diretiva foi transposta pelo Decreto-Lei n.º 125/2025, que aprova o Regime Jurídico da Cibersegurança e está em vigor desde 3 de abril de 2026; o Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional de cibersegurança.

Enquanto seu fornecedor, tornamos mais fácil demonstrar essa parte do seu dever. Cláusulas de segurança, canais de incidentes e gestão de vulnerabilidades são acordados em cada contrato, e os controlos aplicáveis ao seu projeto ficam documentados para que o seu processo de risco de fornecedores os possa avaliar. Se e como o Regime Jurídico da Cibersegurança se aplica à sua organização continua a ser uma avaliação sua.

  • Cláusulas de segurança no contrato

    Acesso, subcontratação, notificação de incidentes e cooperação com auditorias são acordados por escrito, não presumidos.

  • Um canal de incidentes que funciona

    Contactos designados e prazos acordados, para que um incidente do nosso lado lhe chegue a tempo do alerta rápido que a NIS2 prevê no prazo de 24 horas (artigo 23.º, n.º 4).

  • Gestão de vulnerabilidades

    As análises de dependências, código e infraestrutura correm no pipeline de entrega, e as conclusões são corrigidas ou comunicadas pelo canal acordado.

  • Evidências a pedido

    O nosso certificado ISO/IEC 27001 e uma descrição dos controlos aplicáveis ao seu projeto.

DORA

DORA: risco associado às TIC devido a terceiros nas entidades financeiras

O Regulamento (UE) 2022/2554, relativo à resiliência operacional digital do setor financeiro (DORA), aplica-se desde 17 de janeiro de 2025. Bancos, seguradoras, empresas de investimento, instituições de pagamento e outras entidades financeiras têm de gerir o risco associado às TIC devido a terceiros no seu quadro de gestão do risco associado às TIC, manter um registo de informações sobre todos os acordos contratuais de serviços de TIC (artigo 28.º) e incluir disposições contratuais essenciais nesses contratos (artigo 30.º).

Quando prestamos serviços de TIC a uma entidade financeira, acordamos as disposições enumeradas no artigo 30.º: uma descrição completa dos serviços, os locais onde são prestados e onde os dados são tratados, assistência em caso de incidente de TIC, cooperação com as suas autoridades competentes e direitos de rescisão. Nos serviços que apoiam funções críticas ou importantes, o contrato abrange também estratégias de saída e a nossa participação nos seus testes de resiliência.

Fornecemos a informação de que o seu registo de informações precisa e documentamos planos de saída desde o início, para que a mudança de fornecedor continue a ser uma opção realista. Em Portugal, as autoridades competentes para efeitos do DORA são o Banco de Portugal, a Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) e a Comissão do Mercado de Valores Mobiliários (CMVM), cada uma relativamente às entidades que supervisiona (Lei n.º 73/2025, de 23 de dezembro).

Regulamento da IA

Regulamento da IA: supervisão humana e documentação desde o desenho

O Regulamento da IA, Regulamento (UE) 2024/1689, aplica-se por fases. As práticas proibidas e a literacia em IA aplicam-se desde fevereiro de 2025, e as obrigações de transparência do artigo 50.º desde agosto de 2026. Com a alteração de 2026 pelo Regulamento (UE) 2026/1744, as regras para os sistemas de risco elevado enumerados no anexo III aplicam-se a partir de 2 de dezembro de 2027.

Para os sistemas de risco elevado, o regulamento exige documentação técnica (artigo 11.º), registo automático de eventos (artigo 12.º) e uma conceção que permita às pessoas uma supervisão eficaz (artigo 14.º), e os responsáveis pela implantação têm de atribuir essa supervisão a pessoas com a competência e a autoridade necessárias (artigo 26.º). Construímos para isso desde a primeira versão: os passos de aprovação e a possibilidade de anular ficam onde as decisões afetam pessoas, e a documentação é escrita a par do código.

Se a sua organização atua como prestador ou como responsável pela implantação depende da forma como o sistema é colocado em serviço. Essa questão faz parte da avaliação jurídica, que cabe aos seus advogados; nós fornecemos os factos técnicos de que precisa. Na lista da Comissão Europeia, a ANACOM surge como ponto de contacto único de Portugal para a fiscalização do Regulamento da IA, com a designação nacional ainda pendente (à data de novembro de 2026).

Na entrega

Segurança em todas as etapas da entrega

As evidências de conformidade nascem da forma como o trabalho é feito, não de um documento escrito no fim.

  • Acesso com privilégio mínimo

    O acesso aos seus ambientes e dados limita-se ao que o trabalho exige, é acordado antes do início e revisto sempre que a equipa muda.

  • Alterações revistas e analisadas

    As alterações são revistas por pares antes de entrarem em produção. As análises de dependências, código e infraestrutura correm automaticamente, e os testes de segurança são planeados por versão.

  • Incidentes tratados segundo um processo acordado

    A classificação dos incidentes, os contactos de notificação e a recolha de evidências são acordados no início e integrados no processo de incidentes quando a NIS2 ou o DORA se aplicam à sua organização.

  • Passagem e saída documentadas

    Runbooks, decisões de arquitetura e modelos de dados são entregues com o sistema, e os planos de saída mantêm visíveis desde o início a devolução dos dados e os custos de mudança.

Avaliação de fornecedores

Peça a nossa documentação de segurança

As equipas de compras, de segurança e jurídicas precisam de evidências antes de assinar um contrato. Peça-nos o certificado ISO/IEC 27001 e o respetivo âmbito, respostas ao seu questionário de segurança de fornecedores e as condições de tratamento de dados que se aplicariam ao seu projeto.

Envie o pedido através da página de contactos e indique o referencial com que avalia fornecedores, como o Regime Jurídico da Cibersegurança, o DORA ou uma base de segurança nacional. As pessoas certas entram em contacto consigo.

  • Contacte-nosMencione a documentação de segurança na sua mensagem.
  • Aviso legalDados da empresa e de registo para o seu registo de fornecedores.

Portugal

Uma base comum na UE, supervisores nacionais

O RGPD, o DORA e o Regulamento da IA são regulamentos diretamente aplicáveis em toda a União. A NIS2 é uma diretiva: em Portugal foi transposta pelo Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança), em vigor desde 3 de abril de 2026. A supervisão é nacional: o Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional de cibersegurança; para efeitos do DORA, o Banco de Portugal, a ASF e a CMVM, cada uma relativamente às entidades que supervisiona (Lei n.º 73/2025); para o RGPD, a Comissão Nacional de Proteção de Dados (CNPD). Nos programas que abrangem vários países, acordamos um único conjunto de controlos e associamos cada canal de incidentes à autoridade a que a entidade em causa reporta.

Perguntas das equipas de compras e de segurança

A FromNine tem certificação ISO/IEC 27001?

Sim. O nosso sistema de gestão da segurança da informação tem certificação ISO/IEC 27001. Partilhamos o certificado e o respetivo âmbito a pedido, no quadro da sua avaliação de fornecedores.

Como apoiam, enquanto fornecedor, as nossas obrigações ao abrigo da NIS2?

Acordamos no contrato cláusulas de segurança, canais de notificação de incidentes e a gestão de vulnerabilidades, documentamos os controlos aplicáveis ao seu projeto e fornecemos as evidências de que a sua avaliação de risco de fornecedores precisa. Se e como o Regime Jurídico da Cibersegurança se aplica à sua organização é uma avaliação que cabe à sua organização e aos seus advogados.

Aceitam as disposições contratuais que o DORA exige?

Sim. Acordamos as disposições do artigo 30.º do DORA, notificamos incidentes pelo canal acordado, documentamos planos de saída, participamos em testes de resiliência e fornecemos a informação de que o seu registo de informações precisa.

Quem é responsável pela conformidade com o Regulamento da IA?

Depende do seu papel, como prestador ou como responsável pela implantação, e da classe de risco do caso de uso. Classificamos cada caso de uso consigo na fase de descoberta, integramos no sistema a supervisão, o registo de eventos e a documentação, e fornecemos os factos técnicos de que os seus advogados precisam para a avaliação jurídica.

Onde vão ser alojados e tratados os nossos dados?

Em locais acordados consigo antes de construirmos: na sua própria subscrição de cloud, numa região da UE de uma cloud pública ou nas suas instalações, para cargas de trabalho sensíveis. O alojamento e os serviços de IA são escolhidos em conformidade, e a escolha fica documentada com as respetivas opções de saída.

Como podemos pedir a documentação de segurança da FromNine?

Através da página de contactos. Indique os documentos de que precisa e o referencial com que avalia fornecedores, e as pessoas certas entram em contacto consigo.

Peça as evidências

Indique o referencial com que avalia fornecedores e os documentos de que precisa. Dizemos-lhe o que podemos partilhar e de que forma.

Pedir documentação de segurançaSobre a FromNine