+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Članak 6. 1.
Financijski subjekti u sklopu svojih politika, postupaka, protokola i alata za sigurnost IKT-a iz članka 9. stavka 2. Uredbe (EU) 2022/2554 izrađuju, dokumentiraju i provode politiku enkripcije i kriptografskih kontrola.
EULAW Članak 6. 2.

Financijski subjekti osmišljavaju politiku enkripcije i kriptografskih kontrola iz stavka 1. na temelju rezultata odobrene klasifikacije podataka i procjene IKT rizika. Ta politika sadržava pravila o svemu sljedećem:

(a) 

enkripciji podataka u mirovanju i prijenosu;

(b) 

enkripciji podataka u upotrebi, prema potrebi;

(c) 

enkripciji unutarnjih mrežnih veza i prometa s vanjskim stranama;

(d) 

upravljanju kriptografskim ključevima iz članka 7., kojim se utvrđuju pravila o ispravnoj upotrebi, zaštiti i životnom ciklusu kriptografskih ključeva.

Za potrebe točke (b) ako nije moguća enkripcija podataka u upotrebi, financijski subjekti ih obrađuju u odvojenom i zaštićenom okruženju ili poduzimaju jednakovrijedne mjere kako bi osigurali njihovu povjerljivost, cjelovitost, vjerodostojnost i dostupnost.
EULAW Članak 6. 3.
Financijski subjekti u politiku enkripcije i kriptografskih kontrola iz stavka 1. uključuju kriterije za odabir kriptografskih tehnika i praksi upotrebe, pri čemu uzimaju u obzir vodeće prakse i standarde u skladu s člankom 2. točkom 1. Uredbe (EU) br. 1025/2012 te klasifikaciju relevantne IKT imovine utvrđenu u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554. Financijski subjekti koji se ne mogu pridržavati vodećih praksi ili standarda ili ne mogu primjenjivati najpouzdanije tehnike donose mjere za ublažavanje i praćenje radi otpornosti na kiberprijetnje.
EULAW Članak 6. 4.
Financijski subjekti u politiku enkripcije i kriptografskih kontrola iz stavka 1. uključuju odredbe o ažuriranju ili promjeni, prema potrebi, kriptografske tehnologije na temelju napretka u području kriptoanalize. Zahvaljujući tim ažuriranjima ili promjenama kriptografska tehnologija ostaje otporna na kiberprijetnje u skladu s člankom 10. stavkom 2. točkom (a). Financijski subjekti koji ne mogu ažurirati ili promijeniti kriptografsku tehnologiju donose mjere za ublažavanje i praćenje radi otpornosti na kiberprijetnje.
EULAW Članak 6. 5.
Financijski subjekti u politiku enkripcije i kriptografskih kontrola iz stavka 1. uključuju zahtjev za evidentiranje donošenja mjera za ublažavanje i praćenje koje se donose u skladu sa stavcima 3. i 4. i za obrazloženo objašnjenje njihova donošenja.
EULAW Članak 7. 1.
Financijski subjekti u politiku upravljanja kriptografskim ključevima iz članka 6. stavka 2. točke (d) uključuju zahtjeve za upravljanje kriptografskim ključevima tijekom njihova cijelog životnog ciklusa, što uključuje njihovo generiranje, obnovu, pohranu, sigurnosno kopiranje, arhiviranje, dohvaćanje, prijenos, povlačenje, opoziv i uništenje.
EULAW Članak 7. 2.
Financijski subjekti utvrđuju i provode kontrole za zaštitu kriptografskih ključeva od gubitka, neovlaštenog pristupa, otkrivanja i izmjene tijekom njihova cijelog životnog ciklusa. Te kontrole osmišljavaju na temelju rezultata odobrene klasifikacije podataka i procjene IKT rizika.
EULAW Članak 7. 3.
Financijski subjekti izrađuju i provode metode za zamjenu kriptografskih ključeva u slučaju njihova gubitka, ugroženosti ili oštećenosti.
EULAW Članak 7. 4.
Financijski subjekti uspostavljaju i održavaju registar svih certifikata i uređaja na kojima su certifikati pohranjeni barem za IKT imovinu kojom se podupiru ključne ili važne funkcije. Taj registar ažuriraju.
EULAW Članak 7. 5.
Financijski subjekti trebaju se pobrinuti da se istekli certifikati prije njihova isteka brzo obnove.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.