OBL-ART13-07Binding
Richtlinie zur koordinierten Schwachstellenoffenlegung (CVD) einrichten und veröffentlichen
- Gilt für
- Manufacturer
- Quellenangaben
- Art. 13(7)Annex I Part II §1
- Produktklassen
- DefaultImportant — Class IImportant — Class IICritical
Last reviewed
Einfache Sprache
Es ist ein klar verständlicher Prozess für die Meldung von Sicherheitslücken zu veröffentlichen. Dazu gehören eine E-Mail-Adresse oder ein Webformular für Meldungen, eine Aussage zur Reaktionszeit sowie eine Erläuterung der Vorgehensweise vor der öffentlichen Bekanntgabe einer Lösung. Eine security.txt-Datei im Website-Stammverzeichnis ist der übliche Weg, dies umzusetzen.
Rechtstext
Artikel 13(7) der Verordnung (EU) 2024/2847 und Anhang I Teil II §1 verpflichten Hersteller:
- Schwachstellen und Komponenten des Produkts zu identifizieren und zu dokumentieren
- Eine Richtlinie zur koordinierten Schwachstellenoffenlegung einzurichten
- Maßnahmen zu treffen, die den Austausch von Informationen über potenzielle Schwachstellen erleichtern
Die CVD-Richtlinie muss öffentlich zugänglich sein, damit externe Melder sie auffinden können.
Wesentliche Anforderungen
- Öffentliche CVD-Richtlinie – auf der Website veröffentlicht und auffindbar
- Sicherheitskontakt – dedizierte E-Mail-Adresse oder Webformular für
Schwachstellenmeldungen (z. B.
security@beispiel.com) security.txt-Datei – gemäß RFC 9116 unter/.well-known/security.txtveröffentlichen, um die Kontaktangaben maschinenlesbar zu machen- Bestätigungszusage – Zeitrahmen für die Bestätigung des Eingangs einer Meldung angeben (ENISA empfiehlt ≤ 5 Werktage)
- Offenlegungszeitplan – den koordinierten Offenlegungsprozess beschreiben, einschließlich des Umgangs mit Sperrfristen gegenüber Forschenden
- Geltungsbereichsangabe – angeben, welche Produkte und Versionen die Richtlinie abdeckt
Empfohlene Elemente einer CVD-Richtlinie
Auf Grundlage der ENISA-CVD-Leitlinien und CRA Anhang I Teil II:
- Kontaktadresse und bevorzugte Kontaktmethode
- PGP-/S/MIME-Schlüssel für verschlüsselte Einreichungen (empfohlen)
- Unterstützte Sprachen für Meldungen
- Bestätigungszeitraum
- Erwarteter Zeitrahmen für Behebungs-Updates
- Koordinierter Offenlegungsprozess (Sperrfrist, Anerkennung der Forschenden, CVE-Zuweisung)
- Safe-Harbour-Erklärung für gutgläubige Forschende
Nachweise, die Sie möglicherweise benötigen
- Veröffentlichte CVD-Richtlinie (URL)
/.well-known/security.txt-Datei- Schwachstellen-Eingangsprotokoll (vertraulich – nicht öffentlich erforderlich)
- Aufzeichnungen über eingegangene Meldungen und deren Bearbeitung