Art. 14 Sécurisation des informations en transit | RTS on ICT risk management framework | DORA

This article focuses on the protection of information in transit, requiring financial entities to develop and implement policies, procedures, protocols, and tools to preserve the availability, authenticity, integrity, and confidentiality of data as it moves across networks.

It sits within the broader set of data safeguarding obligations and connects directly to the data classification and ICT risk assessment processes established elsewhere in the regulation, as those results must form the basis of how these protections are designed.

Important points:

Develop, document, and implement policies and tools to protect information in transit, covering data confidentiality and integrity during network transmission, prevention and detection of data leakage, and confidentiality or non-disclosure arrangements with staff and third parties.
The design of these protections must be based on the results of the approved data classification and ICT risk assessment.
Confidentiality and non-disclosure arrangements must be implemented, documented, and regularly reviewed.

1. Dans le cadre des garanties visant à préserver la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, les entités financières élaborent, documentent et mettent en œuvre les politiques, procédures, protocoles et outils de protection des informations en transit. Les entités financières veillent en particulier à l’ensemble des éléments suivants:
  1. la disponibilité, l’authenticité, l’intégrité et la confidentialité des données pendant la transmission sur le réseau, et l’établissement de procédures permettant d’évaluer le respect de ces exigences;
  2. la prévention et la détection des fuites de données et le transfert sécurisé d’informations entre l’entité financière et des parties externes;
  3. la mise en œuvre, la documentation et le réexamen régulier d’exigences relatives à des accords de confidentialité ou de non-divulgation reflétant les besoins de l’entité financière en matière de protection des informations tant pour son personnel que pour les tiers.
1. Les entités financières conçoivent les politiques, procédures, protocoles et outils visant à protéger les informations en transit visées au paragraphe 1 sur la base des résultats de la classification des données approuvée et de l’évaluation du risque lié aux TIC.