Für die Zwecke von Nummer 6.2.1 müssen die betreffenden Einrichtungen a) eine Analyse der Sicherheitsanforderungen in der Spezifikations- und Entwurfsphase jedes Entwicklungs- oder Beschaffungsvorhabens vornehmen, das von den betreffenden Einrichtungen oder im Namen dieser Einrichtungen durchgeführt wird; b) bei allen Tätigkeiten zur Entwicklung von Informationssystemen bestimmte Grundsätze für den Aufbau sicherer Systeme und für ein sicheres Programmieren wie etwa die Förderung von konzeptintegrierter Cybersicherheit und Null-Vertrauen-Architekturen anwenden; c) Sicherheitsanforderungen in Bezug auf Entwicklungsumgebungen festlegen; d) Sicherheitstestverfahren im Entwicklungszyklus einführen und umsetzen; e) Daten über Sicherheitstests angemessen auswählen, schützen und verwalten; f) die Testdaten entsprechend der Risikobewertung gemäß Nummer 2.1 bereinigen und anonymisieren.