Sikkerhed og compliance
Sikkerheds-oversigt
Denne side er skrevet til IT- og procurement-teams der skal lave en sikkerhedsvurdering af os. Hvis du har konkrete spørgsmål eller kræver en udfyldt sikkerheds-questionnaire, så kontakt os direkte.
Data-flow — fra måler til dit system
- 1. Måler → Gateway
wM-Bus telegrammer over 868 MHz krypteret med AES-128 i CTR-mode (når måleren understøtter det). Krypteringsnøgler dekrypteres lokalt på gateway'en — forlader aldrig ejendommen.
- 2. Gateway → Cloud
Daglige pakker via MQTT over TLS 1.3. Hver gateway har et unikt client-certifikat (X.509) — server accepterer ingen forbindelse uden gyldigt cert. Datapayload komprimeres med MessagePack + zlib, krypteres af TLS-laget.
- 3. Cloud-storage
TimescaleDB (PostgreSQL) på dedikerede Hetzner-servere i Falkenstein, Tyskland. Disk-kryptering med LUKS (AES-256-XTS). Daglige backups krypteret med ekstra GPG-lag.
- 4. Cloud → Dit system
Daglig HTTP POST med JSON over TLS 1.3 til en URL du angiver. Vi understøtter bearer-token, mTLS, eller HMAC-signering af payload. Ingen offentlige endpoints uden auth.
Krypterings-standarder
| Lag | Algoritme | Standard |
|---|---|---|
| Måler-aflæsninger | AES-128-CTR | OMS / EN 13757-4 |
| MQTT gateway↔server | TLS 1.3 + X.509 client certs | RFC 8446 |
| HTTPS website | TLS 1.3 (Let's Encrypt / Vercel) | RFC 8446 |
| Database at-rest | AES-256-XTS (LUKS) | NIST SP 800-38E |
| Backup-arkiver | GPG (AES-256 + RSA-4096) | RFC 4880 |
| OTA firmware-pakker | SHA-256 + GPG-signatur | Verificeret før install |
Adgangskontrol
Per-gateway client-certifikater
Hver gateway har sit eget X.509-certifikat genereret ved provisioning. Server afviser MQTT-forbindelser uden gyldigt cert. Hvis en gateway kompromitteres, kan dens cert revokes uden at påvirke andre.
Ingen lyttende porte på gateway'en
Gateway'en initerer alle udgående forbindelser — den lytter ikke på indgående internet-trafik. Remote-adgang sker via Cloudflare Tunnel der starter on-demand (max 30 min), ikke persistent åbne porte.
MFA på operator-dashboard
Cloud-dashboardet kræver TOTP-baseret MFA. Audit-log registrerer alle login-forsøg, ændringer af målerkonfiguration og data-eksporter.
Princippet om mindste privilegium
Vores medarbejdere har ikke adgang til kundedata som default. Adgang gives time-bundet via just-in-time-anmodning, logges, og udløber automatisk. Ingen produktion-adgang fra personlige enheder.
Underdatabehandlere
Komplet liste over tredjeparts-leverandører der behandler data på vegne af os. Alle har DPA underskrevet og er enten EU-baserede eller bruger EU-region.
| Leverandør | Rolle | Region | DPA |
|---|---|---|---|
| Hetzner Online GmbH | Cloud-infrastruktur | DE (Falkenstein) | Standard EU DPA |
| Vercel Inc. | Website + edge | Global (EU-region for compute) | EU SCCs + DPA |
| Stripe Payments Europe Ltd. | Betalingsbehandling | IE | Stripe DPA + EU-residency |
| Resend Inc. | Transaktions-e-mail | EU/US (vi bruger EU-endpoint) | EU SCCs + DPA |
| 1NCE GmbH | 4G IoT-konnektivitet | EU | 1NCE DPA — kun metadata |
| Plausible Insights OÜ | Analytics (cookie-fri) | EE (Estland) | Standard EU DPA |
Compliance-frameworks
GDPR
Vi opfylder forordning 2016/679. Privacy-by-design er indbygget — målerdata er pseudonymiseret (meter-ID, ikke person), og persondata om lejere behandles kun som databehandler under separat DPA.
MID (Måleinstrumentdirektivet)
Vi laver ikke selve fordelingsregnskabet — det kræver MID-godkendelse. Vi leverer aflæsninger til en MID-godkendt operatør eller direkte til kunder med eget regnskab.
NIS2-direktivet
Som leverandør af kritisk IoT-infrastruktur følger vi NIS2-anbefalingerne for incident response (24-timers notifikation til myndigheder), supply-chain due diligence, og årlig sikkerhedsrevision.
ISO 27001
Vi følger principperne fra ISO 27001 (information security management) — formel certificering planlagt i takt med selskabsvækst. Audit-trail og adgangslogs er klar til certificeringsproces.
Incident response
Hvis vi opdager en sikkerhedshændelse der berører kundedata, følger vi denne procedure:
- 01Detektion via automatiske alarmer (anomali, fejl-rater, signal-tab) — typisk inden for 15 min
- 02Indledende vurdering inden for 1 time af registrering
- 03Berørte kunder informeres pr. e-mail inden for 24 timer (eller hurtigere afhængigt af alvor)
- 04Datatilsynet notificeres inden for 72 timer ved persondatabrud (GDPR-krav)
- 05Post-incident rapport publiceres til berørte kunder inden for 14 dage
Skal du bruge en sikkerheds-questionnaire eller DPA?
Vi udfylder de almindelige skemaer (CAIQ, VSAQ, custom B2B-spørgeskemaer) og leverer en underskreven databehandleraftale efter EU SCCs som standard. Skriv til kontakt@readings.dk med dit krav, så vender vi tilbage inden for to hverdage.