Art. 19 Personalpolitik | RTS on ICT risk management framework | DORA

This article focuses on the human element of ICT security, requiring financial entities to embed specific ICT security obligations directly into their HR policies or equivalent internal policies.

Rather than treating ICT security as a purely technical matter, it extends accountability to staff and third-party service provider personnel who interact with the financial entity's ICT assets, covering their conduct during and at the end of their engagement.

Important points:

Embed ICT security requirements into your human resource policy, covering both internal staff and staff of ICT third-party service providers who access your ICT assets.
Ensure all relevant staff are informed of and adhere to ICT security policies, and are aware of reporting channels for anomalous behaviour, including those aligned with the EU whistleblowing directive.
Require staff to return all ICT assets and tangible information assets to the financial entity upon termination of employment.

Finansiella entiteter ska i sin personalpolitik eller andra relevanta policyer inkludera alla följande IKT-säkerhetsrelaterade delar:

Identifiering och fördelning av alla specifika ansvarsområden för IKT-säkerhet.
Krav för personal hos den finansiella entiteten och hos tredjepartsleverantörer av IKT-tjänster som använder eller har åtkomst till den finansiella entitetens IKT-tillgångar att
1. vara informerad om, och följa, den finansiella entitetens IKT-relaterade säkerhetsstrategier, förfaranden och protokoll,
2. vara medveten om de rapporteringskanaler som inrättats av den finansiella entiteten för att upptäcka onormalt beteende, inklusive, i tillämpliga fall, de rapporteringskanaler som inrättats i linje med Europaparlamentets och rådets direktiv (EU) 2019/1937(¹¹),
3. när anställningen upphör, till den finansiella entiteten återlämna alla IKT-tillgångar och materiella informationstillgångar som den innehar och som tillhör den finansiella entiteten.