# Zgodność: NIS2, RODO, AI Act i status certyfikacji > Jak NetSenX wspiera art. 21 i 23 NIS2, RODO i AI Act. SOC 2 Type I i ISO/IEC 42001 są w przygotowaniu, jeszcze niepotwierdzone. Source page: https://netsenx.com/pl/compliance Status zgodności Zgodność to część produktu, a nie dodatek. NetSenX przygotowuje się do raportu SOC 2 Type I, do ISO/IEC 42001 w zakresie zarządzania AI i do ISO/IEC 27001 w zakresie bezpieczeństwa informacji. Żaden z nich nie został jeszcze przyznany; ta strona mówi, na jakim etapie jest każdy, obok regulacji, które NetSenX wspiera już dziś: NIS2, RODO, Cyber Resilience Act i AI Act. Poproś o pakiet dowodów Umów briefing dla CISO ### Trzy normy, każda z własnym audytem zewnętrznym Normy w przygotowaniu SOC 2 opisuje, jak działają nasze kontrole, ISO/IEC 27001 — jak zarządzamy bezpieczeństwem informacji, ISO/IEC 42001 — jak nadzorujemy AI. Każdą zaudytuje niezależny podmiot; razem dają działom prawnym, bezpieczeństwa i AI po stronie kupującego dowody, które każdy z nich może przyjąć na własnych zasadach. Co to daje Zobacz szczegóły Type I W przygotowaniu — jeszcze bez poświadczenia · bez daty audytu Niezależne poświadczenie, że kontrole bezpieczeństwa, dostępności i poufności są zaprojektowane tak, jak opisano: raport, o który pyta większość działów zakupów SaaS. System zarządzania AI W przygotowaniu — jeszcze bez certyfikatu · bez daty audytu Kontrole nadzoru, ryzyka, przejrzystości i cyklu życia dla każdego komponentu AI w NetSenX, według międzynarodowej normy systemów zarządzania AI. Zarządzanie bezpieczeństwem informacji Planowane — jeszcze bez certyfikatu · bez daty audytu System zarządzania bezpieczeństwem informacji obejmujący aktywa, dostęp, kryptografię, dostawców, incydenty, ciągłość działania i zgodność. ### Kolejność prac Plan certyfikacji Żaden z tych certyfikatów nie został jeszcze przyznany i żaden audyt nie jest zarezerwowany, dlatego pokazujemy kolejność prac, a nie daty. Data pojawi się tu dopiero wtedy, gdy audyt zostanie zarezerwowany u niezależnego audytora. Działy zakupów mogą w każdej chwili poprosić o nasz pakiet dowodów. Kamienie milowe certyfikacji #### Audyt SOC 2 Type I Krok 1 · w przygotowaniu Przeprowadza niezależna firma audytorska. Trust Services Criteria: bezpieczeństwo, dostępność, poufność. #### Audyt certyfikacyjny ISO/IEC 42001 Krok 2 · w przygotowaniu Przeprowadza akredytowana jednostka certyfikująca. System zarządzania AI obejmuje każdy komponent AI. #### Audyt certyfikacyjny ISO/IEC 27001:2022 Krok 3 · planowany Przeprowadza akredytowana jednostka certyfikująca. Planowany zakres: produkt, infrastruktura i łańcuch dostaw. #### Raport SOC 2 o skuteczności działania kontroli Krok 4 · planowany Dopiero po tym, jak kontrole przejdą okres obserwacji. #### Wszystkie trzy wdrożone Cel SOC 2, ISO/IEC 42001 i ISO/IEC 27001:2022. Dziś żaden nie jest przyznany. ### Co daje każda z norm Trzy normy, trzy reżimy nadzoru, trzy jednostki audytujące. Każda jest przydatna sama w sobie; razem odpowiadają na większość pytań, które dział zakupów zadaje przed zatwierdzeniem wdrożenia. Co to daje Twojemu zespołowi AICPA Trust Services Criteria W przygotowaniu — Type I · bez daty audytu SOC 2 odpowiada na standardowe pytanie przy zakupie SaaS: czy kontrole tego dostawcy naprawdę istnieją tak, jak je opisano? Raport Type I dotyczy projektu kontroli w danym momencie. Przygotowujemy się do niego; data audytu nie jest jeszcze ustalona. Niezależne poświadczenie kontroli bezpieczeństwa (Trust Services Criteria: bezpieczeństwo) Raport niezależnej firmy audytorskiej (CPA), który po wydaniu przekażesz działowi zakupów i bezpieczeństwa Stały zakres, który można porównać z raportami innych dostawców Opis zakresu wskazujący dokładnie, których systemów dotyczy raport System zarządzania AI W przygotowaniu — jeszcze bez certyfikatu · bez daty audytu ISO/IEC 42001:2023 to pierwsza międzynarodowa norma dla systemów zarządzania AI. Daje CISO audytowalną odpowiedź na pytanie: „jak nadzorujecie AI w swoim produkcie bezpieczeństwa?”. Według niej budujemy system zarządzania AI w NetSenX. Udokumentowany nadzór nad każdym komponentem AI w NetSenX Rejestr ryzyk AI z wyznaczonymi właścicielami, przeglądany według stałego harmonogramu Kontrole cyklu życia: wprowadzenie, monitorowanie, wycofanie Bezpośredni łańcuch dowodów do obowiązków przejrzystości z art. 50 AI Act System zarządzania bezpieczeństwem informacji Planowane — jeszcze bez certyfikatu · bez daty audytu ISO/IEC 27001 to częste wymaganie w zakupach w UE. Rewizja z 2022 roku uporządkowała zabezpieczenia z załącznika A w cztery grupy: organizacyjne, osobowe, fizyczne i technologiczne. Planowany zakres obejmuje produkt, infrastrukturę i łańcuch dostaw. Deklaracja stosowania obejmująca zabezpieczenia z załącznika A Zabezpieczenia aktywów, dostępu, kryptografii, dostawców, incydentów, ciągłości działania i zgodności Dowody audytu wewnętrznego, przeglądu zarządzania i ciągłego doskonalenia Punkt odniesienia, o który pyta wiele procesów zakupowych w UE ### Zbudowany pod unijne regulacje, przez ludzi, którzy je czytają. Regulacje UE Cyber Resilience Act, NIS2, RODO i AI Act w dużej mierze decydują o tym, co kupujący w UE musi sprawdzić przed wdrożeniem produktu bezpieczeństwa. Każdą z tych regulacji traktujemy jako część produktu, z dowodami na poparcie. #### Cyber Resilience Act (CRA) Art. 13: obowiązki producenta · art. 14: zgłaszanie Proces wydawniczy generuje zestawienie komponentów oprogramowania (SBOM) w formacie CycloneDX dla każdego opublikowanego wydania. Opublikowana jest polityka skoordynowanego ujawniania podatności z 90-dniowym oknem skoordynowanego ujawnienia. Wydania i SBOM-y są podpisywane narzędziem Sigstore cosign; podpisy trafiają do publicznego rejestru przejrzystości Rekor i każdy może je niezależnie zweryfikować. Proces zgłaszania podatności i incydentów jest zaprojektowany pod obowiązki zgłoszeniowe z art. 14 rozporządzenia (UE) 2024/2847. Przeczytaj politykę ujawniania #### Dyrektywa NIS2 Art. 21: środki zarządzania ryzykiem · art. 23: zgłaszanie Dowody są uporządkowane według grup środków z art. 21: analiza ryzyka, obsługa incydentów, ciągłość działania, łańcuch dostaw, bezpieczny rozwój, kryptografia, uwierzytelnianie wieloskładnikowe, szkolenia i inne. Napisany z myślą o podmiotach kluczowych i ważnych: obowiązek regulacyjny zostaje po Twojej stronie, NetSenX dostarcza detekcję i ślad dokumentacyjny. Obieg incydentu śledzi terminy z art. 23 — wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy w miesiąc — i przygotowuje każde zgłoszenie do złożenia przez Ciebie. Audytorzy widzą te same zapisy co zarząd; nie ma osobnej wersji tylko na audyt. Monitoring sieci pod NIS2 #### RODO w samym projekcie Minimalizacja danych, rezydencja w UE, osiągalny IOD Wrażliwe pola, takie jak dane uwierzytelniające integracji, są szyfrowane AES-256-GCM w warstwie aplikacji, zanim trafią do bazy. Domyślnie zbieramy minimum: detekcja opiera się głównie na metadanych przepływów i kilku polach protokołów odczytywanych na monitorowanym hoście, a połączenia szyfrowane nigdy nie są odszyfrowywane. Dane klientów są przechowywane w UE: baza danych w Irlandii (AWS eu-west-1), API we Frankfurcie i Paryżu. Kilku wskazanych z nazwy podmiotów przetwarzających (płatności, e-mail transakcyjny) działa w USA na podstawie standardowych klauzul umownych UE. IOD jest dostępny pod adresem dpo@netsenx.com, a umowa powierzenia przetwarzania z art. 28 RODO jest opublikowana na potrzeby zakupów. Przeczytaj umowę powierzenia #### AI Act Art. 50: przejrzystość · system zarządzania AI według ISO/IEC 42001 w przygotowaniu Publiczna informacja o przejrzystości z art. 50 wymienia każdy komponent AI i jego mechanizmy nadzoru. Klasyfikacja ryzyka jest udokumentowana: oceniamy NetSenX jako system ograniczonego ryzyka i dobrowolnie stosujemy kilka praktyk przewidzianych dla systemów wysokiego ryzyka. System zarządzania AI jest budowany według ISO/IEC 42001; certyfikat nie został przyznany, a data audytu nie jest ustalona. Wyjaśnienie każdego alertu i dziennik audytu „kto co zrobił” są częścią produktu, a nie zgłoszeniem do wsparcia. Przeczytaj informację o przejrzystości AI ### Konkrety, nie hasła. Zabezpieczenia O wiarygodności decydują zabezpieczenia, które wytrzymują pytania audytora. Oto nasze. #### Szyfrowanie pól AES-256-GCM Wrażliwe pola są szyfrowane w warstwie aplikacji, zanim trafią do bazy. FIPS 197 / NIST SP 800-38D #### Podpisane wydania Artefakty wydań i ich SBOM-y są podpisywane narzędziem Sigstore cosign (bez kluczy, z powiązaniem z tożsamością), a każdy podpis jest zapisywany w publicznym rejestrze przejrzystości Rekor, gdzie każdy może go zweryfikować. Sigstore · Rekor #### Dziennik audytu tylko do dopisywania Działania administracyjne, alerty z udziałem AI i dostęp do danych trafiają do dziennika audytu tylko do dopisywania, dostępnego w każdym planie, również Free. Wykrywanie manipulacji, łańcuch skrótów #### Rezydencja danych w UE Dane klientów są przechowywane w UE: baza danych w Irlandii (AWS eu-west-1), API we Frankfurcie i Paryżu. Każdy podmiot przetwarzający, z lokalizacją i zabezpieczeniem transferu, jest wymieniony w umowie powierzenia. Baza danych: AWS eu-west-1 #### Skoordynowane ujawnianie podatności Badacze zgłaszają podatności na adres security@netsenx.com. Potwierdzamy w ciągu 2 dni roboczych, decyzję o klasyfikacji podejmujemy w ciągu 5, a publiczne ujawnienie koordynujemy w ciągu 90 dni. Opublikowana polityka ujawniania #### Opublikowany security.txt Zgodny ze standardem plik security.txt pod /.well-known/security.txt z polami kontaktu, polityki, preferowanego języka i daty ważności. RFC 9116 ### Program beta jest otwarty Partnerzy projektowi Nie pokazujemy logotypów klientów, do których pokazywania nie mamy prawa. Gdy partnerzy projektowi zgodzą się na podanie nazwy, pojawią się tutaj, za ich wyraźną zgodą. Dołącz do programu beta Partner beta ### Potrzebujesz pakietu dowodów dla audytora? Dla Twojego audytora Zanim zakończy się jakakolwiek certyfikacja, utrzymujemy pakiet dowodów zmapowany na kontrole SOC 2, ISO/IEC 42001, ISO/IEC 27001, CRA, NIS2, RODO i AI Act. Poproś o niego w ramach NDA, a prześlemy go bezpośrednio do Ciebie. Poproś o pakiet dowodów Umów demo Kto tworzy NetSenX Hiszpańska firma z Alicante, która tworzy i obsługuje NetSenX. Lead implementer ISO/IEC 42001 w naszym zespole Osobiste uprawnienie do wdrażania systemu zarządzania AI. Sama TriStiX S.L. nie ma certyfikatu ISO/IEC 42001; jej system zarządzania AI jest w przygotowaniu. Badania firmy na arXiv Preprint badawczy TriStiX S.L. arXiv:2603.28558v1 — logika wielowartościowa w zastosowaniach compliance Zbudowany we własnym zakresie Silnik detekcji, agent, panel i ta strona są pisane i przeglądane przez TriStiX S.L.; nie ma tu cudzego silnika pod naszą marką Firma z UE TriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016 Zespoły bezpieczeństwa średnich firm w UE widzą ten sam schemat: stos detekcji z każdym kwartałem robi się głośniejszy, budżet z każdym rokiem ciaśniejszy, a zaległych alertów przybywa szybciej, niż mały zespół jest w stanie je przejrzeć. Dostawcy nazywają to pokryciem. Zespoły, które z tym żyją, nazywają to fabryką alertów. NetSenX istnieje, bo więcej alertów nie daje więcej bezpieczeństwa. Granica false positive pochodzi z predykcji split-conformal, opublikowanej metody statystycznej, zastosowanej do łagodnego ruchu oznaczonego przez Twoich analityków: jest wyprowadzona, a nie dostrojona. To, jak wąska jest w Twojej sieci, zależy od tego, ile oznaczonego ruchu skalibrowano, i dlatego produkt pokazuje granicę wspieraną przez Twoje dane, a gdy jeszcze żadnej nie wspierają, mówi to wprost. Reszta NetSenX sprawia, że działa to w praktyce: AI Analyst Core, który pisze notatki analityka, dziennik audytu, który wytrzyma audytora, i system zarządzania AI budowany według ISO/IEC 42001, by wytrzymał regulatora. Zespoły bezpieczeństwa średnich firm w UE zasługują na wykrywanie zagrożeń sieciowych, na które je stać i które potrafią wyjaśnić. Tym jest ta firma. Nad czym pracujemy dalej SOC 2, ISO/IEC 42001 i ISO/IEC 27001 — w przygotowaniu; daty podamy, gdy audyty zostaną zarezerwowane. Wniosek do EIC Accelerator w IV kwartale 2026, by rozwinąć sprzedaż do średnich firm w UE. Pierwsze zatrudnienia w inżynierii i obsłudze klienta, w Alicante i zdalnie w całej UE. Preprint badawczy TriStiX S.L. na arXiv