+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 6 1.
Som led i deres IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, i forordning (EU) 2022/2554, udvikler, dokumenterer og gennemfører finansielle enheder en politik for kryptering og kryptografiske kontroller.
EULAW Artikel 6 2.

Finansielle enheder udformer den i stk. 1 omhandlede politik for kryptering og kryptografiske kontroller på grundlag af resultaterne af en godkendt dataklassificering og IKT-risikovurdering. Denne politik skal indeholde regler for alle følgende:

a) 

kryptering af data, som er inaktive eller under overførsel

b) 

kryptering af data, som er i brug, hvis det er nødvendigt

c) 

kryptering af interne netværkssammenkoblinger og trafik med eksterne parter

d) 

forvaltning af krypteringsnøgler, jf. artikel 7, der fastsætter regler for korrekt anvendelse af, beskyttelse af og livscyklus for krypteringsnøgler.

Med henblik på litra b) skal finansielle enheder, såfremt kryptering af data, som er i brug, ikke er mulig, behandle data, som er i brug, i et adskilt og beskyttet miljø eller træffe tilsvarende foranstaltninger til at sikre fortroligheden, integriteten, autenticiteten og tilgængeligheden af data.
EULAW Artikel 6 3.
Finansielle enheder inkluderer i den politik for kryptering og kryptografiske kontroller, der er omhandlet i stk. 1, kriterier for udvælgelse af kryptografiske teknikker og anvendelsespraksis, idet de tager hensyn til førende praksis og standarder som defineret i artikel 2, nr. (1), i forordning (EU) nr. 1025/2012 og den klassificering af relevante IKT-aktiver, der er fastsat i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554. Finansielle enheder, der ikke formår at overholde førende praksis eller standarder eller anvende de mest pålidelige teknikker, vedtager afbødnings- og overvågningsforanstaltninger, der sikrer modstandsdygtighed over for cybertrusler.
EULAW Artikel 6 4.
Finansielle enheder inkluderer i den politik for kryptering og kryptografiske kontroller, der er omhandlet i stk. 1, bestemmelser om opdatering eller ændring, såfremt det er nødvendigt, af kryptografisk teknologi på grundlag af udviklingen inden for kryptoanalyse. Disse opdateringer eller ændringer skal sikre, at den kryptografiske teknologi forbliver modstandsdygtig over for cybertrusler, jf. artikel 10, stk. 2, litra a). Finansielle enheder, der ikke formår at opdatere eller ændre den kryptografiske teknologi, vedtager afbødnings- og overvågningsforanstaltninger, der sikrer modstandsdygtighed over for cybertrusler.
EULAW Artikel 6 5.
Finansielle enheder inkluderer i den politik for kryptering og kryptografiske kontroller, der er omhandlet i stk. 1, et krav om at registrere vedtagelsen afbødnings- og overvågningsforanstaltninger, der er vedtaget i overensstemmelse med stk. 3 og 4, og om at give en begrundet redegørelse for vedtagelsen heraf.
EULAW Artikel 7 1.
Finansielle enheder inkluderer i den politik for forvaltning af krypteringsnøgler, der er omhandlet i artikel 6, stk. 2, litra d), krav om forvaltning af krypteringsnøgler gennem hele deres livscyklus, herunder generering, fornyelse, lagring, sikkerhedskopiering, arkivering, genfinding, overførsel, udrangering, tilbagekaldelse og destruktion af sådanne krypteringsnøgler.
EULAW Artikel 7 2.
Finansielle enheder identificerer og gennemfører kontroller til beskyttelse af krypteringsnøgler gennem hele deres livscyklus mod tab, uautoriseret adgang, videregivelse og ændring. Finansielle enheder udformer sådanne kontroller på grundlag af resultaterne af den godkendte dataklassificering og IKT-risikovurderingen.
EULAW Artikel 7 3.
Finansielle enheder udvikler og gennemfører metoder til udskiftning af krypteringsnøglerne i tilfælde af tab, eller hvis disse krypteringsnøgler kompromitteres eller skades.
EULAW Artikel 7 4.
Finansielle enheder opretter og vedligeholder et register over alle certifikater og alt udstyr til lagring af certifikater som minimum for IKT-aktiver, der understøtter kritiske eller vigtige funktioner. Finansielle enheder sørger for at ajourføre dette register.
EULAW Artikel 7 5.
Finansielle enheder sørger for øjeblikkelig fornyelse af certifikater inden de udløber.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.