OBL-ART13-10Binding
在整个支持期内处理和修复漏洞
- 适用于
- Manufacturer
- 来源引用
- Art. 13(10)Annex I Part II
Last reviewed
通俗语言
一旦发现安全漏洞，必须尽快修复。修复速度取决于漏洞的严重程度。分配CVE编号，通知用户，发布安全公告。在您支持该产品的整个期间内都须执行此操作——不仅限于发布时。
法律文本
《欧盟法规（EU）2024/2847》第13条第10款结合附件I第II部分要求，制造商应有效处理漏洞。该附件规定了以下具体要求：
附件I第II部分——漏洞处置要求：
- 识别并记录产品中的漏洞和组件（SBOM）
- 及时处理漏洞，处理速度与风险相称
- 应用有效且定期的安全更新
- 使用CVE标识符（来自CVE编号机构）标识漏洞
- 发布已修复漏洞的信息，包括CVSS评分
- 采用协调漏洞披露政策
- 便于第三方报告漏洞
- 应要求向CSIRT网络和ENISA共享漏洞信息
主要要求
- 漏洞管理流程——记录在案的接收、分类、修复和披露工作流
- 及时修复——响应时间与CVSS评分和可利用性相称
- CVE分配——从CVE编号机构（CNA）获取CVE编号；ENISA担任CRA相关CVE的欧盟CNA
- CVSS评分——在安全公告中发布CVSS（v3.1或更高版本）评分
- 安全公告——为所有已修复漏洞发布公告
- 停止支持通知——在支持终止前不迟于12个月通知用户，以便其做出替代安排
可能需要的证据
- 漏洞管理政策和SLA目标（按严重性分级的修复时限）
- 漏洞跟踪器或积压记录
- CVE分配记录
- 包含CVSS评分的已发布安全公告
- 停止支持通知记录