El cumplimiento forma parte del producto, no es un extra.
NetSenX se prepara para un informe SOC 2 Type I, para ISO/IEC 42001 en gestión de la IA y para ISO/IEC 27001 en seguridad de la información. Ninguno se ha concedido todavía; esta página indica en qué punto está cada uno, junto a las normativas que NetSenX ya respalda hoy: NIS2, RGPD, Cyber Resilience Act y AI Act.
Normas en preparación
Tres normas, cada una con su propia auditoría externa
SOC 2 informa de cómo operamos los controles, ISO/IEC 27001 de cómo gestionamos la seguridad de la información e ISO/IEC 42001 de cómo gobernamos la IA. Cada una la auditará un organismo independiente; juntas dan a los equipos jurídico, de seguridad y de IA del comprador pruebas que cada uno puede aceptar con sus propios criterios.
SOC 2
Type I
En preparación — aún sin atestación · sin fecha de auditoría
Una atestación independiente de que los controles de seguridad, disponibilidad y confidencialidad están diseñados como se describen: el informe que pide la mayoría de los equipos de compras de SaaS.
Qué le aportaISO/IEC 42001
Sistema de gestión de la IA
En preparación — aún sin certificado · sin fecha de auditoría
Controles de gobierno, riesgo, transparencia y ciclo de vida para cada componente de IA de NetSenX, según la norma internacional de sistemas de gestión de la IA.
Qué le aportaISO/IEC 27001:2022
Gestión de la seguridad de la información
Previsto — aún sin certificado · sin fecha de auditoría
Un sistema de gestión de la seguridad de la información que abarca activos, accesos, criptografía, proveedores, incidentes, continuidad de negocio y cumplimiento.
Qué le aportaHoja de ruta de certificación
El orden del trabajo
Ninguna de estas certificaciones se ha concedido y no hay ninguna auditoría reservada, así que mostramos el orden del trabajo, no fechas. Aquí aparecerá una fecha solo cuando haya una auditoría reservada con un auditor independiente. Los equipos de compras pueden solicitar nuestro paquete de pruebas en cualquier momento.
Paso 1 · en preparación
Auditoría SOC 2 Type I
Por una firma de auditoría independiente. Trust Services Criteria: seguridad, disponibilidad, confidencialidad.
Paso 2 · en preparación
Auditoría de certificación ISO/IEC 42001
Por un organismo de certificación acreditado. El sistema de gestión de la IA abarca cada componente de IA.
Paso 3 · previsto
Auditoría de certificación ISO/IEC 27001:2022
Por un organismo de certificación acreditado. Alcance previsto: producto, infraestructura y cadena de suministro.
Paso 4 · previsto
Informe SOC 2 sobre la eficacia operativa
Solo después de que los controles hayan pasado un periodo de observación.
Objetivo
Los tres implantados
SOC 2, ISO/IEC 42001 e ISO/IEC 27001:2022. Hoy no se ha concedido ninguno.
Qué le aporta cada norma
Tres normas, tres regímenes de gobierno, tres organismos de auditoría. Cada una es útil por sí sola; juntas responden a la mayoría de las preguntas que un equipo de compras plantea antes de aprobar un despliegue.
SOC 2
AICPA Trust Services Criteria
En preparación — Type I · sin fecha de auditoría
SOC 2 responde a la pregunta habitual en la compra de SaaS: ¿los controles de este proveedor existen de verdad tal como se describen? Un informe Type I cubre el diseño de los controles en un momento dado. Nos estamos preparando para él; todavía no hay fecha de auditoría.
Qué aporta a su equipo
- Atestación independiente de los controles de seguridad (Trust Services Criteria: seguridad)
- Un informe de una firma CPA independiente que podrá entregar a compras y a seguridad, una vez emitido
- Un alcance fijo que puede comparar con los informes de otros proveedores
- Una descripción del alcance que indica exactamente qué sistemas cubre el informe
ISO/IEC 42001
Sistema de gestión de la IA
En preparación — aún sin certificado · sin fecha de auditoría
ISO/IEC 42001:2023 es la primera norma internacional para sistemas de gestión de la IA. Da al CISO una respuesta auditable a la pregunta «¿cómo gobiernan la IA de su producto de seguridad?». Con ella como referencia construimos el sistema de gestión de la IA de NetSenX.
Qué aporta a su equipo
- Gobierno documentado de cada componente de IA de NetSenX
- Un registro de riesgos de IA con responsables designados, revisado con un calendario fijo
- Controles del ciclo de vida: introducción, supervisión, retirada
- Una cadena de pruebas directa hacia las obligaciones de transparencia del artículo 50 del AI Act
ISO/IEC 27001:2022
Sistema de gestión de la seguridad de la información
Previsto — aún sin certificado · sin fecha de auditoría
ISO/IEC 27001 es un requisito frecuente en las compras europeas. La revisión de 2022 reorganizó los controles del anexo A en cuatro temas: organizativos, de personas, físicos y tecnológicos. El alcance previsto abarca el producto, la infraestructura y la cadena de suministro.
Qué aporta a su equipo
- Una declaración de aplicabilidad que cubre los controles del anexo A
- Controles de activos, accesos, criptografía, proveedores, incidentes, continuidad y cumplimiento
- Pruebas de auditoría interna, revisión por la dirección y mejora continua
- Una base que piden muchos procesos de compra en la UE
Normativa de la UE
Hecho para la normativa europea, por personas que la leen.
El Cyber Resilience Act, NIS2, el RGPD y el AI Act determinan buena parte de lo que un comprador europeo debe comprobar antes de desplegar un producto de seguridad. Tratamos cada uno como parte del producto, con las pruebas que lo respaldan.
Cyber Resilience Act (CRA)
Artículo 13: obligaciones del fabricante · artículo 14: notificación
- El proceso de publicación genera una lista de materiales de software (SBOM) en formato CycloneDX para cada versión publicada.
- Hay publicada una política de divulgación coordinada de vulnerabilidades, con una ventana de divulgación coordinada de 90 días.
- Las versiones y los SBOM se firman con Sigstore cosign; las firmas figuran en el registro público de transparencia Rekor y pueden verificarse de forma independiente.
- El proceso de notificación de vulnerabilidades e incidentes está diseñado en torno a las obligaciones de notificación del artículo 14 del Reglamento (UE) 2024/2847.
Directiva NIS2
Artículo 21: medidas de gestión de riesgos · artículo 23: notificación
- Las pruebas se organizan según las familias de medidas del artículo 21: análisis de riesgos, gestión de incidentes, continuidad de negocio, cadena de suministro, desarrollo seguro, criptografía, autenticación multifactor, formación y más.
- Pensado para entidades esenciales e importantes: la obligación normativa sigue siendo suya; NetSenX aporta la detección y el rastro documental.
- El flujo de incidentes sigue los plazos del artículo 23 — alerta temprana en 24 horas, notificación en 72 horas, informe final en un mes — y prepara cada informe para que usted lo presente.
- Los auditores ven los mismos registros que su dirección; no hay una versión aparte solo para la auditoría.
RGPD desde el diseño
Minimización de datos, residencia en la UE, un DPD accesible
- Los campos sensibles, como las credenciales de las integraciones, se cifran con AES-256-GCM en la capa de aplicación antes de almacenarse.
- La recogida es mínima por defecto: la detección se basa sobre todo en metadatos de flujo y algunos campos de protocolo leídos en el equipo supervisado, y las conexiones cifradas nunca se descifran.
- Los datos de los clientes se almacenan en la UE: la base de datos en Irlanda (AWS eu-west-1) y la API en Fráncfort y París. Unos pocos encargados del tratamiento identificados (pagos, correo transaccional) operan en EE. UU. con cláusulas contractuales tipo de la UE.
- El DPD está disponible en dpo@netsenx.com, y hay publicado un contrato de encargo del tratamiento conforme al artículo 28 del RGPD para compras.
AI Act (Reglamento de IA)
Artículo 50: transparencia · sistema de gestión de la IA ISO/IEC 42001 en preparación
- Una declaración pública de transparencia del artículo 50 enumera cada componente de IA y sus controles de gobierno.
- La clasificación de riesgo está documentada: evaluamos NetSenX como un sistema de riesgo limitado y aplicamos de forma voluntaria varias prácticas previstas para sistemas de alto riesgo.
- Se está construyendo un sistema de gestión de la IA según ISO/IEC 42001; no se ha concedido ningún certificado ni hay fecha de auditoría.
- Una explicación en cada alerta y un registro de auditoría de quién hizo qué forman parte del producto, no de una petición a soporte.
Controles de seguridad
Lo concreto, no los eslóganes.
La confianza se construye con los controles que resisten las preguntas de un auditor. Estos son los nuestros.
- Cifrado de campos con AES-256-GCM
- Los campos sensibles se cifran en la capa de aplicación antes de almacenarse.
- Versiones firmadas
- Los artefactos de cada versión y sus SBOM se firman con Sigstore cosign (sin claves, ligados a una identidad), y cada firma queda en el registro público de transparencia Rekor, donde cualquiera puede verificarla.
- Registro de auditoría de solo anexión
- Las acciones de administración, las alertas en las que interviene la IA y los accesos a datos se escriben en un registro de auditoría de solo anexión, disponible en todos los planes, también el Free.
- Residencia de datos en la UE
- Los datos de los clientes se almacenan en la UE: la base de datos en Irlanda (AWS eu-west-1) y la API en Fráncfort y París. Cada encargado del tratamiento, con su ubicación y su garantía de transferencia, figura en el contrato de encargo del tratamiento.
- Divulgación coordinada de vulnerabilidades
- Los investigadores informan a security@netsenx.com. Confirmamos la recepción en 2 días hábiles, decidimos la clasificación en 5 y coordinamos la divulgación pública en 90 días.
- security.txt publicado
- Un security.txt conforme al estándar en /.well-known/security.txt, con los campos de contacto, política, idioma preferido y caducidad.
FIPS 197 / NIST SP 800-38D
Sigstore · Rekor
Manipulación detectable, encadenado por hash
Base de datos: AWS eu-west-1
Política de divulgación publicada
RFC 9116
Quién desarrolla NetSenX
TriStiX S.L.
La empresa española de Alicante que desarrolla y opera NetSenX.
- Lead implementer de ISO/IEC 42001 en nuestro equipoUna acreditación personal para implantar un sistema de gestión de la IA. TriStiX S.L. no tiene certificado ISO/IEC 42001; su sistema de gestión de la IA está en preparación.
- Investigación de la empresa en arXivPreprint de investigación de TriStiX S.L. arXiv:2603.28558v1 — lógica multivaluada para aplicaciones de cumplimiento
- Desarrollado internamenteEl motor de detección, el agente, el panel y este sitio los escribe y revisa TriStiX S.L.; no hay un motor de terceros con nuestra marca
- Empresa de la UETriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016
Socios de diseño
Programa beta abierto
No mostramos logotipos de clientes que no tenemos derecho a mostrar. Cuando los socios de diseño acepten aparecer con su nombre, figurarán aquí, con su consentimiento expreso.
¿Necesita un paquete de pruebas para su auditor?
Antes de que termine cualquier certificación, mantenemos un paquete de pruebas alineado con los controles de SOC 2, ISO/IEC 42001, ISO/IEC 27001, CRA, NIS2, RGPD y AI Act. Solicítelo bajo NDA y se lo enviaremos directamente.
Las solicitudes llegan a dpo@netsenx.com, la dirección de nuestro delegado de protección de datos.