Art. 19 Richtlinien für Personalpolitik | RTS on ICT risk management framework | DORA

This article focuses on the human element of ICT security, requiring financial entities to embed specific ICT security obligations directly into their HR policies or equivalent internal policies.

Rather than treating ICT security as a purely technical matter, it extends accountability to staff and third-party service provider personnel who interact with the financial entity's ICT assets, covering their conduct during and at the end of their engagement.

Important points:

Embed ICT security requirements into your human resource policy, covering both internal staff and staff of ICT third-party service providers who access your ICT assets.
Ensure all relevant staff are informed of and adhere to ICT security policies, and are aware of reporting channels for anomalous behaviour, including those aligned with the EU whistleblowing directive.
Require staff to return all ICT assets and tangible information assets to the financial entity upon termination of employment.

Die Finanzunternehmen nehmen in ihre Richtlinien für Personalpolitik oder in ihre anderen einschlägigen Richtlinien alle nachstehend genannten IKT-sicherheitsbezogenen Elemente auf:

die Angabe und Zuweisung etwaiger spezifischer Zuständigkeiten im Bereich der IKT-Sicherheit,
die Vorgabe für die Mitarbeiter des Finanzunternehmens und des IKT-Drittdienstleisters, die IKT-Assets des Finanzunternehmens nutzen oder auf diese zugreifen,
1. sich über die Richtlinien, Verfahren und Protokolle des Finanzunternehmens zur IKT-Sicherheit zu informieren und diese einzuhalten,
2. auf dem Laufenden darüber zu sein, welche Kanäle das Finanzunternehmen für die Meldung anomaler Verhaltensweisen geschaffen hat, wozu — soweit relevant — die gemäß der Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates(¹¹) eingerichteten Meldekanäle zählen,
3. dem Finanzunternehmen nach Beendigung des Beschäftigungsverhältnisses alle in ihrem Besitz befindlichen IKT-Assets und materiellen Informationsassets, die Eigentum des Finanzunternehmens sind, auszuhändigen.