ANEXO I REQUISITOS ESSENCIAIS DE CIBERSEGURANÇA

Ser disponibilizados no mercado sem nenhuma vulnerabilidade passível de ser explorada conhecida;

Ser disponibilizados no mercado com uma configuração segura por defeito, salvo acordo em contrário entre o fabricante e o utilizador profissional em relação a um produto personalizado com elementos digitais, incluindo a possibilidade de restaurar o produto para o seu estado original;

Assegurar que as vulnerabilidades possam ser corrigidas através de atualizações de segurança, incluindo, se for caso disso, atualizações de segurança automáticas, instaladas num prazo adequado, configuradas por defeito, com um mecanismo de autoexclusão claro e de fácil utilização, por meio da notificação das atualizações disponíveis aos utilizadores e com a opção de as adiar temporariamente;

Assegurar a proteção contra o acesso não autorizado através de mecanismos de controlo adequados, incluindo, nomeadamente, sistemas de autenticação, identidade ou gestão de acessos, e comunicar eventuais acessos não autorizados;

Proteger a confidencialidade dos dados armazenados, transmitidos ou tratados de outra forma, sejam eles pessoais ou de outra natureza, por exemplo através da cifragem de dados inativos ou em trânsito pertinentes por mecanismos de ponta e da utilização de outros meios técnicos;

Proteger a integridade dos dados armazenados, transmitidos ou tratados de outra forma, sejam eles pessoais ou de outra natureza, dos comandos, dos programas e da configuração contra qualquer manipulação ou modificação não autorizada pelo utilizador, e comunicar informações sobre as corrupções;

Tratar apenas dados, pessoais ou de outra natureza, que sejam adequados, pertinentes e limitados ao que é necessário para a finalidade prevista do produto com elementos digitais (minimização de dados);

Proteger a disponibilidade de funções essenciais e básicas, inclusivamente após um incidente, incluindo através de medidas de resiliência e atenuação contra-ataques de negação de serviço;

Minimizar o impacto negativo pelos próprios produtos ou dispositivos conectados na disponibilidade de serviços prestados por outros dispositivos ou redes;

Ser concebidos, desenvolvidos e produzidos de forma a limitar superfícies de ataque, incluindo interfaces externas;

Ser concebidos, desenvolvidos e produzidos de forma a reduzir o impacto de incidentes, utilizando mecanismos e técnicas adequados de atenuação da exploração;

Facultar informações relacionadas com a segurança através do registo e controlo da atividade interna pertinente, incluindo o acesso ou a alteração de dados, serviços ou funções, com um mecanismo de autoexclusão para o utilizador;

Prever a possibilidade de os utilizadores removerem de forma segura, fácil e permanente todos os dados e parâmetros e, nos casos em que esses dados possam ser transferidos para outros produtos ou sistemas, assegurar que tal é feito de forma segura.

Identificar e documentar vulnerabilidades e componentes existentes nos produtos com elementos digitais, nomeadamente elaborando uma lista de materiais do software num formato de uso corrente e legível por máquina que abranja, pelo menos, as dependências de nível superior dos produtos;

Em relação aos riscos que os produtos com elementos digitais enfrentam, resolver e corrigir, sem demora, as vulnerabilidades, nomeadamente disponibilizando atualizações de segurança; sempre que tecnicamente viável, devem ser fornecidas novas atualizações de segurança, distintas das atualizações das funcionalidades;

Efetuar ensaios e análises eficazes e regulares da segurança do produto com elementos digitais;

Uma vez disponibilizada uma atualização de segurança, partilhar e divulgar publicamente informações sobre as vulnerabilidades corrigidas, incluindo uma descrição das mesmas, informações que permitam aos utilizadores identificar o produto com elementos digitais afetado, os impactos das vulnerabilidades, a sua gravidade e informações claras e acessíveis, que ajudem os utilizadores a corrigir as vulnerabilidades; em casos devidamente justificados, sempre que os fabricantes considerem que os riscos de segurança da publicação superam os benefícios relacionados com a segurança, podem adiar a divulgação pública de informações sobre uma vulnerabilidade corrigida até que os utilizadores tenham a possibilidade de aplicar a correção pertinente;

Definir e aplicar uma política de divulgação coordenada de vulnerabilidades;

Tomar medidas para facilitar a partilha de informações sobre potenciais vulnerabilidades no seu produto com elementos digitais, bem como em componentes de terceiros incluídos nesse produto, nomeadamente facultando um endereço de contacto para a comunicação das vulnerabilidades detetadas no produto com elementos digitais;

Prever mecanismos para distribuir de forma segura as atualizações de produtos com elementos digitais, a fim de assegurar a correção ou atenuação das vulnerabilidades em tempo útil e, se aplicável às atualizações de segurança, de uma forma automática;

Assegurar que as atualizações de segurança disponíveis para resolver problemas de segurança identificados sejam distribuídas sem demora e, salvo acordo em contrário entre um fabricante e um utilizador profissional em relação a um produto personalizado com elementos digitais, de forma gratuita, juntamente com orientações que facultem aos utilizadores informações pertinentes, nomeadamente sobre as eventuais medidas a tomar.