Compliance hoort bij het product, het is geen extraatje.
NetSenX bereidt een SOC 2 Type I-rapport voor, ISO/IEC 42001 voor AI-management en ISO/IEC 27001 voor informatiebeveiliging. Geen ervan is al toegekend; deze pagina laat zien waar elk staat, naast de regelgeving die NetSenX vandaag al ondersteunt: NIS2, de AVG, de Cyber Resilience Act en de AI Act.
Normen in voorbereiding
Drie normen, elk met een eigen externe audit
SOC 2 rapporteert hoe we beheersmaatregelen uitvoeren, ISO/IEC 27001 hoe we informatiebeveiliging beheren, ISO/IEC 42001 hoe we AI besturen. Elke norm wordt door een onafhankelijke instantie getoetst; samen geven ze de juridische, beveiligings- en AI-beoordelaars van de koper bewijs dat elk op eigen voorwaarden kan accepteren.
SOC 2
Type I
In voorbereiding — nog niet geattesteerd · geen auditdatum
Een onafhankelijke bevestiging dat de beheersmaatregelen voor beveiliging, beschikbaarheid en vertrouwelijkheid zijn ingericht zoals beschreven: het rapport waar de meeste SaaS-inkoopteams om vragen.
Wat het u oplevertISO/IEC 42001
AI-managementsysteem
In voorbereiding — nog geen certificaat · geen auditdatum
Beheersmaatregelen voor governance, risico, transparantie en levenscyclus voor elk AI-onderdeel van NetSenX, volgens de internationale norm voor AI-managementsystemen.
Wat het u oplevertISO/IEC 27001:2022
Informatiebeveiligingsmanagement
Gepland — nog geen certificaat · geen auditdatum
Een managementsysteem voor informatiebeveiliging voor assets, toegang, cryptografie, leveranciers, incidenten, bedrijfscontinuïteit en compliance.
Wat het u oplevertCertificeringsplan
De volgorde van het werk
Geen van deze certificeringen is toegekend en er is geen audit gepland, dus tonen we de volgorde van het werk en geen data. Een datum verschijnt hier pas als er een audit bij een onafhankelijke auditor is gepland. Inkoopteams kunnen ons bewijspakket op elk moment aanvragen.
Stap 1 · in voorbereiding
SOC 2 Type I-audit
Door een onafhankelijk accountantskantoor. Trust Services Criteria: beveiliging, beschikbaarheid, vertrouwelijkheid.
Stap 2 · in voorbereiding
Certificeringsaudit ISO/IEC 42001
Door een geaccrediteerde certificeringsinstelling. Het AI-managementsysteem omvat elk AI-onderdeel.
Stap 3 · gepland
Certificeringsaudit ISO/IEC 27001:2022
Door een geaccrediteerde certificeringsinstelling. Geplande reikwijdte: product, infrastructuur en toeleveringsketen.
Stap 4 · gepland
SOC 2-rapport over de werking van de beheersmaatregelen
Pas nadat de beheersmaatregelen een observatieperiode hebben doorlopen.
Doel
Alle drie op orde
SOC 2, ISO/IEC 42001 en ISO/IEC 27001:2022. Vandaag is geen ervan toegekend.
Wat elke norm u oplevert
Drie normen, drie governanceregimes, drie auditinstanties. Elke norm is op zichzelf nuttig; samen beantwoorden ze de meeste vragen die een inkoopteam stelt voordat het een uitrol goedkeurt.
SOC 2
AICPA Trust Services Criteria
In voorbereiding — Type I · geen auditdatum
SOC 2 beantwoordt de standaardvraag bij de inkoop van SaaS: zijn de beheersmaatregelen van deze leverancier echt aanwezig zoals beschreven? Een Type I-rapport gaat over de opzet van de beheersmaatregelen op één moment. We bereiden het voor; een auditdatum staat nog niet vast.
Wat het uw team oplevert
- Onafhankelijke bevestiging van beveiligingsmaatregelen (Trust Services Criteria: beveiliging)
- Een rapport van een onafhankelijk CPA-kantoor dat u na uitgifte aan inkoop en informatiebeveiliging kunt geven
- Een vaste reikwijdte die u kunt vergelijken met rapporten van andere leveranciers
- Een afbakening die precies noemt welke systemen het rapport dekt
ISO/IEC 42001
AI-managementsysteem
In voorbereiding — nog geen certificaat · geen auditdatum
ISO/IEC 42001:2023 is de eerste internationale norm voor AI-managementsystemen. Ze geeft een CISO een toetsbaar antwoord op de vraag 'hoe bestuurt u de AI in uw beveiligingsproduct?'. Volgens deze norm bouwen we het AI-managementsysteem van NetSenX op.
Wat het uw team oplevert
- Gedocumenteerde governance voor elk AI-onderdeel van NetSenX
- Een AI-risicoregister met benoemde eigenaren, volgens een vast schema herzien
- Levenscyclusmaatregelen: invoering, bewaking, uitfasering
- Een directe bewijsketen naar de transparantieverplichtingen van artikel 50 AI Act
ISO/IEC 27001:2022
Managementsysteem voor informatiebeveiliging
Gepland — nog geen certificaat · geen auditdatum
ISO/IEC 27001 is een veelgestelde eis bij inkoop in de EU. De herziening van 2022 heeft de maatregelen uit bijlage A in vier thema's ingedeeld: organisatorisch, mensgericht, fysiek en technologisch. De geplande reikwijdte omvat het product, de infrastructuur en de toeleveringsketen.
Wat het uw team oplevert
- Een verklaring van toepasselijkheid voor de maatregelen uit bijlage A
- Maatregelen voor assets, toegang, cryptografie, leveranciers, incidenten, continuïteit en compliance
- Bewijs van interne audits, directiebeoordeling en continue verbetering
- Een basis waar veel inkoopprocessen in de EU om vragen
EU-regelgeving
Gebouwd voor de Europese regelgeving, door mensen die haar lezen.
De Cyber Resilience Act, NIS2, de AVG en de AI Act bepalen voor een groot deel wat een koper in de EU moet controleren voordat hij een beveiligingsproduct inzet. We behandelen elk ervan als onderdeel van het product, met het bewijs erbij.
Cyber Resilience Act (CRA)
Artikel 13 verplichtingen van de fabrikant · artikel 14 meldingen
- De releasepipeline maakt voor elke gepubliceerde release een softwarestuklijst (SBOM) in CycloneDX-formaat.
- Er is een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden gepubliceerd, met een termijn van 90 dagen voor gecoördineerde openbaarmaking.
- Releases en SBOM's worden ondertekend met Sigstore cosign; de handtekeningen staan in het openbare transparantielog Rekor en zijn onafhankelijk te controleren.
- Het meldproces voor kwetsbaarheden en incidenten is ingericht op de meldplichten van artikel 14 van Verordening (EU) 2024/2847.
NIS2-richtlijn
Artikel 21 risicobeheersmaatregelen · artikel 23 meldplicht
- Het bewijs is geordend naar de maatregelgroepen van artikel 21: risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, toeleveringsketen, veilige ontwikkeling, cryptografie, meervoudige authenticatie, training en meer.
- Geschreven voor essentiële en belangrijke entiteiten: de wettelijke plicht blijft bij u, NetSenX levert de detectie en het papieren spoor.
- De incidentworkflow volgt de termijnen van artikel 23 — vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand — en bereidt elke melding voor zodat u die kunt indienen.
- Auditors zien dezelfde vastleggingen als uw bestuur; er is geen aparte versie alleen voor de audit.
AVG vanaf het ontwerp
Dataminimalisatie, opslag in de EU, een bereikbare FG
- Gevoelige velden, zoals inloggegevens van integraties, worden op applicatieniveau met AES-256-GCM versleuteld voordat ze worden opgeslagen.
- Standaard wordt zo weinig mogelijk verzameld: de detectie werkt vooral met flowmetadata en enkele protocolvelden die op de bewaakte host worden gelezen, en versleutelde verbindingen worden nooit ontsleuteld.
- Klantgegevens worden in de EU opgeslagen: de database in Ierland (AWS eu-west-1), de API in Frankfurt en Parijs. Enkele bij naam genoemde subverwerkers (betalingen, transactionele e-mail) werken in de VS op basis van de modelcontractbepalingen van de EU.
- De FG is bereikbaar via dpo@netsenx.com, en een verwerkersovereenkomst onder artikel 28 AVG is gepubliceerd voor inkoop.
AI Act (AI-verordening)
Artikel 50 transparantie · AI-managementsysteem volgens ISO/IEC 42001 in voorbereiding
- Een openbare transparantieverklaring onder artikel 50 noemt elk AI-onderdeel en de bijbehorende governancemaatregelen.
- De risico-indeling is gedocumenteerd: we beoordelen NetSenX als systeem met beperkt risico en passen vrijwillig verschillende praktijken toe die voor systemen met een hoog risico zijn bedoeld.
- Er wordt een AI-managementsysteem opgebouwd volgens ISO/IEC 42001; er is geen certificaat toegekend en geen auditdatum vastgesteld.
- Een uitleg bij elke melding en een auditlog van wie wat deed, horen bij het product en zijn geen supportverzoek.
Beveiligingsmaatregelen
Het concrete, niet de slogans.
Vertrouwen is de som van de maatregelen die de vragen van een auditor doorstaan. Dit zijn de onze.
- AES-256-GCM-versleuteling per veld
- Gevoelige velden worden op applicatieniveau versleuteld voordat ze worden opgeslagen.
- Ondertekende releases
- Releaseartefacten en hun SBOM's worden ondertekend met Sigstore cosign (zonder sleutel, gekoppeld aan een identiteit), en elke handtekening wordt vastgelegd in het openbare transparantielog Rekor, waar iedereen haar kan controleren.
- Auditlog dat alleen kan worden aangevuld
- Beheeracties, door AI beïnvloede meldingen en toegang tot gegevens worden geschreven naar een auditlog dat alleen kan worden aangevuld, beschikbaar op elk abonnement, ook Free.
- Gegevensopslag in de EU
- Klantgegevens worden in de EU opgeslagen: de database in Ierland (AWS eu-west-1), de API in Frankfurt en Parijs. Elke subverwerker staat met locatie en doorgiftewaarborg in de verwerkersovereenkomst.
- Gecoördineerde openbaarmaking van kwetsbaarheden
- Onderzoekers melden aan security@netsenx.com. We bevestigen binnen 2 werkdagen, beslissen binnen 5 over de triage en coördineren openbaarmaking binnen 90 dagen.
- security.txt gepubliceerd
- Een standaardconforme security.txt op /.well-known/security.txt met contact, beleid, voorkeurstaal en vervaldatum.
FIPS 197 / NIST SP 800-38D
Sigstore · Rekor
Manipulatie zichtbaar, met hashketen
Database: AWS eu-west-1
Gepubliceerd openbaarmakingsbeleid
RFC 9116
Wie NetSenX bouwt
TriStiX S.L.
Het Spaanse bedrijf uit Alicante dat NetSenX bouwt en beheert.
- ISO/IEC 42001 lead implementer in ons teamEen persoonlijke kwalificatie voor het invoeren van een AI-managementsysteem. TriStiX S.L. zelf heeft geen ISO/IEC 42001-certificaat; het AI-managementsysteem is in voorbereiding.
- Onderzoek van het bedrijf op arXivOnderzoekspreprint van TriStiX S.L. arXiv:2603.28558v1 — meerwaardige logica voor compliancetoepassingen
- Zelf gebouwdDe detectie-engine, de agent, het dashboard en deze site worden door TriStiX S.L. geschreven en gecontroleerd; er zit geen engine van derden onder ons label
- EU-bedrijfTriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016
Ontwerppartners
Bètaprogramma geopend
We tonen geen klantlogo's die we niet mogen tonen. Zodra ontwerppartners akkoord gaan met vermelding, verschijnen ze hier, met hun uitdrukkelijke toestemming.
Een bewijspakket nodig voor uw auditor?
Nog voordat een certificering is afgerond, houden we een bewijspakket bij dat is gekoppeld aan de maatregelen van SOC 2, ISO/IEC 42001, ISO/IEC 27001, de CRA, NIS2, de AVG en de AI Act. Vraag het aan onder NDA en we sturen het u rechtstreeks toe.
Verzoeken gaan naar dpo@netsenx.com, het adres van onze functionaris voor gegevensbescherming.