EU-Gesetz zur Cyber-Resilienz (CRA)

Meldung von Sicherheitslücken

Unsere Geräte schützen Menschen an einigen der gefährlichsten Orte, an denen sie jemals arbeiten werden. Das gilt jedoch nur, wenn die dahinterstehenden Produkte und Systeme sicher sind. Wenn Sie glauben, eine Sicherheitslücke in einem Crowcon-Produkt, in der Hardware, Firmware oder Software entdeckt zu haben, teilen Sie uns dies bitte umgehend über unser unten beschriebenes Verfahren zur koordinierten Offenlegung von Sicherheitslücken (CVD) mit.

Dieser Prozess basiert auf dem EU-Gesetz zur Cyber-Resilienz sowie den Branchenstandards für die Offenlegung und den Umgang mit Sicherheitslücken (ISO/IEC 29147 und 30111). Die Meldung von Sicherheitslücken trägt dazu bei, die Sicherheit aller Kunden, die unsere Geräte nutzen, zu gewährleisten, und stellt sicher, dass wir unseren Verpflichtungen gemäß EU-Recht nachkommen.

So melden Sie eine Sicherheitslücke

Füllen Sie das Formular so ausführlich wie möglich aus.

1. Produktidentifikation

  • Produktname und Modellnummer
  • Seriennummer des Produkts (falls zutreffend)
  • Firmware- oder Softwareversion
  • Kaufdatum (optional)

2. Details zur Sicherheitslücke

  • Art der Sicherheitslücke (z. B.: Cross-Site-Scripting, Pufferüberlauf, Umgehung der Authentifizierung, Manipulation der Firmware)
  • Beschreibung des Problems

3. Auswirkungen

  • Wie hoch Sie das Risiko einschätzen
  • Ob es derzeit ausgenutzt wird

4. Ihre Kontaktdaten

  • Name (optional)
  • E-Mail-Adresse
  • Bevorzugte Kontaktmöglichkeit (optional)
  • Firmenname 
  • Land

Bitte geben Sie die Sicherheitslücke nicht öffentlich bekannt, bis wir ausreichend Zeit hatten, sie zu beheben. Wir sind bestrebt, im Rahmen eines standardmäßigen CVD-Zeitplans mit Ihnen zusammenzuarbeiten.

 

Was wir tun werden

  • Bestätigen Sie den Eingang Ihrer Meldung innerhalb von 3 Werktagen.
  • Untersuchen Sie das Problem und legen Sie anhand des Schweregrads die Priorität für die Behebung fest.
  • Wir halten Sie auf dem Laufenden, während wir daran arbeiten.
  • Wir werden uns mit Ihnen über den Zeitpunkt einer öffentlichen Bekanntgabe abstimmen, sobald eine Lösung bereitsteht.
  • Veröffentlichen Sie einen Hinweis für betroffene Kunden, in dem erläutert wird, was sich geändert hat und welche Maßnahmen sie ergreifen müssen.

Wird eine Sicherheitslücke aktiv ausgenutzt oder steht sie im Zusammenhang mit einem Vorfall, der die Produktsicherheit ernsthaft beeinträchtigt, sind wir gemäß dem Cyber Resilience Act verpflichtet, die ENISA und das zuständige nationale CSIRT zu benachrichtigen.