Richtlinie zur koordinierten Offenlegung von Schwachstellen Coordinated Vulnerability Disclosure Policy

Inhalt

01Geltungsbereich

Diese Richtlinie gilt für Sicherheitsschwachstellen in Produkten mit digitalen Elementen der Christ Electronic Systems GmbH, einschließlich Hardware, Software und Firmware.

Für Schwachstellen in unserer allgemeinen digitalen Infrastruktur, z. B. Websites, E-Mail-Systeme oder sonstige Unternehmensdienste, wenden Sie sich bitte an psirt@christ-es.de.

02Meldung einer Schwachstelle

Bitte senden Sie Schwachstellenmeldungen per E-Mail an:

psirt@christ-es.de

Eine anonyme Meldung ist möglich. Bitte beachten Sie, dass wir bei einer anonymen Meldung ohne Kontaktangaben weder den Eingang bestätigen noch eine Rückmeldung geben können. Wenn Sie Kontaktdaten angeben, bestätigen wir den Eingang Ihrer Meldung.

03Erforderliche Angaben

Bitte stellen Sie nach Möglichkeit die folgenden Informationen bereit:

• Produktname, Produktlinie und Artikelnummer / PA-Nummer
• Betroffene Hardware-, Firmware-, Software- oder Betriebssystemversion
• Betroffene Komponente, Schnittstelle, Funktion oder API
• Beschreibung der Schwachstelle
• Schritte zur Reproduktion
• Proof of Concept, Screenshots, Logs oder Netzwerk-Traces, sofern verfügbar
• Mögliche Auswirkungen auf Vertraulichkeit, Integrität, Verfügbarkeit oder Safety
• Angriffsvoraussetzungen, z. B. Fernzugriff, lokaler Zugriff, Authentifizierung oder physischer Zugriff
• Ob die Schwachstelle bereits öffentlich bekannt ist
• Ob Hinweise auf eine aktive Ausnutzung vorliegen
• Name, Organisation, E-Mail-Adresse, Telefonnummer und Land, sofern Sie nicht anonym melden möchten

04Was Sie von uns erwarten können

Wenn Sie uns Kontaktdaten zur Verfügung stellen, bestätigen wir den Eingang Ihrer Meldung innerhalb von 5 Werktagen. In der Regel erhalten Sie innerhalb von 10 Werktagen eine detaillierte Rückmeldung zu Ihrer Meldung.

Unser PSIRT prüft die Meldung, bewertet die Schwachstelle und koordiniert die weitere Bearbeitung mit den zuständigen Entwicklungsteams. Sofern erforderlich, beziehen wir betroffene Lieferanten, Partner, Kunden oder zuständige Behörden ein.

Wir bewerten Schwachstellen und halten Sie, soweit möglich, über den Fortschritt der Bearbeitung auf dem Laufenden. Sofern weitere Informationen erforderlich sind, kommen wir auf Sie zu.

Wir streben an, bestätigte, aktiv ausnutzbare Schwachstellen innerhalb von 90 Kalendertagen zu beheben. Der tatsächliche Zeitrahmen kann je nach Komplexität, Schweregrad und betroffenen Produkten variieren.

05Koordinierte Offenlegung

Wir bitten Sie, technische Details nicht zu veröffentlichen, bevor eine Behebung oder geeignete Risikominderung verfügbar ist oder ein Veröffentlichungstermin mit uns abgestimmt wurde.

Als Orientierungswert für die Koordination dienen 90 Kalendertage ab Bestätigung der Schwachstelle. Je nach Schweregrad, aktiver Ausnutzung, Safety-Auswirkungen oder erforderlicher Kundenmaßnahmen kann eine frühere oder spätere Veröffentlichung sinnvoll sein.

06Regulatorischer Rahmen

Als Hersteller von Produkten mit digitalen Elementen unterliegt die Christ Electronic Systems GmbH den Meldepflichten des EU Cyber Resilience Act (Verordnung (EU) 2024/2847). Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die unsere Produkte betreffen, innerhalb der gesetzlichen Fristen über die zentrale CRA-Meldeplattform an das zuständige PSIRT und die ENISA gemeldet werden.

Ihre Meldungen an unser PSIRT unterstützen uns bei der Erfüllung dieser Pflichten. Insbesondere Informationen zu aktiver Ausnutzung, betroffenen Kunden oder betroffenen Ländern sind für die korrekte Priorisierung und die fristgerechte Benachrichtigung der Behörden von besonderer Bedeutung.

07Hinweise auf aktive Ausnutzung

Bitte teilen Sie uns ausdrücklich mit, wenn Ihnen Hinweise auf eine aktive Ausnutzung, öffentliche Bekanntheit, betroffene Kunden, betroffene Länder oder laufende Angriffe vorliegen. Solche Informationen helfen uns bei der Priorisierung und bei der Erfüllung rechtlicher oder regulatorischer Pflichten.

08Anerkennung

Wir danken allen Meldenden, die uns Schwachstellen verantwortungsvoll melden und damit zur Sicherheit unserer Produkte beitragen.

Wenn Sie in einem Sicherheitshinweis namentlich genannt werden möchten, teilen Sie uns bitte mit, unter welchem Namen oder welcher Organisation dies erfolgen soll. Eine Nennung erfolgt nur nach vorheriger Abstimmung.

09Keine Vergütung

Diese Richtlinie beschreibt einen Meldekanal für Sicherheitsschwachstellen. Sie stellt kein Bug-Bounty-Programm dar. Die Christ Electronic Systems GmbH sagt keine Belohnung, Prämie oder sonstige Vergütung für gemeldete Schwachstellen zu, sofern dies nicht im Einzelfall ausdrücklich schriftlich vereinbart wurde.

10Datenschutz und Vertraulichkeit

Wir verwenden personenbezogene Daten aus Schwachstellenmeldungen ausschließlich zur Bearbeitung der Meldung, zur Kommunikation mit dem Meldenden und zur Erfüllung rechtlicher oder regulatorischer Pflichten.

Wir behandeln Schwachstellenmeldungen vertraulich, solange keine koordinierte Veröffentlichung erfolgt oder gesetzliche Pflichten eine Offenlegung erfordern.

11Kontakt