CZ 
SK
PL
HURichtlinie zur koordinierten Offenlegung von Schwachstellen
Coordinated Vulnerability Disclosure Policy (CVD)
1. Zweck und Geltungsbereich
Die Gesellschaft ETA a.s. (nachfolgend „ETA“) legt hiermit ihre Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD) gemäß der Verordnung (EU) 2024/2847 über die Cyberresilienz (CRA) fest.
Die Richtlinie gilt für alle Produkte von ETA mit digitalen Elementen, die im Europäischen Wirtschaftsraum in Verkehr gebracht werden, einschließlich deren Firmware, zugehöriger mobiler Anwendungen und verbundener Cloud-Dienste. Die Richtlinie gilt während des gesamten Unterstützungszeitraums des jeweiligen Produkts, mindestens jedoch 5 Jahre ab dem Inverkehrbringen.
2. Kontaktkanal zur Meldung von Schwachstellen
Schwachstellen in ETA-Produkten können über folgende Kanäle gemeldet werden:
| Kanal | Adresse |
|---|---|
| psirt@eta.cz | |
| Web | https://www.hyundai-electronics.de/pages/richtlinie-zur-koordinierten-offenlegung-von-schwachstellen |
| security.txt (RFC 9116) | https://www.eta.cz/.well-known/security.txt |
Wir nehmen Meldungen in tschechischer, slowakischer und englischer Sprache entgegen. Anonyme Meldungen sind ebenfalls möglich.
2.1 Angaben in der Meldung
Für eine schnelle Bewertung bitten wir um folgende Angaben:
- Name und Version des betroffenen Produkts oder der betroffenen Firmware,
- Beschreibung der Schwachstelle und ihrer potenziellen Auswirkungen,
- Schritte zur Reproduktion, sofern möglich,
- Kontaktinformationen oder den Wunsch, anonym zu bleiben.
3. Fristen für die Bearbeitung von Meldungen
| Aktivität | Frist |
|---|---|
| Bestätigung des Eingangs der Meldung | innerhalb von 3 Arbeitstagen |
| Erste inhaltliche Rückmeldung (Triage) | innerhalb von 10 Arbeitstagen |
| Regelmäßige Statusaktualisierung | mindestens 1× alle 14 Tage |
| Behebung – kritische Schwachstelle (CVSS 9,0–10,0) | innerhalb von 7 Kalendertagen |
| Behebung – hohe Schwachstelle (CVSS 7,0–8,9) | innerhalb von 30 Kalendertagen |
| Behebung – mittlere Schwachstelle (CVSS 4,0–6,9) | innerhalb von 90 Kalendertagen |
| Behebung – niedrige Schwachstelle (CVSS 0,1–3,9) | innerhalb von 180 Kalendertagen |
Die Fristen können angemessen verlängert werden, wenn eine notwendige Koordinierung mit einem Drittanbieter erforderlich ist. ETA informiert den Melder hierüber unverzüglich.
4. Verfahren zur Bearbeitung von Meldungen
| Schritt | Beschreibung |
|---|---|
| 1 – Eingang | Die Meldung wird erfasst, dem Melder wird eine Vorgangsnummer zugewiesen und der Eingang wird innerhalb von 3 Arbeitstagen bestätigt. |
| 2 – Triage | Das PSIRT-Team überprüft die Reproduzierbarkeit, bestimmt den Schweregrad (CVSS) und identifiziert die betroffenen Produkte und Versionen. |
| 3 – Behebung | Das zuständige Entwicklungsteam erstellt innerhalb der festgelegten Fristen einen Patch oder eine Abhilfemaßnahme (Mitigation). |
| 4 – Testen | Der Patch wird einer Sicherheitstestung und Verifizierung unterzogen. |
| 5 – Veröffentlichung des Updates | Die Fehlerbehebung wird veröffentlicht und den Nutzern über die standardmäßigen Update-Kanäle zur Verfügung gestellt. |
| 6 – Veröffentlichung | ETA veröffentlicht ein Security Advisory mit einer Beschreibung der Schwachstelle, dem CVSS-Score und Anweisungen für die Nutzer. |
5. Koordinierte Offenlegung
Informationen über eine Schwachstelle werden nach Veröffentlichung eines Patches oder einer wirksamen Abhilfemaßnahme veröffentlicht. ETA stimmt den Zeitpunkt der Veröffentlichung mit dem Melder ab; die standardmäßige Embargofrist beträgt 90 Tage ab der Bestätigung der Meldung.
5.1 Inhalt eines Security Advisories
Jedes Security Advisory enthält:
- die CVE-Kennung und die Bewertung des Schweregrads gemäß CVSS v3.1,
- die betroffenen Produkte und Versionen,
- eine Beschreibung der Schwachstelle und der Voraussetzungen für ihre Ausnutzung,
- Anweisungen zur Behebung oder empfohlene Maßnahmen,
- eine maschinenlesbare Version im Format CSAF 2.0.
5.2 Kanäle für die Veröffentlichung
- https://www.hyundai-electronics.de/pages/richtlinie-zur-koordinierten-offenlegung-von-schwachstellen
- E-Mail-Benachrichtigung registrierter Nutzer und Geschäftspartner,
- koordinierte Bekanntmachung mit CSIRT.CZ und ENISA.
6. Meldepflichten
Bei Feststellung einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls ist ETA ab dem 11. September 2026 verpflichtet, diesen Umstand der Agentur ENISA und dem nationalen CSIRT.CZ über die Single Reporting Platform der EU zu melden:
Für die Zwecke dieses Artikels bezeichnet ein schwerwiegender Sicherheitsvorfall einen Vorfall, der (a) die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Funktionen zu schützen, beeinträchtigt ODER (b) zur Einführung von Schadcode in das Produkt oder in das Netzwerk des Nutzers geführt hat oder führen kann.
| Art des Ereignisses | Early Warning | Initial Notification | Final Report |
|---|---|---|---|
| Aktiv ausgenutzte Schwachstelle | 24 Stunden | 72 Stunden | 14 Tage ab Verfügbarkeit des Patches |
| Schwerwiegender Sicherheitsvorfall | 24 Stunden | 72 Stunden | 30 Tage ab der ersten Meldung |
Die Fristen für die Early Warning und die Initial Notification beginnen mit dem Zeitpunkt, zu dem ETA die aktive Ausnutzung einer Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall feststellt – und nicht mit dem Zeitpunkt des Eingangs der Meldung des Melders. Die Frist für den Final Report bei einer aktiv ausgenutzten Schwachstelle beginnt mit dem Zeitpunkt, zu dem eine Abhilfemaßnahme oder Mitigation verfügbar ist. Die Frist für den Final Report bei einem schwerwiegenden Sicherheitsvorfall beginnt mit dem Zeitpunkt der Übermittlung der Initial Notification.
7. SBOM und Verwaltung von Komponenten Dritter
ETA erstellt und pflegt für jedes Produkt mit digitalen Elementen eine Software-Stückliste (SBOM). Die SBOM wird in einem maschinenlesbaren Format (SPDX oder CycloneDX) erstellt und enthält mindestens die wichtigsten Abhängigkeiten des Produkts. Die SBOM wird bei jeder Veröffentlichung einer neuen Version aktualisiert und den Marktüberwachungsbehörden auf Anfrage zur Verfügung gestellt.
Sind in einem ETA-Produkt Komponenten Dritter (Bibliotheken, Chipsatz-Firmware, SDKs) enthalten, überwacht ETA die Sicherheitsmeldungen der jeweiligen Anbieter und behandelt Schwachstellen in solchen Komponenten gemäß den in Art. 3 dieser Richtlinie festgelegten Fristen. Wird eine Schwachstelle in einer Komponente eines Drittanbieters festgestellt, informiert ETA den jeweiligen Anbieter unverzüglich und koordiniert die Behebung.