Cyber ​​Resilience Act (CRA): Kanal für Schwachstellenmeldungen freigeschaltet

Hintergrund

Die Produkte von LAE Electronic sind elektronische Geräte mit integrierter Software, die in erster Linie für die Steuerung und Temperaturregelung in der Kältetechnik bestimmt sind. Damit fallen sie in den Anwendungsbereich der Verordnung (EU) 2024/2847 — Cyber Resilience Act (CRA), die Cybersicherheitsanforderungen für Produkte mit digitalen Elementen einführt, die auf dem europäischen Markt bereitgestellt werden.

Zu diesen Anforderungen gehört, dass Hersteller eine Strategie zur koordinierten Offenlegung von Schwachstellen einführen und eine Kontaktadresse öffentlich zugänglich machen, über die jede Person in ihren Produkten festgestellte Schwachstellen melden kann.

Zur Erfüllung dieser Pflichten — und darüber hinaus im Sinne der kontinuierlichen Verbesserung der Sicherheit unserer Lösungen — hat LAE Electronic ein dediziertes und aktiv betreutes Postfach eingerichtet.

An wen sich der Kanal richtet

Der Meldekanal steht allen offen: OEM-Kunden, Installateuren, Endanwendern, Sicherheitsforschern, Technologiepartnern und Lieferanten.

Was gemeldet werden kann

• Mögliche oder bestätigte Schwachstellen in Produkten von LAE Electronic (Hardware, Firmware, Konfigurationssoftware und zugehörige Werkzeuge)
• Aktiv ausgenutzte Schwachstellen
• Sicherheitsvorfälle, an denen ein Produkt von LAE Electronic beteiligt ist
• Auffälliges Verhalten, das die Sicherheit des Produkts oder des Systems, in dem es eingesetzt wird, beeinträchtigen könnte

Wie gemeldet wird

Damit wir Ihre Meldung möglichst schnell und wirksam bewerten können, bitten wir Sie, folgende Angaben zu machen, soweit sie Ihnen bekannt sind:

• Betroffenes Produkt: Artikelnummer, Modell und, sofern verfügbar, Serien- oder Chargennummer
• Firmware-/Softwareversion
• Beschreibung des Problems und mögliche Auswirkungen auf die Sicherheit
• Schritte zur Reproduktion, Testaufbau und relevante Rahmenbedingungen
• Ergänzende Unterlagen: Logdateien, Screenshots, Kommunikationsmitschnitte, Verweise auf CVEs oder veröffentlichte Forschungsarbeiten
• Ihre Kontaktdaten, damit wir Rückfragen stellen und Sie über das Ergebnis informieren können

Bitte übermitteln Sie keine personenbezogenen Daten oder vertraulichen Informationen, die für die Analyse nicht zwingend erforderlich sind.

Bearbeitung der Meldungen

1. Eingangsbestätigung — wir bestätigen den Eingang Ihrer Meldung in der Regel innerhalb von 5 Arbeitstagen.
2. Analyse — wir prüfen Reproduzierbarkeit, Auswirkungen sowie die betroffenen Produkte und Versionen.
3. Behebung — wir definieren und entwickeln die erforderlichen Gegenmaßnahmen, priorisiert nach Schweregrad.
4. Kommunikation — wir informieren die betroffenen Kunden und erfüllen, soweit einschlägig, die Meldepflichten gegenüber den zuständigen Behörden innerhalb der im Cyber Resilience Act vorgesehenen Fristen.
5. Rückmeldung — wir halten die meldende Person über den Fortschritt und das Ergebnis auf dem Laufenden.

Alle Meldungen werden vertraulich behandelt. Sofern Sie uns nichts anderes mitteilen, geben wir Ihre Identität nicht bekannt. Auf Wunsch nennen wir Sie in öffentlichen Veröffentlichungen zur betreffenden Schwachstelle namentlich.

Wir verfolgen den Ansatz der koordinierten Offenlegung: Wir bitten meldende Personen, Informationen nicht zu veröffentlichen, bevor die erforderlichen Gegenmaßnahmen verfügbar sind, damit Anwender keinem vermeidbaren Risiko ausgesetzt werden.

Wofür dieser Kanal nicht vorgesehen ist

Das Postfach [email protected] ist ausschließlich für Sicherheitsmeldungen bestimmt.

Für technische Unterstützung, kaufmännische Anfragen, Bestellungen oder Anwendungsberatung stehen weiterhin die üblichen Kanäle im Bereich Kontakt dieser Website zur Verfügung.

Rechtsgrundlage: Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 (Cyber Resilience Act).