OBL-ART6-02Binding
Garantizar que los procesos de gestión de vulnerabilidades cumplen los requisitos esenciales (Anexo I Parte II)
- Se aplica a
- Manufacturer
- Citas de fuentes
- Art. 6(b)Annex I Part II
- Clases de productos
- DefaultImportant — Class IImportant — Class IICritical
Last reviewed
Lenguaje claro
Además del propio producto, sus procesos internos de gestión de vulnerabilidades también deben cumplir normas específicas. Esto implica contar con procesos para identificar vulnerabilidades, corregirlas con prontitud, publicar un SBOM, operar una política CVD, compartir información sobre vulnerabilidades corregidas y distribuir actualizaciones de seguridad, tanto durante el desarrollo como durante todo el período de asistencia tras la comercialización.
Texto jurídico
El artículo 6, letra b), del Reglamento (UE) 2024/2847 dispone que los productos con elementos digitales solo se pondrán a disposición si los procesos establecidos por el fabricante cumplen los requisitos esenciales de la Parte II del Anexo I.
Requisitos de gestión de vulnerabilidades — Anexo I Parte II
Los fabricantes deben establecer procesos para:
- SBOM — Identificar y documentar vulnerabilidades y componentes, incluyendo una lista de materiales de software (SBOM) en formato legible por máquina para al menos las dependencias de primer nivel
- Corrección oportuna — Abordar y corregir vulnerabilidades sin demora injustificada, incluida la provisión de actualizaciones de seguridad
- Pruebas regulares — Aplicar pruebas y revisiones de seguridad eficaces y periódicas
- Divulgación de vulnerabilidades corregidas — Compartir públicamente información sobre vulnerabilidades corregidas tras la disponibilidad de un parche
- Política CVD — Establecer y aplicar una política de divulgación coordinada de vulnerabilidades
- Facilitación de notificaciones — Facilitar la notificación mediante una dirección de contacto
- Distribución segura de actualizaciones — Distribución segura de actualizaciones de seguridad (incluida la opción automática)
- Actualizaciones gratuitas — Proporcionar actualizaciones de seguridad gratuitas durante toda la duración del período de asistencia