I LISA OLULISED KÜBERTURVALISUSE NÕUDED

olema tehtud turul kättesaadavaks ilma teadaolevate ärakasutatavate nõrkusteta;

olema tehtud turul kättesaadavaks vaikimisi turvalise konfiguratsiooniga, juhul kui tootja ja ärikasutaja ei ole seoses digielemente sisaldava kohandatud tootega kokku leppinud teisiti; muu hulgas peab saama toote lähtestada algsesse olekusse;

tagama, et nõrkustega saab tegeleda turvauuenduste abil, sealhulgas asjakohasel juhul automaatsete turvauuenduste abil, mis paigaldatakse asjakohase aja jooksul ja mis on aktiveeritud vaikesättena ning millel on selge ja kergesti kasutatav loobumismehhanism, teatades kasutajatele kättesaadavatest uuendustest, ning võimalus neid ajutiselt edasi lükata;

tagama asjakohaste kontrollimehhanismide (sealhulgas, aga mitte ainult, autentimis-, identimis- või juurdepääsu haldamise süsteemide) abil kaitse loata juurdepääsu eest ning teatama võimalikust loata juurdepääsust;

kaitsma talletatud, edastatavate või muul moel töödeldavate andmete (isikuandmed või muud andmed) konfidentsiaalsust, näiteks krüpteerides asjaomased andmed tipptasemel mehhanismidega nende jõudeoleku või edastamise ajal ja kasutades muid tehnilisi vahendeid;

kaitsma talletatud, edastatavate või muul moel töödeldavate andmete (isikuandmed või muud andmed), käskude, programmide ja konfiguratsioonide terviklust mistahes manipuleerimise või muutmise eest, milleks kasutaja ei ole luba andnud, ja teatama rikkumistest;

töötlema üksnes selliseid andmeid (isikuandmed või muud andmed), mis on piisavad, asjakohased ja piirduvad sellega, mis on vajalik seoses digielemente sisaldava toote sihtotstarbega (andmete minimeerimine);

kaitsma oluliste ja põhifunktsioonide kättesaadavust, seda ka pärast intsidenti, sealhulgas ummistusrünnete vastu suunatud vastupidavus- ja leevendusmeetmetega;

minimeerima toodete endi või ühendatud seadmete kahjulikku mõju muude seadmete või võrkude pakutavate teenuste kättesaadavusele;

olema projekteeritud, arendatud ja toodetud selliselt, et ründepinnad, sh välisliidesed, oleksid võimalikult piiratud;

olema projekteeritud, arendatud ja toodetud selliselt, et vähendada intsidendi mõju, kasutades asjakohaseid mehhanisme ja meetodeid ärakasutamise mõjude leevendamiseks;

andma turvalisusega seotud teavet, registreerides ja seirates asjaomaseid sisetoiminguid, sh juurdepääsu andmetele, teenustele või funktsioonidele või nende muutmist, koos loobumismehhanismiga kasutajate jaoks;

pakkuma kasutajatele võimalust kõik andmed ja seaded turvaliselt ja lihtsasti alaliselt eemaldada, ning juhul, kui selliseid andmeid saab edastada muudele toodetele või süsteemidele, tagama, et seda tehakse turvaliselt.

tegema kindlaks ja dokumenteerima digielemente sisaldavate toodete nõrkused ja komponendid, koostades muu hulgas tarkvara koostenimekirja, mis on üldkasutatavas ja masinloetavas vormingus ning milles käsitletakse vähemalt toodete kõrgema taseme sõltuvusi;

tegelema viivitamata digielemente sisaldavaid tooteid ähvardavate riskidega seotud nõrkustega ja need kõrvaldama, pakkudes muu hulgas turvauuendusi; kui see on tehniliselt teostatav, tuleb uusi turvauuendusi pakkuda funktsiooniuuendustest eraldi;

tegema digielemente sisaldava toote turvalisuse kohta mõjusaid ja korrapäraseid teste ja läbivaatamisi;

jagama pärast turvauuenduse kättesaadavaks tegemist teavet parandatud nõrkuste kohta ja avalikustama selle üldsusele, sh nõrkuste kirjelduse, teabe, mille põhjal kasutaja saab kindlaks teha, milliseid digielemente sisaldavaid tooteid need mõjutasid, nõrkuste mõju, raskusastme ning selge ja juurdepääsetava teabe, mis aitaks kasutajatel nõrkused kõrvaldada; igakülgselt põhjendatud juhtudel, kui tootjad leiavad, et avaldamisest tulenevad turvariskid kaaluvad üles turvalisusega seotud kasu, võivad nad parandatud nõrkust käsitleva teabe avalikustamise edasi lükata, kuni kasutajatele on antud võimalus asjaomast paika kasutada;

kehtestama nõrkuste koordineeritud avalikustamise põhimõtted ja tagama nende täitmise;

võtma meetmeid, et hõlbustada teabe jagamist oma digielemente sisaldava toote ja selles tootes sisalduvate kolmandate isikute komponentide võimalike nõrkuste kohta, sh esitama kontaktaadressi, kuhu teatada digielemente sisaldavas tootes avastatud nõrkustest;

nägema ette digielemente sisaldavate toodete uuenduste turvalise levitamise mehhanismid, et tagada nõrkuste õigeaegne ja turvauuenduste puhul asjakohasel juhul automaatne kõrvaldamine või leevendamine;

tagama, et kui kindlakstehtud turvaprobleemide lahendamiseks on olemas turvauuendused, levitatakse neid viivitamata ja juhul, kui tootja ja ärikasutaja ei ole seoses digielemente sisaldava kohandatud tootega kokku leppinud teisiti, tasuta koos nõuandvate sõnumitega, milles antakse kasutajatele asjakohast teavet muu hulgas meetmete kohta, mida võib võtta.