Art. 2 Éléments généraux des politiques, procédures, protocoles et outils de sécurité des TIC | RTS on ICT risk management framework | DORA

This article establishes the core requirements for how financial entities must structure and maintain their ICT security policies.

It builds directly on Article 9(2) of DORA (Regulation (EU) 2022/2554), specifying that ICT security policies must be embedded within the broader ICT risk management framework.

Beyond setting out the fundamental security objectives these policies must achieve — network security, data protection, and reliable data transmission — the article goes into considerable detail about the formal characteristics those policies must have, covering everything from management body approval and staff responsibilities to alignment with the digital operational resilience strategy and responsiveness to material changes.

Important points:

Embed ICT security policies within the ICT risk management framework, ensuring they cover network security, safeguards against intrusions, data integrity, and reliable transmission.
Ensure ICT security policies are formally approved by the management body, aligned to the digital operational resilience strategy, and include indicators to monitor implementation and manage exceptions.
ICT security policies must specify staff responsibilities and consequences of non-compliance, reflect segregation of duties, consider leading practices and standards, and be updated to account for material changes to the entity's activities, the cyber threat landscape, or applicable legal obligations.

1. Les entités financières veillent à ce que leurs politiques de sécurité des TIC, la sécurité de l’information et les procédures, protocoles et outils y afférents visés à l’article 9, paragraphe 2, du règlement (UE) 2022/2554 soient intégrés dans leur cadre de gestion du risque lié aux TIC. Les entités financières établissent les politiques, procédures, protocoles et outils de sécurité des TIC prévus au présent chapitre qui:
  1. garantissent la sécurité des réseaux;
  2. comportent des garanties contre les intrusions et les utilisations abusives des données;
  3. préservent la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, y compris en recourant à des techniques cryptographiques;
  4. garantissent une transmission précise et rapide des données sans perturbation majeure et sans retard injustifié.
1. Les entités financières veillent à ce que les politiques de sécurité des TIC visées au paragraphe 1:
  1. soient alignées sur les objectifs de l’entité financière en matière de sécurité de l’information définis dans la stratégie de résilience opérationnelle numérique visée à l’article 6, paragraphe 8, du règlement (UE) 2022/2554;
  2. indiquent la date de l’approbation formelle des politiques de sécurité des TIC par l’organe de direction;
  3. contiennent des indicateurs et des mesures pour:
    suivre la mise en œuvre des politiques, procédures, protocoles et outils de sécurité des TIC;
    enregistrer les exceptions à cette mise en œuvre;
    veiller à ce que la résilience opérationnelle numérique de l’entité financière soit assurée en cas d’exceptions visées au point ii);
  4. précisent les responsabilités du personnel à tous les niveaux afin d’assurer la sécurité des TIC de l’entité financière;
  5. précisent les conséquences du non-respect, par le personnel de l’entité financière, des politiques de sécurité des TIC, lorsque des dispositions à cet effet ne sont pas prévues dans d’autres politiques de l’entité financière;
  6. répertorient les documents à tenir à jour;
  7. précisent les modalités de séparation des fonctions dans le cadre du modèle reposant sur trois lignes de défense ou d’un autre modèle interne de gestion et de contrôle des risques, selon le cas, afin d’éviter les conflits d’intérêts;
  8. tiennent compte des pratiques de pointe et, le cas échéant, des normes telles que définies à l’article 2, point 1), du règlement (UE) n^o 1025/2012;
  9. définissent les rôles et les responsabilités en ce qui concerne l’élaboration, la mise en œuvre et la maintenance des politiques, procédures, protocoles et outils de sécurité des TIC;
  10. soient réexaminées conformément à l’article 6, paragraphe 5, du règlement (UE) 2022/2554;
  11. tiennent compte des changements importants concernant l’entité financière, notamment des changements importants intervenant dans ses activités ou processus, dans l’éventail des cybermenaces ou dans les obligations légales applicables.

Article 2 Éléments généraux des politiques, procédures, protocoles et outils de sécurité des TIC

Relevant recitals