Чл. 6

Член 6 Криптиране и криптографски механизми за контрол (1) Като част от своите политики, процедури, протоколи и инструменти за сигурност на ИКТ, посочени в член 9, параграф 2 от Регламент (ЕС) 2022/2554, финансовите субекти разработват, документират и прилагат политика относно криптирането и криптографските механизми за контрол.

1. Финансовите субекти разработват посочената в параграф 1 политика относно криптирането и криптографските механизми за контрол въз основа на резултатите от одобрена класификация на данните и оценка на риска в областта на ИКТ. Посочената политика съдържа правила за всички изброени по-долу елементи:

а) б) в) г) криптиране на данните при тяхното съхранение и предаване; криптиране на данните при тяхното използване, когато е необходимо; криптиране на вътрешни мрежови връзки и пренос с външни страни; посоченото в член 7 управление на криптографския ключ, с което се установяват правила за правилното използване, защитата и жизнения цикъл на криптографските ключове. За целите на буква б), когато криптирането на използваните данни не е възможно, финансовите субекти обработват използваните данни в отделна и защитена среда или предприемат еквивалентни мерки, за да гарантират поверителността, цялостността, автентичността и наличността на данните.

1. Финансовите субекти включват в посочената в параграф 1 политика относно криптирането и криптографските механизми за контрол критерии за подбора на криптографски техники и практики за използване, като вземат предвид водещите практики и стандарти, определени в член 2, точка 1 от Регламент (ЕС) № 1025/2012, и класификацията на съответните активи на ИКТ, установена в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554. Финансовите субекти, които не са в състояние да се придържат към водещите практики или стандарти, или да използват най-надеждните техники, приемат мерки за намаляване на риска и за наблюдение, които гарантират устойчивост срещу киберзаплахи.

1. Финансовите субекти включват в посочената в параграф 1 политика относно криптирането и криптографските механизми за контрол разпоредби за актуализиране или промяна, когато това е необходимо, на криптографската технология въз основа на развитието в областта на криптоанализа. Тези актуализации или промени гарантират, че криптографската технология остава устойчива срещу киберзаплахи, както се изисква в член 10, параграф 2, буква а). Финансовите субекти, които не са в състояние да актуализират или променят криптографската технология, приемат мерки за намаляване на риска и за наблюдение, които гарантират устойчивост срещу киберзаплахи.
2. Финансовите субекти включват в посочената в параграф 1 политика относно криптирането и криптографските механизми за контрол изискване за документиране на приемането на мерки за намаляване на риска и за наблюдение, приети в съответствие с параграфи 3 и 4, и за предоставяне на аргументирано обяснение за това.

10/37 ELI: http://data.europa.eu/eli/reg_del/2024/1774/oj

OB L, 25.6.2024 г. BG