I. MELLÉKLET ALAPVETŐ KIBERBIZTONSÁGI KÖVETELMÉNYEK

azokat ismert, kihasználható sérülékenységek nélkül kell forgalmazni;

azokat biztonságos alapértelmezett konfigurációval kell forgalmazni – kivéve, ha egy digitális elemeket tartalmazó, testre szabott termékkel kapcsolatban a gyártó és az üzleti felhasználó között ettől eltérő megállapodás születik –, beleértve a termék eredeti állapotba való visszaállításának lehetőségét is;

biztosítaniuk kell, hogy a sérülékenységeket biztonsági frissítések révén kezelni lehessen, beleértve adott esetben az alapértelmezett beállításként lehetővé tett, megfelelő időkereten belül telepített automatikus biztonsági frissítéseket, egyértelmű és könnyen használható kívülmaradási mechanizmussal, a rendelkezésre álló frissítésekről a felhasználóknak küldött értesítések révén, és amelyek telepítését a felhasználó ideiglenesen elhalaszthatja;

megfelelő ellenőrzési mechanizmusok – többek között hitelesítési, személyazonosság-kezelési vagy hozzáférés-kezelési rendszerek – révén biztosítaniuk kell a jogosulatlan hozzáféréssel szembeni védelmet, és jelenteniük kell az esetleges jogosulatlan hozzáférést;

védeniük kell a tárolt, továbbított vagy más módon feldolgozott személyes vagy egyéb adatok titkosságát, így például a releváns inaktív vagy továbbítás alatt álló adatok legkorszerűbb mechanizmusok révén történő titkosításával, és egyéb technikai eszközök használatával;

védeniük kell a tárolt, továbbított vagy más módon feldolgozott személyes vagy egyéb adatok, parancsok, programok és konfigurációk integritását a felhasználó által nem engedélyezett bármely manipulációval vagy módosítással szemben, és jelenteniük kell a sérülésekről;

kizárólag olyan személyes vagy egyéb adatokat dolgozhatnak fel, amelyek megfelelőek, relevánsak és a digitális elemeket tartalmazó termék rendeltetése szempontjából szükséges mértékre korlátozódnak (»adattakarékosság«);

védeniük kell az alapvető és alapszintű funkciók rendelkezésre állását, incidenst követően is, beleértve a szolgáltatásmegtagadási támadásokkal szembeni ellenállóképességet biztosító és az azok mérséklésére szolgáló intézkedéseket;

minimálisra kell csökkenteniük a maguk a termékek vagy a csatlakoztatott eszközök által az egyéb eszközök vagy hálózatok által nyújtott szolgáltatások elérhetőségére gyakorolt negatív hatást;

azokat úgy kell megtervezni, fejleszteni és gyártani, hogy minél kisebb legyen a támadási felület, beleértve a külső interfészeket is;

azokat úgy kell megtervezni, fejleszteni és gyártani, hogy a sérülékenységek kihasználhatóságát mérséklő megfelelő mechanizmusok és technikák alkalmazásával csökkentsék az incidensek hatását;

biztonsággal kapcsolatos információkat kell szolgáltatniuk a releváns belső tevékenységek rögzítése és nyomon követése révén, beleértve az adatokhoz, szolgáltatásokhoz vagy funkciókhoz való hozzáférést vagy azok módosítását, a felhasználó számára kínált elutasítási mechanizmussal;

tegyék lehetővé a felhasználók számára, hogy bármikor biztonságosan és könnyen eltávolítsák az összes adatot és beállítást, és amennyiben az ilyen adatok továbbíthatók más termékekbe vagy rendszerekbe, biztosítsák, hogy ez biztonságos módon elvégezhető legyen.

azonosítaniuk és dokumentálniuk kell a digitális elemeket tartalmazó termékben található sérülékenységeket és alkotóelemeket, többek között egy általánosan használt és géppel olvasható formátumú szoftveranyagjegyzék elkészítésével, amely kiterjed legalább a termék felső szintű függőségeire;

a digitális elemeket tartalmazó termékekre jelentett kockázatokkal kapcsolatban haladéktalanul kezelniük és orvosolniuk kell a sérülékenységeket, többek között biztonsági frissítések biztosításával; amennyiben műszakilag megvalósítható, az új biztonsági frissítéseket a funkcionalitási frissítésektől elkülönítve kell biztosítani;

el kell végezniük a digitális elemeket tartalmazó termék biztonságának hatékony és rendszeres tesztelését és felülvizsgálatát;

a biztonsági frissítés rendelkezésre bocsátását követően meg kell osztaniuk és nyilvánosan közzé kell tenniük a kijavított sérülékenységekre vonatkozó információkat, beleértve a sérülékenységek leírását, azokat az információkat, amelyek lehetővé teszik a felhasználók számára az érintett digitális elemeket tartalmazó termék azonosítását, a sérülékenységek hatásait és súlyosságát, valamint azokat a közérthető és elérhető információkat, amelyek segítenek a felhasználónak orvosolni a sérülékenységeket; kellően indokolt esetekben, amennyiben a gyártók úgy ítélik meg, hogy a közzététel biztonsági kockázatai meghaladják a biztonsági előnyöket, elhalaszthatják a kijavított sérülékenységre vonatkozó információk nyilvánosságra hozatalát mindaddig, amíg a felhasználók lehetőséget nem kaptak a vonatkozó hibajavító csomag telepítésére;

az összehangolt sérülékenység-feltárásra vonatkozó politikát kell bevezetniük és végrehajtaniuk;

intézkedéseket kell hozniuk annak érdekében, hogy megkönnyítsék a digitális elemeket tartalmazó termékükben, valamint a termékben található, harmadik féltől származó alkotóelemekben lévő potenciális sérülékenységekre vonatkozó információk megosztását, többek között olyan elérhetőség megadásával, ahol a digitális elemeket tartalmazó termékben felfedezett sérülékenységek bejelenthetők;

a digitális elemeket tartalmazó termékekre vonatkozó frissítések biztonságos terjesztésére szolgáló mechanizmusokat kell rendelkezésre bocsátaniuk a sérülékenységek időben – és biztonsági frissítések esetében automatikusan – történő javítása vagy csökkentése érdekében;

biztosítaniuk kell, hogy amennyiben rendelkezésre állnak biztonsági frissítések az azonosított biztonsági problémák kezelése érdekében, azokat késedelem nélkül és ingyenesen terjesszék – hacsak egy digitális elemeket tartalmazó, testre szabott termékkel kapcsolatban a gyártó és az üzleti felhasználó erről nem állapodik meg másként –, a felhasználók számára releváns – többek között a lehetséges meghozandó intézkedésekre vonatkozó – információkat biztosító tájékoztató üzenetek kíséretében.