+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 6 1.
Som led i deres IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, i forordning (EU) 2022/2554, udvikler, dokumenterer og gennemfører finansielle enheder en politik for kryptering og kryptografiske kontroller.
EULAW Artikel 6 2.

Finansielle enheder udformer den i stk. 1 omhandlede politik for kryptering og kryptografiske kontroller på grundlag af resultaterne af en godkendt dataklassificering og IKT-risikovurdering. Denne politik skal indeholde regler for alle følgende:

a) 

kryptering af data, som er inaktive eller under overførsel

b) 

kryptering af data, som er i brug, hvis det er nødvendigt

c) 

kryptering af interne netværkssammenkoblinger og trafik med eksterne parter

d) 

forvaltning af krypteringsnøgler, jf. artikel 7, der fastsætter regler for korrekt anvendelse af, beskyttelse af og livscyklus for krypteringsnøgler.

Med henblik på litra b) skal finansielle enheder, såfremt kryptering af data, som er i brug, ikke er mulig, behandle data, som er i brug, i et adskilt og beskyttet miljø eller træffe tilsvarende foranstaltninger til at sikre fortroligheden, integriteten, autenticiteten og tilgængeligheden af data.
EULAW Artikel 6 3.
Finansielle enheder inkluderer i den politik for kryptering og kryptografiske kontroller, der er omhandlet i stk. 1, kriterier for udvælgelse af kryptografiske teknikker og anvendelsespraksis, idet de tager hensyn til førende praksis og standarder som defineret i artikel 2, nr. (1), i forordning (EU) nr. 1025/2012 og den klassificering af relevante IKT-aktiver, der er fastsat i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554. Finansielle enheder, der ikke formår at overholde førende praksis eller standarder eller anvende de mest pålidelige teknikker, vedtager afbødnings- og overvågningsforanstaltninger, der sikrer modstandsdygtighed over for cybertrusler.
EULAW Artikel 6 4.
Finansielle enheder inkluderer i den politik for kryptering og kryptografiske kontroller, der er omhandlet i stk. 1, bestemmelser om opdatering eller ændring, såfremt det er nødvendigt, af kryptografisk teknologi på grundlag af udviklingen inden for kryptoanalyse. Disse opdateringer eller ændringer skal sikre, at den kryptografiske teknologi forbliver modstandsdygtig over for cybertrusler, jf. artikel 10, stk. 2, litra a). Finansielle enheder, der ikke formår at opdatere eller ændre den kryptografiske teknologi, vedtager afbødnings- og overvågningsforanstaltninger, der sikrer modstandsdygtighed over for cybertrusler.
EULAW Artikel 6 5.
Finansielle enheder inkluderer i den politik for kryptering og kryptografiske kontroller, der er omhandlet i stk. 1, et krav om at registrere vedtagelsen afbødnings- og overvågningsforanstaltninger, der er vedtaget i overensstemmelse med stk. 3 og 4, og om at give en begrundet redegørelse for vedtagelsen heraf.
EULAW Artikel 7 1.
Finansielle enheder inkluderer i den politik for forvaltning af krypteringsnøgler, der er omhandlet i artikel 6, stk. 2, litra d), krav om forvaltning af krypteringsnøgler gennem hele deres livscyklus, herunder generering, fornyelse, lagring, sikkerhedskopiering, arkivering, genfinding, overførsel, udrangering, tilbagekaldelse og destruktion af sådanne krypteringsnøgler.
EULAW Artikel 7 2.
Finansielle enheder identificerer og gennemfører kontroller til beskyttelse af krypteringsnøgler gennem hele deres livscyklus mod tab, uautoriseret adgang, videregivelse og ændring. Finansielle enheder udformer sådanne kontroller på grundlag af resultaterne af den godkendte dataklassificering og IKT-risikovurderingen.
EULAW Artikel 7 3.
Finansielle enheder udvikler og gennemfører metoder til udskiftning af krypteringsnøglerne i tilfælde af tab, eller hvis disse krypteringsnøgler kompromitteres eller skades.
EULAW Artikel 7 4.
Finansielle enheder opretter og vedligeholder et register over alle certifikater og alt udstyr til lagring af certifikater som minimum for IKT-aktiver, der understøtter kritiske eller vigtige funktioner. Finansielle enheder sørger for at ajourføre dette register.
EULAW Artikel 7 5.
Finansielle enheder sørger for øjeblikkelig fornyelse af certifikater inden de udløber.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.