Meldekette
CRA-konforme Meldung von Sicherheitsvorfällen
Nutzen Sie diesen einfachen Meldeweg, um Sicherheitsvorfälle und Schwachstellen schnell und rechtskonform zu melden.
1. Zweck
Die isel Germany GmbH legt großen Wert auf die Sicherheit ihrer Produkte und begrüßt die verantwortungsvolle Meldung von Sicherheitslücken durch Kunden, Partner, Sicherheitsforscher und andere Dritte.
Diese Vulnerability Disclosure Policy beschreibt, wie potenzielle Schwachstellen in Produkten der isel Germany GmbH gemeldet werden können und wie solche Meldungen bearbeitet werden.
Diese Richtlinie unterstützt die Anforderungen des Cyber Resilience Act (CRA) hinsichtlich eines zentralen Ansprechpartners für Schwachstellenmeldungen und eines dokumentierten Prozesses zur koordinierten Offenlegung von Schwachstellen.
2. Geltungsbereich
Diese Richtlinie gilt für sämtliche von der isel Germany GmbH entwickelten oder bereitgestellten Produkte mit digitalen Elementen, insbesondere:
- Robotersteuerungen
- Wafer Handler
- Prealigner
- Controller-Systeme
- Firmware
- Softwareanwendungen
- Visualisierungssysteme
- Kommunikationsschnittstellen
3. Kontakt für Schwachstellenmeldungen
Sicherheitsrelevante Hinweise können an folgende Kontaktadresse gemeldet werden:
E-Mail: cra.security@isel.com
Alternativ können Meldungen schriftlich an die isel Germany GmbH gerichtet werden.
Die jeweils aktuelle Kontaktinformation ist zusätzlich über die veröffentlichte Security.txt verfügbar. Die VDMA-Unterlagen empfehlen hierfür einen zentralen Security-Kontakt („Single Point of Contact“).
4. Inhalt einer Meldung
Um eine schnelle Bearbeitung zu ermöglichen, sollten möglichst folgende Informationen angegeben werden:
- Name und Kontaktdaten des Meldenden
- betroffenes Produkt
- Produktversion
- betroffene Komponente
- Beschreibung der Schwachstelle
- Schritte zur Reproduktion
- mögliche Auswirkungen
- Proof-of-Concept oder Screenshots (falls vorhanden)
- bekannte Gegenmaßnahmen
Auch unvollständige Meldungen werden geprüft.
5. Bearbeitung von Meldungen
Nach Eingang einer Meldung erfolgt:
Eingangsbestätigung
isel bestätigt den Eingang einer Schwachstellenmeldung grundsätzlich innerhalb von sieben Kalendertagen. Die VDMA-Empfehlungen nennen eine Bestätigung innerhalb von sieben Tagen als Zielwert.
Bewertung
Die Meldung wird durch das PSIRT geprüft hinsichtlich:
- Relevanz
- Nachvollziehbarkeit
- Betroffenheit eines isel-Produktes
- Sicherheitsauswirkungen
Kommunikation
Während der Analyse kann das PSIRT zusätzliche Informationen anfordern.
Der Meldende wird über den Bearbeitungsstatus informiert, soweit dies möglich und angemessen ist.
6. Koordinierte Offenlegung
isel verfolgt den Grundsatz der verantwortungsvollen Offenlegung von Schwachstellen.
Wir bitten Meldende:
- Schwachstellen zunächst vertraulich zu behandeln
- keine öffentlichen Informationen zu veröffentlichen, bevor eine gemeinsame Bewertung erfolgt ist
- dem Hersteller ausreichend Zeit zur Analyse und Behebung einzuräumen
Nach Bereitstellung geeigneter Gegenmaßnahmen kann eine koordinierte Veröffentlichung erfolgen.
7. Gute-faith-Sicherheitsforschung
isel begrüßt Sicherheitsforschung, die nach Treu und Glauben durchgeführt wird.
Sicherheitsforscher handeln insbesondere dann im Sinne dieser Richtlinie, wenn sie:
- keine Daten verändern oder löschen
- keine personenbezogenen Daten veröffentlichen
- keine Dienste absichtlich beeinträchtigen
- keine Kundenanlagen gefährden
- Schwachstellen ausschließlich zum Zweck der Meldung untersuchen
8. Nicht erwünschte Aktivitäten
Folgende Aktivitäten sind nicht durch diese Richtlinie abgedeckt:
- Social Engineering gegen Mitarbeiter
- Phishing-Kampagnen
- Denial-of-Service-Angriffe
- Angriffe auf Kundensysteme
- physische Manipulation fremder Anlagen
- Veröffentlichung vertraulicher Informationen ohne Abstimmung
9. Veröffentlichung von Security Advisories
Bei bestätigten und relevanten Schwachstellen kann isel Security Advisories veröffentlichen.
Diese können enthalten:
- Advisory-ID
- betroffene Produkte
- betroffene Versionen
- Risikobewertung
- Abhilfemaßnahmen
- verfügbare Updates
- Workarounds
10. Datenschutz
Personenbezogene Daten werden ausschließlich zur Bearbeitung der Schwachstellenmeldung verwendet und gemäß den geltenden Datenschutzbestimmungen verarbeitet.
11. Haftungsausschluss
Die Entgegennahme einer Schwachstellenmeldung begründet keine Verpflichtung zur Zahlung einer Vergütung oder eines Bug-Bountys.
isel behält sich vor, jede Meldung individuell zu bewerten und geeignete Maßnahmen festzulegen.