|
+Artikel 11 2. |
Artikel 11 2.De in lid 1 bedoelde procedure voor gegevens- en systeembeveiliging bevat alle volgende elementen met betrekking tot de beveiliging van gegevens- en ICT-systemen, in overeenstemming met de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 bepaalde classificatie:
a)
de in artikel 21 van deze verordening bedoelde toegangsbeperkingen die de beveiligingseisen voor elk niveau van de classificatie ondersteunen;
b)
de identificatie van een veilige configuratiebaseline voor ICT-assets die de blootstelling van die ICT-assets aan cyberdreigingen tot een minimum beperkt en maatregelen om regelmatig na te gaan dat die baselines daadwerkelijk worden uitgerold;
c)
de identificatie van beveiligingsmaatregelen die ervoor moeten zorgen dat alleen geautoriseerde software wordt geïnstalleerd op ICT-systemen en endpoint-apparaten;
d)
de identificatie van beveiligingsmaatregelen tegen kwaadaardige codes;
e)
de identificatie van beveiligingsmaatregelen die ervoor zorgen dat alleen geautoriseerde media en systemen voor gegevensopslag en endpoint-apparaten worden gebruikt om gegevens van de financiële entiteit over te dragen en op te slaan;
f)
de volgende vereisten voor het beveiligen van het gebruik van draagbare endpoint-apparaten en privé niet-draagbare eindpoint-apparaten:
i)
de verplichting om een beheersoplossing te gebruiken om de endpoint-apparaten vanop afstand te beheren en de gegevens van de financiële entiteit vanop afstand te wissen;
ii)
de verplichting om beveiligingsmechanismen te gebruiken die door medewerkers of derde aanbieders van ICT-diensten niet op een ongeautoriseerde manier kunnen worden veranderd, verwijderd of omzeild;
iii)
de verplichting om verwijderbare apparaten voor gegevensopslag alleen te gebruiken wanneer het ICT-restrisico binnen het in artikel 3, eerste alinea, punt a), bedoelde risicotolerantieniveau van de financiële entiteit blijft;
g)
het proces om veilig gegevens te wissen die aanwezig zijn op bedrijfslocaties van de financiële entiteit of die extern zijn opgeslagen, en die de financiële entiteit niet langer hoeft te verzamelen of op te slaan;
h)
het proces om apparaten voor gegevensopslag die aanwezig zijn op bedrijfslocaties van de financiële entiteit of die extern zijn opgeslagen en vertrouwelijke informatie bevatten, af te voeren of te ontmantelen;
i)
de identificatie en implementatie van beveiligingsmaatregelen om gegevensverlies en -lekken te voorkomen bij systemen en endpoint-apparaten;
j)
de implementatie van beveiligingsmaatregelen die moeten voorkomen dat thuiswerk en het gebruik van privé endpoint-apparaten een negatieve impact hebben op de ICT-beveiliging van de financiële entiteit;
k)
voor ICT-assets of -diensten die worden geopereerd door een derde aanbieder van ICT-diensten: de identificatie en implementatie van vereisten om digitale operationele weerbaarheid in stand te houden, in overeenstemming met de uitkomsten van de dataclassificatie en ICT-risicobeoordeling. Voor de toepassing van punt b) houdt de in dat punt bedoelde veilige configuratiebaseline rekening met maatgevende praktijken en adequate technieken die zijn vastgelegd in de normen zoals gedefinieerd in artikel 2, punt 1, van Verordening (EU) nr. 1025/2012. Voor de toepassing van punt k) houden financiële entiteiten rekening met de volgende elementen:
a)
de implementatie van door de verkoper aanbevolen instellingen voor de door de financiële entiteit geopereerde elementen;
b)
een duidelijke verdeling van de rollen en verantwoordelijkheden wat betreft informatiebeveiliging tussen de financiële entiteit en de derde aanbieder van ICT-diensten, overeenkomstig het beginsel van de volledige aansprakelijkheid van de financiële entiteit ten aanzien van haar derde aanbieder van ICT-diensten als bedoeld in artikel 28, lid 1, punt a), van Verordening (EU) 2022/2554 en, voor financiële entiteiten als bedoeld in artikel 28, lid 2, van die verordening, overeenkomstig het beleid van de financiële entiteit voor het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen;
c)
de noodzaak om binnen de financiële entiteit afdoende competenties te garanderen en in stand te houden wat betreft beheer en beveiliging van de gebruikte dienst;
d)
technische en organisatorische maatregelen om de risico’s te beperken voor de infrastructuur die de derde aanbieder van ICT-diensten gebruikt voor zijn ICT-diensten, rekening houdende met maatgevende praktijken en normen zoals gedefinieerd in artikel 2, punt 1), van Verordening (EU) nr. 1025/2012. 1. Overzicht
1.1 Referenties1.2 Geïdentificeerde eisen1.3 Gerelateerde standaarden
2. Geïdentificeerde eisen
3. Gerelateerde standaarden
|