2. Meldekanäle für Schwachstellen

Tarso-man S.L.U. stellt eine zentrale Kontaktstelle für die Meldung von Produktschwachstellen gemäß den Anforderungen des Cyber Resilience Act bereit. Die offiziellen Meldekanäle sind:

• E-mail: [email protected]
• Telefon: +34 954 689 663

Diese Kommunikationskanäle werden kontinuierlich überwacht, um eine zeitnahe Reaktion sicherzustellen. Gemäß dem CRA muss die zentrale Kontaktstelle leicht auffindbar sein und den Nutzern die Kommunikation über mehrere Kommunikationswege ermöglichen, anstatt sich ausschließlich auf automatisierte Werkzeuge zu stützen. Alle eingehenden Schwachstellenmeldungen werden vom zuständigen Personal bestätigt und leiten den Schwachstellenmanagementprozess ein.

3. Rückverfolgbarkeit von Hardware und Firmware

Zur Minimierung der Auswirkungen potenzieller Schwachstellen führt Tarso-man S.L.U. umfassende Rückverfolgbarkeitsaufzeichnungen für jedes ausgelieferte Produkt. Das unternehmensinterne ERP-System ordnet jeder Seriennummer die entsprechende Hardwarekonfiguration sowie die installierte Firmware-Version zu. Dadurch wird die Anforderung des CRA erfüllt, die in jedem Produkt enthaltenen Komponenten identifizieren zu können. In der Praxis steht damit ein aktuelles Verzeichnis zur Verfügung, das Tarso-man S.L.U. ermöglicht, unmittelbar festzustellen, welche Produkte, Kunden und Seriennummern von einer neu identifizierten Schwachstelle betroffen sein könnten. Diese Rückverfolgbarkeit ermöglicht es, Korrekturmaßnahmen ausschließlich auf die betroffenen Produkte auszurichten.

4. Verfahren zur Bewertung und Behebung von Schwachstellen

Internes Verfahren

• Erste Analyse und Bewertung : Nach Eingang einer Schwachstellenmeldung überprüft das technische Team deren Authentizität und reproduziert die gemeldete Schwachstelle in einer kontrollierten Umgebung. Anschließend wird das damit verbundene Risiko bewertet, wobei unter anderem die Wahrscheinlichkeit einer Ausnutzung, die Auswirkungen auf den sicheren Betrieb der vom Empfänger gesteuerten Maschine, die Vertraulichkeit, Integrität und Verfügbarkeit der Daten sowie die Gesamtauswirkungen auf die Produktsicherheit berücksichtigt werden. Auf Grundlage dieser Bewertung wird jede Schwachstelle entsprechend ihrem Schweregrad klassifiziert, um die Priorität der erforderlichen Korrekturmaßnahmen festzulegen.
• • Kritisch: Eine Schwachstelle, die die Produktsicherheit beeinträchtigen, die Ausführung von Code ermöglichen, unbefugten Zugriff erlauben oder den sicheren Betrieb des Geräts gefährden kann. Korrekturmaßnahme: Höchste Priorität bei der Behebung. Sicherheitsaktualisierungen werden ausschließlich durch autorisiertes Personal von Tarso-man S.L.U. in den Einrichtungen des Unternehmens durchgeführt.
  • Hoch: Ein erhebliches Sicherheitsrisiko mit realistischer Möglichkeit einer Ausnutzung, auch wenn vorübergehende Minderungsmaßnahmen verfügbar sein können. Korrekturmaßnahme: Behebung mit hoher Priorität sowie Planung der erforderlichen Maßnahme innerhalb des kürzest technisch realisierbaren Zeitraums.
  • Mittel: Begrenzte Auswirkungen ohne unmittelbare Folgen für die Produktsicherheit oder den sicheren Betrieb. Korrekturmaßnahme: Umsetzung der Sicherheitskorrektur während des nächsten planmäßigen Serviceeinsatzes oder sobald das Gerät in den Einrichtungen von Tarso-man S.L.U. eingeht.
  • Niedrig: Geringfügige Schwachstelle ohne wesentliche Auswirkungen auf die Produktsicherheit oder den Datenschutz. Korrekturmaßnahme: Aufnahme der Korrektur in zukünftige Firmware-Wartungsversionen, sobald das Gerät in den Einrichtungen von Tarso-man S.L.U. gewartet wird.
• Development and Validation of the Solution: An appropriate firmware security patch or hardware/configuration mitigation shall be developed and thoroughly tested to ensure that the vulnerability is effectively resolved without introducing additional security or functional issues.
• Implementation: Once the corrective solution has been validated, Tarso-man S.L.U. shall determine the deployment method according to the severity of the vulnerability.
• • Kritische und hohe Schwachstellen, insbesondere solche, die die Produktsicherheit beeinträchtigen, unbefugten Zugriff ermöglichen, die Integrität der Firmware beeinträchtigen oder die Verfügbarkeit beziehungsweise den sicheren Betrieb des Produkts gefährden können, werden vorrangig durch Sicherheitsaktualisierungen behoben, die ausschließlich von autorisiertem Personal der Tarso-man S.L.U. in den Einrichtungen des Unternehmens durchgeführt werden. Dieses Verfahren gewährleistet, dass jede Firmware-Aktualisierung in einer sicheren und kontrollierten Umgebung erfolgt.
  • Schwachstellen mit mittlerem oder niedrigem Schweregrad, die weder die Produktsicherheit noch die Vertraulichkeit oder Integrität der Daten oder den sicheren Betrieb des Geräts beeinträchtigen, werden durch Einbindung des entsprechenden Sicherheitspatches während des nächsten planmäßigen Serviceeinsatzes oder sobald das Produkt zur Wartung, Inspektion oder Reparatur in die Einrichtungen von Tarso-man S.L.U. zurückkehrt, behoben.
• Dokumentation und Nachweisführung : Sämtliche gemeldeten Schwachstellen werden intern dokumentiert, einschließlich ihrer technischen Beschreibung, ihres Schweregrads, der betroffenen Produkte anhand ihrer Seriennummern sowie aller umgesetzten Korrekturmaßnahmen. Die Dokumentation umfasst außerdem Angaben zum angewendeten Sicherheitspatch, zu den Zeitpunkten der Umsetzung sowie zu den Zeitpunkten der Benachrichtigung der Kunden. Sämtliche Tätigkeiten erfolgen gemäß der Richtlinie von Tarso-man S.L.U. zur koordinierten Offenlegung von Schwachstellen, in der Verantwortlichkeiten, Verfahren und Reaktionszeiten festgelegt sind.

5. Kommunikations- und Offenlegungspflichten

Kommunikationsverfahren

• Benachrichtigung betroffener Kunden : Kunden, deren Produkte betroffen sein könnten, werden proaktiv per E-Mail informiert. Die Mitteilung enthält eine Beschreibung der Schwachstelle, die Identifizierung der betroffenen Produkte anhand ihrer Seriennummern, empfohlene Minderungsmaßnahmen sowie gegebenenfalls Hinweise zur Abstimmung der Durchführung der erforderlichen Sicherheitsaktualisierung mit Tarso-man S.L.U. Falls angemessen, kann zusätzlich eine Sicherheitsmitteilung auf der Support-Website von Tarso-man S.L.U. veröffentlicht werden, um sicherzustellen, dass alle Nutzer über die verfügbaren Korrekturmaßnahmen informiert werden.
• Benachrichtigung der zuständigen Behörden (ENISA / CSIRT) : Wird eine aktiv ausgenutzte Schwachstelle oder ein erheblicher Cybersicherheitsvorfall festgestellt, benachrichtigt Tarso-man S.L.U. sowohl das benannte nationale CSIRT als auch die Agentur der Europäischen Union für Cybersicherheit (ENISA) über die gemäß Artikel 14 des Cyber Resilience Act eingerichtete einheitliche Meldeplattform. Die gesetzlich vorgeschriebenen Meldefristen werden eingehalten: Frühwarnung innerhalb von 24 Stunden nach Kenntnis des Vorfalls; vollständige Meldung innerhalb von 72 Stunden; Abschlussbericht mit detaillierter Beschreibung der Schwachstelle oder des Vorfalls, Bewertung des Schweregrads, Ursachenanalyse und den umgesetzten Korrekturmaßnahmen innerhalb von 14 Tagen nach Verfügbarkeit der Behebung (bzw. innerhalb von 30 Tagen bei erheblichen Sicherheitsvorfällen). Diese Meldungen ermöglichen es der ENISA und den zuständigen CSIRTs, die Reaktion zu koordinieren und gegebenenfalls andere potenziell betroffene Nutzer zu warnen.
• Sicherheitsaktualisierungen : Sämtliche Sicherheitsaktualisierungen zur Behebung von Cybersicherheitsschwachstellen werden den Kunden während des festgelegten Supportzeitraums unentgeltlich zur Verfügung gestellt. Aufgrund des Sicherheitskonzepts der Produkte von Tarso-man S.L.U. dürfen Firmware-Aktualisierungen ausschließlich durch autorisiertes Personal in den Einrichtungen des Unternehmens durchgeführt werden, wodurch die Authentizität, Integrität und Rückverfolgbarkeit jeder Firmware-Aktualisierung gewährleistet werden. Tarso-man S.L.U. führt dokumentierte Aufzeichnungen über sämtliche durchgeführten Sicherheitsaktualisierungen und ordnet jede Maßnahme der entsprechenden Seriennummer des Produkts zu.

Durch diese Richtlinie gewährleistet Tarso-man S.L.U. ein proaktives und koordiniertes Schwachstellenmanagement im Einklang mit den wesentlichen Cybersicherheitsanforderungen des Cyber Resilience Act. Diese Richtlinie wird regelmäßig überprüft, um bewährte Verfahren zu berücksichtigen und ihre Verfahren sowie Reaktionszeiten an regulatorische Entwicklungen und sich weiterentwickelnde Cybersicherheitsanforderungen anzupassen.