PRILOG I. BITNI ZAHTJEVI U POGLEDU KIBERNETIČKE SIGURNOSTI

stavljaju se na raspolaganje na tržištu bez poznatih iskoristivih ranjivosti;

stavljaju se na raspolaganje na tržištu u zadanoj sigurnoj konfiguraciji, osim ako se proizvođač i poslovni korisnik dogovore drukčije u vezi s prilagođenim proizvodom s digitalnim elementima, što uključuje mogućnost vraćanja proizvoda u izvorno stanje;

osiguravaju da se na ranjivosti može odgovoriti sigurnosnim ažuriranjima, među ostalim, ako je primjenjivo, automatskim sigurnosnim ažuriranjima koja se instaliraju u odgovarajućem vremenskom okviru i koja su omogućena kao zadana postavka, s jasnim i jednostavnim mehanizmom izuzeća, obavješćivanjem korisnika o dostupnim ažuriranjima i uz mogućnost njihove privremene odgode;

osiguravaju zaštitu od neovlaštenog pristupa u obliku odgovarajućih kontrolnih mehanizama, među kojima su sustavi za upravljanje autentifikacijom, identitetima odnosno pristupom te izvješćuju o mogućem neovlaštenom pristupu;

štite povjerljivost pohranjenih, prenesenih ili drukčije obrađenih podataka, osobnih ili drugih, primjerice šifriranjem relevantnih podataka u mirovanju ili tijekom prijenosa s pomoću najsuvremenijih mehanizama i korištenjem drugim tehničkim sredstvima;

štite cjelovitost pohranjenih, prenesenih ili na drukčije obrađenih podataka, osobnih ili drugih, naredbi, programa i konfiguracije od bilo kakve manipulacije ili izmjene koju korisnik nije odobrio te prijavljivati narušavanja te cjelovitosti;

obrađuju isključivo podatke, osobne ili druge, koji su primjereni, relevantni i ograničeni na ono što je potrebno za namjenu proizvoda s digitalnim elementima („minimizacija podataka”);

štite dostupnost osnovnih i glavnih funkcija i nakon incidenta, među ostalim s pomoću mjera otpornosti i ublažavanja u odnosu na distribuirane napade uskraćivanjem usluge;

na najmanju moguću mjeru svode negativan utjecaj samih proizvoda ili povezanih uređaja na dostupnost usluga koje pružaju drugi uređaji ili mreže;

projektiraju se, razvijaju i proizvede tako da ograničavaju površine napada, što uključuje vanjska sučelja;

projektiraju se, razvijaju i proizvede tako da ublažavaju posljedice incidenta primjenom odgovarajućih mehanizama i tehnika za ublažavanje iskorištavanja;

pružaju informacije o sigurnosti na temelju bilježenja i praćenja bitnih unutarnjih aktivnosti, među kojima su pristupanje podacima, uslugama ili funkcijama ili njihova izmjena, uz mehanizam za dobrovoljni izlazak iz sustava za korisnika;

omogućuju korisnicima da na siguran i jednostavan način trajno uklone sve podatke i postavke te da, ako se takvi podaci mogu prenijeti u druge proizvode ili sustave, osiguraju da se to čini na siguran način.

definiraju i dokumentiraju ranjivosti i komponente proizvoda s digitalnim elementima, među ostalim sastavljanjem popisa softverskog materijala u uobičajenom, strojno čitljivom formatu koji obuhvaća barem ovisnosti proizvoda na najvišoj razini;

kad je riječ o rizicima za proizvode s digitalnim elementima, bez odgode razmatra i otklanja ranjivosti, među ostalim sigurnosnim ažuriranjima; ako je to tehnički izvedivo, nova sigurnosna ažuriranja pružaju se odvojeno od ažuriranja funkcionalnosti;

provode djelotvorna i redovita ispitivanja i preispitivanja sigurnosti proizvoda s digitalnim elementima;

dijele i javno objavljuju informacije o popravljenim ranjivostima nakon izdavanja sigurnosnog ažuriranja, koje uključuju opis ranjivosti, informacije koje korisnicima omogućuju identifikaciju zahvaćenih proizvoda s digitalnim elementima, posljedice ranjivosti, njihovu težinu i jasne i dostupne informacije koje korisnicima pomažu otkloniti te ranjivosti; u opravdanim slučajevima, ako proizvođači smatraju da sigurnosni rizici od objave nadmašuju sigurnosne koristi, mogu odgoditi objavljivanje informacija o popravljenoj ranjivosti dok se korisnicima ne omogući primjena relevantne zakrpe;

uspostavljaju i provode politiku koordiniranog otkrivanja ranjivosti;

poduzimaju mjere za lakšu razmjenu informacija o potencijalnim ranjivostima svojeg proizvoda s digitalnim elementima i komponenata treće strane u tom proizvodu, među ostalim tako što daju adresu za kontakt za prijavljivanje ranjivosti otkrivenih u proizvodu s digitalnim elementima;

pružaju mehanizme za sigurnu distribuciju ažuriranja za proizvode s digitalnim elementima kako bi se ranjivosti pravodobno i, ako je primjenjivo, za sigurnosna ažuriranja i automatski, popravile ili smanjile;

osiguravaju da se sigurnosna ažuriranja za otklanjanje utvrđenih sigurnosnih problema, ako su dostupna, distribuiraju bez odgode, osim ako se proizvođač i poslovni korisnik dogovore drukčije u vezi s prilagođenim proizvodom s digitalnim elementima, besplatno i zajedno s upozorenjima za korisnike s bitnim informacijama, među ostalim o mogućim mjerama koje treba poduzeti.