PRILOGA I BISTVENE ZAHTEVE GLEDE KIBERNETSKE VARNOSTI

so dostopni na trgu brez znanih ranljivosti, ki jih je mogoče izrabljati;

so dostopni na trgu s konfiguracijo po načelu privzete varnosti, razen če se proizvajalec in poslovni uporabnik v zvezi s prilagojenim izdelkom z digitalnimi elementi dogovorita drugače, vključno z možnostjo ponastavitve izdelka v prvotno stanje;

zagotavljajo, da je ranljivosti mogoče odpraviti z varnostnimi posodobitvami, po potrebi tudi s samodejnimi varnostnimi posodobitvami, nameščenimi v ustreznem časovnem okviru v skladu s privzeto nastavitvijo, z jasnim in enostavnim mehanizmom za zavrnitev, ki je enostaven za uporabo, z obveščanjem uporabnikov o razpoložljivih posodobitvah in možnostjo začasne odložitve;

z ustreznimi nadzornimi mehanizmi zagotavljajo zaščito pred nepooblaščenim dostopom, med drugim tudi s sistemi avtentikacije, upravljanja identitete ali upravljanja dostopa, ter poročajo o morebitnem nepooblaščenem dostopu;

varujejo zaupnost shranjenih, prenesenih ali drugače obdelanih podatkov, osebnih ali drugih, na primer s šifriranjem zadevnih podatkov v mirovanju ali pri prenosu z najnovejšimi mehanizmi in z uporabo drugih tehničnih sredstev;

varujejo celovitost shranjenih, prenesenih ali drugače obdelanih podatkov, osebnih ali drugih, ukazov, programov in nastavitev pred kakršnim koli poseganjem ali spreminjanjem, ki ga ne odobri uporabnik, ter poročajo o okvarah podatkov;

obdelujejo le tiste podatke, osebne ali druge, ki so ustrezni, relevantni in omejeni na tisto, kar je potrebno glede na predvideni namen izdelka z digitalnimi elementi (najmanjši obseg podatkov);

varujejo razpoložljivost ključnih in osnovnih funkcij, tudi po incidentu, vključno z odpornostjo proti napadom za zavrnitev storitve in ukrepi za zmanjšanje negativnih vplivov takih napadov;

zmanjšujejo negativni vpliv samih izdelkov ali povezanih naprav na razpoložljivost storitev, ki jih zagotavljajo druge naprave ali omrežja;

zasnovani, razviti in izdelani so tako, da se omejijo napadne površine, vključno z zunanjimi vmesniki;

zasnovani, razviti in izdelani so tako, da se zmanjša vpliv incidenta z uporabo ustreznih mehanizmov in tehnik za zmanjšanje negativnih vplivov izrabljanja;

zagotavljajo informacije, ki se nanašajo na varnost, in sicer z beleženjem in spremljanjem zadevnih internih dejavnosti, vključno z dostopom do podatkov, storitev ali funkcij ali njihovim spreminjanjem, z mehanizmom odklonitve za uporabnika;

uporabnikom omogočajo, da varno in enostavno trajno odstranijo vse podatke in nastavitve ter, kadar je te podatke mogoče prenesti v druge izdelke ali sisteme, zagotovijo, da se to izvede na varen način.

opredelijo in dokumentirajo ranljivosti in sestavne dele izdelkov z digitalnimi elementi, vključno s pripravo kosovnice za programsko opremo v splošno uporabni in strojno berljivi obliki, ki vsebuje vsaj najpomembnejše odvisnosti izdelkov;

brez odlašanja obravnavajo in odpravijo ranljivosti v zvezi s tveganji za izdelke z digitalnimi elementi, tudi z zagotavljanjem varnostnih posodobitev; kadar je to tehnično izvedljivo, se nove varnostne posodobitve zagotovijo ločeno od posodobitev funkcionalnosti;

izvajajo učinkovita in redna preverjanja in preglede varnosti izdelkov z digitalnimi elementi;

ko je na voljo varnostna posodobitev, delijo in javno razkrijejo informacije o odpravljenih ranljivostih, vključno z opisom ranljivosti, informacijami, ki uporabnikom omogočajo opredeliti prizadeti izdelek z digitalnimi elementi, vplivi ranljivosti, njihovo resnostjo ter jasnimi in dostopnimi informacijami, ki uporabnikom omogočajo odpravo ranljivosti; v ustrezno utemeljenih primerih, kadar proizvajalci menijo, da varnostna tveganja razkritja prevladajo nad varnostnimi koristmi, lahko odložijo razkritje informacij o odpravljeni ranljivosti, dokler uporabniki ne dobijo možnosti, da uporabijo ustrezni popravek;

vzpostavijo in izvršujejo politiko usklajenega razkritja ranljivosti;

sprejmejo ukrepe za lajšanje izmenjave informacije o potencialnih ranljivostih svojih izdelkov z digitalnimi elementi ter sestavnih delov tretjih oseb, ki jih taki izdelki vsebujejo, tudi z zagotavljanjem kontaktnega naslova za poročanje o odkritih ranljivostih v izdelkih z digitalnimi elementi;

zagotovijo mehanizme za varno razširjanje posodobitev za izdelke z digitalnimi elementi, da se ranljivosti odpravijo ali zmanjšajo pravočasno in v primeru varnostnih posodobitev po potrebi samodejno;

brez odlašanja in, kadar se proizvajalec in poslovni uporabnik v zvezi z izdelkom po meri z digitalnimi elementi ne dogovorita drugače, brezplačno zagotovijo razširjanje varnostnih posodobitev, kadar so ti na voljo za odpravo zaznanih varnostnih težav, ter jim priložijo nasvete za uporabnike z ustreznimi informacijami, tudi o morebitnih ukrepih, ki jih morajo ti sprejeti.