Art. 20 Identitätsmanagement | RTS on ICT risk management framework | DORA

This article sits within the broader access management framework of the regulation, acting as a foundational prerequisite to Article 21, which governs the actual assignment of access rights.

Article 20 establishes the identity management layer that must exist before those rights can be meaningfully assigned.

It requires financial entities to put in place policies and procedures that uniquely identify and authenticate every person and system seeking access to the entity's information and ICT assets.

Two core requirements underpin this: a one-to-one mapping between individuals (including staff of ICT third-party service providers) and user accounts, and a full lifecycle management process covering accounts from creation through to termination.

Important points:

Develop, document, and implement identity management policies and procedures that ensure every staff member and ICT third-party service provider staff member accessing your assets is assigned a unique identity and user account.
Maintain records of all identity assignments, including after organisational restructuring or the end of a contractual relationship, subject to applicable retention requirements.
Where feasible and appropriate, deploy automated solutions to manage the full lifecycle of identities and accounts.

1. Um die Zuweisung der Nutzerzugriffsrechte gemäß Artikel 21 zu ermöglichen, entwickeln, dokumentieren und implementieren die Finanzunternehmen im Rahmen der Kontrolle der Zugangs- und Zugriffsrechte Richtlinien und Verfahren für das Identitätsmanagement, die die eindeutige Identifizierung und Authentifizierung der natürlichen Personen und Systeme, die auf Informationen der Finanzunternehmen zugreifen, gewährleisten.
1. Die in Absatz 1 genannten Richtlinien für das Identitätsmanagement müssen alles Folgende vorsehen:
  1. unbeschadet des Artikels 21 Absatz 1 Buchstabe c ist jedem Mitarbeiter des Finanzunternehmens oder Mitarbeitern der IKT-Drittdienstleister, die auf die Informationsassets und IKT-Assets des Finanzunternehmens zugreifen, eine eindeutige Identität zuzuweisen, die einem eindeutigen Nutzerkonto zugeordnet werden kann,
  2. einen Lebenszyklusmanagementprozess für Identitäten und Konten, der die Erstellung, Änderung, Überprüfung und Aktualisierung, die vorübergehende Deaktivierung und die Beendigung aller Konten umfasst.
2. Für die Zwecke des Buchstabens a führen die Finanzunternehmen Aufzeichnungen über alle zugeordneten Identitäten. Diese Aufzeichnungen werden unbeschadet der im geltenden Unionsrecht und im nationalen Recht festgelegten Speicherpflichten nach einer Umstrukturierung des Finanzunternehmens oder nach Ablauf der Vertragsbeziehung aufbewahrt.
3. Für die Zwecke des Buchstabens b greifen die Finanzunternehmen beim Lebenszyklusmanagementprozess für Identitäten soweit möglich und angemessen auf automatisierte Lösungen zurück.