+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Artikel 6 1.
Als onderdeel van hun beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging als bedoeld in artikel 9, lid 2, van Verordening (EU) 2022/2554 ontwikkelen, documenteren en implementeren financiële entiteiten een beleid voor encryptie en cryptografische controles.
EULAW Artikel 6 2.

Financiële entiteiten richten hun in lid 1 bedoelde beleid voor encryptie en cryptografische controles in op basis van de uitkomsten van een goedgekeurde dataclassificatie en ICT-risicobeoordeling. Dat beleid bevat regels voor alle volgende elementen:

a) 

de encryptie van gegevens in rust en in transit;

b) 

de encryptie van gegevens in gebruik, voor zover noodzakelijk;

c) 

de encryptie van interne netwerkverbindingen en verkeer met externe partijen;

d) 

het in artikel 7 bedoelde beheer van cryptografische sleutels, waarmee regels worden vastgesteld voor correct gebruik, bescherming en levenscyclus van cryptografische sleutels.

Voor de toepassing van punt b), verwerken financiële entiteiten, wanneer encryptie van gegevens in gebruik niet mogelijk is, die gegevens in gebruik in een afzonderlijke en beveiligde omgeving, of nemen zij gelijkwaardige maatregelen om de vertrouwelijkheid, integriteit, authenticiteit en beschikbaarheid van gegevens te garanderen.
EULAW Artikel 6 3.
Financiële entiteiten nemen in hun in lid 1 bedoelde beleid voor encryptie en cryptografische controles criteria op voor de selectie van cryptografische technieken en gebruikspraktijken, rekening houdende met maatgevende praktijken en met normen zoals gedefinieerd in artikel 2, punt 1), van Verordening nr. 1025/2012, en de classificatie van relevante ICT-assets vastgesteld overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554. Financiële entiteiten die niet in staat zijn om zich aan de maatgevende praktijken of normen te houden of om de meest betrouwbare technieken te gebruiken, stellen mitigatie- en monitoringmaatregelen vast die garanties bieden op weerbaarheid tegen cyberdreigingen.
EULAW Artikel 6 4.
Financiële entiteiten nemen in hun in lid 1 bedoelde beleid voor encryptie en cryptografische controles bepalingen op voor het updaten of wijzigen, waar nodig, van de cryptografische technologie op basis van ontwikkelingen op het gebied van cryptoanalyse. Die updates of wijzigingen borgen dat de cryptografische technologie weerbaar blijft tegen cyberdreigingen, zoals voorgeschreven door artikel 10, lid 2, punt a). Financiële entiteiten die niet in staat zijn om de cryptografische technologie te updaten of te wijzigen, stellen mitigatie- en monitoringmaatregelen vast die garanties bieden op weerbaarheid tegen cyberdreigingen.
EULAW Artikel 6 5.
Financiële entiteiten nemen in hun in lid 1 bedoelde beleid voor encryptie en cryptografische controles een verplichting op om een vastlegging te maken van de vaststelling van mitigatie- en monitoringmaatregelen die overeenkomstig de leden 3 en 4 zijn ingericht, en verschaffen daarvoor een onderbouwing.
EULAW Artikel 7 1.
Financiële entiteiten nemen in hun in artikel 6, lid 2, punt d), bedoelde beleid voor het beheer van cryptografische sleutels vereisten op voor het beheer van cryptografische sleutels tijdens hun gehele levenscyclus, met inbegrip van het genereren, vernieuwen, opslaan, backuppen, archiveren, ophalen, overdragen, intrekken, herroepen en vernietigen van die cryptografische sleutels.
EULAW Artikel 7 2.
Financiële entiteiten identificeren en implementeren beheersmaatregelen (“controls”) om cryptografische sleutels tijdens hun gehele levenscyclus te beschermen tegen verlies, ongeautoriseerde toegang, bekend worden en modificatie. Financiële entiteiten richten die beheersmaatregelen in op basis van de uitkomsten van de goedgekeurde dataclassificatie en ICT-risicobeoordeling.
EULAW Artikel 7 3.
Financiële entiteiten ontwikkelen en implementeren methoden om cryptografische sleutels te vervangen bij verlies of wanneer die sleutels gecompromitteerd of beschadigd zijn geraakt.
EULAW Artikel 7 4.
Financiële entiteiten leggen ten minste voor ICT-assets die kritieke of belangrijke functies ondersteunen, een register aan voor alle certificaten en opslagapparaten voor certificaten en houden dat register bij. Financiële entiteiten houden dat register actueel.
EULAW Artikel 7 5.
Financiële entiteiten bewaken dat certificaten direct worden verlengd voordat zij vervallen.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.