# Compliance: NIS2, AVG, AI Act en certificering

> Hoe NetSenX NIS2 artikel 21 en 23, de AVG en de AI Act ondersteunt. SOC 2 Type I en ISO/IEC 42001 zijn in voorbereiding, nog niet geattesteerd.

Source page: https://netsenx.com/nl/compliance

Compliancestatus

Compliance hoort bij het product,

het is geen extraatje.

NetSenX bereidt een SOC 2 Type I-rapport voor, ISO/IEC 42001 voor AI-management en ISO/IEC 27001 voor informatiebeveiliging. Geen ervan is al toegekend; deze pagina laat zien waar elk staat, naast de regelgeving die NetSenX vandaag al ondersteunt: NIS2, de AVG, de Cyber Resilience Act en de AI Act.

Bewijspakket aanvragen

CISO-briefing boeken

### Drie normen, elk met een eigen externe audit

Normen in voorbereiding

SOC 2 rapporteert hoe we beheersmaatregelen uitvoeren, ISO/IEC 27001 hoe we informatiebeveiliging beheren, ISO/IEC 42001 hoe we AI besturen. Elke norm wordt door een onafhankelijke instantie getoetst; samen geven ze de juridische, beveiligings- en AI-beoordelaars van de koper bewijs dat elk op eigen voorwaarden kan accepteren.

Wat het u oplevert

Details lezen

Type I

In voorbereiding — nog niet geattesteerd · geen auditdatum

Een onafhankelijke bevestiging dat de beheersmaatregelen voor beveiliging, beschikbaarheid en vertrouwelijkheid zijn ingericht zoals beschreven: het rapport waar de meeste SaaS-inkoopteams om vragen.

AI-managementsysteem

In voorbereiding — nog geen certificaat · geen auditdatum

Beheersmaatregelen voor governance, risico, transparantie en levenscyclus voor elk AI-onderdeel van NetSenX, volgens de internationale norm voor AI-managementsystemen.

Informatiebeveiligingsmanagement

Gepland — nog geen certificaat · geen auditdatum

Een managementsysteem voor informatiebeveiliging voor assets, toegang, cryptografie, leveranciers, incidenten, bedrijfscontinuïteit en compliance.

### De volgorde van het werk

Certificeringsplan

Geen van deze certificeringen is toegekend en er is geen audit gepland, dus tonen we de volgorde van het werk en geen data. Een datum verschijnt hier pas als er een audit bij een onafhankelijke auditor is gepland. Inkoopteams kunnen ons bewijspakket op elk moment aanvragen.

Mijlpalen van de certificering

#### SOC 2 Type I-audit

Stap 1 · in voorbereiding

Door een onafhankelijk accountantskantoor. Trust Services Criteria: beveiliging, beschikbaarheid, vertrouwelijkheid.

#### Certificeringsaudit ISO/IEC 42001

Stap 2 · in voorbereiding

Door een geaccrediteerde certificeringsinstelling. Het AI-managementsysteem omvat elk AI-onderdeel.

#### Certificeringsaudit ISO/IEC 27001:2022

Stap 3 · gepland

Door een geaccrediteerde certificeringsinstelling. Geplande reikwijdte: product, infrastructuur en toeleveringsketen.

#### SOC 2-rapport over de werking van de beheersmaatregelen

Stap 4 · gepland

Pas nadat de beheersmaatregelen een observatieperiode hebben doorlopen.

#### Alle drie op orde

Doel

SOC 2, ISO/IEC 42001 en ISO/IEC 27001:2022. Vandaag is geen ervan toegekend.

### Wat elke norm u oplevert

Drie normen, drie governanceregimes, drie auditinstanties. Elke norm is op zichzelf nuttig; samen beantwoorden ze de meeste vragen die een inkoopteam stelt voordat het een uitrol goedkeurt.

Wat het uw team oplevert

AICPA Trust Services Criteria

In voorbereiding — Type I · geen auditdatum

SOC 2 beantwoordt de standaardvraag bij de inkoop van SaaS: zijn de beheersmaatregelen van deze leverancier echt aanwezig zoals beschreven? Een Type I-rapport gaat over de opzet van de beheersmaatregelen op één moment. We bereiden het voor; een auditdatum staat nog niet vast.

Onafhankelijke bevestiging van beveiligingsmaatregelen (Trust Services Criteria: beveiliging)

Een rapport van een onafhankelijk CPA-kantoor dat u na uitgifte aan inkoop en informatiebeveiliging kunt geven

Een vaste reikwijdte die u kunt vergelijken met rapporten van andere leveranciers

Een afbakening die precies noemt welke systemen het rapport dekt

AI-managementsysteem

In voorbereiding — nog geen certificaat · geen auditdatum

ISO/IEC 42001:2023 is de eerste internationale norm voor AI-managementsystemen. Ze geeft een CISO een toetsbaar antwoord op de vraag 'hoe bestuurt u de AI in uw beveiligingsproduct?'. Volgens deze norm bouwen we het AI-managementsysteem van NetSenX op.

Gedocumenteerde governance voor elk AI-onderdeel van NetSenX

Een AI-risicoregister met benoemde eigenaren, volgens een vast schema herzien

Levenscyclusmaatregelen: invoering, bewaking, uitfasering

Een directe bewijsketen naar de transparantieverplichtingen van artikel 50 AI Act

Managementsysteem voor informatiebeveiliging

Gepland — nog geen certificaat · geen auditdatum

ISO/IEC 27001 is een veelgestelde eis bij inkoop in de EU. De herziening van 2022 heeft de maatregelen uit bijlage A in vier thema's ingedeeld: organisatorisch, mensgericht, fysiek en technologisch. De geplande reikwijdte omvat het product, de infrastructuur en de toeleveringsketen.

Een verklaring van toepasselijkheid voor de maatregelen uit bijlage A

Maatregelen voor assets, toegang, cryptografie, leveranciers, incidenten, continuïteit en compliance

Bewijs van interne audits, directiebeoordeling en continue verbetering

Een basis waar veel inkoopprocessen in de EU om vragen

### Gebouwd voor de Europese regelgeving, door mensen die haar lezen.

EU-regelgeving

De Cyber Resilience Act, NIS2, de AVG en de AI Act bepalen voor een groot deel wat een koper in de EU moet controleren voordat hij een beveiligingsproduct inzet. We behandelen elk ervan als onderdeel van het product, met het bewijs erbij.

#### Cyber Resilience Act (CRA)

Artikel 13 verplichtingen van de fabrikant · artikel 14 meldingen

De releasepipeline maakt voor elke gepubliceerde release een softwarestuklijst (SBOM) in CycloneDX-formaat.

Er is een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden gepubliceerd, met een termijn van 90 dagen voor gecoördineerde openbaarmaking.

Releases en SBOM's worden ondertekend met Sigstore cosign; de handtekeningen staan in het openbare transparantielog Rekor en zijn onafhankelijk te controleren.

Het meldproces voor kwetsbaarheden en incidenten is ingericht op de meldplichten van artikel 14 van Verordening (EU) 2024/2847.

Openbaarmakingsbeleid lezen

#### NIS2-richtlijn

Artikel 21 risicobeheersmaatregelen · artikel 23 meldplicht

Het bewijs is geordend naar de maatregelgroepen van artikel 21: risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, toeleveringsketen, veilige ontwikkeling, cryptografie, meervoudige authenticatie, training en meer.

Geschreven voor essentiële en belangrijke entiteiten: de wettelijke plicht blijft bij u, NetSenX levert de detectie en het papieren spoor.

De incidentworkflow volgt de termijnen van artikel 23 — vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand — en bereidt elke melding voor zodat u die kunt indienen.

Auditors zien dezelfde vastleggingen als uw bestuur; er is geen aparte versie alleen voor de audit.

NIS2-netwerkmonitoring

#### AVG vanaf het ontwerp

Dataminimalisatie, opslag in de EU, een bereikbare FG

Gevoelige velden, zoals inloggegevens van integraties, worden op applicatieniveau met AES-256-GCM versleuteld voordat ze worden opgeslagen.

Standaard wordt zo weinig mogelijk verzameld: de detectie werkt vooral met flowmetadata en enkele protocolvelden die op de bewaakte host worden gelezen, en versleutelde verbindingen worden nooit ontsleuteld.

Klantgegevens worden in de EU opgeslagen: de database in Ierland (AWS eu-west-1), de API in Frankfurt en Parijs. Enkele bij naam genoemde subverwerkers (betalingen, transactionele e-mail) werken in de VS op basis van de modelcontractbepalingen van de EU.

De FG is bereikbaar via dpo@netsenx.com, en een verwerkersovereenkomst onder artikel 28 AVG is gepubliceerd voor inkoop.

Verwerkersovereenkomst lezen

#### AI Act (AI-verordening)

Artikel 50 transparantie · AI-managementsysteem volgens ISO/IEC 42001 in voorbereiding

Een openbare transparantieverklaring onder artikel 50 noemt elk AI-onderdeel en de bijbehorende governancemaatregelen.

De risico-indeling is gedocumenteerd: we beoordelen NetSenX als systeem met beperkt risico en passen vrijwillig verschillende praktijken toe die voor systemen met een hoog risico zijn bedoeld.

Er wordt een AI-managementsysteem opgebouwd volgens ISO/IEC 42001; er is geen certificaat toegekend en geen auditdatum vastgesteld.

Een uitleg bij elke melding en een auditlog van wie wat deed, horen bij het product en zijn geen supportverzoek.

AI-transparantieverklaring lezen

### Het concrete, niet de slogans.

Beveiligingsmaatregelen

Vertrouwen is de som van de maatregelen die de vragen van een auditor doorstaan. Dit zijn de onze.

#### AES-256-GCM-versleuteling per veld

Gevoelige velden worden op applicatieniveau versleuteld voordat ze worden opgeslagen.

FIPS 197 / NIST SP 800-38D

#### Ondertekende releases

Releaseartefacten en hun SBOM's worden ondertekend met Sigstore cosign (zonder sleutel, gekoppeld aan een identiteit), en elke handtekening wordt vastgelegd in het openbare transparantielog Rekor, waar iedereen haar kan controleren.

Sigstore · Rekor

#### Auditlog dat alleen kan worden aangevuld

Beheeracties, door AI beïnvloede meldingen en toegang tot gegevens worden geschreven naar een auditlog dat alleen kan worden aangevuld, beschikbaar op elk abonnement, ook Free.

Manipulatie zichtbaar, met hashketen

#### Gegevensopslag in de EU

Klantgegevens worden in de EU opgeslagen: de database in Ierland (AWS eu-west-1), de API in Frankfurt en Parijs. Elke subverwerker staat met locatie en doorgiftewaarborg in de verwerkersovereenkomst.

Database: AWS eu-west-1

#### Gecoördineerde openbaarmaking van kwetsbaarheden

Onderzoekers melden aan security@netsenx.com. We bevestigen binnen 2 werkdagen, beslissen binnen 5 over de triage en coördineren openbaarmaking binnen 90 dagen.

Gepubliceerd openbaarmakingsbeleid

#### security.txt gepubliceerd

Een standaardconforme security.txt op /.well-known/security.txt met contact, beleid, voorkeurstaal en vervaldatum.

RFC 9116

### Bètaprogramma geopend

Ontwerppartners

We tonen geen klantlogo's die we niet mogen tonen. Zodra ontwerppartners akkoord gaan met vermelding, verschijnen ze hier, met hun uitdrukkelijke toestemming.

Doe mee aan het bètaprogramma

Bètapartner

### Een bewijspakket nodig voor uw auditor?

Voor uw auditor

Nog voordat een certificering is afgerond, houden we een bewijspakket bij dat is gekoppeld aan de maatregelen van SOC 2, ISO/IEC 42001, ISO/IEC 27001, de CRA, NIS2, de AVG en de AI Act. Vraag het aan onder NDA en we sturen het u rechtstreeks toe.

Bewijspakket aanvragen

Demo boeken

Wie NetSenX bouwt

Het Spaanse bedrijf uit Alicante dat NetSenX bouwt en beheert.

ISO/IEC 42001 lead implementer in ons team

Een persoonlijke kwalificatie voor het invoeren van een AI-managementsysteem. TriStiX S.L. zelf heeft geen ISO/IEC 42001-certificaat; het AI-managementsysteem is in voorbereiding.

Onderzoek van het bedrijf op arXiv

Onderzoekspreprint van TriStiX S.L. arXiv:2603.28558v1 — meerwaardige logica voor compliancetoepassingen

Zelf gebouwd

De detectie-engine, de agent, het dashboard en deze site worden door TriStiX S.L. geschreven en gecontroleerd; er zit geen engine van derden onder ons label

EU-bedrijf

TriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016

Beveiligingsteams in het Europese mkb zien steeds hetzelfde patroon: de detectiestack wordt elk kwartaal luider, het budget elk jaar krapper, en de achterstand aan meldingen groeit sneller dan een klein team kan wegwerken. Leveranciers noemen dat dekking. De teams die ermee leven, noemen het een meldingenfabriek.

NetSenX bestaat omdat meer meldingen geen extra veiligheid opleveren. De bovengrens voor valse positieven komt uit split-conformal prediction, een gepubliceerde statistische methode, toegepast op onschuldig verkeer dat uw eigen analisten hebben gelabeld: ze is afgeleid, niet bijgesteld. Hoe scherp ze op uw netwerk uitvalt, hangt af van hoeveel gelabeld verkeer is gekalibreerd. Daarom toont het product de grens die uw gegevens onderbouwen en zegt het duidelijk wanneer ze er nog geen onderbouwen.

De rest van NetSenX maakt dat bruikbaar: een AI Analyst Core die de analistennotities schrijft, een auditlog dat de auditor doorstaat, en een AI-managementsysteem volgens ISO/IEC 42001 zodat het ook de toezichthouder doorstaat. Beveiligingsteams van middelgrote Europese organisaties verdienen netwerkdetectie die ze kunnen betalen en uitleggen. Dat is het bedrijf.

Waar we hierna aan bouwen

SOC 2, ISO/IEC 42001 en ISO/IEC 27001 — in voorbereiding; data volgen zodra audits zijn gepland.

Een aanvraag bij de EIC Accelerator in het 4e kwartaal van 2026 om de marktbewerking bij middelgrote Europese organisaties uit te breiden.

Eerste aanwervingen in engineering en customer success, in Alicante en op afstand in de hele EU.

Onderzoekspreprint van TriStiX S.L. op arXiv