+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade regleringar

2. Identifierade krav

Krav

3. Relaterade regleringar

Regleringar
EULAW Artikel 6 1.
Som en del av de IKT-relaterade säkerhetsstrategier, förfaranden, protokoll och verktyg som avses i artikel 9.2 i förordning (EU) 2022/2554 ska finansiella entiteter utarbeta, dokumentera och genomföra en policy för kryptering och kryptografisk säkerhet.
EULAW Artikel 6 2.

Finansiella entiteter ska utforma den policy för kryptering och kryptografisk säkerhet som avses i punkt 1 på grundval av resultaten av en godkänd dataklassificering och IKT-riskbedömning. Denna policy ska innehålla regler för

a) 

kryptering av uppgifter i vila och under överföring,

b) 

kryptering av uppgifter i bruk, vid behov,

c) 

kryptering av interna nätverksanslutningar och trafik med externa parter,

d) 

den hantering av kryptografiska nycklar som avses i artikel 7, med fastställande av regler för korrekt användning, skydd och livscykel i fråga om kryptografiska nycklar.

Vid tillämpning av led b ska finansiella entiteter, om kryptering av uppgifter i bruk inte är möjlig, behandla uppgifter i bruk i en avskild och skyddad miljö, eller vidta likvärdiga åtgärder för att säkerställa uppgifternas konfidentialitet, integritet, äkthet och tillgänglighet.
EULAW Artikel 6 3.
Finansiella entiteter ska i den policy för kryptering och kryptografisk säkerhet som avses i punkt 1 inkludera kriterier för val av krypteringsmetoder och användningspraxis, med beaktande av ledande praxis och standarder enligt definitionen i artikel 2.1 i förordning (EU) nr 1025/2012, och den klassificering av relevanta IKT-tillgångar som fastställts i enlighet med artikel 8.1 i förordning (EU) 2022/2554. Finansiella entiteter som inte kan följa ledande praxis eller standarder, eller använda de mest tillförlitliga metoderna, ska anta begränsnings- och övervakningsåtgärder som säkerställer motståndskraft mot cyberhot.
EULAW Artikel 6 4.
Finansiella entiteter ska i den policy för kryptering och kryptografisk säkerhet som avses i punkt 1 inkludera bestämmelser om uppdatering eller ändring, vid behov, av krypteringstekniken på grundval av utvecklingen inom kryptoanalys. Dessa uppdateringar eller ändringar ska säkerställa att krypteringstekniken förblir motståndskraftig mot cyberhot, i enlighet med artikel 10.2 a. Finansiella entiteter som inte kan uppdatera eller ändra krypteringstekniken ska anta begränsnings- och övervakningsåtgärder som säkerställer motståndskraft mot cyberhot.
EULAW Artikel 6 5.
Finansiella entiteter ska i den policy för kryptering och kryptografisk säkerhet som avses i punkt 1 inkludera ett krav på att dokumentera antagandet av begränsnings- och övervakningsåtgärder som antagits i enlighet med punkterna 3 och 4 och att ge en motiverad förklaring till detta.
EULAW Artikel 7 1.
Finansiella entiteter ska i den policy för hantering av kryptografiska nycklar som avses i artikel 6.2 d inkludera krav för hantering av kryptografiska nycklar under hela deras livscykel, inbegripet generering, förnyelse, lagring, säkerhetskopiering, arkivering, hämtning, överföring, återkallande, upphävande och förstörelse av dessa kryptografiska nycklar.
EULAW Artikel 7 2.
Finansiella entiteter ska identifiera och genomföra kontroller för att skydda kryptografiska nycklar under hela deras livscykel mot förlust, obehörig åtkomst, röjande och ändring. Finansiella entiteter ska utforma dessa kontroller på grundval av resultaten av den godkända dataklassificeringen och IKT-riskbedömningen.
EULAW Artikel 7 3.
Finansiella entiteter ska utveckla och genomföra metoder för att ersätta kryptografiska nycklar i händelse av förlust, eller om dessa nycklar är komprometterade eller skadade.
EULAW Artikel 7 4.
Finansiella entiteter ska skapa och upprätthålla ett register över alla certifikat och enheter för lagring av certifikat för åtminstone IKT-tillgångar som stöder kritiska eller viktiga funktioner. Finansiella entiteter ska hålla detta register uppdaterat.
EULAW Artikel 7 5.
Finansiella entiteter ska säkerställa att certifikat snabbt förnyas innan de löper ut.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.