OBL-ART13-07Binding
Establecer y publicar una política de divulgación coordinada de vulnerabilidades (CVD)
- Se aplica a
- Manufacturer
- Citas de fuentes
- Art. 13(7)Annex I Part II §1
- Clases de productos
- DefaultImportant — Class IImportant — Class IICritical
Last reviewed
Lenguaje claro
Debe publicarse un proceso claro para notificar errores de seguridad. Se debe facilitar una dirección de correo electrónico o un formulario web para recibir notificaciones. Debe indicarse el tiempo de respuesta. Debe explicarse cómo se colaborará con el notificador antes de hacer pública una corrección. El método habitual es un archivo security.txt en la raíz del sitio web.
Texto jurídico
El artículo 13(7) del Reglamento (UE) 2024/2847 y el Anexo I Parte II §1 exigen que los fabricantes:
- Identifiquen y documenten las vulnerabilidades y los componentes contenidos en el producto
- Dispongan de una política de divulgación coordinada de vulnerabilidades
- Adopten medidas para facilitar el intercambio de información sobre posibles vulnerabilidades
La política CVD debe ser públicamente accesible para que los notificadores externos puedan encontrarla.
Requisitos clave
- Política CVD pública: publicada en el sitio web y localizable
- Contacto de seguridad: dirección de correo electrónico dedicada o formulario web para la notificación de vulnerabilidades (p. ej.,
security@example.com) - Archivo
security.txt: publicado en/.well-known/security.txtconforme al RFC 9116 para que el contacto sea localizable automáticamente - Compromiso de acuse de recibo: indicar un plazo para confirmar la recepción (ENISA recomienda ≤ 5 días hábiles)
- Calendario de divulgación: describir el proceso de divulgación coordinada, incluida la gestión de períodos de embargo con los investigadores
- Declaración de ámbito: indicar qué productos y versiones cubre la política
Elementos recomendados de la política CVD
Basándose en las directrices CVD de ENISA y el Anexo I Parte II del RCA:
- Dirección de contacto y método preferido
- Clave PGP / S/MIME para envíos cifrados (recomendado)
- Idiomas admitidos para los informes
- Plazo de acuse de recibo
- Calendario previsto para las actualizaciones de corrección
- Proceso de coordinación de la divulgación (embargo, reconocimiento al investigador, asignación de CVE)
- Declaración de puerto seguro para investigadores de buena fe
Documentación que puede necesitar
- Política CVD publicada (URL)
- Archivo
/.well-known/security.txt - Registro de recepción de vulnerabilidades (confidencial, no exigido públicamente)
- Registros de los informes recibidos y cómo fueron gestionados