Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD)
Coordinated Vulnerability Disclosure (CVD)-Richtlinie gemäß dem EU Cyber Resilience Act (Verordnung (EU) 2024/2847).
1. Einleitung und Zielsetzung
AMT Rail Road Production BV (nachfolgend: AMT) entwickelt und liefert Produkte mit digitalen Elementen für den Bahnsektor, darunter den Trackbot, den E-Zweiwegebagger, selbstfahrende Gleisbauanhänger und verschiedene modifizierte Gleisbauarbeitsfahrzeuge. Als Hersteller im Sinne des EU Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist AMT für die Cybersicherheit dieser Produkte während des gesamten Unterstützungszeitraums verantwortlich.
Diese Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD) beschreibt, wie AMT mit Meldungen über Schwachstellen in ihren Produkten und Systemen umgeht. Die Richtlinie:
- bietet Forschern, Kunden und Dritten einen sicheren und transparenten Kanal zur Meldung von Schwachstellen;
- legt das Bearbeitungsverfahren und die Verantwortlichkeiten fest;
- gewährleistet die Einhaltung der CRA-Verpflichtungen in Bezug auf das Schwachstellenmanagement und die Meldepflicht gegenüber der ENISA;
- ermöglicht es AMT, die 24-Stunden-Frühwarnung und die 72-Stunden-Benachrichtigungspflicht bei aktiv ausgenutzten Schwachstellen zu erfüllen.
Die Richtlinie tritt mit dem Datum der Verabschiedung in Kraft und gilt für alle AMT-Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden.
2. Anwendungsbereich
2.1 In Scope
Diese Richtlinie gilt für Schwachstellen in:
- Embedded Software und Firmware in AMT-Produkten (Steuerungslogik, Kommunikationsmodule);
- der AMT Service App einschließlich Backend-Komponenten und APIs;
- Netzwerkkommunikationsschnittstellen von AMT-Produkten (WLAN, 4G/LTE, externe Kopplungen, Ferndiagnose);
- Webportalen und Cloud-Diensten, die AMT unter eigenem Namen anbietet;
- Softwarekomponenten von Drittanbietern, die AMT in ihre Produkte integriert.
2.2 Out of Scope
Die folgenden Punkte fallen nicht unter diese Richtlinie und werden nicht als Sicherheitslücke behandelt:
- Social Engineering und Phishing gegen AMT-Mitarbeiter;
- physische Angriffe auf AMT-Produkte oder -Standorte;
- Denial-of-Service-Angriffe (DoS/DDoS);
- Schwachstellen in Produkten von Drittanbietern, die AMT nicht modifiziert hat (diese sind dem jeweiligen Hersteller zu melden);
- Schwachstellen ohne nachweisbare Sicherheitsauswirkung oder ohne reproduzierbare Beweise.
3. Eine Schwachstelle melden
3.1 Meldekanal
Melden Sie Schwachstellen ausschließlich vertraulich über den unten genannten Kanal. Nutzen Sie keine öffentlichen Kanäle.
| Kanal | Details |
|---|---|
| E-Mail (primär) | security@amtgroup.nl |
| PGP-Verschlüsselung | Ein öffentlicher Schlüssel wird über security.txt bekannt gegeben, sobald dieser verfügbar ist. |
| security.txt (RFC 9116) | https://www.amtgroup.nl/.well-known/security.txt |
| Sprache | Niederländisch, Deutsch oder Englisch |
3.2 Inhalt der Meldung
Fügen Sie der Meldung vorzugsweise folgende Informationen bei:
- Art und Ort der Schwachstelle sowie die betroffene Komponente/Version;
- Schritte zur Reproduktion der Schwachstelle;
- erwartete Auswirkungen (Vertraulichkeit, Integrität oder Verfügbarkeit);
- Kontaktdaten des Meldenden (Name und E-Mail; Anonymität ist zulässig);
- eventuelle Proof-of-Concept oder Screenshots (nur über den verschlüsselten Kanal).
Unvollständige Meldungen werden nicht abgelehnt, können aber zu einer längeren Bearbeitungszeit führen.
4. Bearbeitungsverfahren
4.1 Reaktionsfristen
| Schritt | Frist |
|---|---|
| Empfangsbestätigung an den Melder | Innerhalb von 3 Werktagen |
| Erste Bewertung (Validierung + Schweregrad) | Innerhalb von 7 Werktagen |
| Fortschritts-Update an den Melder | Alle 14 Tage |
| Lösung (Patch oder Mitigation) | Ziel: innerhalb von 90 Tagen |
| Öffentliche Bekanntgabe | Nach Fix oder nach 90 Tagen |
Bei Überschreitung von 90 Tagen wird der Melder rechtzeitig unter Angabe von Gründen und einer neuen Zielfrist informiert. Bei aktivem Missbrauch werden alle Fristen gemäß der CRA-Meldepflicht verkürzt.
4.2 Klassifizierung (CVSS v3.1)
| Schweregrad | CVSS-Score | Bearbeitungsfrist / Maßnahme |
|---|---|---|
| Kritisch | 9.0 – 10.0 | Sofort eskalieren; Patch innerhalb von 30 Tagen oder unmittelbare Mitigation |
| Hoch | 7.0 – 8.9 | Eskalation innerhalb von 7 Werktagen; Patch innerhalb von 60 Tagen |
| Mittel | 4.0 – 6.9 | Bearbeitung innerhalb von 30 Werktagen; Patch innerhalb von 90 Tagen |
| Niedrig | 0.1 – 3.9 | Aufnahme in den regulären Release-Zyklus; innerhalb von 180 Tagen |
4.3 Prozessschritte
Nach Erhalt einer Meldung folgt AMT den unten stehenden Schritten:
- Eingang und Registrierung – Meldung erfassen (Datum, Melder, Beschreibung, initialer CVSS).
- Validierung – Bewertung der Reproduzierbarkeit und der Auswirkungen.
- ENISA-Prüfung – Liegt eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall vor? Wenn ja: Die 24-Stunden-Frühwarnung und die 72-Stunden-ENISA-Meldung werden eingeleitet.
- Eskalation – Interne Eskalation bei CVSS 7.0 oder höher.
- Lösung – Patch oder Mitigation entwickeln, testen und ausrollen; betroffene Kunden proaktiv informieren.
- Dokumentation – CVE-Beantragung, falls zutreffend; technisches Dossier und SBOM aktualisieren.
- Offenlegung – Koordinierte Veröffentlichung eines Sicherheitshinweises (Security Advisory) in Absprache mit dem Melder.
- Evaluierung – Lessons Learned; strukturelle Ursachen adressieren.
5. Rollen und Verantwortlichkeiten
AMT hat die Bearbeitung von Schwachstellenmeldungen einem festen Security-Team mit klaren Verantwortlichkeiten übertragen:
| Rolle | Verantwortlichkeit |
|---|---|
| Security-Ansprechpartner | Erster Ansprechpartner, Registrierung und Kommunikation mit dem Melder; Koordination von ENISA-Meldungen. |
| Technisches Team | Validierung der Schwachstelle; Entwicklung und Test von Patches oder Mitigationen; Aktualisierung der SBOM. |
| Compliance | Führen des technischen Dossiers; Review nach der Bearbeitung; jährliche Evaluierung der Richtlinie. |
| Geschäftsführung | Entscheidungsfindung bei schwerwiegenden Vorfällen und Autorisierung von ENISA-Meldungen. |
6. Regeln für Forscher (Safe Harbor)
AMT schätzt den Beitrag von Sicherheitsforschern und bietet Forschern, die diese Richtlinie einhalten, folgende Garantien:
- AMT wird keine rechtlichen Schritte gegen Forscher einleiten, die in gutem Glauben handeln und diese Richtlinie befolgen;
- AMT informiert keine Strafverfolgungsbehörden über Meldungen, die gemäß dieser Richtlinie eingereicht wurden;
- AMT betrachtet Untersuchungen, die gemäß dieser Richtlinie durchgeführt wurden, als im öffentlichen Interesse handelnd.
Von Forschern erwartet AMT, dass sie:
- nicht auf Systeme und Daten Dritter (Kunden, Endnutzer) zugreifen, diese kopieren oder ändern;
- keine Produktionsumgebungen stören;
- gefundene Schwachstellen ausschließlich über den in Kapitel 3 genannten Kanal melden und vor dem koordinierten Offenlegungsdatum nicht öffentlich machen;
- die Schwachstelle nur minimal ausnutzen – gerade genug, um die Auswirkungen nachzuweisen, nicht mehr;
- die Schwachstelle nicht für persönlichen oder finanziellen Gewinn missbrauchen.
Safe Harbor gilt nicht bei vorsätzlicher Schadenszufügung, Datendiebstahl oder Erpressungsversuchen.
6.1 Bug Bounty
AMT unterhält derzeit kein formelles Bug-Bounty-Programm und behält sich das Recht vor, hierüber pro Einzelfallmeldung zu entscheiden. Forscher, die eine signifikante Schwachstelle melden, können auf Wunsch im öffentlichen Sicherheitshinweis (Credits) genannt werden.
7. Offenlegung und Kommunikation
7.1 Koordinierte Offenlegung
AMT strebt eine koordinierte Offenlegung gemäß ISO/IEC 29147 und den NCSC CVD-Leitlinien an. Nach Verfügbarkeit eines Fixes oder einer Mitigation veröffentlicht AMT einen Sicherheitshinweis. Der Melder wird vorab über das Veröffentlichungsdatum informiert.
7.2 Maximale Frist
Falls nach 90 Tagen keine Lösung verfügbar ist, kann AMT in Absprache mit dem Melder eine begrenzte Offenlegung einschließlich mildernder Maßnahmen beschließen. AMT kommuniziert hierüber proaktiv mit dem Melder.
7.3 CVE-Beantragungen
Bei Schwachstellen, die eine CVE-Kennung rechtfertigen, beantragt AMT eine CVE über MITRE oder eine relevante CNA. Die CVE wird in den Sicherheitshinweis und die SBOM des betreffenden Produkts aufgenommen.
7.4 Kundenkommunikation
Betroffene Abnehmer und Infrastrukturbetreiber werden proaktiv und vertraulich über Schwachstellen informiert, die sie direkt betreffen, einschließlich verfügbarer Patches oder Workarounds, noch vor der öffentlichen Bekanntgabe.
8. CRA-Meldepflicht gegenüber der ENISA
8.1 Meldeschwellen
| Situation | Frist | Inhalt der Meldung |
|---|---|---|
| Aktiv ausgenutzte Schwachstelle entdeckt | 24 Stunden (Frühwarnung) | Produkt, Art der Schwachstelle, betroffene Versionen, initialer CVSS, Verfügbarkeit der Mitigation. |
| Schwerwiegender Vorfall mit Auswirkungen auf die Produktsicherheit | 72 Stunden | Detaillierte Beschreibung, betroffene Kunden, ergriffene Maßnahmen, erwartete Wiederherstellungszeit. |
| Abschließender Vorfallsbericht | Innerhalb von 1 Monat | Vollständige Analyse, Root Cause, strukturelle Maßnahmen, CVE-Nummer falls zutreffend. |
8.2 Registrierung und nationale Behörde
AMT ist als Hersteller bei der ENISA Single Reporting Platform registriert. Wo erforderlich, informiert AMT zusätzlich die niederländische Marktaufsichtsbehörde (RDI – Rijksdienst voor Digitale Infrastructuur) gemäß der nationalen Umsetzung der CRA-Meldepflicht.
9. Schwachstellen in Komponenten von Drittanbietern
AMT integriert Softwarekomponenten von Drittanbietern, darunter die CODESYS-Runtime und Software von spezialisierten Lieferanten. Bei Schwachstellen in diesen Komponenten gilt:
- AMT überwacht aktiv Schwachstellen in integrierten Komponenten über CVE-Feeds (u. a. NVD, CODESYS Security Advisories und Lieferantenkanäle);
- bei einer Schwachstelle in einer Komponente eines Lieferanten informiert AMT diesen Lieferanten und fordert eine Reaktion innerhalb der vertraglich festgelegten Fristen;
- AMT informiert betroffene Kunden rechtzeitig, auch wenn der Fix von einem Drittlieferanten abhängig ist.
10. Dokumentation und Registrierung
AMT erfasst alle Schwachstellenmeldungen in einem internen Schwachstellenregister, das mindestens Folgendes enthält: Datum des Eingangs und eine eindeutige Referenznummer, eine Beschreibung der Schwachstelle und der betroffenen Produkte/Versionen, den CVSS-Score und die Klassifizierung, den Status pro Prozessschritt, die Kontaktdaten des Melders (auf Wunsch anonym), das Datum und die Form der Offenlegung sowie – falls zutreffend – das ENISA-Meldedatum und die CVE-Nummer. Das Register ist Teil des CRA-Compliance-Dossiers und wird gemäß der CRA-Aufbewahrungspflicht mindestens fünf Jahre lang aufbewahrt.
11. Evaluierung und Überarbeitung
Diese Richtlinie wird jährlich evaluiert, nach jedem signifikanten Vorfall oder jeder schwerwiegenden Schwachstelle überprüft, bei Änderungen der CRA-Durchführungsbestimmungen oder ENISA-Leitlinien angepasst und bei einer wesentlichen Erweiterung des AMT-Produktportfolios überarbeitet.
12. Kontakt
| Angabe | Details |
|---|---|
| Security-E-Mail | security@amtgroup.nl |
| Website | https://www.amtgroup.nl |
| security.txt | https://www.amtgroup.nl/.well-known/security.txt |
AMT Rail Road Production BV · CVD-Richtlinie · Dokumentnummer AMT-CRA-CVD-001 · Version 1.0 · Juni 2026 · Klassifizierung: Öffentlich