LIITE I OLENNAISET KYBERTURVALLISUUSVAATIMUKSET

ne on asetettava saataville markkinoilla ilman tiedossa olevia hyödynnettävissä olevia haavoittuvuuksia;

ne on asetettava saataville markkinoilla oletusarvoisesti tietoturvallisin asetuksin, jolleivät valmistaja ja yrityskäyttäjä ole digitaalisia elementtejä sisältävän räätälöidyn tuotteen osalta sopineet toisin, ja ne on voitava palauttaa alkuperäiseen tilaansa;

niissä on varmistettava, että haavoittuvuuksiin voidaan puuttua tietoturvapäivityksillä, kuten tapauksen mukaan automaattisilla tietoturvapäivityksillä, joiden asentaminen asianmukaisessa ajassa on oletusasetuksena sallittu, että käytettävissä on selkeä ja helppokäyttöinen estomekanismi ja että käyttäjille ilmoitetaan saatavilla olevista päivityksistä ja mahdollisuudesta lykätä niitä tilapäisesti;

niissä on varmistettava suojaaminen luvattomalta käytöltä asianmukaisin valvontamekanismein, joita sovelletaan muun muassa todennus-, identiteetinhallinta- tai pääsynhallintajärjestelmiin, ja ilmoitettava mahdollisesta luvattomasta käytöstä;

niissä on suojattava tallennettujen, siirrettyjen tai muulla tavoin käsiteltyjen henkilötietojen tai muiden tietojen luottamuksellisuus esimerkiksi salaamalla asiaankuuluvat tiedot uusimman tekniikan mukaisilla mekanismeilla tietoja siirrettäessä tai säilytettäessä ja käyttämällä muita teknisiä keinoja;

niissä on suojattava tallennettujen, siirrettyjen tai muulla tavoin käsiteltyjen henkilötietojen tai muiden tietojen eheys, komennot, ohjelmat ja asetukset kaikelta manipuloinnilta tai muuttamiselta, johon käyttäjä ei ole antanut lupaa, ja ilmoitettava turmeltumisesta;

niissä on käsiteltävä ainoastaan sellaisia henkilötietoja tai muita tietoja, jotka ovat asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa digitaalisia elementtejä sisältävän tuotteen käyttötarkoitukseen (tietojen minimointi);

niissä on suojattava olennaisten toimintojen ja perustoimintojen saatavuus, myös poikkeaman jälkeen, mihin kuuluvat myös palvelunestohyökkäysten varalta toteutettavat häiriönsietokykyä parantavat ja hyökkäysten vaikutuksia lieventävät toimenpiteet;

niissä on minimoitava kielteinen vaikutus, joka tuotteilla itsellään tai verkkoon liitetyillä laitteilla on muiden laitteiden tai verkkojen tarjoamien palvelujen saatavuuteen;

ne on suunniteltava, kehitettävä ja tuotettava siten, että hyökkäyspintoja, kuten ulkoisia rajapintoja, on mahdollisimman vähän;

ne on suunniteltava, kehitettävä ja tuotettava siten, että poikkeaman vaikutukset pidetään mahdollisimman vähäisinä käyttäen asianmukaisia haavoittuvuuden hyödyntämisen vaikutusten lieventämismekanismeja ja -tekniikoita;

niiden on tuotettava tietoturvaan liittyvää informaatiota tallentamalla ja seuraamalla asiaan liittyvää sisäistä toimintaa, kuten tietojen, palvelujen tai toimintojen käyttöä tai muutoksia, sekä tarjottava käyttäjän käyttöön estomekanismi;

tarjottava käyttäjille mahdollisuus poistaa kaikki tiedot ja asetukset pysyvästi turvallisella ja helpolla tavalla ja, jos tällaisia tietoja voidaan siirtää muihin tuotteisiin tai järjestelmiin, varmistettava, että tämä tapahtuu turvatusti.

tunnistettava ja dokumentoitava digitaalisia elementtejä sisältävään tuotteeseen sisältyvät haavoittuvuudet ja komponentit muun muassa laatimalla vähintään tuotteiden ylimmän tason riippuvuudet kattava ohjelmistojen materiaaliluettelo yleisesti käytetyssä ja koneluettavassa muodossa;

digitaalisia elementtejä sisältäviin tuotteisiin kohdistuvien riskien yhteydessä puututtava haavoittuvuuksiin ja korjattava ne viipymättä, esimerkiksi tarjoamalla tietoturvapäivityksiä; jos se on teknisesti mahdollista, uudet tietoturvapäivitykset on tarjottava erillään toimintopäivityksistä;

tehtävä säännöllisesti digitaalisia elementtejä sisältävän tuotteen tietoturvaan liittyviä tehokkaita testejä ja arviointeja;

kun tietoturvapäivitys on asetettu saataville, jaettava ja julkistettava tiedot korjatuista haavoittuvuuksista, mukaan lukien kuvaus haavoittuvuuksista, tiedot, joiden avulla käyttäjät voivat tunnistaa kyseisen digitaalisia elementtejä sisältävän tuotteen, haavoittuvuuksien vaikutukset ja vakavuus sekä selkeät ja saavutettavat tiedot, jotka auttavat käyttäjiä korjaamaan haavoittuvuudet; asianmukaisesti perustelluissa tapauksissa, joissa valmistajat pitävät julkistamisen turvallisuusriskejä sen turvallisuushyötyjä merkittävämpinä, ne voivat lykätä korjattua haavoittuvuutta koskevien tietojen julkistamista, kunnes käyttäjille on annettu mahdollisuus asentaa asiaankuuluva korjaava päivitys;

otettava käyttöön koordinoitua haavoittuvuuksien julkistamista koskevat periaatteet ja valvottava niiden noudattamista;

toteutettava toimenpiteitä, joilla helpotetaan tietojen jakamista oman digitaalisia elementtejä sisältävän tuotteensa ja kyseisen tuotteen sisältämien kolmannen osapuolen komponenttien mahdollisista haavoittuvuuksista, muun muassa ilmoittamalla yhteysosoite digitaalisia elementtejä sisältävässä tuotteessa havaittujen haavoittuvuuksien raportointia varten;

huolehdittava mekanismeista digitaalisia elementtejä sisältävien tuotteiden päivitysten tietoturvallisen jakelun varmistamiseksi, jotta haavoittuvuudet korjataan tai niiden vaikutuksia lievennetään pikaisesti ja tietoturvapäivitysten tapauksessa soveltuvin osin automaattisesti;

varmistettava, että jos havaittujen tietoturvaongelmien ratkaisemiseksi on saatavilla tietoturvapäivityksiä, niitä levitetään viipymättä ja, jolleivat valmistaja ja yrityskäyttäjä ole digitaalisia elementtejä sisältävän räätälöidyn tuotteen osalta sopineet toisin, maksutta ja että niihin liitetään tarvittavat ohjeet, myös mahdollisista käyttäjältä edellytettävistä toimista.