Hoppa till huvudinnehållet
FromNine
Meny

Förtroende och regel­efterlevnad

Säkerhet och regelefterlevnad hos din leverantör

Vår informationssäkerhet är certifierad enligt ISO/IEC 27001. Sidan visar hur dina system och uppgifter skyddas när du anlitar oss, vilket stöd du får för cybersäkerhetslagen (124/2025), DORA och AI-förordningen och hur du får tillgång till dokumentationen om vår säkerhet.

För myndigheter, välfärdsområden och reglerade företag i Finland, där nationella lagar och tillsynsmyndigheter kompletterar EU:s regler.

Begär dokumentationVåra åtaganden

Våra åtaganden

Det här lovar vi i alla uppdrag

Ministerier, välfärdsområden och företag under tillsyn låter oss hantera känslig information och system som beslut bygger på. Här är vad de kan kräva av oss.

  • Ledningssystem för informations­säkerhet

    Certifierat

    Informationssäkerheten leds enligt ett system som är certifierat mot ISO/IEC 27001, den internationellt erkända standarden. Systemet styr kontrollerna, uppföljningen av underleverantörer och incidenthanteringen i alla uppdrag.

    Vilka av dina system och uppgifter teamet kommer åt avtalar vi på förhand. Åtkomsten hålls så snäv som möjligt och gås igenom på nytt vid personalbyten.

    ISO/IEC 27001-certifierat

  • Personuppgifter och dataskydd

    Så arbetar vi

    Före utvecklingen kommer vi överens om ändamål, vem som får se vilka uppgifter och hur länge de sparas. Behandlar vi personuppgifter åt dig, agerar vi personuppgiftsbiträde med ett avtal enligt artikel 28 i dataskyddsförordningen.

    Kan behandlingen innebära hög risk, bidrar vi med de tekniska uppgifter som behövs i konsekvensbedömningen.

  • Mänsklig kontroll över AI

    Så arbetar vi

    Redan i förstudien bedömer vi tillsammans hur varje AI-tillämpning ska klassas. Godkännanden, loggar och teknisk dokumentation finns med från första versionen och skrivs inte i efterhand inför en granskning. Agenter får bara snäva behörigheter och väntar på ett mänskligt klartecken innan de gör något som får följder.

  • Tillgänglighet

    Så arbetar vi

    Gränssnitten utformas och testas enligt EN 301 549 och WCAG 2.2 på nivå AA, automatiskt och manuellt med skärmläsare och andra hjälpmedel. Du får en rapport över överensstämmelsen med kända brister, som underlag för det tillgänglighetsutlåtande som lagen om tillhandahållande av digitala tjänster (306/2019) kräver av den som omfattas.

  • Uppgifterna stannar inom EU

    Per uppdrag

    Driftregion, vem som håller krypteringsnycklarna och varifrån supporten får arbeta avgör du tillsammans med oss före utvecklingen. Besluten skrivs in i arkitekturen och kan omfatta suveräna alternativ om dina krav förutsätter det.

Texten gäller vårt eget arbete som leverantör och intygar inte att din organisation uppfyller sina skyldigheter. Vad som gäller hänger på organisationen och tillämpningen, och den rättsliga tolkningen hör till dina jurister.

NIS2

Cybersäkerhetslagen: säkerheten i din leveranskedja

Enligt NIS 2-direktivet, direktiv (EU) 2022/2555, ska väsentliga och viktiga entiteter ha kontroll över cybersäkerhetsriskerna i sina nätverks- och informationssystem. Leveranskedjans säkerhet är en av åtgärderna som räknas upp i artikel 21.2, och artikel 21.3 förutsätter att entiteten tar hänsyn till hur dess direkta leverantörer sköter säkerheten. Finland har genomfört direktivet genom cybersäkerhetslagen (124/2025), i kraft sedan den 8 april 2025. Sektorsmyndigheterna har tillsynen, och Cybersäkerhetscentret vid Traficom fungerar som gemensam kontaktpunkt.

Vi hjälper dig att visa att leverantörsledet är under kontroll. Kontraktet reglerar säkerhetskrav, kanaler för incidenter och hur sårbarheter hanteras, och vi beskriver skriftligt vilka kontroller som gäller för uppdraget, så att de kan bedömas i din leverantörsriskprocess. Huruvida cybersäkerhetslagen gäller just din organisation avgör du själv.

  • Säkerhetsklausuler i avtalet

    Åtkomst, underleverantörer, incidentanmälningar och medverkan vid revision skrivs in i avtalet i stället för att förutsättas.

  • En incidentkanal som fungerar

    Utsedda kontaktpersoner och avtalade tidsgränser gör att du hinner lämna den tidiga varning inom 24 timmar som artikel 23.4 i direktivet kräver, också när incidenten började hos oss.

  • Hantering av sårbarheter

    Leveranskedjan skannar beroenden, kod och infrastruktur automatiskt. Det som hittas rättas till eller meddelas dig via den kanal som vi har avtalat med dig.

  • Bevis på begäran

    Certifikatet enligt ISO/IEC 27001 och en redogörelse för vilka kontroller som tillämpas i just ditt uppdrag.

DORA

DORA: IKT-tredjepartsrisker hos finansiella entiteter

Förordning (EU) 2022/2554 om digital operativ motståndskraft, kallad DORA, har gällt från och med den 17 januari 2025. Den ålägger banker, försäkringsbolag, värdepappersföretag, betalningsinstitut och övriga finansiella entiteter att hantera riskerna med externa IKT-leverantörer som en del av sin IKT-riskhantering. Varje entitet ska ha ett informationsregister över sina avtal om IKT-tjänster (artikel 28), och avtalen ska innehålla de centrala villkor som artikel 30 anger. I Finland övervakar Finansinspektionen finans- och försäkringssektorn, också efterlevnaden av DORA.

Som IKT-leverantör till en finansiell entitet skriver vi in villkoren i artikel 30 i avtalet. Där beskrivs tjänsterna i sin helhet, var de utförs och var uppgifterna behandlas, vilket stöd vi ger vid IKT-incidenter, hur vi samarbetar med de behöriga myndigheterna och när avtalet kan sägas upp. Stöder tjänsten kritiska eller viktiga funktioner, regleras även exitstrategin och vår medverkan när du testar din digitala motståndskraft.

Underlaget till ditt informationsregister får du av oss, och en exitplan finns med från början så att du i praktiken kan byta leverantör.

AI-förordningen

AI-förordningen: mänsklig kontroll och dokumentation från början

AI-förordningen, förordning (EU) 2024/1689, tillämpas stegvis. Förbuden och kravet på AI-kunnighet började gälla i februari 2025, och skyldigheterna om transparens i artikel 50 gäller från augusti 2026. Sedan förordning (EU) 2026/1744 ändrade tidtabellen tillämpas kraven på AI-system med hög risk i bilaga III först från och med den 2 december 2027. I Finland ordnas tillsynen genom lagen om tillsyn över vissa system för artificiell intelligens (1377/2025): Traficom är gemensam kontaktpunkt och övervakar transparensen, dataombudsmannen de förbjudna användningsområdena och sektorsmyndigheterna systemen med hög risk.

Ett system med hög risk ska ha teknisk dokumentation (artikel 11) och automatiska loggar (artikel 12), och det ska vara utformat så att människor faktiskt kan utöva kontroll över det (artikel 14). Tillhandahållaren ska dessutom ge uppgiften att utöva mänsklig kontroll till personer som har tillräcklig kompetens och befogenhet (artikel 26). Det här ingår hos oss redan i första versionen: där ett beslut berör människor finns ett godkännandesteg och en möjlighet att gå emot systemet, och dokumentationen växer fram parallellt med koden.

Huruvida din organisation blir leverantör eller tillhandahållare hänger på hur systemet används. Det avgörs i den rättsliga bedömningen hos dina jurister, och vi står för de tekniska uppgifter som bedömningen kräver.

I leveransen

Säkerheten i leveransens alla skeden

Bevisen för regelefterlevnad uppstår i det dagliga arbetet, inte i en rapport som skrivs i efterhand.

  • Minsta möjliga behörighet

    Teamet får tillgång till precis de miljöer och uppgifter som arbetet förutsätter. Det avtalas på förhand och kontrolleras igen så fort någon kommer till eller lämnar teamet.

  • Granskade och skannade ändringar

    En kollega granskar varje ändring innan den tas i bruk. Beroenden, kod och infrastruktur skannas automatiskt, och varje ny version får sina planerade säkerhetstester.

  • Incidenter enligt en överenskommen process

    Klassificering av incidenter, kontaktpersoner för anmälan och insamling av bevis bestäms i början och blir en del av incidentrutinen när cybersäkerhetslagen eller DORA berör dig.

  • Dokumenterad överlämning och exit

    Driftinstruktioner, arkitekturbeslut och datamodeller följer med systemet vid överlämningen. Exitplanen visar redan från start hur dina uppgifter lämnas tillbaka och vad ett byte skulle kosta.

Granskning av leverantören

Begär vår säkerhets­dokumentation

Upphandlare, säkerhetsansvariga och jurister vill se belägg innan avtalet skrivs under. Du kan få vårt certifikat enligt ISO/IEC 27001 med uppgift om omfattningen, våra svar på ditt säkerhetsformulär för leverantörer och utkastet till villkor för personuppgiftsbehandlingen i ditt uppdrag.

Använd kontaktsidan och skriv vilket ramverk din leverantörsbedömning utgår från, exempelvis cybersäkerhetslagen, DORA eller organisationens egna säkerhetskrav. Därefter hör de som kan svara av sig.

  • Kontakta ossSkriv i meddelandet att det gäller säkerhetsdokumentation.
  • Juridisk informationBolagets namn, adress och registeruppgifter för leverantörsregistret.

Finland

EU:s regler, finländska tillsynsmyndigheter

Dataskyddsförordningen, DORA och AI-förordningen gäller direkt i hela unionen, medan NIS 2-direktivet genomförs i Finland genom cybersäkerhetslagen (124/2025). Tillsynen är nationell: dataombudsmannen för dataskyddet, Finansinspektionen för finans- och försäkringssektorn, sektorsmyndigheter som Transport- och kommunikationsverket, Energimyndigheten och Säkerhets- och kemikalieverket enligt cybersäkerhetslagen, och enligt lagen om tillsyn över vissa system för artificiell intelligens (1377/2025) Traficom, dataombudsmannen och sektorsmyndigheterna för AI-förordningen. Har din koncern bolag också i Sverige eller Baltikum, utgår vi från en gemensam uppsättning säkerhetskontroller och leder varje incidentanmälan till rätt myndighet i respektive land.

Frågor från upphandlare och säkerhetsansvariga

Har FromNine en ISO/IEC 27001-certifiering?

Ja, vår informationssäkerhet leds enligt ett ledningssystem med certifiering mot ISO/IEC 27001. Certifikatet och uppgiften om omfattningen skickar vi när du bedömer oss som leverantör.

Hur stöder ni våra skyldigheter enligt cybersäkerhetslagen som leverantör?

Avtalet reglerar säkerhetskrav, var incidenter ska anmälas och hur sårbarheter hanteras. Vi beskriver kontrollerna i ditt uppdrag och lämnar det underlag som behövs för att bedöma oss som leverantörsrisk. Om och hur cybersäkerhetslagen (124/2025) berör din organisation avgör du tillsammans med dina jurister.

Går ni med på de avtalsbestämmelser som DORA kräver?

Ja. Villkoren i artikel 30 skrivs in i avtalet, incidenter rapporteras i den kanal vi har avtalat, exitplanen dokumenteras, vi medverkar när motståndskraften testas och du får uppgifterna till ditt informationsregister.

Vem ansvarar för att AI-förordningen följs?

Ansvaret följer din roll, leverantör eller tillhandahållare, och hur riskfylld tillämpningen är. Redan i förstudien klassar vi tillämpningen tillsammans, bygger in mänsklig kontroll, loggar och dokumentation och tar fram den tekniska bakgrund som jurister behöver för sin bedömning.

Var lagras och behandlas våra uppgifter?

Där du och vi har kommit överens om innan utvecklingen börjar: i organisationens egen molnmiljö, i en EU-region hos en stor molnleverantör eller i en egen serverhall när uppgifterna är särskilt känsliga. Drift- och AI-tjänsterna anpassas efter valet, som dokumenteras med alternativen för att byta senare.

Hur begär vi er säkerhetsdokumentation?

Via kontaktsidan. Ange vilka handlingar du vill ha och vilket ramverk din bedömning utgår från, så hör en person som kan svara av sig.

Be om beläggen

Skriv vilket ramverk din leverantörsbedömning bygger på och vilka handlingar du behöver, så svarar vi vad vi kan lämna ut och på vilket sätt.

Begär dokumentationOm FromNine