Richtlinie zur koordinierten Offenlegung von Sicherheitslücken
Xovis (im Folgenden auch als „das Unternehmen“ bezeichnet) hat einen formellen Prozess für die Entgegennahme, Bewertung, Koordination, Behebung und Kommunikation von Meldungen über Sicherheitslücken in Produkten eingerichtet. Der Prozess gilt für Produkte, die digitale Elemente enthalten, und trägt zur Erfüllung regulatorischer Anforderungen bei, insbesondere jener, die sich aus dem Cyber Resilience Act und im Rahmen von NIS2 ergeben.
Geltungsbereich
Diese Richtlinie gilt für Sicherheitslücken in Produkten mit digitalen Elementen, einschließlich eingebetteter Software, Firmware und relevanter Komponenten von Drittanbietern, für deren produktbezogene Bewertung und Koordination Xovis verantwortlich ist.
Normative Grundlage
Die Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure, CVD) von Xovis basiert auf den folgenden Anforderungen und Empfehlungen:
Cyber-Resilience-Gesetz (EU) 2024/2847, insbesondere die Anforderungen an den Umgang mit Sicherheitslücken und die koordinierte Offenlegung
NIS2-Richtlinie (EU) 2022/2555 und deren Umsetzung in Deutschland
Die Anforderungen, die sich aus der Governance, der Compliance und dem Informationssicherheitsmanagement von Xovis ergeben
Die CVD-Richtlinie des Unternehmens legt die zentrale Anlaufstelle für die Einreichung von Meldungen sowie die Verfahren zur Triage und Behebung von Meldungen fest und bildet damit die Governance-Grundlage für das Management von Produktsicherheitslücken.
Stelle für die Meldung von Sicherheitslücken
Xovis benennt folgende Kontaktstelle für die Entgegennahme von Meldungen und Anfragen im Zusammenhang mit Produktsicherheitslücken: support@xovis.com. Die Kontaktstelle gilt als erste Anlaufstelle für die Entgegennahme von Sicherheitslückenmeldungen.
Mindestanforderungen für die Bearbeitung von Berichten
Für die Bearbeitung von Meldungen sind folgende Schritte erforderlich:
Entgegennahme und Erfassung von Meldungen
Feststellung des Umfangs und der sicherheitsrelevanten Bedeutung
Zuweisung an den Verantwortlichen zur Bearbeitung und Behebung
Eskalation bestätigter relevanter Meldungen
Umsetzung von Rückverfolgbarkeits- und Dokumentationskontrollen
Bewertung und Priorisierung
Der Bericht wird hinsichtlich seiner technischen Gültigkeit und seiner geschäftlichen Auswirkungen bewertet. Dabei werden insbesondere die folgenden Kriterien berücksichtigt:
Betroffene Produkte und Versionen
Angriffsvektor und Komplexität
Auswirkungen auf Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität
Ausnutzbarkeit und öffentliche Verfügbarkeit von Exploit-Code
Abhilfemaßnahmen
Auswirkungen auf die installierte Basis und die Kunden
Einbeziehung von Komponenten von Drittanbietern
Relevanz für behördliche oder vertragliche Berichterstattung
Safe Harbor
Das Unternehmen unterstützt die verantwortungsvolle Offenlegung von Sicherheitslücken in seinen Produkten und wird bei Meldungen, die in gutem Glauben erfolgen – insbesondere unter Einhaltung des in dieser Richtlinie festgelegten Verfahrens und ohne die Absicht, die Systeme, Daten oder Dienste des Unternehmens zu schädigen –, keine zivilrechtlichen Schritte einleiten oder Informationen an Strafverfolgungsbehörden weitergeben.
Dieser Safe-Harbor-Schutz erstreckt sich nicht auf Handlungen, die darauf abzielen, die Produkte, Dienste oder Systeme des Unternehmens direkt zu schädigen, sowie auf den unrechtmäßigen Zugriff auf oder die unrechtmäßige Verarbeitung von personenbezogenen Daten, die Straftaten nach dem Strafrecht und/oder den Datenschutzgesetzen darstellen können.
Behebung und Korrekturmaßnahmen
Bestätigte Sicherheitslücken werden im Rahmen der Produktentwicklungs- und Wartungsprozesse behoben, einschließlich der Implementierung von Code-Korrekturen, Absicherungsmaßnahmen, Firmware- und/oder Software-Updates, Ausgleichsmaßnahmen und gegebenenfalls der Kommunikation mit den Kunden. In Fällen, in denen eine umgehende Behebung nicht möglich ist, wird das aus der Sicherheitslücke resultierende Restrisiko dokumentiert und berücksichtigt.
Kommunikation und Offenlegung
Das Unternehmen wird eine koordinierte Offenlegungspolitik umsetzen, die sicherstellt, dass die öffentliche Offenlegung einer Sicherheitslücke in einer Weise erfolgt, die die Interessen aller beteiligten Parteien angemessen in Einklang bringt. Dies umfasst insbesondere die Gewährleistung, dass die Offenlegung erst dann erfolgt, wenn geeignete Gegenmaßnahmen verfügbar sind oder ausreichend entwickelt und dokumentiert wurden, wodurch die Gefährdung der Nutzer durch potenzielle nachteilige Auswirkungen begrenzt wird.
Das Unternehmen kann sich dafür entscheiden, die Offenlegung zurückzuhalten, sofern eine solche Entscheidung gerechtfertigt ist, insbesondere um die negativen Auswirkungen auf Kunden und andere Interessengruppen zu minimieren. In solchen Fällen müssen die Gründe für die Entscheidung, keine Offenlegung vorzunehmen, dokumentiert werden.
Komponenten von Drittanbietern
Im Falle von Komponenten von Drittanbietern, die in Xovis-Produkten enthalten sind, werden deren Auswirkungen auf die betroffenen Produkte bewertet und gegebenenfalls Abhilfemaßnahmen gemäß den Anweisungen des Komponentenlieferanten ergriffen. Herstellerhinweise oder Warnmeldungen im Zusammenhang mit einer Sicherheitslücke, die eine bestimmte Komponente betrifft, werden bei Bedarf veröffentlicht.
Dokumentation und Transparenz
Die Verfahren von Xovis zum Nachweis der Konformität mit den Anforderungen des Cyber Resilience Act und der NIS2, insbesondere hinsichtlich der Rückverfolgbarkeit des Prozesses zum Umgang mit Sicherheitslücken, umfassen folgende Elemente:
Entgegennahme des Berichts und Erstbewertung, einschließlich Feststellung des Umfangs und technischer Bewertung der Relevanz
Technische Bewertung, einschließlich Feststellung der technischen Relevanz und des Schweregrads
Zuweisung der Verantwortung
Abhilfemaßnahmen und Maßnahmen zur Risikominderung
Nachweis der Beratung, der Veröffentlichung eines Updates oder der Eskalation
Auf dieser Grundlage enthält die CVD-Richtlinie die erforderlichen Kontrollen für die Meldung, Bearbeitung, Offenlegung und Dokumentation von Berichten über Sicherheitslücken in Produkten gemäß den normativen Vorgaben.
Ansprechpartner für Sicherheitsfragen
Bei Anfragen im Zusammenhang mit Sicherheitslücken in Produkten wenden Sie sich bitte an die folgende E-Mail-Adresse der Xovis-Gruppe: support@xovis.com.