Kort fortalt
Med henblik på at sikre passende beskyttelse af IKT-systemer og tilrettelægge indsatsforanstaltninger sikrer de finansielle enheder løbende overvågning af og kontrol med IKT-systemernes og -værktøjernes sikkerhed og af, hvordan de fungerer, og minimerer virkningerne af IKT-risikoen for IKT-systemer ved at indføre passende IKT-sikkerhedsværktøjer, -politikker og -procedurer. 2. De finansielle enheder udformer,…
Ofte stillede spørgsmål
Hvad handler Artikel 9 – Beskyttelse og forebyggelse om?
Med henblik på at sikre passende beskyttelse af IKT-systemer og tilrettelægge indsatsforanstaltninger sikrer de finansielle enheder løbende overvågning af og kontrol med IKT-systemernes og -værktøjernes sikkerhed og af, hvordan de fungerer, og minimerer virkningerne af IKT-risikoen for IKT-systemer ved at indføre passende IKT-sikkerhedsværktøjer, -politikker og -procedurer. 2. De finansielle enheder udformer,…
Hvor finder jeg den officielle tekst?
Den fulde officielle tekst findes på EUR-Lex. GDPR.DK's gengivelse er et læsevenligt opslagsværk og har ingen selvstændig retsvirkning.
Kilde og version
Den officielle danske tekst følger 2022-12-27 (32022R2554).
Den officielle ordlyd
Artikel 9
-
Med henblik på at sikre passende beskyttelse af IKT-systemer og tilrettelægge indsatsforanstaltninger sikrer de finansielle enheder løbende overvågning af og kontrol med IKT-systemernes og -værktøjernes sikkerhed og af, hvordan de fungerer, og minimerer virkningerne af IKT-risikoen for IKT-systemer ved at indføre passende IKT-sikkerhedsværktøjer, -politikker og -procedurer.
-
De finansielle enheder udformer, indkøber og gennemfører IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der har til formål at sikre IKT-systemernes modstandsdygtighed, stabilitet og tilgængelighed, især for dem, der understøtter kritiske eller vigtige funktioner, og at opretholde høje standarder for, tilgængeligheden, autenticiteten, integriteten og fortroligheden af data, hvad enten dataene er inaktive, i brug eller under overførsel.
-
For at nå de i stk. 2 omhandlede mål anvender de finansielle enheder IKT-løsninger og -processer, som er hensigtsmæssige i overensstemmelse med artikel 4. Disse IKT-løsninger og -processer:
a) | sikrer sikkerheden for metoderne til overførsel af data |
b) | minimerer risikoen for korruption eller tab af data, uautoriseret adgang og tekniske fejl, der kan hæmme erhvervsaktiviteten |
c) | forhindrer manglen på tilgængelighed, forringelsen af autenticiteten og integriteten, bruddene på fortroligheden og tabet af data |
d) | sikrer, at data beskyttes mod risici, der opstår i forbindelse med dataforvaltning, herunder dårlig administration, procesrelaterede risici og menneskelige fejl. |
- Som led i den ramme for IKT-risikostyring, der er omhandlet i artikel 6, stk. 1, skal de finansielle enheder
a) | udvikle og dokumentere en informationssikkerhedspolitik, der fastlægger regler for beskyttelse af tilgængeligheden, autenticiteten, integriteten og fortroligheden af data, informationsaktiver og IKT-aktiver, herunder deres kunders, hvis det er relevant |
b) | ved at følge en risikobaseret tilgang indføre en forsvarlig forvaltningsstruktur for netværk og infrastrukturer ved anvendelse af passende teknikker, metoder og protokoller, der kan omfatte gennemførelse af automatiske mekanismer til isolering af de berørte informationsaktiver i tilfælde af cyberangreb |
c) | gennemføre politikker, der begrænser den fysiske eller logiske adgang til informationsaktiver og IKT-aktiver udelukkende til, hvad der er påkrævet for legitime og godkendte funktioner og aktiviteter, og med henblik herpå indføre en række politikker, procedurer og kontroller, der vedrører adgangsrettigheder og sikrer forsvarlig forvaltning heraf |
d) | gennemføre politikker og protokoller for stærke autentificeringsmekanismer på grundlag af relevante standarder og særlige kontrolsystemer og beskyttelsesforanstaltninger for krypteringsnøgler, hvorigennem data krypteres baseret på resultaterne fra godkendt dataklassificering og godkendte IKT-risikovurderingsprocesser |
e) | gennemføre dokumenterede politikker, procedurer og kontroller for styring af IKT-ændringer, herunder ændringer af software, hardware, firmwarekomponenter, systemer eller sikkerhedsparametre, som er baseret på en risikovurderingstilgang og er en integreret del af den finansielle enheds samlede ændringsstyringsproces, for at sikre, at alle ændringer af IKT-systemer registreres, testes, vurderes, godkendes, gennemføres og efterprøves på en kontrolleret måde |
f) | sørge for, at der indføres passende og omfattende dokumenterede politikker for programrettelser og opdateringer. |
Med henblik på første afsnit, litra b), udformer de finansielle enheder infrastrukturen for netværkstilslutning på en sådan måde, at den kan afbrydes eller segmenteres øjeblikkeligt for at minimere og forhindre afsmitning, navnlig i forbindelse med indbyrdes forbundne finansielle processer.
Med henblik på første afsnit, litra e), skal IKT-ændringsstyringsprocessen godkendes på passende ledelsesniveauer og omfatte specifikke protokoller.
→ Fuld officiel tekst på EUR-Lex