CVD-Richtlinie

1Zweck

Diese Richtlinie beschreibt den Umgang mit gemeldeten Sicherheitslücken in den Produkten mit digitalen Elementen des WRZ (Hans-Bernhard Rehnke GmbH & Co KG - Weseler Rechenzentrum).

Ziel ist es, Sicherheitslücken vertraulich entgegenzunehmen, zeitnah zu bewerten, angemessen zu beheben oder zu mindern und erforderlichenfalls koordiniert zu veröffentlichen.

Die Richtlinie unterstützt die Umsetzung der Anforderungen des Cyber Resilience Act (Verordnung (EU) 2024/2847).

2Geltungsbereich

Diese Richtlinie gilt für alle vom WRZ entwickelten, vertriebenen oder verantworteten Produkte mit digitalen Elementen einschließlich der darin enthaltenen Software.

Sie umfasst insbesondere Sicherheitslücken in:

• eigener Software,
• Schnittstellen und Kommunikationskomponenten,
• Update- und Upgrade-Mechanismen,
• Drittanbieter- und Open-Source-Komponenten.

3Sicherheitslücken melden

Sicherheitsforscher, Kunden, Partner und andere Dritte werden ausdrücklich ermutigt, Sicherheitslücken verantwortungsvoll an uns zu melden.

Angaben zur Meldung

Eine Meldung sollte nach Möglichkeit folgende Informationen enthalten:

• betroffenes Produkt und Version,
• Beschreibung der Sicherheitslücke,
• Schritte zur Reproduktion,
• mögliche Auswirkungen,
• gegebenenfalls Proof of Concept.

Auch unvollständige Meldungen werden geprüft.

Die Meldestelle wird regelmäßig überwacht. Die Kontaktinformationen sind zusätzlich über /.well-known/security.txt verfügbar.

4Bearbeitung von Meldungen

Eingehende Meldungen werden dokumentiert, bewertet und entsprechend ihrer Risikoeinstufung bearbeitet.

Für die Risikobewertung kann das Common Vulnerability Scoring System (CVSS) verwendet werden.

5Kritische und aktiv ausgenutzte Sicherheitslücken

Hinweise auf eine aktive Ausnutzung einer Sicherheitslücke werden unverzüglich an die verantwortliche Person für Informationssicherheit bzw. an die Geschäftsführung eskaliert.

6Behebung und Sicherheitsupdates

Bestätigte Sicherheitslücken werden entsprechend ihrer Risikoeinstufung und ohne unangemessene Verzögerung behoben.

Dabei wird geprüft:

• welche Produkte und Versionen betroffen sind,
• ob ein Sicherheitsupdate erforderlich ist,
• ob eine vorübergehende Mitigation möglich ist,
• ob Drittanbieter- oder Open-Source-Komponenten betroffen sind,
• ob Kunden informiert werden müssen.

Sicherheitsupdates werden über die vorgesehenen sicheren Update-Mechanismen bereitgestellt.

7Koordinierte Offenlegung

Informationen über noch nicht behobene Sicherheitslücken werden vertraulich behandelt.

Eine Veröffentlichung erfolgt grundsätzlich erst, wenn eine angemessene Abhilfemaßnahme verfügbar ist oder eine geeignete Risikominderung umgesetzt wurde.

Nach der Behebung kann das WRZ ein Security Advisory veröffentlichen und – soweit erforderlich – einen CVE-Identifier verwenden.

Eine Veröffentlichung kann aus Sicherheits- oder rechtlichen Gründen zurückgestellt werden.

8Zusammenarbeit mit Sicherheitsforschern

Das WRZ begrüßt verantwortungsvolle Sicherheitsforschung. Personen, die Sicherheitslücken in gutem Glauben melden, sollen durch die Meldung nicht benachteiligt werden.

Wir bitten Sicherheitsforscher:

• Tests auf das notwendige Maß zu beschränken,
• keine Daten anderer Nutzer zu verändern oder zu löschen,
• die Verfügbarkeit unserer Produkte nicht unnötig zu beeinträchtigen,
• vertrauliche Informationen nicht weiterzugeben,
• ungepatchte Sicherheitslücken nicht vorzeitig öffentlich zu machen.

Diese Richtlinie stellt keine allgemeine rechtliche Haftungsfreistellung dar.

9Dokumentation

Relevante Sicherheitsmeldungen werden nachvollziehbar dokumentiert.

Mindestens erfasst werden:

• Eingangsdatum,
• betroffene Produkte und Versionen,
• Beschreibung und Risikoeinstufung,
• getroffene Maßnahmen,
• Datum der Behebung,
• gegebenenfalls Kunden- oder Behördenkommunikation,
• gegebenenfalls CVE-Identifier.

10Verantwortlichkeiten

Verantwortliche Person für Product Security

• nimmt Sicherheitsmeldungen entgegen,
• führt die erste Bewertung durch,
• koordiniert die technische Behebung,
• dokumentiert den Vorgang.

Geschäftsführung

• stellt erforderliche Ressourcen bereit,
• entscheidet bei kritischen Sicherheitsvorfällen über wesentliche Maßnahmen,
• stellt die Einhaltung gesetzlicher Meldepflichten sicher.

Entwicklung / IT

• unterstützt bei Analyse und Behebung,
• entwickelt und testet Sicherheitsupdates.

Bei Bedarf werden externe IT-, Security- oder Rechtsdienstleister hinzugezogen. Im WRZ können mehrere dieser Aufgaben durch dieselbe Person wahrgenommen werden.

11Überprüfung der Richtlinie

Diese Richtlinie wird mindestens einmal jährlich sowie bei wesentlichen Änderungen des Produktportfolios, der gesetzlichen Anforderungen oder nach relevanten Sicherheitsvorfällen überprüft.

12Kontakt