Coordinated Vulnerability Disclosure (CVD)-beleid
Coordinated Vulnerability Disclosure (CVD)-beleid conform de EU Cyber Resilience Act (Verordening (EU) 2024/2847).
1. Inleiding en doelstelling
AMT Rail Road Production BV (hierna: AMT) ontwikkelt en levert producten met digitale elementen voor de spoorsector, waaronder de Trackbot, E-KROL, zelfrijdende railtrailers en diverse gemodificeerde railwerkvoertuigen. Als fabrikant in de zin van de EU Cyber Resilience Act (CRA, Verordening (EU) 2024/2847) is AMT verantwoordelijk voor de cybersecurity van deze producten gedurende de volledige ondersteuningsperiode.
Dit Coordinated Vulnerability Disclosure (CVD)-beleid beschrijft hoe AMT omgaat met meldingen van kwetsbaarheden in haar producten en systemen. Het beleid:
- geeft onderzoekers, klanten en derden een veilig en transparant kanaal om kwetsbaarheden te melden;
- legt de afhandelprocedure en verantwoordelijkheden vast;
- borgt naleving van de CRA-verplichtingen rond kwetsbaarheidsbeheer en de meldingsplicht aan ENISA;
- stelt AMT in staat te voldoen aan de 24-uurs early warning en 72-uurs notificatieplicht bij actief misbruikte kwetsbaarheden.
Het beleid is van kracht per datum van vaststelling en van toepassing op alle AMT-producten met digitale elementen die op de EU-markt worden gebracht.
2. Toepassingsgebied
2.1 In scope
Dit beleid is van toepassing op kwetsbaarheden in:
- embedded software en firmware in AMT-producten (besturingslogica, communicatiemodules);
- de AMT Service App inclusief backend-componenten en API’s;
- netwerkcommunicatie-interfaces van AMT-producten (Wi-Fi, 4G/LTE, externe koppelingen, remote diagnostics);
- webportalen en clouddiensten die AMT onder eigen naam aanbiedt;
- softwarecomponenten van derden die AMT in haar producten integreert.
2.2 Buiten scope
De volgende zaken vallen buiten dit beleid en worden niet behandeld als veiligheidskwetsbaarheid:
- social engineering en phishing gericht op AMT-medewerkers;
- fysieke aanvallen op AMT-producten of -locaties;
- Denial-of-Service-aanvallen (DoS/DDoS);
- kwetsbaarheden in producten van derden die AMT niet heeft gemodificeerd (te melden bij de betreffende fabrikant);
- kwetsbaarheden zonder aantoonbare beveiligingsimpact of zonder reproduceerbaar bewijs.
3. Een kwetsbaarheid melden
3.1 Meldingskanaal
Meld kwetsbaarheden uitsluitend vertrouwelijk via onderstaand kanaal. Gebruik geen openbare kanalen.
| Kanaal | Details |
|---|---|
| E-mail (primair) | security@amtgroup.nl |
| PGP-versleuteling | Een publieke sleutel wordt aangekondigd via security.txt zodra beschikbaar. |
| security.txt (RFC 9116) | https://www.amtgroup.nl/.well-known/security.txt |
| Taal | Nederlands, Duits of Engels |
3.2 Inhoud van de melding
Voeg bij de melding bij voorkeur de volgende informatie toe:
- type en locatie van de kwetsbaarheid en het getroffen component/versie;
- stappen om de kwetsbaarheid te reproduceren;
- verwachte impact (vertrouwelijkheid, integriteit of beschikbaarheid);
- contactgegevens van de melder (naam en e-mail; anonimiteit is toegestaan);
- eventuele Proof-of-Concept of screenshots (alleen via het versleutelde kanaal).
Onvolledige meldingen worden niet afgewezen, maar leiden mogelijk tot een langere behandeltijd.
4. Afhandelingsprocedure
4.1 Responstermijnen
| Stap | Termijn |
|---|---|
| Ontvangstbevestiging aan melder | Binnen 3 werkdagen |
| Eerste beoordeling (validatie + ernst) | Binnen 7 werkdagen |
| Voortgangsupdate aan melder | Elke 14 dagen |
| Oplossing (patch of mitigatie) | Streven: binnen 90 dagen |
| Publieke openbaarmaking | Na fix of na 90 dagen |
Bij overschrijding van 90 dagen wordt de melder tijdig geinformeerd met reden en een nieuwe streeftermijn. Bij actief misbruik worden alle termijnen verkort conform de CRA-meldplicht.
4.2 Classificatie (CVSS v3.1)
| Ernst | CVSS-score | Behandeltermijn / actie |
|---|---|---|
| Kritiek | 9.0 – 10.0 | Direct escaleren; patch binnen 30 dagen of onmiddellijke mitigatie |
| Hoog | 7.0 – 8.9 | Escalatie binnen 7 werkdagen; patch binnen 60 dagen |
| Gemiddeld | 4.0 – 6.9 | Behandeling binnen 30 werkdagen; patch binnen 90 dagen |
| Laag | 0.1 – 3.9 | Opnemen in reguliere release-cyclus; binnen 180 dagen |
4.3 Processtappen
Na ontvangst van een melding volgt AMT onderstaande stappen:
- Ontvangst en registratie – melding vastleggen (datum, melder, beschrijving, initieel CVSS).
- Validatie – beoordeling van reproduceerbaarheid en impact.
- ENISA-toets – is sprake van een actief misbruikte kwetsbaarheid of ernstig incident? Zo ja: de 24-uurs early warning en 72-uurs ENISA-melding worden opgestart.
- Escalatie – interne escalatie bij CVSS 7.0 of hoger.
- Oplossing – patch of mitigatie ontwikkelen, testen en uitrollen; getroffen klanten proactief informeren.
- Documentatie – CVE-aanvraag indien van toepassing; technisch dossier en SBOM bijwerken.
- Openbaarmaking – gecoordineerde security advisory publiceren in overleg met de melder.
- Evaluatie – lessons learned; structurele oorzaken adresseren.
5. Rollen en verantwoordelijkheden
AMT heeft de behandeling van kwetsbaarheidsmeldingen belegd bij een vast securityteam met duidelijke verantwoordelijkheden:
| Rol | Verantwoordelijkheid |
|---|---|
| Security-contactpersoon | Eerste aanspreekpunt, registratie en communicatie met de melder; coordinatie van ENISA-meldingen. |
| Technisch team | Validatie van de kwetsbaarheid; ontwikkeling en test van patch of mitigatie; bijwerken van de SBOM. |
| Compliance | Bijhouden van het technisch dossier; review na afhandeling; jaarlijkse beleidsevaluatie. |
| Directie | Besluitvorming bij ernstige incidenten en autorisatie van ENISA-meldingen. |
6. Regels voor onderzoekers (Safe Harbour)
AMT waardeert de bijdrage van beveiligingsonderzoekers en biedt de volgende garanties aan onderzoekers die dit beleid naleven:
- AMT neemt geen juridische stappen tegen onderzoekers die te goeder trouw handelen en dit beleid volgen;
- AMT informeert geen handhavingsinstanties over meldingen die conform dit beleid zijn ingediend;
- AMT beschouwt onderzoek dat conform dit beleid is uitgevoerd als handelend in het maatschappelijk belang.
Van onderzoekers verwacht AMT dat zij:
- systemen en data van derden (klanten, eindgebruikers) niet benaderen, kopieren of wijzigen;
- geen productieomgevingen verstoren;
- gevonden kwetsbaarheden uitsluitend melden via het kanaal in hoofdstuk 3 en niet openbaar maken voor de gecoordineerde openbaarmakingsdatum;
- de kwetsbaarheid minimaal gebruiken – voldoende om de impact aan te tonen, niet meer;
- geen misbruik maken van de kwetsbaarheid voor persoonlijk of financieel gewin.
Safe harbour geldt niet bij opzettelijke schade, diefstal van data of chantagepogingen.
6.1 Bug bounty
AMT heeft op dit moment geen formeel bug bounty-programma en behoudt zich het recht voor hierover per individuele melding te besluiten. Onderzoekers die een significante kwetsbaarheid melden kunnen op verzoek worden vermeld in de publieke security advisory (credits).
7. Openbaarmaking en communicatie
7.1 Gecoordineerde openbaarmaking
AMT streeft naar gecoordineerde openbaarmaking conform ISO/IEC 29147 en de NCSC CVD-richtsnoeren. Na beschikbaarheid van een fix of mitigatie publiceert AMT een security advisory. De melder wordt vooraf geinformeerd over de publicatiedatum.
7.2 Maximale termijn
Indien na 90 dagen geen oplossing beschikbaar is, kan AMT in overleg met de melder besluiten tot beperkte openbaarmaking inclusief mitigerende maatregelen. AMT communiceert hier proactief over met de melder.
7.3 CVE-aanvragen
Bij kwetsbaarheden die een CVE-identifier rechtvaardigen, vraagt AMT een CVE aan via MITRE of een relevante CNA. De CVE wordt opgenomen in de security advisory en de SBOM van het betreffende product.
7.4 Klantcommunicatie
Getroffen afnemers en infrabeheerders worden proactief en vertrouwelijk geinformeerd over kwetsbaarheden die hen direct raken, inclusief beschikbare patches of workarounds, voorafgaand aan publieke openbaarmaking.
8. CRA-meldplicht aan ENISA
8.1 Melddrempels
| Situatie | Termijn | Inhoud melding |
|---|---|---|
| Actief misbruikte kwetsbaarheid ontdekt | 24 uur (early warning) | Product, aard kwetsbaarheid, getroffen versies, initieel CVSS, beschikbaarheid mitigatie. |
| Ernstig incident met impact op productbeveiliging | 72 uur | Gedetailleerde beschrijving, getroffen klanten, genomen maatregelen, verwachte hersteltijd. |
| Definitief incidentrapport | Binnen 1 maand | Volledige analyse, root cause, structurele maatregelen, CVE-nummer indien van toepassing. |
8.2 Registratie en nationale autoriteit
AMT is als fabrikant geregistreerd bij het ENISA Single Reporting Platform. Waar noodzakelijk informeert AMT daarnaast de Nederlandse markttoezichthouder (RDI – Rijksdienst voor Digitale Infrastructuur) conform de nationale uitvoering van de CRA-meldplicht.
9. Kwetsbaarheden in componenten van derden
AMT integreert softwarecomponenten van derden, waaronder de CODESYS-runtime en software van gespecialiseerde leveranciers. Bij kwetsbaarheden in deze componenten geldt:
- AMT monitort actief kwetsbaarheden in geintegreerde componenten via CVE-feeds (onder meer NVD, CODESYS Security Advisories en leverancierskanalen);
- bij een kwetsbaarheid in een component van een leverancier informeert AMT die leverancier en eist respons binnen de contractueel vastgelegde termijnen;
- AMT informeert getroffen klanten tijdig, ook wanneer de fix afhankelijk is van een derde leverancier.
10. Documentatie en registratie
AMT legt alle kwetsbaarheidsmeldingen vast in een intern kwetsbaarheden-register, met minimaal: datum van ontvangst en een uniek referentienummer, een beschrijving van de kwetsbaarheid en de getroffen producten/versies, de CVSS-score en classificatie, de status per processtap, de contactgegevens van de melder (anoniem indien gewenst), de datum en vorm van openbaarmaking en – indien van toepassing – de ENISA-meldingsdatum en het CVE-nummer. Het register maakt deel uit van het CRA-compliance-dossier en wordt conform de CRA-bewaarplicht ten minste vijf jaar bewaard.
11. Evaluatie en herziening
Dit beleid wordt jaarlijks geevalueerd, herzien na elk significant incident of ernstige kwetsbaarheid, bijgesteld bij wijzigingen in CRA-uitvoeringsregelingen of ENISA-richtlijnen, en herzien bij een wezenlijke uitbreiding van het AMT-productportfolio.
12. Contact
| Gegeven | Details |
|---|---|
| Security-e-mail | security@amtgroup.nl |
| Website | https://www.amtgroup.nl |
| security.txt | https://www.amtgroup.nl/.well-known/security.txt |
AMT Rail Road Production BV · CVD-beleid · Documentnummer AMT-CRA-CVD-001 · Versie 1.0 · Juni 2026 · Classificatie: Openbaar