+ICT (Security) Systems, tools, and solutions

ICT (Security) Systems, tools, and solutions

Design, procure, and implement security solutions and tooling with the goal to ensure resilience, continuity, and CIA of ICT systems, particularly those supporting critical or important functions.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Article 9 2

2.   Financial entities shall design, procure and implement ICT security policies, procedures, protocols and tools that aim to ensure the resilience, continuity and availability of ICT systems, in particular for those supporting critical or important functions, and to maintain high standards of availability, authenticity, integrity and confidentiality of data, whether at rest, in use or in transit.
EULAW Article 9 3

3.   In order to achieve the objectives referred to in paragraph 2, financial entities shall use ICT solutions and processes that are appropriate in accordance with Article 4. Those ICT solutions and processes shall:

(a)

ensure the security of the means of transfer of data;

(b)

minimise the risk of corruption or loss of data, unauthorised access and technical flaws that may hinder business activity;

(c)

prevent the lack of availability, the impairment of the authenticity and integrity, the breaches of confidentiality and the loss of data;

(d)

ensure that data is protected from risks arising from data management, including poor administration, processing-related risks and human error.
EULAW Artikel 11 2.

De in lid 1 bedoelde procedure voor gegevens- en systeembeveiliging bevat alle volgende elementen met betrekking tot de beveiliging van gegevens- en ICT-systemen, in overeenstemming met de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 bepaalde classificatie:

a) 

de in artikel 21 van deze verordening bedoelde toegangsbeperkingen die de beveiligingseisen voor elk niveau van de classificatie ondersteunen;

b) 

de identificatie van een veilige configuratiebaseline voor ICT-assets die de blootstelling van die ICT-assets aan cyberdreigingen tot een minimum beperkt en maatregelen om regelmatig na te gaan dat die baselines daadwerkelijk worden uitgerold;

c) 

de identificatie van beveiligingsmaatregelen die ervoor moeten zorgen dat alleen geautoriseerde software wordt geïnstalleerd op ICT-systemen en endpoint-apparaten;

d) 

de identificatie van beveiligingsmaatregelen tegen kwaadaardige codes;

e) 

de identificatie van beveiligingsmaatregelen die ervoor zorgen dat alleen geautoriseerde media en systemen voor gegevensopslag en endpoint-apparaten worden gebruikt om gegevens van de financiële entiteit over te dragen en op te slaan;

f) 

de volgende vereisten voor het beveiligen van het gebruik van draagbare endpoint-apparaten en privé niet-draagbare eindpoint-apparaten:

i) 

de verplichting om een beheersoplossing te gebruiken om de endpoint-apparaten vanop afstand te beheren en de gegevens van de financiële entiteit vanop afstand te wissen;

ii) 

de verplichting om beveiligingsmechanismen te gebruiken die door medewerkers of derde aanbieders van ICT-diensten niet op een ongeautoriseerde manier kunnen worden veranderd, verwijderd of omzeild;

iii) 

de verplichting om verwijderbare apparaten voor gegevensopslag alleen te gebruiken wanneer het ICT-restrisico binnen het in artikel 3, eerste alinea, punt a), bedoelde risicotolerantieniveau van de financiële entiteit blijft;

g) 

het proces om veilig gegevens te wissen die aanwezig zijn op bedrijfslocaties van de financiële entiteit of die extern zijn opgeslagen, en die de financiële entiteit niet langer hoeft te verzamelen of op te slaan;

h) 

het proces om apparaten voor gegevensopslag die aanwezig zijn op bedrijfslocaties van de financiële entiteit of die extern zijn opgeslagen en vertrouwelijke informatie bevatten, af te voeren of te ontmantelen;

i) 

de identificatie en implementatie van beveiligingsmaatregelen om gegevensverlies en -lekken te voorkomen bij systemen en endpoint-apparaten;

j) 

de implementatie van beveiligingsmaatregelen die moeten voorkomen dat thuiswerk en het gebruik van privé endpoint-apparaten een negatieve impact hebben op de ICT-beveiliging van de financiële entiteit;

k) 

voor ICT-assets of -diensten die worden geopereerd door een derde aanbieder van ICT-diensten: de identificatie en implementatie van vereisten om digitale operationele weerbaarheid in stand te houden, in overeenstemming met de uitkomsten van de dataclassificatie en ICT-risicobeoordeling.

Voor de toepassing van punt b) houdt de in dat punt bedoelde veilige configuratiebaseline rekening met maatgevende praktijken en adequate technieken die zijn vastgelegd in de normen zoals gedefinieerd in artikel 2, punt 1, van Verordening (EU) nr. 1025/2012.

Voor de toepassing van punt k) houden financiële entiteiten rekening met de volgende elementen:

a) 

de implementatie van door de verkoper aanbevolen instellingen voor de door de financiële entiteit geopereerde elementen;

b) 

een duidelijke verdeling van de rollen en verantwoordelijkheden wat betreft informatiebeveiliging tussen de financiële entiteit en de derde aanbieder van ICT-diensten, overeenkomstig het beginsel van de volledige aansprakelijkheid van de financiële entiteit ten aanzien van haar derde aanbieder van ICT-diensten als bedoeld in artikel 28, lid 1, punt a), van Verordening (EU) 2022/2554 en, voor financiële entiteiten als bedoeld in artikel 28, lid 2, van die verordening, overeenkomstig het beleid van de financiële entiteit voor het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen;

c) 

de noodzaak om binnen de financiële entiteit afdoende competenties te garanderen en in stand te houden wat betreft beheer en beveiliging van de gebruikte dienst;

d) 

technische en organisatorische maatregelen om de risico’s te beperken voor de infrastructuur die de derde aanbieder van ICT-diensten gebruikt voor zijn ICT-diensten, rekening houdende met maatgevende praktijken en normen zoals gedefinieerd in artikel 2, punt 1), van Verordening (EU) nr. 1025/2012.
EULAW Artikel 20 1.
Als onderdeel van hun controle op het beheer van toegangsrechten ontwikkelen, documenteren en implementeren financiële entiteiten beleidslijnen en procedures voor identiteitsbeheer die de unieke identificatie en authenticatie garanderen van natuurlijke personen en systemen met toegang tot informatie van de financiële entiteiten, om toegangsrechten voor gebruikers te kunnen toekennen overeenkomstig artikel 21.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.