Art. 8 Strategier och förfaranden för IKT-verksamhet | RTS on ICT risk management framework | DORA

This article sits within the broader ICT security framework established under Article 9(2) of DORA and focuses specifically on the operational management of ICT systems.

It requires financial entities to develop, document, and implement policies and procedures that govern how they operate, monitor, control, and restore their ICT assets.

The article covers three core operational areas: asset description and lifecycle management, system controls and monitoring, and error handling.

Notably, it addresses the sensitive topic of testing in production environments, imposing strict conditions on when and how this is permitted, linking directly to requirements set out in Article 16(6) of this regulation.

Important points:

Develop, document, and implement ICT operations policies covering asset management, system controls and monitoring, and error handling procedures.
Separate production environments from development and testing environments across all components, including accounts, data, and connections.
Testing in production environments is only permitted in clearly identified and reasoned instances, for limited periods, and must be approved by the relevant function.

1. Som en del av de IKT-relaterade säkerhetsstrategier, förfaranden, protokoll och verktyg som avses i artikel 9.2 i förordning (EU) 2022/2554 ska finansiella entiteter utarbeta, dokumentera och genomföra strategier och förfaranden för hantering av IKT-verksamheten. Dessa strategier och förfaranden ska specificera hur finansiella entiteter driver, övervakar, kontrollerar och återställer sina IKT-tillgångar, inbegripet dokumentation av IKT-verksamhet.
1. De strategier och förfaranden för IKT-verksamhet som avses i punkt 1 ska innehålla allt av följande:
  1. En beskrivning av IKT-tillgångarna, inklusive
    krav avseende säker installation, säkert underhåll och säker konfiguration och avinstallation av ett IKT-system,
    krav avseende hantering av informationstillgångar som används av IKT-tillgångar, däribland deras bearbetning och hantering och både automatiserad och manuell sådan,
    krav avseende identifiering och kontroll av äldre IKT-system.
  2. Kontroll och övervakning av IKT-system, inklusive
    krav på säkerhetskopiering och återställning av IKT-system,
    krav på schemaläggning, med beaktande av ömsesidiga beroenden mellan IKT-systemen,
    protokoll för revisionsloggning och systemlogginformation,
    krav för att säkerställa att utförandet av internrevision och annan testning minimerar störningar i affärsverksamheten,
    krav på separering av IKT-produktionsmiljöer från utvecklingsmiljöer, testmiljöer och andra miljöer som inte är produktionsmiljöer,
    krav på att genomföra utveckling och testning i miljöer som är åtskilda från produktionsmiljön,
    krav på att genomföra utveckling och testning i produktionsmiljöer.
  3. Felhantering avseende IKT-system, inklusive
    förfaranden och protokoll för felhantering,
    kontakter för support och eskalering, inklusive externa supportkontakter i händelse av oväntade operativa eller tekniska problem,
    förfaranden för omstart, återladdning och återställning av IKT-system för användning i händelse av avbrott i IKT-system.
2. Vid tillämpning av led b v ska separeringen beakta alla komponenter i miljön, inbegripet konton, uppgifter eller anslutningar, enligt artikel 13.1 a.
3. Vid tillämpning av led b vii ska de strategier och förfaranden som avses i punkt 1 föreskriva att de fall då testning utförs i en produktionsmiljö är tydligt identifierade, motiverade, gäller begränsade tidsperioder och är godkända av den relevanta funktionen i enlighet med artikel 16.6. Finansiella entiteter ska säkerställa tillgänglighet, konfidentialitet, integritet och äkthet för IKT-system och produktionsdata under utveckling och testning i produktionsmiljön.

Artikel 8 Strategier och förfaranden för IKT-verksamhet

Relevant recitals