+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 6 1.
V rámci svojich politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT uvedených v článku 9 ods. 2 nariadenia (EÚ) 2022/2554 finančné subjekty vypracujú, zdokumentujú a vykonávajú politiku v oblasti šifrovania a kryptografických kontrol.
EULAW Článok 6 2.

Finančné subjekty navrhujú politiku v oblasti šifrovania a kryptografických kontrol uvedenú v odseku 1 na základe výsledkov schválenej klasifikácie údajov a posudzovania IKT rizika. Uvedená politika obsahuje pravidlá pre všetky tieto oblasti:

a) 

šifrovanie údajov v pokoji a pri prenose;

b) 

v prípade potreby šifrovanie údajov pri ich používaní;

c) 

šifrovanie interných sieťových pripojení a prevádzky s externými stranami;

d) 

riadenie šifrovacích kľúčov uvedené v článku 7 stanovením pravidiel správneho používania, ochrany a životného cyklu šifrovacích kľúčov.

Na účely písmena b) platí, že ak šifrovanie údajov pri používaní nie je možné, finančné subjekty spracúvajú údaje pri používaní v oddelenom a chránenom prostredí alebo prijmú rovnocenné opatrenia na zabezpečenie dôvernosti, integrity, pravosti a dostupnosti údajov.
EULAW Článok 6 3.
Finančné subjekty zahrnú do politiky v oblasti šifrovania a kryptografických kontrol uvedenej v odseku 1 kritériá výberu kryptografických techník a postupov používania, pričom zohľadnia popredné postupy a normy vymedzené v článku 2 bode 1 nariadenia (EÚ) č. 1025/2012 a klasifikáciu príslušných IKT aktív stanovenú v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554. Finančné subjekty, ktoré nemôžu dodržiavať popredné postupy alebo normy či používať najspoľahlivejšie techniky, prijmú zmierňujúce a monitorovacie opatrenia, ktorými sa zabezpečí odolnosť voči kybernetickým hrozbám.
EULAW Článok 6 4.
Finančné subjekty zahrnú do politiky v oblasti šifrovania a kryptografických kontrol uvedenej v odseku 1 ustanovenia o aktualizácii alebo prípadne zmene kryptografickej technológie, a to na základe vývoja v oblasti kryptoanalýzy. Týmito aktualizáciami alebo zmenami sa zabezpečí, aby kryptografická technológia bola neustále odolná voči kybernetickým hrozbám, ako sa vyžaduje v článku 10 ods. 2 písm. a). Finančné subjekty, ktoré nemôžu aktualizovať alebo zmeniť kryptografickú technológiu, prijmú zmierňujúce a monitorovacie opatrenia, ktorými sa zabezpečí odolnosť voči kybernetickým hrozbám.
EULAW Článok 6 5.
Finančné subjekty zahrnú do politiky v oblasti šifrovania a kryptografických kontrol uvedenej v odseku 1 požiadavku zaznamenávať prijatie zmierňujúcich a monitorovacích opatrení prijatých v súlade s odsekmi 3 a 4 a poskytovať k tomu odôvodnené vysvetlenie.
EULAW Článok 7 1.
Finančné subjekty zahrnú do politiky v oblasti riadenia šifrovacích kľúčov uvedenej v článku 6 ods. 2 písm. d) požiadavky na riadenie šifrovacích kľúčov počas ich celého životného cyklu vrátane generovania, obnovovania, uchovávania, zálohovania, archivovania, vyhľadávania, prenosu, zrušenia, odnímania a zničenia uvedených šifrovacích kľúčov.
EULAW Článok 7 2.
Finančné subjekty identifikujú a vykonávajú kontroly na ochranu šifrovacích kľúčov počas celého ich životného cyklu pred stratou, neoprávneným prístupom, zverejnením a zmenou. Finančné subjekty navrhujú uvedené kontroly na základe výsledkov schválenej klasifikácie údajov a posudzovania IKT rizika.
EULAW Článok 7 3.
Finančné subjekty vypracujú a vykonávajú metódy na nahradenie šifrovacích kľúčov v prípade straty alebo ak sú tieto kľúče ohrozené alebo poškodené.
EULAW Článok 7 4.
Finančné subjekty vytvoria a vedú register pre všetky certifikáty a zariadenia na ukladanie certifikátov aspoň pre IKT aktíva podporujúce kritické alebo dôležité funkcie. Finančné subjekty udržiavajú tento register v aktualizovanom stave.
EULAW Článok 7 5.
Finančné subjekty zabezpečia urýchlené obnovenie certifikátov pred uplynutím ich platnosti.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.