DORA-kryptografikrav förklarade

Digital Operational Resilience Act (DORA) är en EU-förordning som trädde i kraft den 17 januari 2025 och som kräver att finansiella enheter skyddar kryptografiska nycklar under hela sin livscykel och implementerar starka autentiseringsmekanismer som en del av ett bredare ramverk för IKT-riskhantering.

DORA (förordning (EU) 2022/2554) kräver att finansiella enheter inom EU hanterar IKT-risker, inklusive kryptografi, inom ett enhetligt ramverk. Artikel 9.4(d) kräver stark autentisering och skydd av kryptografiskt nyckel , och artikel 7.2–7.3 kräver kontroller som skyddar nycklar under hela deras livscykel mot förlust, obehörig åtkomst, avslöjande och modifiering.

Key Takeaways

• DORA trädde i kraft den 16 januari 2023 och har tillämpats på finansiella enheter inom EU sedan den 17 januari 2025.
• Artikel 9.4(d) kräver specifikt att starka autentiseringsmekanismer implementeras och kryptografiska nycklar skyddas, och att nyckelhanteringen kopplas direkt till DORA:s IKT-riskkrav.
• Artiklarna 7.2 och 7.3 kräver att finansiella enheter skyddar kryptografiska nycklar under hela deras livscykel, vilket täcker förlust, obehörig åtkomst, avslöjande och modifiering.
• DORA gäller för ett brett spektrum av finansiella enheter, inklusive banker, försäkringsbolag, investeringsföretag och de IKT-tredjepartsleverantörer som stöder dem.
• Straffavgifter för bristande efterlevnad kan uppgå till 2 % av den globala årsomsättningen för finansiella enheter och upp till 5 miljoner euro för kritiska IKT-tredjepartsleverantörer.

Vad kräver Dora gällande kryptografiskt nyckelskydd?

Artikeln	Krav
Artikel 9.4 d	Implementera starka autentiseringsmekanismer och skydda kryptografiska nycklar som en del av IKT-säkerhetspolicyn
Artikel 7.2	Identifiera och implementera kontroller som skyddar kryptografiska nycklar under hela deras livscykel
Artikel 7.3	Skydda nycklar mot förlust, obehörig åtkomst, avslöjande och modifiering specifikt

Dessa bestämmelser ingår i DORA:s bredare ramverk för IKT- riskhantering, vilket innebär att skydd av kryptografiska nycklar inte är ett isolerat tekniskt krav utan en del av de styrnings-, testnings- och incidentrapporteringsskyldigheter som DORA tillämpar på en finansiell enhets hela IKT-tillgångar.

Vem gäller DORA?

DORA gäller för ett brett spektrum av finansiella enheter i EU, inklusive kreditinstitut, betalningsinstitut, värdepappersföretag och försäkringsbolag, tillsammans med de kritiska IKT-tredjepartsleverantörer som stöder dem. Finansiella enheter måste också identifiera sina kritiska IKT-tjänsteleverantörer och lämna in avtalsinformation om dessa relationer till tillsynsmyndigheter, vilket utvidgar DORA:s räckvidd till den bredare teknikförsörjningskedjan, inte bara till de reglerade finansinstituten själva.

Vad händer om en finansiell enhet inte uppfyller Doras kryptografikrav?

Tillsynsmyndigheter kan införa inspektioner, kräva korrigerande åtgärder och utdöma ekonomiska böter: upp till 2 % av den globala årsomsättningen för finansiella enheter och upp till 5 miljoner euro för kritiska IKT-tredjepartsleverantörer som inte följer reglerna. Tillsynsmyndigheter kan också avbryta eller säga upp avtal mellan finansiella enheter och IKT-leverantörer som inte följer reglerna, vilket gör kryptografiskt nyckelskydd till en både avtalsenlig och regulatorisk risk.

Hur bör en finansiell enhet hantera Doras kryptografiska krav i praktiken?

1. Inventera alla kryptografiska nycklar som används i IKT-system, inklusive nycklar som innehas av tredjepartsleverantörer.
2. Kartlägg nuvarande viktiga livscykelkontroller (generering, lagring, rotation, destruktion) mot DORA:s krav enligt artikel 7.2-7.3.
3. Identifiera luckor, särskilt runt nycklar som lagras utanför en hårdvarusäkerhetsmodul eller utan dokumenterade livscykelkontroller.
4. Åtgärda luckor med hjälp av centraliserad nyckelhantering och HSM-baserad lagring, och prioritera system kopplade till kritiska IKT-tjänsteleverantörer.
5. Dokumentkontroller och testbevis för att stödja DORA:s bredare skyldigheter gällande IKT-riskhantering och motståndskraftstestning.

Hur krypteringskonsulting hjälper

Hur krypteringskonsulttjänster hjälper dig. Compliance Advisory Services kartlägger dina metoder för hantering av kryptografiska nyckelringar mot DORA:s krav enligt artikel 7 och artikel 9, medan HSM-as-a-Service täcker luckor i nyckellivscykelskyddet som identifierats under den bedömningen. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

När trädde DORA i kraft?

DORA, förordning (EU) 2022/2554, trädde i kraft den 16 januari 2023 och har tillämpats på finansiella enheter inom EU sedan den 17 januari 2025, efter en tvåårig förberedelseperiod för organisationer.

Vilka specifika DORA-artiklar behandlar kryptografi?

Artikel 9.4(d) kräver stark autentisering och skydd av kryptografiska nycklar som en del av IKT-säkerhetspolicyn. Artiklarna 7.2 och 7.3 kräver att kryptografiska nycklar skyddas under hela deras livscykel mot förlust, obehörig åtkomst, avslöjande och modifiering.

Gäller DORA företag utanför EU?

DORA gäller direkt för finansiella enheter inom EU, men IKT-leverantörer utanför EU som stöder finansiella enheter inom EU kan omfattas av dess tillämpningsområde som leverantörer av kritiska tjänster, med förbehåll för tillsyn och avtalskrav även utan ett EU-huvudkontor.

Vilka är påföljderna för bristande efterlevnad av DORA?

Böterna kan uppgå till upp till 2 % av den globala årsomsättningen för finansiella enheter och upp till 5 miljoner euro för kritiska IKT-tredjepartsleverantörer, tillsammans med potentiell avstängning eller uppsägning av kontrakt och obligatoriska korrigerande åtgärder från tillsynsmyndigheter.

Täck dina luckor i DORA-kryptografisk efterlevnad

Ta nästa steg. Compliance Advisory Services kartlägger era viktiga hanteringsmetoder mot DORA:s krav, och HSM-as-a-Service täcker luckorna. Förenkla er efterlevnadsprocess för DORA med Encryption Consulting.