Artikel 32 Fysisk säkerhet och miljösäkerhet

Summary What does Article 32 of the RTS on ICT risk management framework say?

This article applies specifically to the financial entities subject to the simplified ICT risk management framework under Article 16(1) of DORA.

It sets out the requirement to put physical security measures in place, grounding those measures in the threat landscape and the asset classification work already done under Article 30(1).

In essence, it translates the risk picture into tangible protections for the physical spaces where ICT and information assets live, such as premises and data centres, guarding against unauthorised access, attacks, accidents, and environmental threats and hazards.

Important points:

Identify and implement physical security measures based on the threat landscape and the asset classification established under Article 30(1) of this Regulation.
Ensure those measures protect premises and, where applicable, data centres from unauthorised access, attacks, accidents, and environmental threats and hazards.
The level of protection against environmental threats and hazards must be commensurate with the importance of the premises and the criticality of the operations or ICT systems located there.

Springlex's summary of the article, a reading aid, not a substitute for the legal text.

1. De finansiella entiteter som avses i artikel 16.1 i förordning (EU) 2022/2554 ska identifiera och genomföra fysiska säkerhetsåtgärder som utformats på grundval av hotbilden och i enlighet med den klassificering som avses i artikel 30.1 i den här förordningen, den allmänna riskprofilen för IKT-tillgångar och tillgängliga informationstillgångar.
1. De åtgärder som avses i punkt 1 ska skydda finansiella entiteters lokaler och, i tillämpliga fall, finansiella entiteters datacentraler där IKT-tillgångar och informationstillgångar finns, mot obehörig åtkomst, angrepp och olyckor samt mot miljöhot och miljöfaror.
1. Skyddet mot miljöhot och miljöfaror ska stå i proportion till hur viktiga de berörda lokalerna och, i tillämpliga fall, datacentralerna är och hur kritiska de verksamheter eller IKT-system som finns där är.

Table of contents

Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.