+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Réglementations associées

2. Exigences identifiées

Exigences

3. Réglementations associées

Réglementations
EULAW Article 6 1.
Dans le cadre de leurs politiques, procédures, protocoles et outils de sécurité de TIC visés à l’article 9, paragraphe 2, du règlement (UE) 2022/2554, les entités financières élaborent, documentent et mettent en œuvre une politique en matière de chiffrement et de contrôles cryptographiques.
EULAW Article 6 2.

Les entités financières conçoivent la politique en matière de chiffrement et de contrôles cryptographiques visée au paragraphe 1 sur la base des résultats d’une classification des données approuvée et de l’évaluation du risque lié aux TIC. Cette politique contient des règles pour tous les éléments suivants:

a) 

le chiffrement des données au repos et en transit;

b) 

le chiffrement des données en cours d’utilisation, si nécessaire;

c) 

le chiffrement des connexions internes au réseau et du trafic avec des tiers;

d) 

la gestion des clés cryptographiques visée à l’article 7, y compris des règles relatives à la bonne utilisation, à la protection et au cycle de vie des clés cryptographiques.

Aux fins du point b), lorsque le chiffrement des données en cours d’utilisation n’est pas possible, les entités financières traitent ces données dans un environnement séparé et protégé, ou prennent des mesures équivalentes pour garantir la confidentialité, l’intégrité, l’authenticité et la disponibilité des données.
EULAW Article 6 3.
Les entités financières incluent dans la politique en matière de chiffrement et de contrôles cryptographiques visée au paragraphe 1 des critères de sélection des techniques cryptographiques et des pratiques d’utilisation, tenant compte des pratiques de pointe, ainsi que des normes définies à l’article 2, point 1), du règlement (UE) no 1025/2012, et de la classification des actifs de TIC concernés effectuée conformément à l’article 8, paragraphe 1, du règlement (UE) 2022/2554. Les entités financières qui ne sont pas en mesure d’appliquer les pratiques de pointe ou les normes, ou d’utiliser les techniques les plus fiables, adoptent des mesures d’atténuation et de suivi qui garantissent la résilience face aux cybermenaces.
EULAW Article 6 4.
Les entités financières incluent dans la politique en matière de chiffrement et de contrôles cryptographiques visée au paragraphe 1 des dispositions relatives à la mise à jour ou à la modification, si nécessaire, de la technologie cryptographique, en fonction de l’évolution de la cryptanalyse. Ces mises à jour ou modifications garantissent que la technologie cryptographique reste résiliente face aux cybermenaces, comme l’exige l’article 10, paragraphe 2, point a). Les entités financières qui ne sont pas en mesure de mettre à jour ou de modifier la technologie cryptographique adoptent des mesures d’atténuation et de suivi qui garantissent la résilience face aux cybermenaces.
EULAW Article 6 5.
Les entités financières incluent dans la politique en matière de chiffrement et de contrôles cryptographiques visée au paragraphe 1 l’obligation d’enregistrer l’adoption des mesures d’atténuation et de suivi adoptées conformément aux paragraphes 3 et 4 et de fournir une explication motivée des raisons pour lesquelles elles procèdent ainsi.
EULAW Article 7 1.
Les entités financières incluent dans la politique de gestion des clés cryptographiques visée à l’article 6, paragraphe 2, point d), des exigences relatives à la gestion des clés cryptographiques tout au long de leur cycle de vie, notamment en ce qui concerne la génération, le renouvellement, le stockage, la sauvegarde, l’archivage, la récupération, la transmission, le retrait, la révocation et la destruction de ces clés cryptographiques.
EULAW Article 7 2.
Les entités financières définissent et mettent en œuvre des contrôles visant à protéger les clés cryptographiques tout au long de leur cycle de vie contre la perte, les accès non autorisés, la divulgation et la modification. Les entités financières conçoivent ces contrôles sur la base des résultats de la classification des données approuvée et de l’évaluation du risque lié aux TIC.
EULAW Article 7 3.
Les entités financières élaborent et mettent en œuvre des méthodes pour remplacer les clés cryptographiques en cas de perte ou lorsque ces clés sont compromises ou endommagées.
EULAW Article 7 4.
Les entités financières créent et tiennent un registre de tous les certificats et dispositifs de stockage de certificats pour au moins les actifs de TIC qui soutiennent des fonctions critiques ou importantes. Les entités financières tiennent ce registre à jour.
EULAW Article 7 5.
Les entités financières veillent au renouvellement en temps utile des certificats avant leur expiration.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.