+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 6 1.
Bħala parti mill-politiki, mill-proċeduri, mill-protokolli u mill-għodod tas-sigurtà tal-ICT tagħhom imsemmija fl-Artikolu 9(2) tar-Regolament (UE) 2022/2554, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politika dwar il-kriptaġġ u l-kontrolli kriptografiċi.
EULAW Artikolu 6 2.

L-entitajiet finanzjarji għandhom ifasslu l-politika dwar il-kriptaġġ u l-kontrolli kriptografiċi msemmija fil-paragrafu 1 abbażi tar-riżultati ta’ klassifikazzjoni tad-data approvata u valutazzjoni tar-riskju tal-ICT. Dik il-politika għandu jkun fiha regoli għal dan kollu li ġej:

(a) 

il-kriptaġġ tad-data waqt li tkun wieqfa u fi tranżitu;

(b) 

il-kriptaġġ tad-data waqt l-użu, meta meħtieġ;

(c) 

il-kriptaġġ ta’ konnessjonijiet u traffiku interni tan-network ma’ partijiet esterni;

(d) 

il-ġestjoni tal-kjavi kriptografika msemmija fl-Artikolu 7, li tistabbilixxi regoli dwar l-użu korrett, il-protezzjoni u ċ-ċiklu tal-ħajja ta’ kjavi kriptografiċi.

Għall-finijiet tal-punt (b), meta l-kriptaġġ tad-data waqt l-użu ma jkunx possibbli, l-entitajiet finanzjarji għandhom jipproċessaw id-data waqt l-użu f’ambjent isseparat u protett, jew jieħdu miżuri ekwivalenti biex jiżguraw il-kunfidenzjalità, l-integrità, l-awtentiċità u d-disponibbiltà tad-data.
EULAW Artikolu 6 3.
L-entitajiet finanzjarji għandhom jinkludu fil-politika dwar il-kriptaġġ u l-kontrolli kriptografiċi msemmija fil-paragrafu 1 kriterji għall-għażla ta’ tekniki u prattiki tal-użu kriptografiċi, filwaqt li jqisu l-prattiki ewlenin, u l-istandards kif iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012 u l-klassifikazzjoni tal-assi rilevanti tal-ICT stabbiliti f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554. L-entitajiet finanzjarji li ma jkunux jistgħu iżommu mal-prattiki jew l-istandards ewlenin, jew li ma jkunux jistgħu jużaw l-aktar tekniki affidabbli, għandhom jadottaw miżuri ta’ mitigazzjoni u ta’ monitoraġġ li jiżguraw ir-reżiljenza kontra t-theddid ċibernetiku.
EULAW Artikolu 6 4.
L-entitajiet finanzjarji għandhom jinkludu fil-politika dwar il-kriptaġġ u l-kontrolli kriptografiċi msemmija fil-paragrafu 1 id-dispożizzjonijiet għall-aġġornament jew għat-tibdil, fejn meħtieġ, tat-teknoloġija kriptografika abbażi tal-iżviluppi fil-kriptanaliżi. Dawk l-aġġornamenti jew il-bidliet għandhom jiżguraw li t-teknoloġija kriptografika tibqa’ reżiljenti kontra t-theddid ċibernetiku, kif meħtieġ mill-Artikolu 10(2), il-punt (a). L-entitajiet finanzjarji li ma jkunux jistgħu jaġġornaw jew ibiddlu t-teknoloġija kriptografika għandhom jadottaw miżuri ta’ mitigazzjoni u ta’ monitoraġġ li jiżguraw ir-reżiljenza kontra t-theddid ċibernetiku.
EULAW Artikolu 6 5.
L-entitajiet finanzjarji għandhom jinkludu fil-politika dwar il-kriptaġġ u l-kontrolli kriptografiċi msemmija fil-paragrafu 1 rekwiżit biex jirreġistraw l-adozzjoni ta’ miżuri ta’ mitigazzjoni u ta’ monitoraġġ adottati f’konformità mal-paragrafi 3 u 4 u jipprovdu spjegazzjoni mmotivata għalfejn jagħmlu dan.
EULAW Artikolu 7 1.
Fil-politika ta’ ġestjoni tal-kjavi kriptografiċi msemmija fl-Artikolu 6(2), il-punt (d), l-entitajiet finanzjarji għandhom jinkludu rekwiżiti għall-ġestjoni ta’ kjavi kriptografiċi matul iċ-ċiklu tal-ħajja kollu tagħhom, inklużi l-ġenerazzjoni, it-tiġdid, il-ħżin, il-backup, l-arkivjar, l-irkupru, it-trażmissjoni, l-irtirar, ir-revoka u l-qerda ta’ dawk il-kjavi kriptografiċi.
EULAW Artikolu 7 2.
L-entitajiet finanzjarji għandhom jidentifikaw u jimplimentaw kontrolli biex jipproteġu l-kjavi kriptografiċi permezz taċ-ċiklu tal-ħajja kollu tagħhom kontra t-telf, l-aċċess mhux awtorizzat, id-divulgazzjoni u l-modifika. L-entitajiet finanzjarji għandhom ifasslu dawk il-kontrolli abbażi tar-riżultati tal-klassifikazzjoni tad-data approvata u l-valutazzjoni tar-riskju tal-ICT.
EULAW Artikolu 7 3.
L-entitajiet finanzjarji għandhom jiżviluppaw u jimplimentaw metodi biex jissostitwixxu l-kjavi kriptografiċi f’każ ta’ telf jew fejn dawk il-kjavi jiġu kompromessi jew issirilhom ħsara.
EULAW Artikolu 7 4.
L-entitajiet finanzjarji għandhom joħolqu u jżommu reġistru għaċ-ċertifikati u għall-apparati għall-ħżin taċ-ċertifikati kollha mill-anqas għal assi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti. L-entitajiet finanzjarji għandhom iżommu dak ir-reġistru aġġornat.
EULAW Artikolu 7 5.
L-entitajiet finanzjarji għandhom jiżguraw it-tiġdid fil-pront taċ-ċertifikati qabel l-iskadenza tagħhom.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.