ANEXA I CERINȚE ESENȚIALE DE SECURITATE CIBERNETICĂ

să fie puse la dispoziție pe piață fără vulnerabilități exploatabile cunoscute;

să fie puse la dispoziție pe piață cu o configurație securizată implicită, cu excepția cazului în care se convine altfel între producător și furnizorul prin servicii de intermediere online în legătură cu un produs personalizat cu elemente digitale, inclusiv cu posibilitatea de a reseta produsul la starea sa inițială;

să se asigure că vulnerabilitățile pot fi abordate prin actualizări de securitate, inclusiv, după caz, prin actualizări automate de securitate care sunt instalate într-un interval de timp adecvat, activate ca setare implicită, cu un mecanism de neparticipare clar și ușor de utilizat, prin notificarea utilizatorilor cu privire la actualizările disponibile și prin opțiunea de a le amâna temporar;

să asigure protecția împotriva accesului neautorizat prin mecanisme de control adecvate, inclusiv, dar fără a se limita la sistemele de autentificare, de gestionare a identității sau a accesului, și să raporteze privind posibilul acces neautorizat;

să protejeze confidențialitatea datelor stocate, transmise sau prelucrate în alt mod, cu caracter personal sau de altă natură, de exemplu prin criptarea datelor relevante în repaus sau în tranzit prin mecanisme de ultimă generație și prin utilizarea altor mijloace tehnice;

să protejeze integritatea datelor stocate, transmise sau prelucrate în alt mod, cu caracter personal sau de altă natură, a comenzilor, a programelor și a configurației împotriva oricărei manipulări sau modificări neautorizate de către utilizator, și să raporteze cu privire la fișierele corupte;

să prelucreze numai date, cu caracter personal sau de altă natură, care sunt adecvate, relevante și limitate la ceea ce este necesar în legătură cu scopul preconizat al produsului cu elemente digitale (reducerea la minimum a datelor);

să protejeze disponibilitatea funcțiilor esențiale și de bază, iar după un incident, inclusiv prin reziliență și măsuri de atenuare împotriva atacurilor vizând blocarea accesului la servicii;

să reducă la minimum impactul negativ al produselor în sine sau al dispozitivelor conectate asupra disponibilității serviciilor furnizate de alte dispozitive sau rețele;

să fie proiectate, dezvoltate și fabricate de așa manieră încât să se limiteze suprafețele de atac, inclusiv interfețele externe;

să fie proiectate, dezvoltate și fabricate de așa manieră încât să se reducă impactul unui incident prin utilizarea de mecanisme și tehnici adecvate de prevenire a exploatării vulnerabilităților;

să furnizeze informații legate de securitate prin înregistrarea și monitorizarea activității interne relevante, inclusiv accesul la date, servicii sau funcții sau modificarea acestora, cu un mecanism de neparticipare pentru utilizator;

să ofere utilizatorilor posibilitatea de a elimina în mod securizat și cu ușurință, în mod permanent, toate datele și setările și, în cazul în care astfel de date pot fi transferate către alte produse sau sisteme, și să se asigure că acest lucru se realizează în mod securizat.

să identifice și să documenteze vulnerabilitățile și componentele produselor cu elemente digitale, inclusiv prin întocmirea unei liste a materialelor software într-un format folosit în mod curent și care poate fi citit automat, care să acopere cel puțin dependențele de nivel superior ale produsului;

în ceea ce privește riscurile pe care le prezintă produsele cu elemente digitale, să abordeze și să remedieze fără întârziere vulnerabilitățile, inclusiv prin furnizarea de actualizări de securitate; în cazul în care acest lucru este fezabil din punct de vedere tehnic, noile actualizări de securitate sunt furnizate separat de actualizările de funcționalitate;

să aplice teste și reexaminări eficace și periodice ale securității produsului cu elemente digitale;

după punerea la dispoziție a unei actualizări de securitate, să partajeze și să publice informații cu privire la vulnerabilitățile remediate, inclusiv o descriere a vulnerabilităților, informații care să permită utilizatorilor să identifice produsul cu elemente digitale afectat, impactul vulnerabilităților, gravitatea acestora și informații clare și accesibile care să ajute utilizatorii să remedieze vulnerabilitățile; în cazuri justificate în mod corespunzător, atunci când producătorii consideră că riscurile de securitate ale publicării depășesc beneficiile în materie de securitate, aceștia pot amâna publicarea informațiilor cu privire la o vulnerabilitate fixă până după ce utilizatorilor li s-a oferit posibilitatea de a aplica corecția relevantă;

să instituie și să pună în aplicare o politică privind divulgarea coordonată a vulnerabilităților;

să ia măsuri pentru a facilita schimbul de informații cu privire la potențialele vulnerabilități ale produsului lor cu elemente digitale, precum și cu privire la componentele terților conținute în produsul respectiv, inclusiv prin furnizarea unei adrese de contact pentru raportarea vulnerabilităților descoperite în produsul cu elemente digitale;

să prevadă mecanisme de distribuire securizată a actualizărilor pentru produsele cu elemente digitale, pentru a se asigura că vulnerabilitățile sunt remediate sau atenuate în timp util și, dacă este cazul pentru actualizările de securitate, în mod automat;

să se asigure că, în cazul în care sunt disponibile actualizări de securitate pentru abordarea problemelor de securitate identificate, acestea sunt difuzate fără întârziere și, cu excepția cazului în care producătorul și furnizorul prin servicii de intermediere online au convenit altfel în legătură cu un produs personalizat cu elemente digitale, gratuit, însoțite de mesaje de consiliere care să ofere utilizatorilor informațiile relevante, inclusiv cu privire la eventualele acțiuni care trebuie întreprinse.