Hoppa till huvudinnehållet
FromNine
Meny

Förtroende och regel­efterlevnad

Förtroende och regel­efterlevnad för reglerade organisationer

FromNine är certifierat enligt ISO/IEC 27001. Här beskriver vi hur vi skyddar dina system och data som leverantör, vad vi bidrar med till dina skyldigheter enligt cybersäkerhetslagen, Dora och AI-förordningen och hur du begär vår säkerhetsdokumentation.

För myndigheter, regioner, kommuner och reglerade företag i Sverige, där svenska lagar och tillsynsmyndigheter kompletterar EU-reglerna.

Begär dokumentationVåra åtaganden

Våra åtaganden

Fem åtaganden i varje uppdrag

Offentliga organisationer och reglerade företag anförtror oss känsliga data och system som stöder verkliga beslut. Det här kan de hålla oss ansvariga för.

  • Ledningssystem för informations­säkerhet

    Certifierat

    Vårt ledningssystem för informationssäkerhet är certifierat enligt ISO/IEC 27001, den internationella standarden för hantering av informationssäkerhet. Kontroller, leverantörsstyrning och incidenthantering följer det systemet i varje uppdrag.

    Åtkomst till dina system och data bestäms innan arbetet börjar, begränsas till det som arbetet kräver och ses över när teamet förändras.

    ISO/IEC 27001-certifierat

  • Personuppgifter och GDPR

    Så arbetar vi

    Ändamål, åtkomstgränser och lagringstider bestäms innan vi bygger. När vi behandlar personuppgifter för din räkning är vi ditt personuppgiftsbiträde enligt ett personuppgiftsbiträdesavtal, så som artikel 28 i dataskyddsförordningen kräver.

    När en behandling sannolikt leder till en hög risk tar vi fram det tekniska underlaget till din konsekvensbedömning avseende dataskydd.

  • Mänsklig kontroll av AI

    Så arbetar vi

    Varje användningsfall för AI klassas tillsammans med dig i förstudien. Godkännandesteg, loggning och teknisk dokumentation byggs in i systemet från första releasen, inte inför en granskning. Agenter arbetar med begränsade behörigheter och ber om godkännande före steg som får konsekvenser.

  • Tillgänglighet

    Så arbetar vi

    Vi designar och testar gränssnitt mot EN 301 549 och WCAG 2.2 nivå AA, med automatiska kontroller och manuell granskning med hjälpmedel, och levererar en rapport om överensstämmelse som listar kända brister.

  • Datalagring inom EU

    Per uppdrag

    Driftregioner, kontroll över krypteringsnycklar och varifrån support får åtkomst bestäms med dig innan vi bygger och skrivs in i arkitekturen, även med suveräna alternativ där dina krav kräver det.

Sidan beskriver hur vi arbetar som leverantör. Den är ingen försäkran om regelefterlevnad för din räkning: vilka skyldigheter som gäller beror på din organisation och ditt användningsfall, och den juridiska bedömningen ligger hos dina jurister.

NIS 2

Cybersäkerhetslagen och NIS 2: säkerhet i leveranskedjan

NIS 2-direktivet, direktiv (EU) 2022/2555, kräver att väsentliga och viktiga entiteter hanterar cybersäkerhetsriskerna för sina nätverks- och informationssystem. I Sverige genomförs det genom cybersäkerhetslagen (2025:1506), som gäller sedan den 15 januari 2026 för både företag och offentlig förvaltning, och föreskrifterna om säkerhetsåtgärder gäller sedan den 1 oktober 2026. Säkerhet i leveranskedjan är en av minimiåtgärderna i artikel 21.2, och enligt artikel 21.3 ska entiteterna ta hänsyn till säkerhetsrutinerna hos sina direkta leverantörer och tjänsteleverantörer.

Som din leverantör gör vi den delen av ditt ansvar lättare att belägga. Säkerhetsklausuler, kanaler för incidenter och hantering av sårbarheter avtalas för varje kontrakt, och de kontroller som gäller för ditt uppdrag dokumenteras så att din process för leverantörsrisker kan bedöma dem. Om och hur cybersäkerhetslagen gäller för din organisation är din egen bedömning, och tillsynen ligger hos den myndighet som ansvarar för din sektor.

  • Säkerhetsklausuler i avtalet

    Åtkomst, underleverantörer, incidentrapportering och samarbete vid revisioner avtalas skriftligt och tas inte för givet.

  • En incidentkanal som fungerar

    Namngivna kontakter och överenskomna tidsfrister, så att en incident hos oss når dig i tid för den tidiga varning inom 24 timmar som NIS 2-direktivet förutsätter (artikel 23.4).

  • Hantering av sårbarheter

    Skanningar av beroenden, kod och infrastruktur körs i pipelinen, och fynd åtgärdas eller rapporteras via den överenskomna kanalen.

  • Underlag på begäran

    Vårt ISO/IEC 27001-certifikat och en beskrivning av de kontroller som gäller för ditt uppdrag.

Dora

Dora: IKT-tredjepartsrisker i finanssektorn

Förordningen om digital operativ motståndskraft för finanssektorn (Dora), förordning (EU) 2022/2554, tillämpas sedan den 17 januari 2025. Banker, försäkringsbolag, värdepappersbolag, betalningsinstitut och andra finansiella entiteter ska hantera IKT-tredjepartsrisker inom sin IKT-riskhanteringsram, föra ett informationsregister över alla avtal om IKT-tjänster (artikel 28) och ta in viktiga avtalsbestämmelser i dessa avtal (artikel 30). I Sverige är Finansinspektionen behörig myndighet enligt Dora.

När vi levererar IKT-tjänster till en finansiell entitet avtalar vi de bestämmelser som artikel 30 räknar upp: en fullständig beskrivning av tjänsterna, var de tillhandahålls och var data behandlas, stöd när en IKT-relaterad incident inträffar, samarbete med dina behöriga myndigheter och rätt att säga upp avtalet. För tjänster som stöder kritiska eller viktiga funktioner omfattar avtalet också exitstrategier och vårt deltagande i din testning av den digitala operativa motståndskraften.

Vi lämnar de uppgifter som ditt informationsregister behöver, och vi dokumenterar exitplaner från början så att ett byte förblir ett realistiskt alternativ.

AI-förordningen

AI-förordningen: mänsklig kontroll och dokumentation från början

AI-förordningen, förordning (EU) 2024/1689, börjar tillämpas i etapper. Förbjudna AI-användningsområden och AI-kunnighet gäller sedan februari 2025 och transparenskraven i artikel 50 sedan augusti 2026. Efter ändringen 2026 genom förordning (EU) 2026/1744 gäller reglerna för de högrisksystem som anges i bilaga III från den 2 december 2027.

För högrisksystem kräver förordningen teknisk dokumentation (artikel 11), automatisk loggning (artikel 12) och en utformning som människor effektivt kan övervaka (artikel 14), och tillhandahållare ska låta personer med den kompetens och befogenhet som krävs utöva den mänskliga kontrollen (artikel 26). Vi bygger för detta från första releasen: godkännandesteg och möjlighet att ändra beslut finns där besluten påverkar människor, och dokumentationen skrivs parallellt med koden.

Om din organisation är leverantör eller tillhandahållare beror på hur systemet tas i bruk. Den frågan hör till den juridiska bedömningen, som ligger hos dina jurister; vi tar fram de tekniska fakta som den behöver. I Sverige har regeringen gett PTS, IMY, Finansinspektionen och Läkemedelsverket uppdrag som marknadskontrollmyndigheter enligt AI-förordningen till och med den 31 december 2026; PTS är gemensam kontaktpunkt.

I leveransen

Säkerhet i varje steg av leveransen

Underlag för regelefterlevnad kommer från hur arbetet utförs, inte från ett dokument som skrivs i slutet.

  • Minsta möjliga behörighet

    Åtkomst till dina miljöer och data begränsas till det som arbetet kräver, bestäms innan arbetet börjar och ses över varje gång teamet förändras.

  • Granskade och skannade ändringar

    Ändringar granskas av en kollega innan de levereras. Skanningar av beroenden, kod och infrastruktur körs automatiskt, och säkerhetstester planeras för varje release.

  • Incidenter enligt en överenskommen process

    Klassning av incidenter, kontaktpersoner för rapportering och insamling av underlag bestäms vid starten och byggs in i incidentprocessen där cybersäkerhetslagen eller Dora gäller för dig.

  • Dokumenterad överlämning och exit

    Driftinstruktioner, arkitekturbeslut och datamodeller lämnas över med systemet, och exitplaner håller återlämning av data och kostnader för byte synliga från början.

Leverantörsgranskning

Begär vår säkerhets­dokumentation

Upphandlings-, säkerhets- och juristteam behöver underlag innan ett avtal skrivs under. Be oss om vårt ISO/IEC 27001-certifikat och dess omfattning, om svar på ditt frågeformulär om leverantörssäkerhet och om de villkor för personuppgiftsbehandling som skulle gälla för ditt uppdrag. I en upphandling enligt LOU besvarar vi upphandlingsdokumentet punkt för punkt.

Skicka din begäran via kontaktsidan och ange vilket ramverk du bedömer leverantörer mot, till exempel cybersäkerhetslagen, Dora eller din organisations egna säkerhetskrav. Rätt personer återkommer till dig.

Sverige

En EU-grund, svenska tillsynsmyndigheter

Dataskyddsförordningen, Dora och AI-förordningen är förordningar som gäller direkt i hela unionen. NIS 2 är ett direktiv, och i Sverige genomförs det genom cybersäkerhetslagen (2025:1506). Tillsynen är nationell: Integritetsskyddsmyndigheten (IMY) för dataskydd, Finansinspektionen för Dora och sektorsvisa tillsynsmyndigheter för cybersäkerhetslagen, till exempel Statens energimyndighet för energi, Inspektionen för vård och omsorg för vårdgivare och sex länsstyrelser för den offentliga förvaltningen. Incidenter rapporteras till CSIRT-enheten vid Försvarets radioanstalt (FRA).

För program som spänner över flera länder kommer vi överens om en gemensam uppsättning kontroller och kopplar varje incidentkanal till den myndighet som den berörda entiteten rapporterar till.

Frågor från upphandlings- och säkerhetsteam

Är FromNine certifierat enligt ISO/IEC 27001?

Ja. Vårt ledningssystem för informationssäkerhet är certifierat enligt ISO/IEC 27001. Vi delar certifikatet och dess omfattning på begäran, som en del av din leverantörsgranskning.

Hur stöder ni som leverantör våra skyldigheter enligt cybersäkerhetslagen?

Vi avtalar säkerhetsklausuler, kanaler för incidentrapportering och hantering av sårbarheter, dokumenterar de kontroller som gäller för ditt uppdrag och ger dig de underlag som din bedömning av leverantörsrisker behöver. Om och hur cybersäkerhetslagen (2025:1506) gäller för din organisation bedömer du och dina jurister.

Avtalar ni de bestämmelser som Dora kräver?

Ja. Vi avtalar bestämmelserna i artikel 30 i Dora, rapporterar incidenter via den överenskomna kanalen, dokumenterar exitplaner, deltar i testning av motståndskraften och lämnar de uppgifter som ditt informationsregister behöver.

Vem ansvarar för att AI-förordningen följs?

Det beror på din roll, som leverantör eller tillhandahållare, och på användningsfallets riskklass. Vi klassar varje användningsfall med dig i förstudien, bygger in mänsklig kontroll, loggning och dokumentation i systemet och tar fram de tekniska fakta som dina jurister behöver för den juridiska bedömningen.

Var lagras och behandlas våra data?

På platser som vi bestämmer tillsammans med dig innan vi bygger: i din egen molnmiljö, i en EU-region hos en publik molnleverantör eller i din egen driftmiljö för känsliga arbetslaster. Drift- och AI-tjänster väljs efter det, och valet dokumenteras tillsammans med möjligheterna att byta.

Hur begär vi er säkerhetsdokumentation?

Via kontaktsidan. Ange vilka dokument du behöver och vilket ramverk du bedömer leverantörer mot, så återkommer rätt personer till dig.

Be om underlagen

Berätta vilket ramverk du bedömer leverantörer mot och vilka dokument du behöver. Vi berättar vad vi kan dela och hur.

Begär dokumentationOm oss