Ana içeriğe geç
FromNine
Menü

Güven ve uyum

Düzenlemeye tabi kuruluşlar için güven ve uyum

FromNine ISO/IEC 27001 sertifikalıdır. Bu sayfa, bir tedarikçi olarak sistemlerinizi ve verilerinizi nasıl koruduğumuzu, NIS2, DORA ve AB Yapay Zekâ Yasası kapsamındaki yükümlülüklerinize nasıl katkı sağladığımızı ve güvenlik belgelerimizi nasıl talep edebileceğinizi anlatır.

Kıbrıs Cumhuriyeti’ndeki ve Avrupa genelindeki kamu kurumları ile düzenlemeye tabi şirketler için; ulusal denetim makamları AB kurallarına kendi gerekliliklerini ekler.

Güvenlik belgelerini isteyinTaahhütlerimiz

Taahhütlerimiz

Her projede beş taahhüt

Kamu kurumları ve düzenlemeye tabi şirketler, hassas verilerini ve gerçek kararları destekleyen sistemlerini bize emanet ediyor. Bizden bekleyebilecekleri şunlardır.

  • Bilgi güvenliği yönetimi

    Sertifikalı

    Bilgi güvenliği yönetim sistemimiz, bilgi güvenliği yönetimine ilişkin uluslararası standart olan ISO/IEC 27001’e göre sertifikalıdır. Kontroller, tedarikçi yönetimi ve olay yönetimi her projede bu sistemi izler.

    Sistemlerinize ve verilerinize erişim iş başlamadan önce kararlaştırılır, işin gerektirdiğiyle sınırlı tutulur ve ekip değiştiğinde gözden geçirilir.

    ISO/IEC 27001 sertifikalı

  • Kişisel veriler ve GDPR

    Çalışma biçimimiz

    Amaçlar, erişim sınırları ve saklama süreleri geliştirmeye başlamadan önce kararlaştırılır. Kişisel verileri sizin adınıza işlediğimizde, Genel Veri Koruma Tüzüğü (GDPR) Madde 28’in gerektirdiği gibi bir veri işleme sözleşmesi çerçevesinde veri işleyeniniz olarak hareket ederiz.

    İşlemenin yüksek risk doğurmasının muhtemel olduğu durumlarda, veri koruma etki değerlendirmeniz için teknik girdiyi sağlarız.

  • Yapay zekâda insan gözetimi

    Çalışma biçimimiz

    Her yapay zekâ kullanım senaryosu keşif aşamasında sizinle birlikte sınıflandırılır. Onay adımları, kayıt tutma ve teknik dokümantasyon bir denetimden hemen önce eklenmez, ilk sürümden itibaren sisteme yerleştirilir. Ajanlar sınırlı yetkilerle çalışır ve sonuç doğuran adımlardan önce onay ister.

  • Erişile­bilirlik

    Çalışma biçimimiz

    Arayüzleri otomatik kontrollerle ve yardımcı teknolojiler kullanılarak yapılan elle incelemeyle EN 301 549 ve WCAG 2.2 AA düzeyine göre tasarlıyor ve test ediyor, bilinen sorunları listeleyen bir uygunluk raporu teslim ediyoruz.

  • AB içinde veri yerleşimi

    Projeye göre

    Barındırma bölgeleri, şifreleme anahtarlarının kontrolü ve destek erişiminin yapıldığı konumlar geliştirmeye başlamadan önce sizinle kararlaştırılır ve mimariye yazılır; gereksinimleriniz gerektirdiğinde egemen bulut seçenekleri de buna dâhildir.

Bu sayfa bir tedarikçi olarak nasıl çalıştığımızı anlatır. Sizin adınıza bir uyum beyanı değildir: hangi yükümlülüklerin geçerli olduğu kuruluşunuza ve kullanım senaryonuza bağlıdır; hukuki değerlendirme hukuk danışmanınızda kalır.

NIS2

NIS2: tedarik zinciri güvenliğinize destek

NIS2 Direktifi, yani (AB) 2022/2555 sayılı Direktif, temel ve önemli kuruluşların ağ ve bilgi sistemlerine yönelik siber güvenlik risklerini yönetmesini ister. Tedarik zinciri güvenliği, Madde 21(2)’de sayılan asgari önlemlerden biridir; Madde 21(3) de kuruluşlardan doğrudan tedarikçilerinin ve hizmet sağlayıcılarının güvenlik uygulamalarını dikkate almalarını ister. Kıbrıs Cumhuriyeti’nde direktifi, 60(I)/2025 sayılı Yasa ile değiştirilen 89(I)/2020 sayılı Ağ ve Bilgi Sistemleri Güvenliği Yasası iç hukuka aktarır; yetkili makam Dijital Güvenlik Otoritesidir (DSA).

Tedarikçiniz olarak, yükümlülüğünüzün bu kısmını kanıtlamanızı kolaylaştırıyoruz. Güvenlik hükümleri, olay bildirim kanalları ve zafiyet yönetimi her sözleşmede kararlaştırılır; projenize uygulanan kontroller, tedarikçi risk sürecinizin değerlendirebilmesi için belgelenir. Ulusal NIS2 kurallarının kuruluşunuza uygulanıp uygulanmadığı ve nasıl uygulandığı sizin değerlendirmenizdir.

  • Sözleşmede güvenlik hükümleri

    Erişim, alt yüklenicilik, olay bildirimi ve denetimlerle iş birliği varsayılmaz, yazılı olarak kararlaştırılır.

  • İşleyen bir olay kanalı

    Adı belirlenmiş irtibat kişileri ve kararlaştırılmış süreler; böylece bizim tarafımızdaki bir olay, erken uyarınız için size zamanında ulaşır. NIS2 Direktifi 24 saat öngörür (Madde 23(4)); Kıbrıs Cumhuriyeti’nde Ağ ve Bilgi Sistemleri Güvenliği Yasası altı saat içinde erken uyarı ister.

  • Zafiyet yönetimi

    Bağımlılık, kod ve altyapı taramaları teslimat hattında çalışır; bulgular giderilir ya da kararlaştırılan kanal üzerinden bildirilir.

  • Talep üzerine kanıt

    ISO/IEC 27001 sertifikamız ve projenize uygulanan kontrollerin açıklaması.

DORA

DORA: finansal kuruluşlar için BİT üçüncü taraf riski

Dijital Operasyonel Dayanıklılık Tüzüğü, yani (AB) 2022/2554 sayılı Tüzük, 17 Ocak 2025’ten beri uygulanıyor. Bankalar, sigortacılar, yatırım şirketleri, ödeme kuruluşları ve diğer finansal kuruluşlar, BİT üçüncü taraf riskini BİT risk yönetimi çerçeveleri içinde yönetmek, BİT hizmetlerine ilişkin tüm sözleşmesel düzenlemeler için bir bilgi kaydı tutmak (Madde 28) ve bu sözleşmelere temel sözleşme hükümlerini koymak (Madde 30) zorundadır. Kıbrıs Cumhuriyeti’nde yetkili makamlar Kıbrıs Merkez Bankası, Kıbrıs Sermaye Piyasası Komisyonu (CySEC), Sigorta Denetçisi ve Mesleki Emeklilik Fonları Sicil Memurudur; her biri kendi denetimindeki kuruluşlar için.

Bir finansal kuruluşa BİT hizmeti sunduğumuzda Madde 30’un saydığı hükümleri kararlaştırırız: hizmetlerin eksiksiz tanımı, hizmetlerin sunulduğu ve verilerin işlendiği konumlar, bir BİT olayı yaşandığında destek, yetkili makamlarınızla iş birliği ve fesih hakları. Kritik ya da önemli işlevleri destekleyen hizmetlerde sözleşme ayrıca çıkış stratejilerini ve dayanıklılık testlerinize katılımımızı kapsar.

Bilgi kaydınızın ihtiyaç duyduğu bilgileri sağlıyor, geçişin gerçekçi bir seçenek olarak kalması için çıkış planlarını baştan belgeliyoruz.

  • Finansal hizmetlerDORA dikkate alınarak tasarlanan düzenlemeye uygun yapay zekâ, dayanıklı platformlar ve operasyonlar.

AB Yapay Zekâ Yasası

AB Yapay Zekâ Yasası: tasarımdan itibaren insan gözetimi ve dokümantasyon

Yapay Zekâ Yasası, yani (AB) 2024/1689 sayılı Tüzük, aşamalı olarak uygulanıyor. Yasaklanan uygulamalar ve yapay zekâ okuryazarlığı Şubat 2025’ten, Madde 50’deki şeffaflık yükümlülükleri ise Ağustos 2026’dan beri geçerli. 2026’da (AB) 2026/1744 sayılı Tüzük ile yapılan değişiklik uyarınca Ek III’te listelenen yüksek riskli sistemlere ilişkin kurallar 2 Aralık 2027’den itibaren uygulanacak. Kıbrıs Cumhuriyeti’nde Yapay Zekâ Yasası kapsamındaki ulusal görevlendirmeler henüz kesinleşmedi (2026 sonbaharı itibarıyla).

Yüksek riskli sistemler için Yasa teknik dokümantasyon (Madde 11), otomatik kayıt tutma (Madde 12) ve insanların etkin biçimde gözetebileceği bir tasarım (Madde 14) ister; uygulayıcılar da bu gözetimi gerekli yetkinliğe ve yetkiye sahip kişilere vermelidir (Madde 26). Buna ilk sürümden itibaren hazırlanıyoruz: onay adımları ve kararı geçersiz kılma imkânı, kararların insanları etkilediği yerlerde yer alır; dokümantasyon da kodla birlikte yazılır.

Kuruluşunuzun sağlayıcı mı yoksa uygulayıcı mı olduğu, sistemin nasıl hizmete sunulduğuna bağlıdır. Bu soru hukuki değerlendirmenin parçasıdır ve hukuk danışmanınızda kalır; biz onun ihtiyaç duyduğu teknik bilgileri sağlarız.

Teslimatta

Teslimatın her aşamasında güvenlik

Uyum kanıtı, sonunda yazılan bir belgeden değil, işin nasıl yapıldığından gelir.

  • En az yetkiyle erişim

    Ortamlarınıza ve verilerinize erişim işin gerektirdiğiyle sınırlıdır, iş başlamadan önce kararlaştırılır ve ekip her değiştiğinde gözden geçirilir.

  • İncelenen ve taranan değişiklikler

    Değişiklikler yayından önce meslektaşlarca incelenir. Bağımlılık, kod ve altyapı taramaları otomatik çalışır; güvenlik testleri her sürüm için planlanır.

  • Belirlenmiş süreçle olay yönetimi

    Olay sınıflandırması, bildirim irtibat kişileri ve kanıt toplama başlangıçta kararlaştırılır; NIS2 veya DORA size uygulanıyorsa olay sürecine yerleştirilir.

  • Belgelenmiş devir ve çıkış

    Çalıştırma kılavuzları, mimari kararlar ve veri modelleri sistemle birlikte devredilir; çıkış planları da verilerin iadesini ve geçiş maliyetlerini baştan görünür tutar.

Tedarikçi değerlendir­mesi

Güvenlik belgelerimizi isteyin

Satın alma, güvenlik ve hukuk ekipleri bir sözleşme imzalanmadan önce kanıt ister. ISO/IEC 27001 sertifikamızı ve kapsamını, tedarikçi güvenlik anketinize yanıtlarımızı ve projenize uygulanacak veri işleme koşullarını bizden isteyebilirsiniz.

Talebinizi İletişim sayfası üzerinden gönderin ve tedarikçileri hangi çerçeveye göre değerlendirdiğinizi belirtin: NIS2, DORA ya da ulusal bir güvenlik temeli gibi. Doğru kişiler size geri dönecektir.

Kıbrıs

Tek AB temeli, ulusal denetim makamları

GDPR, DORA ve Yapay Zekâ Yasası, Birlik genelinde doğrudan uygulanan tüzüklerdir. NIS2 ise bir direktiftir; bu nedenle kapsam, kayıt ve bildirim ayrıntıları üye devletlere göre değişir. Kıbrıs Cumhuriyeti’nde Ağ ve Bilgi Sistemleri Güvenliği Yasası, önemli olaylarda altı saat içinde erken uyarı ve 72 saat içinde olay bildirimi öngörür; yetkili makam Dijital Güvenlik Otoritesidir.

Denetim her durumda ulusaldır. Kıbrıs Cumhuriyeti’nde DORA kapsamında yetkili makamlar Kıbrıs Merkez Bankası, CySEC, Sigorta Denetçisi ve Mesleki Emeklilik Fonları Sicil Memurudur; GDPR kapsamındaki denetim makamı ise Kişisel Verileri Koruma Komiseridir (Commissioner for Personal Data Protection). Birkaç ülkeyi kapsayan programlarda tek bir kontrol seti kararlaştırır ve her olay kanalını, ilgili kuruluşun bildirim yaptığı makamla eşleştiririz.

Satın alma ve güvenlik ekiplerinden gelen sorular

FromNine ISO/IEC 27001 sertifikalı mı?

Evet. Bilgi güvenliği yönetim sistemimiz ISO/IEC 27001’e göre sertifikalıdır. Tedarikçi değerlendirmeniz kapsamında sertifikayı ve kapsamını talep üzerine paylaşırız.

Bir tedarikçi olarak NIS2 yükümlülüklerimizi nasıl destekliyorsunuz?

Sözleşmede güvenlik hükümlerini, olay bildirim kanallarını ve zafiyet yönetimini kararlaştırır, projenize uygulanan kontrolleri belgeler ve tedarikçi risk değerlendirmenizin ihtiyaç duyduğu kanıtları sağlarız. Ağ ve Bilgi Sistemleri Güvenliği Yasası’nın kuruluşunuza uygulanıp uygulanmadığını ve nasıl uygulandığını siz ve hukuk danışmanınız değerlendirirsiniz.

DORA kapsamında gereken sözleşme hükümlerini kabul ediyor musunuz?

Evet. DORA Madde 30’daki hükümleri kararlaştırır, olayları kararlaştırılan kanal üzerinden bildirir, çıkış planlarını belgeler, dayanıklılık testlerine katılır ve bilgi kaydınızın ihtiyaç duyduğu bilgileri sağlarız.

Yapay Zekâ Yasası’na uyumdan kim sorumlu?

Bu, sağlayıcı ya da uygulayıcı olarak rolünüze ve kullanım senaryosunun risk sınıfına bağlıdır. Her kullanım senaryosunu keşif aşamasında sizinle birlikte sınıflandırır, gözetimi, kayıt tutmayı ve dokümantasyonu sisteme yerleştirir, hukuki değerlendirme için hukuk danışmanınızın ihtiyaç duyduğu teknik bilgileri sağlarız.

Verilerimiz nerede barındırılacak ve işlenecek?

Geliştirmeye başlamadan önce sizinle kararlaştırılan konumlarda: kendi bulut aboneliğinizde, bir genel bulutun AB bölgesinde ya da hassas iş yükleri için kendi tesislerinizde. Barındırma ve yapay zekâ hizmetleri buna göre seçilir; seçim, çıkış seçenekleriyle birlikte belgelenir.

Güvenlik belgelerinizi nasıl talep edebiliriz?

İletişim sayfası üzerinden. Hangi belgelere ihtiyaç duyduğunuzu ve tedarikçileri hangi çerçeveye göre değerlendirdiğinizi yazın; doğru kişiler size geri dönecektir.

Kanıtları isteyin

Tedarikçileri hangi çerçeveye göre değerlendirdiğinizi ve hangi belgelere ihtiyaç duyduğunuzu yazın. Neleri, nasıl paylaşabileceğimizi size bildirelim.

Güvenlik belgelerini isteyinFromNine hakkında