Japan: Richtlinienentwurf zum Konformitätsbewertungssystem für die Sicherheit von IoT-Produkten

 

Das japanische Ministerium für Wirtschaft, Handel und Industrie (METI) hat einen Richtlinienentwurf für ein Konformitätsbewertungssystem für die Sicherheit von IoT-Produkten veröffentlicht.

In den Geltungsbereich fallen Produkte, die Daten über das Internetprotokoll (IP) senden und empfangen können, einschließlich Produkte, die indirekt mit dem Internet verbunden sind (ausgenommen allgemeine IT-Produkte, bei denen Benutzer die Sicherheitsmaßnahmen leicht ändern können, z. B. über Softwareprodukte (PCs, Tablets, Smartphones usw.)).

Der Richtlinienentwurf umreißt den Zweck und die Positionierung eines freiwilligen Systems zur Konformitätsbewertung der Produktsicherheit im Internet der Dinge (IoT), das Japan einführen wird. Er enthält Einzelheiten des Systems, etwa seine Betriebsstruktur und seinen Umfang, sowie Maßnahmen für die Erweiterung des Systems.

Mit der zunehmenden Digitalisierung ist die Zahl der IoT-Produkte in den letzten Jahren deutlich gestiegen, was mit einer entsprechenden Zunahme von Cyberangriffen einhergeht, die auf ihre Schwachstellen abzielen. Vor diesem Hintergrund denken Länder weltweit über Strategien nach, um die Sicherheit von IoT-Produkten zu gewährleisten.

Das japanische Ministerium für Wirtschaft, Handel und Industrie (METI) hat die Einführung eines solchen Systems als oberste Priorität eingestuft und ist bestrebt, IoT-Produkte mit robusten Sicherheitsmaßnahmen zu fördern. Dabei lässt es sich von ähnlichen Initiativen in anderen Ländern inspirieren. Zu diesem Zweck hat das METI im November 2022 die „Studiengruppe zur Einrichtung eines Systems zur Konformitätsbewertung der Sicherheit von IoT-Produkten“ gegründet und beteiligt sich aktiv an Diskussionen innerhalb der Gruppe.

Um die Sicherheit von IoT-Produkten zu erhöhen, ist es unerlässlich, ein Konformitätsbewertungssystem für die Sicherheit von IoT-Produkten zu implementieren und es in der Gesellschaft weithin zu verbreiten. Dazu gehört, Einkäufer und Endnutzer zu ermutigen, Produkte mit dem erforderlichen Sicherheitslabel zu bevorzugen, und gleichzeitig IoT-Produktanbieter zu motivieren, nach diesen Labels zu suchen.

Die Studiengruppe hat drei Hauptziele für das Programm skizziert:

1. Erleichterung der Auswahl und Beschaffung von IoT-Produkten, die bestimmte Sicherheitsstufen für Organisationen erfüllen, wobei der Schwerpunkt zunächst auf Behörden, Anbietern kritischer Infrastrukturen und lokalen Regierungen liegt.
2. Durch die Definition branchenspezifischer Sicherheitsanforderungen können Branchenorganisationen die erforderlichen Zertifizierungen und Kennzeichnungen festlegen und das Schema so als branchenspezifischen Standard nutzen.
3. Reduzierung der Kosten der Konformitätsbewertung für IoT-Produktanbieter, die ihre Produkte exportieren, durch Anpassung an Systeme in anderen Ländern und Anstreben einer gegenseitigen Anerkennung.

Im Anschluss an den Abschlussbericht der Studiengruppe hat METI den „Richtlinienentwurf zum IoT-Produktsicherheits-Konformitätsbewertungsschema“ veröffentlicht, damit die Öffentlichkeit vom 15. März bis 15. April 2024 (JST) Feedback dazu abgeben kann.

Der Richtlinienentwurf umreißt den Zweck und den Rahmen des vorgeschlagenen Plans für Japan sowie operative Details und Maßnahmen für sein Wachstum. Zu den wichtigsten Punkten des Entwurfs gehören:

• Die Teilnahme an dem Programm ist freiwillig und umfasst eine breite Palette von IoT-Produkten, die Daten über das Internet unter Verwendung des Internetprotokolls (IP) senden und empfangen können (ausgenommen PCs und Smartphones).
• Dabei werden Sicherheitsanforderungen sowohl als einheitliche Grundlage zur Bewältigung allgemeiner Bedrohungen für alle IoT-Produkte als auch maßgeschneidert für bestimmte Produktkategorien zur Berücksichtigung ihrer besonderen Merkmale festgelegt.
• Labels für niedrigere Sicherheitsstufen werden auf Grundlage von Konformitätserklärungen der Anbieter vergeben, während für höhere Stufen insbesondere bei Behörden und Anbietern kritischer Infrastrukturen eine Zuverlässigkeitsprüfung durch Dritte erforderlich ist.
• Die Information-technology Promotion Agency (IPA) wird den Betrieb des Programms beaufsichtigen und das bestehende Japan Information Technology Security Evaluation and Certification Scheme (JISEC) entsprechend erweitern.

Öffentliche Kommentare zum Richtlinienentwurf werden die weitere Entwicklung beeinflussen. Der offizielle Start des Systems wird zwischen Juli und September 2024 erwartet. METI beabsichtigt, bis März 2025 mit der Akzeptanz von Selbsterklärungen zur Konformität für die niedrigste Sicherheitsstufe zu beginnen. Die Diskussionen über Sicherheitskriterien auf höherer Ebene und die gegenseitige Anerkennung mit den Systemen anderer Länder werden fortgesetzt, neben den Bemühungen, das System in die Beschaffungsanforderungen verschiedener Organisationen zu integrieren.

Kategorie	Erfordernis	☆1 Sicherheit Erfordernis	[Ref.] Bestehende Pläne/Dokumente anderer Länder	[Ref.] Bestehende nationale Systeme/Dokumente
1. Keine universelle Standardkennwörter	1-1. Wo Passwörter verwendet werden und in welchem Staat Alle Passwörter außer der Werkseinstellung müssen Pro Gerät eindeutig oder vom Benutzer definiert.	✓	[ETSI EN 303 645]5.1-1 MC (1) [Großbritannien: PSTI Act]ANHANG 1: 1-(2) [US: NISTIR 8425]Schnittstellenzugriffskontrolle 1-b [Singapur: CLS][*]5.1-1 [IEC 62443-4-2]CR15, CR1.7	[MIC: Verordnung über Terminaleinrichtungen, usw.]Artikel 34-10 (2) [CCDS-Zertifizierung]1-1 Zugangskontrolle und Authentifizierung [Obligatorisch] 2), 1-1-2 Änderung der Anmeldeinformationen [Pflichtfeld] 2) [BMSec]IA-2 b)-2), e)-2) 22) [JISEC-C0755]FMT IPWD EXT
1. Keine universelle Standardkennwörter	1-2. Wenn vorinstallierte, einzigartige Passwörter verwendet werden, Diese müssen ausreichend randomisiert sein gegen automatisierte Angriffe.	✓	[ETSI EN 303 645]5.1-2 MC (2) [Großbritannien: PSTI Act]ANHANG 1: 1-(3) [Singapur: CLS][＊]5.1-2 [IEC 62443-4-2]CR1.7	[MIC: Verordnung über Terminaleinrichtungen, usw.]Artikel 34-10 (2) [CCDS-Zertifizierung]1-1 Zugangskontrolle und Authentifizierung [Obligatorisch] 2) [JISEC-C0755]FMT_IPWD_EXT
1. Keine universelle Standardkennwörter	1-3. Zur Authentifizierung verwendete Authentifizierungsmechanismen Benutzer gegen das Produkt müssen Technologien verwenden, die die angenommenen Risiken angemessen zu reduzieren, Eigenschaften des Produktes, Verwendung etc.	✓	[ETSI EN 303 645]5.1-3 M [Großbritannien: PSTI Act]ANHANG 1: 1-(3) [US: NISTIR 8425]Schnittstellenzugriffskontrolle2-b [EU: CRA]ANHANG I 1.(3)(b) [Singapur: CLS][＊]5.1-3 [IEC 62443-4-2]CR15	[MIC: Verordnung über Terminaleinrichtungen, usw.]Artikel 34-10 (1) [CCDS-Zertifizierung]1-1 Zugangskontrolle und Authentifizierung [Obligatorisch] 4), 1-2 Datenschutz[Pflichtfeld] 3) [RBSS]Zertifizierungsstandard für Überwachungskameras 5.2.12 (2), Zertifizierungsstandard für digitale Recorder（Sicherheitsanwendungen） 5.2.12 (2) [JISEC-C0755]FIA_UAU, FMT_SMR
1. Keine universelle Standardkennwörter	1-4. Zur Benutzerauthentifizierung gegenüber dem Produkt muss der Produkte müssen dem Benutzer oder einem Administrator ein einfacher Mechanismus zum Ändern der Authentifizierung Wert verwendet.	✓	[ETSI EN 303 645]5.1-4 MC (8) [Singapur: CLS][＊]5.1-4 [IEC 62443-4-2]CR15	[CCDS-Zertifizierung]1-1-2 Änderung der Anmeldeinformationen [Obligatorisch] 1) [BMSec]IA-2 [RBSS]Zertifizierungsstandard für Digitalrecorder （Sicherheitsanwendungen） 52.12 (2) [JISEC-C0755]FMT IPWD EXT
1. Keine universelle Standardkennwörter	1-5. Wenn das Gerät kein eingeschränktes Gerät ist, muss über einen Mechanismus verfügen, der Brute-Force-Angriffe auf Authentifizierungsmechanismen über eine Netzwerk nicht praktikabel.	✓	[ETSI EN 303 645]5.1-5 MC (5) [EU: CRA]ANHANG I 1.(3)(b) [Singapur: CLS][＊]5.1-5 [IEC 62443-4-2]CR1.11	[MIC: Verordnung über Terminaleinrichtungen, usw.]Artikel 34-10 (1) [CCDS-Zertifizierung]1-1 Zugangskontrolle und Authentifizierung [Obligatorisch] 3) [BMSec]IA-3 [JISEC-C0755]FIA AFL
2. Verwaltung Schwachstellenberichte	2-1. Der Hersteller muss eine Schwachstellenanalyse durchführen Offenlegungspolitik öffentlich zugänglich. Diese Politik soll umfassen mindestens: • Kontaktinformationen für die Meldung von Problemen; und • Informationen zu Zeitplänen für: 1) erste Empfangsbestätigung; und 2) Statusaktualisierungen bis zur Lösung des gemeldeten Probleme.	✓	[ETSI EN 303 645]5.2-1 M [Großbritannien: PSTI Act]ANHANG 1: 2-(2), 2-(3) [US: NISTIR 8425]Informations- und Abfrageempfang1, 1-a, 1-b, Produktschulung und -bewusstsein [EU: CRA]ANHANG I 2.(5), ANHANG I 2(6), ANHANG II 1, ANHANG II 2 [Singapur: CLS][＊]52-1 [IEC 62443-4-1]DM-1	[CCDS-Zertifizierung]2-1 Kontaktpunkt und Sicherheit Unterstützungssystem [Pflichtfeld] 1) [BMSec] FR-1
2. Verwaltung Schwachstellenberichte	2-2. Der Hersteller ist für die offengelegten Schwachstellen rechtzeitig zu beheben.		[ETSI EN 303 645]5.2-2, R [US: NISTIR 8425]Dokumentation 1-g [EU: CRA]ANHANG I 2.(7), Artikel 10 12 [IEC 62443-4-1]DM-2, DM-3, DM-4	[BMSec] FR-2
2. Verwaltung Schwachstellenberichte	2-3. Der Hersteller muss kontinuierlich überwachen, Identifizierung und Behebung von Sicherheitslücken innerhalb Produkte und Dienstleistungen, die sie verkaufen, produzieren, produziert haben und Dienstleistungen, die sie während der definierten Support- Zeitraum.		[ETSI EN 303 645]5.2-3 R [EU: CRA]ANHANG I 1.(3)(k) [IEC 62443-4-1]DM-2
2. Verwaltung Schwachstellenberichte	2-4. Der Hersteller muss der benannten Organisation innerhalb eines bestimmten Zeitraums die Tatsache dass eine Schwachstelle im Produkt ausgenutzt wurde, sofern der bezeichneten Organisation bekannt.		[EU: CRA]Artikel 11 1, Artikel 11 2 , Artikel 11 4, Artikel 11 7 [IEC 62443-4-1]SG-3
2. Verwaltung Schwachstellenberichte	2-5. Der Hersteller muss seine Prozesse zur Verwaltung von Sicherheitsproblemen.		[IEC 62443-4-1]DM-6
3. Behalten Sie die Software Aktualisiert	3-1. Bestimmte Softwarekomponenten in Produkte müssen aktualisierbar sein.	✓	[ETSI EN 303 645]5.3-1 R [US: NISTIR 8425]Software-Update 1 [EU: CRA]ANHANG I 2.(8) [Singapur: CLS][＊＊＊]CK-LP-03 [IEC 62443-4-1]SM-6, SUM-1 [IEC 62443-4-2]CR43, CR3.10 EDR3.10, HDR3.10 NDR 3.10	[CCDS Zertifizierung]1-3 Software-Update [Pflichtfeld] 1) [Empfohlen] 1) [BMSec]PT-1 [JISEC-C0755]FMT_SMF
3. Behalten Sie die Software Aktualisiert	3-2. Wenn das Gerät kein eingeschränktes Gerät ist, muss über einen Update-Mechanismus für die sichere Installation von Aktualisierungen.	✓	[ETSI EN 303 645]5.3-2 MC (5) [US: NISTIR 8425]Software-Update 1 [Singapur: CLS][＊]53-2	[MIC: Verordnung über Terminaleinrichtungen, usw.]Artikel 34-10 (3) [CCDS Zertifizierung]1-3 Software-Update [Pflichtfeld] 1) [Empfohlen] 1) [BMSec]PT-1 b)-3) [JISEC-C0755]FMT SMF
3. Behalten Sie die Software Aktualisiert	3-3. Wenn das Produkt ein Update durchführt Der Update-Mechanismus muss für den Benutzer einfach zu anwenden.	✓	[ETSI EN 303 645]5.3-3 MC (12) [EU: CRA]ANHANG I 2.(8) [Singapur: CLS][＊]53-3 [IEC 62443-4-1]SUMME-4	[MIC: Verordnung über Terminaleinrichtungen, usw.]Artikel 34-10 (3) [BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT SMF
3. Behalten Sie die Software Aktualisiert	3-4. Automatische Mechanismen werden eingesetzt für Software-Updates.		[ETSI EN 303 645]5.3-4 RC (12) [US: NISTIR 8425]Software-Update 2 [EU: CRA]ANHANG I 1.(3)(k)	[BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT_SMF
3. Behalten Sie die Software Aktualisiert	5-3. Das Produkt muss nach der Initialisierung prüfen, dann in regelmäßigen Abständen, ob Sicherheitsupdates verfügbar.		[ETSI EN 303 645]5.3-5 RC (12) [US: NISTIR 8425]Informationsverbreitung 1a [EU: CRA]ANHANG I 1.(3)(k)	[BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT_SMF
3. Behalten Sie die Software Aktualisiert	3-6. Wenn das Produkt automatische Updates unterstützt und/oder Update-Benachrichtigungen, diese müssen aktiviert sein in der initialisierte Zustand und konfigurierbar, so dass der Benutzer können Sie die Installation von Sicherheitsupdates und/oder Update-Benachrichtigungen.		[ETSI EN 303 645]5.3-6 RC (9, 12)	[CCDS Zertifizierung]1-3 Software-Update [Empfohlen] 4) [BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT_SMF
3. Behalten Sie die Software Aktualisiert	3-7. Wenn das Produkt ein Update durchführt Mechanismus, das Produkt muss die beste Praxis nutzen Kryptografie zur Ermöglichung sicherer Aktualisierungsmechanismen.	✓	[ETSI EN 303 645]5.3-7 MC (12) [US: NISTIR 8425]Software-Update 1 [Singapur: CLS][＊]53-7 [IEC 62443-4-2]CR43	[CCDS Zertifizierung]1-3 Software-Update [Empfohlen] 2) [JISEC-C0755]FMT_SMF
3. Behalten Sie die Software Aktualisiert	3-8. Wenn das Produkt ein Update durchführt Sicherheitsupdates müssen zeitnah erfolgen.	✓	[ETSI EN 303 645]5.3-8 MC (12) [EU: CRA]ANHANG I 2.(2), ANHANG I 2(7), ANHANG I 2.(8) [Singapur: CLS][＊]53-8 [IEC 62443-4-1]SUMME-5	[CCDS-Zertifizierung]2-1 Kontaktpunkt und Sicherheit Unterstützungssystem [Pflichtfeld] 2) [BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT_SMF
3. Behalten Sie die Software Aktualisiert	3-9. Das Produkt muss die Echtheit überprüfen und Integrität von Software-Updates.		[ETSI EN 303 645]5.3-9 RC (12) [EU: CRA]ANHANG I 1.(3) (E) [IEC 62443-4-1]SM-6 [IEC 62443-4-2]CR43, CR3.2 SAR3.2, EDR32 HDR32 NDR3.2	[CCDS Zertifizierung]1-3 Software-Update [Empfohlen] 1) [BMSec]PT-1 [JISEC-C0755]FMT_SMF
3. Behalten Sie die Software Aktualisiert	3-10. Wo Updates über ein Netzwerk bereitgestellt werden Schnittstelle muss das Produkt die Echtheit prüfen und Integrität jedes Updates über eine Vertrauensbeziehung.	✓	[ETSI EN 303 645]5.3-10 M (11,12) [EU: CRA]ANHANG I 1.(3)(e) [Singapur: CLS][＊]53-10 [IEC 62443-4-1]SM-6 [IEC 62443-4-2]CR3.1, CR3.2 SAR3.2, EDR32 HDR32 NDR3.2	[CCDS Zertifizierung]1-3 Software-Update [Empfohlen] 1) [JISEC-C0755]FMT_SMF
3. Behalten Sie die Software Aktualisiert	3-11. Der Hersteller veröffentlicht in zugänglicher auf eine für den Benutzer klare und transparente Weise, die definiert Supportzeitraum.		[ETSI EN 303 645]5.3-14 RC (3,4) [USA: NISTIR 8425]Informationsverbreitung 1
3. Behalten Sie die Software Aktualisiert	3-12. Für eingeschränkte Geräte, die nicht ihre Software aktualisiert, das Gerät muss isolierbar sein.		[ETSI EN 303 645]5.3-15 RC (3,4) [IEC 62443-4-2]CR26, CR5.1
3. Behalten Sie die Software Aktualisiert	3-13. Für eingeschränkte Geräte, die nicht ihre Software aktualisiert, das Gerät wird die Hardware austauschbar.		[ETSI EN 303 645]5.3-15 RC (3,4)
3. Behalten Sie die Software Aktualisiert	3-14. Die Modellbezeichnung der Produkte muss klar erkennbar, entweder durch Kennzeichnung auf dem Produkt oder über eine physikalische Schnittstelle.	✓	[ETSI EN 303 645]5.3-16 M [USA: NISTIR 8425]Informationsverbreitung 2 [EU: CRA]ANHANG II 3 [Singapur: CLS][＊]53-16
3. Behalten Sie die Software Aktualisiert	3-15. Maschinenlesbare Software-Stückliste (SBOM) mit Software-Identifikationsinformationen, Bauteilinformationen etc. müssen aufbereitet werden.		[EU: CRA]ANHANG I 2.(1) [Singapur: CLS][＊＊＊]CK-LP-06	[BMSec] CM-1
4. Sicher aufbewahren sensible Parameter	4-1. Sensible Sicherheitsparameter im Produkt Die Lagerung muss durch das Produkt sicher erfolgen.	✓	[ETSI EN 303 645]5.4-1 M [US: NISTIR 8425]Datenschutz 1, Schnittstelle Zugangskontrolle 2-a [Singapur: CLS][＊＊]5.4-1 [IEC 62443-4-2]CR15, CR1.9, CR1.14, CR38, CR4.1, CR3.12 EDR3.12 HDR3.12 NDR3.12, CR3.13 EDR3.13 HDR3.13 NDR3.13	[CCDS-Zertifizierung]1-2 Datenschutz[Obligatorisch] 1) 3) [JISEC-C0755]FMT_MTD
4. Sicher aufbewahren sensible Parameter	4-2. Wenn eine fest codierte, eindeutige Geräteidentität Wird es in einem Produkt zu Sicherheitszwecken verwendet, muss es so implementiert, dass es Manipulationen widersteht durch Mittel wie beispielsweise physische, elektrische oder Software.		[ETSI EN 303 645]5.4-2 MC (10) [Singapur: CLS][＊＊]5.4-2 [IEC 62443-4-2]CR15, CR3.11 EDR3.11 HDR3.11 NDR3.11
4. Sicher aufbewahren sensible Parameter	4-3. Fest codierte kritische Sicherheitsparameter in Der Quellcode der Produktsoftware darf nicht verwendet werden.		[ETSI EN 303 645]5.4-3 M [Singapur: CLS][＊＊]5.4-3
4. Sicher aufbewahren sensible Parameter	4-4. Alle kritischen Sicherheitsparameter, die für die Integrität verwendet werden und Echtheitsprüfungen von Software-Updates und für Schutz der Kommunikation mit angeschlossenen Diensten in der Produktsoftware muss pro Gerät eindeutig sein und muss mit einem Mechanismus hergestellt werden, der die Risiko automatisierter Angriffe auf Geräteklassen.		[ETSI EN 303 645]5.4-4 M [Singapur: CLS][＊＊]5.4-4 [IEC 62443-4-1]SM-8 [IEC 62443-4-2]CR38	[CCDS Zertifizierung]1-3 Software-Update [Empfohlen] 1) 2)
5. Kommunizieren sicher	5-1. Das Produkt muss die bewährte Kryptographie verwenden um sicher zu kommunizieren.	✓	[ETSI EN 303 645]5.5-1 M [US: NISTIR 8425]Datenschutz 3 [EU: CRA]ANHANG I 1.(3)(c) [Singapur: CLS][＊＊]55-1 [IEC 62443-4-2]CR3.1, CR4.3	[CCDS-Zertifizierung]1-2 Datenschutz[Obligatorisch] 2), 1-4-1 Wi-Fi-Authentifizierungsmethode [Obligatorisch] 1), 1-4-2 Gegenmaßnahmen gegen Bluetooth-Sicherheitslücken [Obligatorisch] 1) [BMSec]TP-1
5. Kommunizieren sicher	5-2. Das Produkt muss überprüft oder bewertet werden Implementierungen zur Bereitstellung von Netzwerk und Sicherheit Funktionalitäten, insbesondere im Bereich der Kryptographie.		[ETSI EN 303 645]5.5-2 R [US: NISTIR 8425]Datenschutz 1 [EU: CRA]ANHANG I 2.(3) [Singapur: CLS][＊＊＊]CK-LP-02 [IEC 62443-4-1]SD-3 [IEC 62443-4-2]CR18, CR1.9, CR1.14, CR3.12 EDR3.12 HDR3.12 NDR3.12, CR3.13 EDR3.13 HDR3.13 NDR3.13	[CCDS-Zertifizierung]1-2 Datenschutz [Empfohlen] 1) 2)
5. Kommunizieren sicher	5-3. Kryptographische Algorithmen und Primitive müssen aktualisierbar.		[ETSI EN 303 645]5.5-3 R	[JISEC-C0755]FMT_SMF
5. Kommunizieren sicher	5-4. Zugriff auf Produktfunktionen über ein Netzwerk Schnittstelle im initialisierten Zustand ist nur möglich nach der Authentifizierung an dieser Schnittstelle.		[ETSI EN 303 645]5.5-4 R [US: NISTIR 8425]Schnittstellenzugriffskontrolle 1-c, 2-b, 2-c [EU: CRA]ANHANG I 1.(3)(b) [IEC 62443-4-2]CR1.1, CR1.6 NDR1.6, CR1.12, CR2.1 CR1.13 NDR1.13 CR2.2 CR2.12	[RBSS]Zertifizierungsstandard für Digitalrecorder （Sicherheitsanwendungen） 52.12 (2)
5. Kommunizieren sicher	5-5. Produktfunktionalität, die sicherheitsrelevante Konfigurationsänderungen über eine Netzwerkschnittstelle dürfen nur nach Authentifizierung zugänglich sein. Die Ausnahme ist für Netzwerkdienstprotokolle, auf die man sich verlässt durch das Produkt und wenn der Hersteller nicht garantieren, welche Konfiguration für die Produkt zu bedienen.	✓	[ETSI EN 303 645]5,5-5 M [EU: CRA]ANHANG I 1.(3)(b) [Singapur: CLS][＊＊] 55-5 [IEC 62443-4-2]CR16 NDR1.6, CR2.12, CR6.1	[CCDS-Zertifizierung]1-1 Zugangskontrolle und Authentifizierung [Obligatorisch] 4), 1-1-1 Deaktivieren von TCP/UDP-Ports [Empfohlen] 2), 1-3 Software Update [Empfohlen] 3) [BMSec]IA-1, MT-1 [RBSS]Zertifizierungsstandard für Überwachungskameras 5.2.12 (2)-4, Zertifizierungsstandard für digitale Recorder（Sicherheitsanwendungen） 5.2.12 (2)-4 [JISEC-C0755]FAU_UID
5. Kommunizieren sicher	5-6. Kritische Sicherheitsparameter müssen verschlüsselt werden in mit einer Verschlüsselung, die für die Eigenschaften der Technologie, Risiken und Nutzung.		[ETSI EN 303 645]5.5-6 R [EU: CRA]ANHANG I 1.(3)(c) [IEC 62443-4-1]SM-8 [IEC 62443-4-2]CR15 CR3.1 CR4.3	[RBSS]Zertifizierungsstandard für Überwachungskameras 5.2.12 (2), Zertifizierungsstandard für digitale Recorder（Sicherheitsanwendungen） 5.2.12 (2)
5. Kommunizieren sicher	5-7. Das Produkt soll die Vertraulichkeit schützen von kritische Sicherheitsparameter, die kommuniziert werden über remote zugängliche Netzwerkschnittstellen.	✓	[ETSI EN 303 645]5.5-7 M [EU: CRA]ANHANG I 1.(3)(c) [Singapur: CLS][＊＊]55-7 [IEC 62443-4-2]CR3.1, CR4.3	[CCDS-Zertifizierung]1-2 Datenschutz[Obligatorisch] 2), 1-4-1 Wi-Fi-Authentifizierungsmethode [Obligatorisch]
5. Kommunizieren sicher	5-8. Der Hersteller muss sichere Managementprozesse für kritische Sicherheit Parameter, die sich auf das Produkt beziehen.		[ETSI EN 303 645]5,5-8 M [Singapur: CLS][＊＊]55-8, [＊＊＊]CK-LP-09 [IEC 62443-4-2]CR13 CR1.4
5. Kommunizieren sicher	5-9. Das an der Zonengrenze installierte Produkt muss Implementierung von Funktionen zur Überwachung und Steuerung Kommunikation.		[IEC 62443-4-2]CR52 NDR52
5. Kommunizieren sicher	5-10. Eine Funktion zur Manipulationserkennung muss implementiert in der gesamten Kommunikation zwischen Produkte. Wenn eine Manipulation festgestellt wird, werden Maßnahmen wie Es erfolgt eine Benachrichtigung des Benutzers.		[EU: CRA]ANHANG I 1.(3)(d)	[JISEC-C0755]FPT_ITI
6. Minimieren Sie die Exposition Angriffsflächen	6-1. Alle ungenutzten physischen Netzwerkschnittstellen und logischen Schnittstellen müssen deaktiviert werden.	✓	[ETSI EN 303 645]5.6-1 M [US: NISTIR 8425]Schnittstellenzugriffskontrolle 1-a [EU: CRA]ANHANG I 1.(3)(h) [Singapur: CLS][＊＊]56-1 [IEC 62443-4-2]CR7.7	[CCDS-Zertifizierung]1-1-1 Deaktivieren von TCP/UDP Häfen [Pflichtfeld] 1) [BMSec]NI-1, VA-1, VA-2, VA-3
6. Minimieren Sie die Exposition Angriffsflächen	6-2. Im initialisierten Zustand sind die Netzwerkschnittstellen von Das Produkt soll die nicht authentifizierten Offenlegung sicherheitsrelevanter Informationen.		[ETSI EN 303 645]5.6-2 M [US: NISTIR 8425]Schnittstellenzugriffskontrolle 2-a [Singapur: CLS][＊＊]56-2 [IEC 62443-4-2]CR1.10	[CCDS-Zertifizierung]1-1-1 Deaktivieren von TCP/UDP Ports [Obligatorisch] 2), 1-4-2 Bluetooth-Sicherheitslücke Gegenmaßnahmen [Obligatorisch] 2)
6. Minimieren Sie die Exposition Angriffsflächen	6-3. Die Gerätehardware darf nicht unnötig physikalische Schnittstellen für Angriffe.		[ETSI EN 303 645]5.6-3 R [US: NISTIR 8425]Schnittstellenzugriffskontrolle 1-a [EU: CRA]ANHANG I 1.(3)(h) [IEC 62443-4-2]CR2.13 EDR2.13, HDR2.13 NDR2.13, CR7.7, CR5.3 NDR5.3	[CCDS-Zertifizierung]1-4-3 USB-Zugriffskontrolle [Pflichtfeld] 1) [Empfohlen] 1) 2) [BMSec]VA-2 [RBSS]Zertifizierungsstandard für Überwachungskameras 5.2.12 (2)-4, Zertifizierungsstandard für digitale Recorder（Sicherheitsanwendungen） 5.2.12 (2)-4
6. Minimieren Sie die Exposition Angriffsflächen	6-4. Wenn eine Debug-Schnittstelle physisch zugänglich ist, es muss in der Software deaktiviert werden.		[ETSI EN 303 645]5.6-4 MC (13) [EU: CRA]ANHANG I 1.(3)(h) [Singapur: CLS][＊＊]56-4 [IEC 62443-4-2]CR2.13 EDR2.13, HDR2.13 NDR2.13, CR7.7	[CCDS-Zertifizierung]1-4-3 USB-Zugriffskontrolle [Obligatorisch] 1) [BMSec]VA-3 [RBSS]Zertifizierungsstandard für Überwachungskameras 5.2.12 (2)-4, Zertifizierungsstandard für digitale Recorder（Sicherheitsanwendungen） 5.2.12 (2)-4
6. Minimieren Sie die Exposition Angriffsflächen	6-5. Der Hersteller darf Software nur aktivieren, Dienstleistungen, die für den beabsichtigten Zweck verwendet oder benötigt werden Verwendung oder Betrieb des Produkts.		[ETSI EN 303 645]5.6-5 R [Singapur: CLS][＊＊＊]CK-LP-05 [IEC 62443-4-2]CR7.7
6. Minimieren Sie die Exposition Angriffsflächen	6-6. Der Code soll auf die Funktionalität minimiert werden erforderlich, damit der Dienst/das Produkt funktioniert.		[ETSI EN 303 645]5.6-6 R [Singapur: CLS][＊＊＊]CK-LP-02, [＊＊＊]CK-LP-05 [IEC 62443-4-1]SI-1, SI-2
6. Minimieren Sie die Exposition Angriffsflächen	6-7. Die Software muss mit der geringstmöglichen Privilegien, unter Berücksichtigung der Sicherheit und Funktionalität.		[ETSI EN 303 645]5.6-7 R [IEC 62443-4-2]CR2.4 SAR2.4, EDR2.4 HDR2.4, NDR2.4 Kontakt CR7.7	[RBSS]Zertifizierungsstandard für Digitalrecorder （Sicherheitsanwendungen） 52.12 (2)
6. Minimieren Sie die Exposition Angriffsflächen	6-8. Das Produkt muss eine Hardware-Ebene enthalten Zugriffskontrollmechanismus für den Speicher.		[ETSI EN 303 645]5.6-8 R
6. Minimieren Sie die Exposition Angriffsflächen	6-9. Der Hersteller muss sichere Entwicklungsprozesse für Software, die auf dem Produkt.		[ETSI EN 303 645]5.6-9 R [EU: CRA]Artikel 10 9 [IEC 62443-4-1]SM-7	[CCDS-Zertifizierung]1-4-2 Bluetooth-Sicherheitslücke Gegenmaßnahmen [Obligatorisch] 3) [BMSec]CM-1
6. Minimieren Sie die Exposition Angriffsflächen	6-10. Nur Komponenten von Drittanbietern, die gesichert durch Penetrationstests und/oder Code Überprüfung durchgeführt werden.		[EU: CRA]Artikel 10 4, ANHANG I 1.(1), Artikel 10 2 [Singapur: CLS][＊＊＊]CK-LP-03 [IEC 62443-4-1]SM-9 SM-10
7. Software sicherstellen Integrität	7-1. Das Produkt muss seine Software mit sicheren Boot-Mechanismen.		[ETSI EN 303 645]5.7-1 R [EU: CRA]ANHANG I 1.(3)(e) [IEC 62443-4-1]SM-6 [IEC 62443-4-2]CR12, CR3.4, CR3.14 EDR3.14, HDR3.14 NDR3.14	[CCDS Zertifizierung]1-3 Software-Update [Empfohlen] 1)
7. Software sicherstellen Integrität	7-2. Wenn eine nicht autorisierte Änderung an der Software muss das Produkt den Benutzer und/oder Administrator auf das Problem aufmerksam und darf keine Verbindung herstellen zu größere Netzwerke als nötig, um die Alarmierungsfunktion.		[ETSI EN 303 645]5.7-2 R [USA: Bewusstsein des Staates für Cybersicherheit 1 [EU: CRA]ANHANG I 1.(3)(g) [IEC 62443-4-1]SM-6 [IEC 62443-4-2]CR3.7 CR6.2
8. Stellen Sie sicher, dass personenbezogene Daten sind sicher	8-1. Die Vertraulichkeit der übermittelten personenbezogenen Daten zwischen einem Gerät und einem Dienst, insbesondere im Zusammenhang Dienstleistungen, müssen geschützt werden, mit bewährten Verfahren Kryptographie.		[ETSI EN 303 645]5.8-1 R [EU: CRA]ANHANG I 1.(3)(c) [IEC 62443-4-2]CR43	[CCDS-Zertifizierung]1-2 Datenschutz[Obligatorisch] 2) [RBSS]Zertifizierungsstandard für Überwachungskameras 5.2.12 (2)
8. Stellen Sie sicher, dass personenbezogene Daten sind sicher	8-2. Die Vertraulichkeit sensibler personenbezogener Daten zwischen dem Gerät und den zugehörigen Dienste sollen durch Kryptographie geschützt werden den Eigenschaften der Technologie angemessen und Verwendung.		[ETSI EN 303 645]5.8-2 M [EU: CRA]ANHANG I 1.(3)(c) [Singapur: CLS][＊＊]58-2 [IEC 62443-4-2]CR43	[CCDS-Zertifizierung]1-2 Datenschutz[Obligatorisch] 2)
8. Stellen Sie sicher, dass personenbezogene Daten sind sicher	8-3. Alle externen Sensorfunktionen des Produkts muss auf eine zugängliche Art und Weise dokumentiert werden, die klar ist und transparent für den Benutzer.		[ETSI EN 303 645]5.8-3 M [Singapur: CLS][＊＊]58-3
9. Widerstandsfähigkeit gegenüber Ausfälle	9-1. Die Produkte müssen widerstandsfähig sein und Dienstleistungen unter Berücksichtigung der Möglichkeit von Ausfällen von Datennetzen und Strom.	✓	[ETSI EN 303 645]5.9-1 R [EU: CRA]ANHANG I 1.(3)(f) [IEC 62443-4-2]CR7.1, CR7.3	[MIC: Verordnung über Terminaleinrichtungen, usw.]Artikel 34-10 (4) [CCDS-Zertifizierung]1-1 Zugangskontrolle und Authentifizierung [Obligatorisch]⑤
9. Widerstandsfähigkeit gegenüber Ausfälle	9-2. Das Produkt muss betriebsbereit und lokal funktionsfähig bei Verlust des Netzwerkzugangs und wird im Falle der Wiederherstellung einer Leistungsverlust.		[ETSI EN 303 645]5.9-2 R [EU: CRA]ANHANG I 1.(3)(f) [IEC 62443-4-2]CR7.1, CR7.4, CR7.5
9. Widerstandsfähigkeit gegenüber Ausfälle	9-3. Das Produkt muss sich mit Netzwerken verbinden, die erwarteten, betriebsfähigen und stabilen Zustand und geordnete Weise, unter Berücksichtigung der Fähigkeit der Infrastruktur berücksichtigt.		[ETSI EN 303 645]5.9-3 R [EU: CRA]ANHANG I 1.(3)(f) [IEC 62443-4-2]CR2.7, CR7.1, CR7.2
9. Widerstandsfähigkeit gegenüber Ausfälle	9-4. Missbrauchsschutzmechanismen wie Zugangskontrolle und/oder Authentifizierung werden verwendet, um die Auswirkungen von Vorfällen.		[EU: CRA]ANHANG I 1.(3)(i), Artikel 10 2, ANHANG I 1.(1) [IEC 62443-4-2]CR2.9 CR2.10 CR3.6
10. Untersuchen und Schutzsystem Telemetriedaten	10-1. Wenn Telemetriedaten von Geräten gesammelt werden und Dienste wie Nutzungs- und Messdaten, es auf Sicherheitsanomalien untersucht werden.		[ETSI EN 303 645]5.10-1 RC (6) [USA: Bewusstsein des Staates für Cybersicherheit 1 [EU: CRA]ANHANG I 1.(3)(j) [IEC 62443-4-2]CR28, CR2.11	[CCDS-Zertifizierung]3-1 Audit-Protokollaufzeichnung [Empfohlen] 1) 2) 3), 3-1-1 Zeitmanagement Funktion [Empfohlen] 1) [RBSS]Zertifizierungsstandard für Überwachungskameras 5.2.12 (2), Zertifizierungsstandard für digitale Recorder（Sicherheitsanwendungen） 5.2.12 (2) [JISEC-C0755]FMT MTD FAU GEN
10. Untersuchen und Schutzsystem Telemetriedaten	10-2. Telemetriedaten werden geschützt durch Mechanismen wie Datenverschlüsselung und Zugriff Kontrolle.		[IEC 62443-4-2]CR3.9	[JISEC-C0755]FAU_STG
11. Benutzerdaten löschen	11-1. Dem Benutzer wird die Funktionalität zur Verfügung gestellt, so dass Benutzerdaten vom Produkt gelöscht werden können auf einfache Weise.	✓	[ETSI EN 303 645]5.11-1 M [US: NISTIR 8425]Datenschutz 2 [Singapur: CLS][＊＊]5.11-1 [IEC 62443-4-2]CR42	[CCDS Zertifizierung]1-2-1 Datenlöschfunktion [Obligatorisch] 1) [BMsec]MT-2 [JISEC-C0755]FMT MTD
11. Benutzerdaten löschen	11-2. Dem Verbraucher wird Folgendes zur Verfügung gestellt: Funktionalität des Produkts so, dass personenbezogene Daten kann mit einem einfachen Benehmen.		[ETSI EN 303 645]5.11-2 R [US: NISTIR 8425]Datenschutz 2 [IEC 62443-4-2]CR42	[BMSec]MT-2, DP-1 [JISEC-C0755]FMT_MTD
11. Benutzerdaten löschen	11-3. Die Benutzer erhalten klare Anweisungen, wie sie ihre personenbezogenen Daten zu löschen.		[ETSI EN 303 645]5.11-3 R [US: NISTIR 8425]Datenschutz 2, Produkt Bildung & Bewusstsein 1-a [IEC 62443-4-1]SG-4	[CCDS-Zertifizierung]2-3 Bereitstellung von Informationen an Benutzer [Pflichtfeld] 5) [BMSec]MT-2, DP-1
11. Benutzerdaten löschen	11-4. Den Benutzern wird eine klare Bestätigung gegeben, dass personenbezogene Daten aus Diensten gelöscht wurden, Geräte und Anwendungen.		[ETSI EN 303 645]5.11-4 R [IEC 62443-4-1]SG-4
12. Installation durchführen und Wartung von Geräte einfach	12-1. Installation und Wartung des Produkts erfordert minimale Entscheidungen des Benutzers und Befolgen Sie die bewährten Sicherheitspraktiken hinsichtlich der Benutzerfreundlichkeit.		[ETSI EN 303 645]5.12-1 R	[CCDS-Zertifizierung]1-1-1 Deaktivieren von TCP/UDP Ports [Empfohlen] 1) [JISEC-C0755]FMT_MOF
12. Installation durchführen und Wartung von Geräte einfach	12-2. Der Hersteller muss den Benutzern Anleitungen zur sicheren Einrichtung ihres Produkts.		[ETSI EN 303 645]5.12-3 R [US: NISTIR 8425]Produktschulung und -bewusstsein 1-a [EU: CRA]ANHANG I 1.(2) ANHANG I 1.(3)(a)	[BMSec]PR-1
12. Installation durchführen und Wartung von Geräte einfach	12-3. Der Hersteller muss den Benutzern Anleitung, wie Sie überprüfen können, ob ihr Produkt sicher aufgestellt.		[USA: NISTIR 8425]Produktkonfiguration 1 [IEC 62443-4-2]CR15
12. Installation durchführen und Wartung von Geräte einfach	12-4. Die Fähigkeit, das Produkt wieder in seinen Sichere Standardkonfigurationseinstellungen durch den Benutzer und Administrators durchgeführt werden.		[USA: NISTIR 8425]Produktkonfiguration 2 [EU: CRA]ANHANG I 1.(3)(a)	[BMsec]MT-2
12. Installation durchführen und Wartung von Geräte einfach	12-5. Die Möglichkeit, Konfigurationseinstellungen anzuwenden auf Komponenten wie Hardware, Software oder Firmware umgesetzt werden.		[USA: NISTIR 8425]Produktkonfiguration 3 [IEC 62443-4-2]CR15
13. Eingabe validieren Daten	13-1. Die Produktsoftware muss die Dateneingabe validieren über Benutzeroberflächen oder über Anwendungsprogramme Programmierschnittstellen (APIs) oder zwischen Netzwerken in Diensten und Geräten.		[ETSI EN 303 645]5.13-1 M [US: NISTIR 8425]Schnittstellenzugriffskontrolle 2-a [EU: CRA]ANHANG I 1.(3)(e) [Singapur: CLS][＊＊]5.13-1 [IEC 62443-4-1]SVV-1 [IEC 62443-4-2]CR35	[CCDS Zertifizierung]1-4-4 Injektion Gegenmaßnahmen [Obligatorisch] 1)
14. Schützen Sie persönliche Daten sicher	14-1. Der Hersteller muss den Verbrauchern klare und transparente Informationen darüber, was persönliche Daten verarbeitet wird, wie es verwendet wird, von wem und für welche Zwecke, für jedes Produkt und jede Dienstleistung. gilt auch für Dritte, die beteiligt sein können, einschließlich Werbetreibender.		[ETSI EN 303 645]6.1 M [US: NISTIR 8425]Produktschulung und -bewusstsein 1-a [Singapur: CLS][＊＊]6.1
14. Schützen Sie persönliche Daten sicher	14-2. Werden personenbezogene Daten auf Grundlage der Einwilligung des Verbrauchers, diese Einwilligung wird eingeholt in einem		[ETSI EN 303 645]6.2 MC (7) [Singapur: CLS][＊＊]62
14. Schützen Sie persönliche Daten sicher	14-3. Verbraucher, die ihre Zustimmung gegeben haben, Verarbeitung ihrer personenbezogenen Daten hat Möglichkeit, es jederzeit zurückzuziehen.		[ETSI EN 303 645]6,3 M [Singapur: CLS][＊＊]63
14. Schützen Sie persönliche Daten sicher	14-4. Wenn Telemetriedaten von Geräten gesammelt werden und Dienstleistungen, die Verarbeitung personenbezogener Daten wird auf das für die beabsichtigte Funktionalität.		[ETSI EN 303 645]6.4 RC (6) [EU: CRA]ANHANG I 1.(3)(e)
14. Schützen Sie persönliche Daten sicher	14-5. Wenn Telemetriedaten von Geräten gesammelt werden und Dienstleistungen müssen den Verbrauchern zur Verfügung gestellt werden Informationen darüber, welche Telemetriedaten erfasst werden, wie es wird von wem und zu welchen Zwecken verwendet.		[ETSI EN 303 645]6.5 MC (6) [US: NISTIR 8425]Produktschulung und -bewusstsein 1-a [Singapur: CLS][＊＊]65
15. Produkte herstellen identifizierbar	15-1. Das Produkt muss eindeutig identifizierbar sein durch Benutzer und Administratoren.		[USA: NISTIR 8425]Vermögensidentifizierung 1 [EU: CRA]ANHANG II 3 [IEC 62443-4-2]CR12	[CCDS-Zertifizierung]1-1 Zugangskontrolle und Authentifizierung [Obligatorisch] 1)
15. Produkte herstellen identifizierbar	15-2. Ein Mechanismus zur Bestandsverwaltung muss für das Produkt implementiert und die Fähigkeit, Verwalten verbundener Produktkomponenten.		[USA: NISTIR 8425]Vermögensidentifizierung 2 [IEC 62443-4-2]CR78
16. Identifizieren und testen Bedrohungen	16-1. Ein Produkt muss auf der Grundlage einer Bedrohung entwickelt werden Analyse der Produktfunktionalitäten.		[IEC 62443-4-1]SR-2, SI-1
16. Identifizieren und testen Bedrohungen	16-2. Mehrere Sicherheitsfunktionen müssen implementiert werden basierend auf den Ergebnissen der Bedrohungsanalyse.		[IEC 62443-4-1]SD-2
16. Identifizieren und testen Bedrohungen	16-3. Es wird ein Penetrationstest durchgeführt an Produkt.		[Singapur: CLS][＊＊＊]CK-LP-02, [＊＊＊]CK-LP-07 [IEC 62443-4-1]SVV-1, SVV-3, SM-11, SVV-4
17. Bereitstellung Informationen zu Produkte	17-1. Informationen über die Sicherheit des Produkts müssen in der angegebenen Sprache an den angegebenen juristische Person.		[EU: CRA]Artikel 10 7, Artikel 10 8, Artikel 10 13, Artikel 20 2, Artikel 23 ４ [Singapur: CLS][＊＊＊]CK-LP-04 [IEC 62443-4-1]DM-5	[BMSec]FR-2
17. Bereitstellung Informationen zu Produkte	17-2. Der Hersteller muss den Benutzern Anleitung zur sicheren Einrichtung, Verwendung und Entsorgung ihrer Produkte.	✓	[ETSI EN 303 645]5.12-2 R [US: NISTIR 8425]Dokumentation 1-a, 1-d, Produkt Bildung & Bewusstsein 1-a, Informationen Verbreitung 2 [EU: CRA]ANHANG II 4, ANHANG II 9 [IEC 62443-4-1]SUMME-2	[CCDS-Zertifizierung]2-3 Bereitstellung von Informationen an Benutzer [Pflichtfeld] 1) [BMSec]PT-1, TP-1
17. Bereitstellung Informationen zu Produkte	17-3. Der Hersteller informiert den Anwender in einer erkennbare und offensichtliche Weise, dass ein Wertpapier Update ist erforderlich zusammen mit Informationen über die Risiken werden durch dieses Update gemindert.	✓	[ETSI EN 303 645]5.3-11 RC (12) [US: NISTIR 8425]Informationsverbreitung 1c 1d 1e [EU: CRA]ANHANG I 2.(4), ANHANG I 2(8) [IEC 62443-4-1]SUMME-2	[CCDS-Zertifizierung]2-3 Bereitstellung von Informationen an Benutzer [Pflichtfeld] 2) [BMSec]FR-2
17. Bereitstellung Informationen zu Produkte	17-4. Das Produkt muss den Benutzer benachrichtigen, wenn die Die Anwendung eines Software-Updates stört die grundlegenden Funktion des Gerätes.		[ETSI EN 303 645]5.3-12 RC (12) [USA: NISTIR 8425]Informationsverbreitung 1 [EU: CRA]ANHANG I 2.(8) [IEC 62443-4-1]SUMME-2 SUMME-3	[JISEC-C0755]FMT_SMF
17. Bereitstellung Informationen zu Produkte	17-5. Der Hersteller muss dem Benutzer eine vorgeschriebene Vorgehensweise zur Entsorgung des Produkts.	✓	[US: NISTIR 8425]Produktschulung und -bewusstsein 1-c [IEC 62443-4-1]SG-4	[CCDS-Zertifizierung]2-3 Bereitstellung von Informationen an Benutzer [Pflichtfeld]⑤ [BMSec]DP-1
17. Bereitstellung Informationen zu Produkte	17-6. Der Hersteller muss Informationen bereitstellen über das Produkt, einschließlich Design, Herstellung und Die Auswertungsergebnisse werden dem Benutzer in einer festgelegten Art und Weise zur Verfügung gestellt.		[US: NISTIR 8425]Dokumentation 1-b [EU: CRA]Artikel 10 3, Artikel 10 11, Artikel 24 1, Artikel 24 2, Artikel 24 3, Artikel 24 4, ANHANG V 5 [IEC 62443-4-1]SG-1
17. Bereitstellung Informationen zu Produkte	17-7. Der Hersteller muss dem Benutzer Informationen zur Wartung des Produkts im in einer bestimmten Weise.		[US: NISTIR 8425]Produktschulung und -bewusstsein 1-b [IEC 62443-4-1]SG-5, SG-3, SG-6	[JISEC-C0755]FAU_SAR
17. Bereitstellung Informationen zu Produkte	17-8. Der Hersteller veröffentlicht in zugänglicher auf eine für den Benutzer klare und transparente Weise, die definierten Supportzeitraum.	✓	[ETSI EN 303 645]5.3-13 M [UK: PSTI Act]ANHANG 1: 3-(2), 3-(3), 3-(4) [US: NISTIR 8425]Produktschulung und -bewusstsein 1-d, 1-e, Informationsverbreitung 1b [EU: CRA]ANHANG II 6, ANHANG II 7, ANHANG II 8 [Singapur: CLS][＊]53-13 [IEC 62443-4-1]SG-3	[CCDS-Zertifizierung]2-3 Bereitstellung von Informationen an Benutzer [Pflichtfeld] 4) [JISEC-C0755]FPT_SMT
17. Bereitstellung Informationen zu Produkte	17-9. Der Hersteller muss Informationen bereitstellen an den Benutzer in einer festgelegten Weise vor einem Ereignis was zur Einstellung des Betriebs führt.		[EU: CRA]Artikel 10 14
17. Bereitstellung Informationen zu Produkte	17-10. Der Hersteller muss dem Benutzer in einer bestimmten Weise Informationen über das Produkt Verwendung, die ein Sicherheitsrisiko darstellen kann.	✓	[US: NISTIR 8425]Dokumentation 1-d [EU: CRA]ANHANG II 5 [IEC 62443-4-1]SG-3 SR-1	[CCDS-Zertifizierung]2-3 Bereitstellung von Informationen an Benutzer [Pflichtfeld] 1) 3) [BMSec]PR-1
17. Bereitstellung Informationen zu Produkte	17-11. Der Hersteller muss Leitlinien bereitstellen für dem Benutzer, wie er Sicherheitsfunktionen testen kann in einer festgelegten Art und Weise im Produkt implementiert.		[IEC 62443-4-2]CR33
18. Dokumentation	18-1. Der Hersteller muss Daten über die Mittel, die zur Erfüllung der Sicherheitsanforderungen verwendet werden.		[EU: CRA]Artikel 20 1, Artikel 23 1 [Singapur: CLS][＊＊＊]CK-LP-01 [IEC 62443-4-1]SM-1, SM-12, SR-3, SR-4, SG-2 [IEC 62443-4-2]CR32 SAR32 EDR3.2 HDR3.2 NDR32	[CCDS-Zertifizierung]2-2 Produktdokument Management [Pflichtfeld] 1)
18. Dokumentation	18-2. Der Hersteller muss die erstellte Dokumentation innerhalb einer bestimmten Frist von Zeit.		[EU: CRA]Artikel 23 ２ [IEC 62443-4-1]SM-13, SR-5, SG-7	[CCDS-Zertifizierung]2-2 Produktdokument Management [Pflichtfeld] 1)
18. Dokumentation	18-3. Der Hersteller muss zusätzliche Informationen zum Produkt (z. B. Softwareversionen die den bestimmungsgemäßen Gebrauch und die Einhaltung der Grundanforderungen, Fotos des Produkts Aussehen, Bewertungsergebnisse usw.).		[US: NISTIR 8425]Dokumentation 1-d, Informationen Verbreitung 2 [EU: CRA]Artikel 20 3, Artikel 23 3, ANHANG IV 1, ANHANG IV 2, ANHANG IV 3, ANHANG IV 4, ANHANG IV 7, ANHANG IV 8, ANHANG V 1, ANHANG V 3, ANHANG V 6 [IEC 62443-4-1]SUMME-3
18. Dokumentation	18-4. Der Hersteller muss Informationen dokumentieren hinsichtlich Design, Entwicklung, Produktion und Schwachstellenreaktionsprozesse für das Produkt.		[US: NISTIR 8425]Dokumentation 1-d, 1-e, 1-f, Informationsverbreitung 2 [EU: CRA]ANHANG V 2, ANHANG V 7 [Singapur: CLS][＊＊＊]CK-LP-02 [IEC 62443-4-1]SM-1 SD-1 SD-4	[CCDS-Zertifizierung]2-2 Produktdokument Management [Pflichtfeld] 1)
18. Dokumentation	18-5. Für jede Empfehlung in diesem Dokument, die gilt als nicht anwendbar oder nicht erfüllt durch das Produkt.		[ETSI EN 303 645]4.1 [US: NISTIR 8425]Dokumentation 1-c [EU: CRA]ANHANG V 4 [IEC 62443-4-1]SM-3, SM-5, SI-1 [IEC 62443-4-2]CR2.12	[CCDS-Zertifizierung]2-2 Produktdokument Management [Pflichtfeld] 1)
18. Dokumentation	18-6. Der Hersteller muss die Sicherheit dokumentieren Informationen über ihre Produkte entdeckt von Entwickler oder von Dritten bereitgestellt und aktualisieren ihre Risikobewertungen.		[EU: CRA]Artikel 10 5 [Singapur: CLS][＊＊＊]CK-LP-08
18. Dokumentation	18-7 Der Hersteller muss die Gesetze und Vorschriften, denen das Produkt entsprechen muss. Die Der Hersteller muss auch die Produktlebensdauer dokumentieren, Betriebskosten und Supportzeitraum.		[US: NISTIR 8425]Dokumentation 1-a [EU: CRA]ANHANG IV 5, ANHANG IV 6 [IEC 62443-4-1]SUMME-1	[CCDS-Zertifizierung]2-2 Produktdokument Management [Pflichtfeld] 1)
18. Dokumentation	18-8. Der Hersteller muss die Anforderungen und Überlegungen für das Produkt Betreuer.		[US: NISTIR 8425]Dokumentation 1-e [IEC 62443-4-1]SVV-5
18. Dokumentation	18-9. Der Hersteller muss ein Verfahren einführen, um Identifizierung organisatorischer Rollen und Verantwortlicher während des Produktlebenszyklus.		[EU: CRA]Artikel 20 4 [IEC 62443-4-1]SM-2
18. Dokumentation	18-10. Der Hersteller muss seine Mitarbeiter, die Sicherheitskompetenz erwerben möchten.		[IEC 62443-4-1]SM-4

Um mehr über die Einhaltung gesetzlicher Vorschriften für das Internet der Dinge zu erfahren, wenden Sie sich bitte direkt an das Product Compliance Institute.