|
+I LISA OLULISED KÜBERTURVALISUSE NÕUDED ---+Part I Cybersecurity requirements relating to the properties of products with digital elements ------+(1) Products with digital elements shall be designed, developed and produced in such a way that … ------+(2) On the basis of the cybersecurity risk assessment referred to in Article 13(2) and where … ---------+(a) be made available on the market without known exploitable vulnerabilities; ---------+(b) be made available on the market with a secure by default configuration, unless otherwise agreed … ---------+(c) ensure that vulnerabilities can be addressed through security updates, including, where … ---------+(d) ensure protection from unauthorised access by appropriate control mechanisms, including but not … ---------+(e) protect the confidentiality of stored, transmitted or otherwise processed data, personal or … ---------+(f) protect the integrity of stored, transmitted or otherwise processed data, personal or other … ---------+(g) process only data, personal or other, that are adequate, relevant and limited to what is … ---------+(h) protect the availability of essential and basic functions, also after an incident, including … ---------+(i) minimise the negative impact by the products themselves or connected devices on the … ---------+(j) be designed, developed and produced to limit attack surfaces, including external interfaces; ---------+(k) be designed, developed and produced to reduce the impact of an incident using appropriate … ---------+(l) provide security related information by recording and monitoring relevant internal activity … ---------+(m) provide the possibility for users to securely and easily remove on a permanent basis all data … ---+Part II Vulnerability handling requirements ------+(1) identify and document vulnerabilities and components contained in products with digital … ------+(2) in relation to the risks posed to products with digital elements, address and remediate … ------+(3) apply effective and regular tests and reviews of the security of the product with digital … ------+(4) once a security update has been made available, share and publicly disclose information about … ------+(5) put in place and enforce a policy on coordinated vulnerability disclosure; ------+(6) take measures to facilitate the sharing of information about potential vulnerabilities in their … ------+(7) provide for mechanisms to securely distribute updates for products with digital elements to … ------+(8) ensure that, where security updates are available to address identified security issues, they … |
I LISA OLULISED KÜBERTURVALISUSE NÕUDED
I LISA OLULISED KÜBERTURVALISUSE NÕUDED I osa Küberturvalisuse nõuded digielemente sisaldavate toodete omaduste kohta 1) Digielemente sisaldavaid tooteid tuleb projekteerida, arendada ja toota sellisel viisil, et need tagaksid riskidest lähtuvalt asjakohase küberturvalisuse taseme. 2) Artikli 13 lõikes 2 osutatud küberriskide hindamise alusel ja kui see on asjakohane, peavad digielemente sisaldavad tooted:
a)
olema tehtud turul kättesaadavaks ilma teadaolevate ärakasutatavate nõrkusteta;
b)
olema tehtud turul kättesaadavaks vaikimisi turvalise konfiguratsiooniga, juhul kui tootja ja ärikasutaja ei ole seoses digielemente sisaldava kohandatud tootega kokku leppinud teisiti; muu hulgas peab saama toote lähtestada algsesse olekusse;
c)
tagama, et nõrkustega saab tegeleda turvauuenduste abil, sealhulgas asjakohasel juhul automaatsete turvauuenduste abil, mis paigaldatakse asjakohase aja jooksul ja mis on aktiveeritud vaikesättena ning millel on selge ja kergesti kasutatav loobumismehhanism, teatades kasutajatele kättesaadavatest uuendustest, ning võimalus neid ajutiselt edasi lükata;
d)
tagama asjakohaste kontrollimehhanismide (sealhulgas, aga mitte ainult, autentimis-, identimis- või juurdepääsu haldamise süsteemide) abil kaitse loata juurdepääsu eest ning teatama võimalikust loata juurdepääsust;
e)
kaitsma talletatud, edastatavate või muul moel töödeldavate andmete (isikuandmed või muud andmed) konfidentsiaalsust, näiteks krüpteerides asjaomased andmed tipptasemel mehhanismidega nende jõudeoleku või edastamise ajal ja kasutades muid tehnilisi vahendeid;
f)
kaitsma talletatud, edastatavate või muul moel töödeldavate andmete (isikuandmed või muud andmed), käskude, programmide ja konfiguratsioonide terviklust mistahes manipuleerimise või muutmise eest, milleks kasutaja ei ole luba andnud, ja teatama rikkumistest;
g)
töötlema üksnes selliseid andmeid (isikuandmed või muud andmed), mis on piisavad, asjakohased ja piirduvad sellega, mis on vajalik seoses digielemente sisaldava toote sihtotstarbega (andmete minimeerimine);
h)
kaitsma oluliste ja põhifunktsioonide kättesaadavust, seda ka pärast intsidenti, sealhulgas ummistusrünnete vastu suunatud vastupidavus- ja leevendusmeetmetega;
i)
minimeerima toodete endi või ühendatud seadmete kahjulikku mõju muude seadmete või võrkude pakutavate teenuste kättesaadavusele;
j)
olema projekteeritud, arendatud ja toodetud selliselt, et ründepinnad, sh välisliidesed, oleksid võimalikult piiratud;
k)
olema projekteeritud, arendatud ja toodetud selliselt, et vähendada intsidendi mõju, kasutades asjakohaseid mehhanisme ja meetodeid ärakasutamise mõjude leevendamiseks;
l)
andma turvalisusega seotud teavet, registreerides ja seirates asjaomaseid sisetoiminguid, sh juurdepääsu andmetele, teenustele või funktsioonidele või nende muutmist, koos loobumismehhanismiga kasutajate jaoks;
m)
pakkuma kasutajatele võimalust kõik andmed ja seaded turvaliselt ja lihtsasti alaliselt eemaldada, ning juhul, kui selliseid andmeid saab edastada muudele toodetele või süsteemidele, tagama, et seda tehakse turvaliselt. II osa Nõrkuste käsitlemise nõuded Digielemente sisaldavate toodete tootjad peavad:
1)
tegema kindlaks ja dokumenteerima digielemente sisaldavate toodete nõrkused ja komponendid, koostades muu hulgas tarkvara koostenimekirja, mis on üldkasutatavas ja masinloetavas vormingus ning milles käsitletakse vähemalt toodete kõrgema taseme sõltuvusi;
2)
tegelema viivitamata digielemente sisaldavaid tooteid ähvardavate riskidega seotud nõrkustega ja need kõrvaldama, pakkudes muu hulgas turvauuendusi; kui see on tehniliselt teostatav, tuleb uusi turvauuendusi pakkuda funktsiooniuuendustest eraldi;
3)
tegema digielemente sisaldava toote turvalisuse kohta mõjusaid ja korrapäraseid teste ja läbivaatamisi;
4)
jagama pärast turvauuenduse kättesaadavaks tegemist teavet parandatud nõrkuste kohta ja avalikustama selle üldsusele, sh nõrkuste kirjelduse, teabe, mille põhjal kasutaja saab kindlaks teha, milliseid digielemente sisaldavaid tooteid need mõjutasid, nõrkuste mõju, raskusastme ning selge ja juurdepääsetava teabe, mis aitaks kasutajatel nõrkused kõrvaldada; igakülgselt põhjendatud juhtudel, kui tootjad leiavad, et avaldamisest tulenevad turvariskid kaaluvad üles turvalisusega seotud kasu, võivad nad parandatud nõrkust käsitleva teabe avalikustamise edasi lükata, kuni kasutajatele on antud võimalus asjaomast paika kasutada;
5)
kehtestama nõrkuste koordineeritud avalikustamise põhimõtted ja tagama nende täitmise;
6)
võtma meetmeid, et hõlbustada teabe jagamist oma digielemente sisaldava toote ja selles tootes sisalduvate kolmandate isikute komponentide võimalike nõrkuste kohta, sh esitama kontaktaadressi, kuhu teatada digielemente sisaldavas tootes avastatud nõrkustest;
7)
nägema ette digielemente sisaldavate toodete uuenduste turvalise levitamise mehhanismid, et tagada nõrkuste õigeaegne ja turvauuenduste puhul asjakohasel juhul automaatne kõrvaldamine või leevendamine;
8)
tagama, et kui kindlakstehtud turvaprobleemide lahendamiseks on olemas turvauuendused, levitatakse neid viivitamata ja juhul, kui tootja ja ärikasutaja ei ole seoses digielemente sisaldava kohandatud tootega kokku leppinud teisiti, tasuta koos nõuandvate sõnumitega, milles antakse kasutajatele asjakohast teavet muu hulgas meetmete kohta, mida võib võtta. 1. Ülevaade
1.1 Viited1.2 Tuvastatud nõuded1.3 Seotud standardid2. Tuvastatud nõuded
3. Seotud standardid
Lingitud teemad
|