+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 6 1.
Bħala parti mill-politiki, mill-proċeduri, mill-protokolli u mill-għodod tas-sigurtà tal-ICT tagħhom imsemmija fl-Artikolu 9(2) tar-Regolament (UE) 2022/2554, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politika dwar il-kriptaġġ u l-kontrolli kriptografiċi.
EULAW Artikolu 6 2.

L-entitajiet finanzjarji għandhom ifasslu l-politika dwar il-kriptaġġ u l-kontrolli kriptografiċi msemmija fil-paragrafu 1 abbażi tar-riżultati ta’ klassifikazzjoni tad-data approvata u valutazzjoni tar-riskju tal-ICT. Dik il-politika għandu jkun fiha regoli għal dan kollu li ġej:

(a) 

il-kriptaġġ tad-data waqt li tkun wieqfa u fi tranżitu;

(b) 

il-kriptaġġ tad-data waqt l-użu, meta meħtieġ;

(c) 

il-kriptaġġ ta’ konnessjonijiet u traffiku interni tan-network ma’ partijiet esterni;

(d) 

il-ġestjoni tal-kjavi kriptografika msemmija fl-Artikolu 7, li tistabbilixxi regoli dwar l-użu korrett, il-protezzjoni u ċ-ċiklu tal-ħajja ta’ kjavi kriptografiċi.

Għall-finijiet tal-punt (b), meta l-kriptaġġ tad-data waqt l-użu ma jkunx possibbli, l-entitajiet finanzjarji għandhom jipproċessaw id-data waqt l-użu f’ambjent isseparat u protett, jew jieħdu miżuri ekwivalenti biex jiżguraw il-kunfidenzjalità, l-integrità, l-awtentiċità u d-disponibbiltà tad-data.
EULAW Artikolu 6 3.
L-entitajiet finanzjarji għandhom jinkludu fil-politika dwar il-kriptaġġ u l-kontrolli kriptografiċi msemmija fil-paragrafu 1 kriterji għall-għażla ta’ tekniki u prattiki tal-użu kriptografiċi, filwaqt li jqisu l-prattiki ewlenin, u l-istandards kif iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012 u l-klassifikazzjoni tal-assi rilevanti tal-ICT stabbiliti f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554. L-entitajiet finanzjarji li ma jkunux jistgħu iżommu mal-prattiki jew l-istandards ewlenin, jew li ma jkunux jistgħu jużaw l-aktar tekniki affidabbli, għandhom jadottaw miżuri ta’ mitigazzjoni u ta’ monitoraġġ li jiżguraw ir-reżiljenza kontra t-theddid ċibernetiku.
EULAW Artikolu 6 4.
L-entitajiet finanzjarji għandhom jinkludu fil-politika dwar il-kriptaġġ u l-kontrolli kriptografiċi msemmija fil-paragrafu 1 id-dispożizzjonijiet għall-aġġornament jew għat-tibdil, fejn meħtieġ, tat-teknoloġija kriptografika abbażi tal-iżviluppi fil-kriptanaliżi. Dawk l-aġġornamenti jew il-bidliet għandhom jiżguraw li t-teknoloġija kriptografika tibqa’ reżiljenti kontra t-theddid ċibernetiku, kif meħtieġ mill-Artikolu 10(2), il-punt (a). L-entitajiet finanzjarji li ma jkunux jistgħu jaġġornaw jew ibiddlu t-teknoloġija kriptografika għandhom jadottaw miżuri ta’ mitigazzjoni u ta’ monitoraġġ li jiżguraw ir-reżiljenza kontra t-theddid ċibernetiku.
EULAW Artikolu 6 5.
L-entitajiet finanzjarji għandhom jinkludu fil-politika dwar il-kriptaġġ u l-kontrolli kriptografiċi msemmija fil-paragrafu 1 rekwiżit biex jirreġistraw l-adozzjoni ta’ miżuri ta’ mitigazzjoni u ta’ monitoraġġ adottati f’konformità mal-paragrafi 3 u 4 u jipprovdu spjegazzjoni mmotivata għalfejn jagħmlu dan.
EULAW Artikolu 7 1.
Fil-politika ta’ ġestjoni tal-kjavi kriptografiċi msemmija fl-Artikolu 6(2), il-punt (d), l-entitajiet finanzjarji għandhom jinkludu rekwiżiti għall-ġestjoni ta’ kjavi kriptografiċi matul iċ-ċiklu tal-ħajja kollu tagħhom, inklużi l-ġenerazzjoni, it-tiġdid, il-ħżin, il-backup, l-arkivjar, l-irkupru, it-trażmissjoni, l-irtirar, ir-revoka u l-qerda ta’ dawk il-kjavi kriptografiċi.
EULAW Artikolu 7 2.
L-entitajiet finanzjarji għandhom jidentifikaw u jimplimentaw kontrolli biex jipproteġu l-kjavi kriptografiċi permezz taċ-ċiklu tal-ħajja kollu tagħhom kontra t-telf, l-aċċess mhux awtorizzat, id-divulgazzjoni u l-modifika. L-entitajiet finanzjarji għandhom ifasslu dawk il-kontrolli abbażi tar-riżultati tal-klassifikazzjoni tad-data approvata u l-valutazzjoni tar-riskju tal-ICT.
EULAW Artikolu 7 3.
L-entitajiet finanzjarji għandhom jiżviluppaw u jimplimentaw metodi biex jissostitwixxu l-kjavi kriptografiċi f’każ ta’ telf jew fejn dawk il-kjavi jiġu kompromessi jew issirilhom ħsara.
EULAW Artikolu 7 4.
L-entitajiet finanzjarji għandhom joħolqu u jżommu reġistru għaċ-ċertifikati u għall-apparati għall-ħżin taċ-ċertifikati kollha mill-anqas għal assi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti. L-entitajiet finanzjarji għandhom iżommu dak ir-reġistru aġġornat.
EULAW Artikolu 7 5.
L-entitajiet finanzjarji għandhom jiżguraw it-tiġdid fil-pront taċ-ċertifikati qabel l-iskadenza tagħhom.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.