Compliance ist Teil des Produkts, kein Zusatz.
NetSenX bereitet einen SOC-2-Type-I-Bericht vor, ISO/IEC 42001 für das KI-Management und ISO/IEC 27001 für die Informationssicherheit. Nichts davon ist bisher erteilt. Diese Seite sagt, wo jedes Vorhaben steht, neben den Regelwerken, die NetSenX heute schon unterstützt: NIS2, DSGVO, Cyber Resilience Act und KI-Verordnung.
Normen in Vorbereitung
Drei Normen, jede mit eigenem externem Audit
SOC 2 berichtet, wie wir Kontrollen betreiben, ISO/IEC 27001, wie wir Informationssicherheit managen, ISO/IEC 42001, wie wir KI steuern. Jede wird von einer unabhängigen Stelle geprüft; zusammen geben sie der Rechts-, Sicherheits- und KI-Prüfung auf Käuferseite Belege, die jede nach ihren eigenen Maßstäben akzeptieren kann.
SOC 2
Type I
In Vorbereitung — noch nicht testiert · kein Audittermin
Eine unabhängige Bestätigung, dass die Kontrollen für Sicherheit, Verfügbarkeit und Vertraulichkeit wie beschrieben ausgestaltet sind: der Bericht, nach dem die meisten SaaS-Einkaufsteams fragen.
Was Ihnen das bringtISO/IEC 42001
KI-Managementsystem
In Vorbereitung — noch kein Zertifikat · kein Audittermin
Governance-, Risiko-, Transparenz- und Lebenszyklus-Kontrollen für jede KI-Komponente in NetSenX, nach der internationalen Norm für KI-Managementsysteme.
Was Ihnen das bringtISO/IEC 27001:2022
Informationssicherheits-Management
Geplant — noch kein Zertifikat · kein Audittermin
Ein Informationssicherheits-Managementsystem für Assets, Zugriffe, Kryptografie, Lieferanten, Vorfälle, Notfallvorsorge und Compliance.
Was Ihnen das bringtZertifizierungsfahrplan
Die Reihenfolge der Arbeit
Keine dieser Zertifizierungen ist erteilt und kein Audit gebucht. Deshalb zeigen wir die Reihenfolge der Arbeit, keine Termine. Ein Datum erscheint hier erst, wenn ein Audit bei einem unabhängigen Prüfer gebucht ist. Einkaufsteams können unser Nachweispaket jederzeit anfordern.
Schritt 1 · in Vorbereitung
SOC-2-Type-I-Audit
Durch eine unabhängige Prüfungsgesellschaft. Trust Services Criteria: Sicherheit, Verfügbarkeit, Vertraulichkeit.
Schritt 2 · in Vorbereitung
Zertifizierungsaudit ISO/IEC 42001
Durch eine akkreditierte Zertifizierungsstelle. Das KI-Managementsystem umfasst jede KI-Komponente.
Schritt 3 · geplant
Zertifizierungsaudit ISO/IEC 27001:2022
Durch eine akkreditierte Zertifizierungsstelle. Geplanter Geltungsbereich: Produkt, Infrastruktur und Lieferkette.
Schritt 4 · geplant
SOC-2-Bericht zur Wirksamkeit der Kontrollen
Erst nachdem die Kontrollen einen Beobachtungszeitraum durchlaufen haben.
Ziel
Alle drei erreicht
SOC 2, ISO/IEC 42001 und ISO/IEC 27001:2022. Heute ist keines erteilt.
Was jede Norm Ihnen bringt
Drei Normen, drei Steuerungsregime, drei Prüfstellen. Jede ist für sich nützlich; zusammen beantworten sie die meisten Fragen, die ein Einkaufsteam vor der Freigabe eines Einsatzes stellt.
SOC 2
AICPA Trust Services Criteria
In Vorbereitung — Type I · kein Audittermin
SOC 2 beantwortet die Standardfrage im SaaS-Einkauf: Sind die Kontrollen dieses Anbieters wirklich so vorhanden wie beschrieben? Ein Type-I-Bericht betrachtet die Ausgestaltung der Kontrollen zu einem Stichtag. Wir bereiten ihn vor; ein Audittermin steht noch nicht fest.
Was das Ihrem Team bringt
- Unabhängige Bestätigung der Sicherheitskontrollen (Trust Services Criteria: Sicherheit)
- Ein Bericht einer unabhängigen CPA-Gesellschaft, den Sie nach Ausstellung an Einkauf und IT-Sicherheit weitergeben können
- Ein fester Umfang, den Sie mit Berichten anderer Anbieter vergleichen können
- Eine Abgrenzung, die genau nennt, welche Systeme der Bericht abdeckt
ISO/IEC 42001
KI-Managementsystem
In Vorbereitung — noch kein Zertifikat · kein Audittermin
ISO/IEC 42001:2023 ist die erste internationale Norm für KI-Managementsysteme. Sie gibt einem CISO eine prüfbare Antwort auf die Frage: „Wie steuern Sie die KI in Ihrem Sicherheitsprodukt?“ Nach ihr bauen wir das KI-Managementsystem von NetSenX auf.
Was das Ihrem Team bringt
- Dokumentierte Governance für jede KI-Komponente in NetSenX
- Ein KI-Risikoregister mit benannten Verantwortlichen, nach festem Plan überprüft
- Lebenszyklus-Kontrollen: Einführung, Überwachung, Außerbetriebnahme
- Eine direkte Belegkette zu den Transparenzpflichten aus Art. 50 der KI-Verordnung
ISO/IEC 27001:2022
Informationssicherheits-Managementsystem
Geplant — noch kein Zertifikat · kein Audittermin
ISO/IEC 27001 ist im EU-Einkauf eine häufige Anforderung. Die Revision von 2022 hat die Maßnahmen aus Anhang A in vier Themen geordnet: organisatorisch, personell, physisch und technologisch. Der geplante Geltungsbereich umfasst Produkt, Infrastruktur und Lieferkette.
Was das Ihrem Team bringt
- Eine Erklärung zur Anwendbarkeit für die Maßnahmen aus Anhang A
- Maßnahmen zu Assets, Zugriffen, Kryptografie, Lieferanten, Vorfällen, Notfallvorsorge und Compliance
- Belege für interne Audits, Managementbewertung und kontinuierliche Verbesserung
- Eine Grundlage, nach der viele Einkaufsprozesse in der EU fragen
EU-Regelwerke
Gebaut für die EU-Regulierung, von Leuten, die sie lesen.
Cyber Resilience Act, NIS2, DSGVO und KI-Verordnung bestimmen zu einem großen Teil, was ein Käufer in der EU vor dem Einsatz eines Sicherheitsprodukts prüfen muss. Wir behandeln jedes dieser Regelwerke als Teil des Produkts, mit den Belegen dazu.
Cyber Resilience Act (CRA)
Art. 13 Herstellerpflichten · Art. 14 Meldepflichten
- Die Release-Pipeline erzeugt für jedes veröffentlichte Release eine Software-Stückliste (SBOM) im CycloneDX-Format.
- Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen ist veröffentlicht, mit einem 90-tägigen Offenlegungsfenster.
- Releases und SBOMs werden mit Sigstore cosign signiert; die Signaturen liegen im öffentlichen Transparenzlog Rekor und lassen sich unabhängig prüfen.
- Der Meldeprozess für Schwachstellen und Vorfälle ist auf die Meldepflichten nach Artikel 14 der Verordnung (EU) 2024/2847 ausgelegt.
NIS2-Richtlinie
Art. 21 Risikomanagementmaßnahmen · Art. 23 Meldepflichten
- Die Belege sind nach den Maßnahmenfeldern aus Art. 21 geordnet: Risikoanalyse, Bewältigung von Vorfällen, Betriebskontinuität, Lieferkette, sichere Entwicklung, Kryptografie, Multi-Faktor-Authentifizierung, Schulungen und mehr.
- Geschrieben für wesentliche und wichtige Einrichtungen: Die regulatorische Pflicht bleibt bei Ihnen, NetSenX liefert die Erkennung und die Dokumentation.
- Der Vorfalls-Workflow verfolgt die Fristen aus Art. 23 — Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats — und bereitet jede Meldung zum Einreichen durch Sie vor.
- Prüfer sehen dieselben Aufzeichnungen wie Ihre Geschäftsleitung; eine eigene Version nur für das Audit gibt es nicht.
DSGVO von Grund auf
Datensparsamkeit, EU-Datenhaltung, erreichbarer Datenschutzbeauftragter
- Sensible Felder wie Zugangsdaten von Integrationen werden auf Anwendungsebene mit AES-256-GCM verschlüsselt, bevor sie gespeichert werden.
- Standardmäßig wird minimal erhoben: Die Erkennung arbeitet vor allem mit Flow-Metadaten und wenigen Protokollfeldern, die auf dem überwachten Host gelesen werden; verschlüsselte Verbindungen werden nie entschlüsselt.
- Kundendaten werden in der EU gespeichert: die Datenbank in Irland (AWS eu-west-1), die API in Frankfurt und Paris. Einige namentlich genannte Unterauftragsverarbeiter (Zahlungen, Transaktions-E-Mails) arbeiten in den USA auf Grundlage der EU-Standardvertragsklauseln.
- Der Datenschutzbeauftragte ist unter dpo@netsenx.com erreichbar, und ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist für den Einkauf veröffentlicht.
KI-Verordnung (AI Act)
Art. 50 Transparenz · KI-Managementsystem nach ISO/IEC 42001 in Vorbereitung
- Eine öffentliche Transparenzerklärung nach Art. 50 nennt jede KI-Komponente und ihre Governance-Kontrollen.
- Die Risikoeinstufung ist dokumentiert: Wir bewerten NetSenX als System mit begrenztem Risiko und wenden freiwillig mehrere Praktiken an, die für Hochrisiko-Systeme vorgesehen sind.
- Ein KI-Managementsystem wird nach ISO/IEC 42001 aufgebaut; ein Zertifikat ist nicht erteilt und kein Audittermin festgelegt.
- Eine Erklärung zu jedem Alarm und ein Audit-Log, wer was getan hat, gehören zum Produkt und sind keine Support-Anfrage.
Sicherheitskontrollen
Das Konkrete, nicht die Slogans.
Vertrauen entsteht aus den Kontrollen, die die Fragen eines Prüfers überstehen. Hier sind unsere.
- AES-256-GCM-Verschlüsselung auf Feldebene
- Sensible Felder werden auf Anwendungsebene verschlüsselt, bevor sie gespeichert werden.
- Signierte Releases
- Release-Artefakte und ihre SBOMs werden mit Sigstore cosign signiert (schlüssellos, an eine Identität gebunden), und jede Signatur wird im öffentlichen Transparenzlog Rekor festgehalten, wo jeder sie prüfen kann.
- Append-only-Audit-Log
- Administrative Aktionen, KI-beeinflusste Alarme und Datenzugriffe werden in ein Audit-Log geschrieben, das nur ergänzt werden kann, verfügbar in jedem Plan, auch im Free-Plan.
- Datenhaltung in der EU
- Kundendaten werden in der EU gespeichert: die Datenbank in Irland (AWS eu-west-1), die API in Frankfurt und Paris. Jeder Unterauftragsverarbeiter steht mit Standort und Übermittlungsgarantie im Auftragsverarbeitungsvertrag.
- Koordinierte Offenlegung von Schwachstellen
- Forschende melden an security@netsenx.com. Wir bestätigen binnen 2 Werktagen, entscheiden binnen 5 über die Einstufung und koordinieren die öffentliche Offenlegung binnen 90 Tagen.
- security.txt veröffentlicht
- Eine standardkonforme security.txt unter /.well-known/security.txt mit Kontakt, Richtlinie, bevorzugten Sprachen und Ablaufdatum.
FIPS 197 / NIST SP 800-38D
Sigstore · Rekor
Manipulationserkennbar, Hash-verkettet
Datenbank: AWS eu-west-1
Veröffentlichte Offenlegungsrichtlinie
RFC 9116
Wer NetSenX entwickelt
TriStiX S.L.
Das spanische Unternehmen aus Alicante, das NetSenX entwickelt und betreibt.
- ISO/IEC 42001 Lead Implementer im TeamEine persönliche Qualifikation für die Einführung eines KI-Managementsystems. TriStiX S.L. selbst hat kein ISO/IEC-42001-Zertifikat; sein KI-Managementsystem ist in Vorbereitung.
- Forschung des Unternehmens auf arXivForschungs-Preprint von TriStiX S.L. arXiv:2603.28558v1 — mehrwertige Logik für Compliance-Anwendungen
- Selbst entwickeltErkennungs-Engine, Agent, Dashboard und diese Website schreibt und prüft TriStiX S.L. selbst; es steckt keine fremde Engine unter eigenem Namen darin
- EU-UnternehmenTriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016
Design-Partner
Beta-Programm geöffnet
Wir zeigen keine Kundenlogos, für die wir keine Rechte haben. Wenn Design-Partner einer Nennung zustimmen, erscheinen sie hier, mit ihrer ausdrücklichen Zustimmung.
Brauchen Sie ein Nachweispaket für Ihren Prüfer?
Schon bevor eine Zertifizierung abgeschlossen ist, pflegen wir ein Nachweispaket, das auf die Kontrollen von SOC 2, ISO/IEC 42001, ISO/IEC 27001, CRA, NIS2, DSGVO und KI-Verordnung abgebildet ist. Fordern Sie es unter NDA an, und wir senden es Ihnen direkt zu.
Anfragen gehen an dpo@netsenx.com, die Adresse unseres Datenschutzbeauftragten.