+Policy Framework

Policy Framework

Establish and maintain a policy governing the acquisition, development, and maintenance of ICT systems. Implement security practices and methodologies throughout the acquisition, development, and maintenance lifecycle. Define functional and non-functional requirements for ICT systems, including security aspects. Obtain approval from relevant business functions and asset owners in accordance with internal governance.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Artikel 16 1.

Als onderdeel van de beschermingsmaatregelen die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens moeten veiligstellen, ontwikkelen, documenteren en implementeren financiële entiteiten een beleid voor aanschaf, ontwikkeling en onderhoud van ICT-systemen. Dat beleid:

a) 

brengt beveiligingspraktijken en -methoden voor aanschaf, ontwikkeling en onderhoud van ICT-systemen in kaart;

b) 

eist de identificatie van:

i) 

technische specificaties en technische ICT-specificaties, zoals gedefinieerd in artikel 2, punten 4 en 5), van Verordening (EU) nr. 1025/2012;

ii) 

vereisten ten aanzien van aanschaf, ontwikkeling en onderhoud van ICT-systemen, met bijzondere aandacht voor ICT-beveiligingseisen en de goedkeuring daarvan door de betrokken bedrijfsfunctie en eigenaar van ICT-assets in overeenstemming met de interne governanceregelingen van de financiële entiteit;

c) 

specificeert maatregelen om het risico te mitigeren van onbedoelde wijziging of bedoelde manipulatie van de ICT-systemen tijdens ontwikkeling, onderhoud en uitrol van die ICT-systemen in de productieomgeving.
EULAW Artikel 16 2.
Financiële entiteiten ontwikkelen, documenteren en implementeren ten behoeve van aanschaf, ontwikkeling en onderhoud van ICT-systemen een procedure voor het testen en goedkeuren van alle ICT-systemen vóór het gebruik ervan en na onderhoud, in overeenstemming met artikel 8, lid 2, punt b), v), vi) en vii). De grondigheid van de tests is evenredig aan het kritieke karakter van de betrokken bedrijfsprocedures en ICT-assets. Het testen wordt ingericht om na te gaan of de nieuwe ICT-systemen adequaat zijn om te functioneren als beoogd, met inbegrip van de kwaliteit van intern ontwikkelde software.

Centrale tegenpartijen betrekken, naast de in de eerste alinea bepaalde eisen, waar nodig bij de opzet en de uitvoering van de in de eerste alinea bedoelde tests:

a) 

clearingleden en cliënten;

b) 

interoperabele centrale tegenpartijen;

c) 

andere belanghebbenden.

Centrale effectenbewaarinstellingen betrekken, naast de in de eerste alinea bepaalde eisen, waar nodig bij de opzet en de uitvoering van de in de eerste alinea bedoelde tests:

a) 

gebruikers;

b) 

leveranciers van kritieke voorzieningen en diensten;

c) 

andere centrale effectenbewaarinstellingen;

d) 

andere marktinfrastructuren;

e) 

andere instellingen waarmee centrale effectenbewaarinstellingen volgens hun bedrijfscontinuïteitsbeleid banden van onderlinge afhankelijkheid blijken te hebben.
EULAW Artikel 16 3.

De in lid 2 bedoelde procedure omvat het uitvoeren van broncodereviews (pentests) met zowel statische als dynamische tests. Die tests omvatten beveiligingstests voor systemen en applicaties met internetblootstelling, overeenkomstig artikel 8, lid 2, punt b), v), vi) en vii). Financiële entiteiten:

a) 

brengen kwetsbaarheden en anomalieën in de broncode in kaart en analyseren deze;

b) 

stellen een actieplan vast om die kwetsbaarheden en anomalieën aan te pakken;

c) 

monitoren de implementatie van dat actieplan.
EULAW Artikel 16 4.
De in lid 2 bedoelde procedure bevat beveiligingstests van softwarepakketten uiterlijk in de integratiefase, overeenkomstig artikel 8, lid 2, punt b), v), vi) en vii).
EULAW Artikel 16 5.

In de in lid 2 bedoelde procedure wordt bepaald dat:

a) 

niet-productieomgevingen alleen geanonimiseerde, gepseudonimiseerde of gerandomiseerde productiegegevens opslaan;

b) 

financiële entiteiten de integriteit en vertrouwelijkheid van gegevens in niet-productieomgevingen moeten beschermen.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.