RBI inför nytt ramverk för cybersäkerhet för affärsbanker

Indiens centralbank, Reserve Bank of India (RBI), har den 31 juli 2026 utfärdat nya riktlinjer för cybersäkerhet, teknik, risk, resiliens och säkerhet för affärsbanker. Detta ramverk ersätter tidigare, fragmenterade instruktioner med en enhetlig struktur.

De nya bestämmelserna kräver bland annat att bankerna genomför sårbarhetsbedömningar var sjätte månad, årliga penetrationstester av kritiska internetanslutna system och övningar för katastrofåterställning var sjätte månad. Ramverket gäller omedelbart för alla affärsbanker, med undantag för småfinansbanker, betalbanker och lokala bankinstitut.

Ramverket omfattar omfattande krav på hantering av data och informationstillgångar, skydd av system och infrastruktur, nätverks- och applikationssäkerhet samt åtkomstkontroll och kundautentisering. Dessutom specificeras krav för användning av e-post, flyttbara medier och tredjepartsleverantörer, operativ resiliens samt hantering av sårbarheter och katastrofer.

Bankerna måste upprätthålla aktuella register över informationstillgångar, klassificera data baserat på känslighet och skydda data under hela dess livscykel. Systemkrav inkluderar säkra konfigurationer, skydd mot skadlig kod och krypteringsstandarder. Säkerhetsarbetet för nätverk och applikationer betonar säkra utvecklingsmetoder och testning.

Vidare måste bankerna säkerställa stark åtkomsthantering, multifaktorautentisering och strategier för att förhindra dataförlust. Rapportering av incidenter relaterade till cybersäkerhet till DAKSH-plattformen måste ske inom sex timmar. Styrelserna måste godkänna och granska säkerhetspolicyer årligen, och ledningen ska övervaka implementeringen av strategin.