Coordinated Vulnerability Disclosure (CVD)-Richtlinie gem\u00e4\u00df dem EU Cyber Resilience Act (Verordnung (EU) 2024\/2847).<\/em><\/p>\n AMT Rail Road Production BV (nachfolgend: AMT) entwickelt und liefert Produkte mit digitalen Elementen f\u00fcr den Bahnsektor, darunter den Trackbot, den E-Zweiwegebagger, selbstfahrende Gleisbauanh\u00e4nger und verschiedene modifizierte Gleisbauarbeitsfahrzeuge. Als Hersteller im Sinne des EU Cyber Resilience Act (CRA, Verordnung (EU) 2024\/2847) ist AMT f\u00fcr die Cybersicherheit dieser Produkte w\u00e4hrend des gesamten Unterst\u00fctzungszeitraums verantwortlich. <\/p>\n Diese Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD) beschreibt, wie AMT mit Meldungen \u00fcber Schwachstellen in ihren Produkten und Systemen umgeht. Die Richtlinie: <\/p>\n Die Richtlinie tritt mit dem Datum der Verabschiedung in Kraft und gilt f\u00fcr alle AMT-Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden.<\/p>\n Diese Richtlinie gilt f\u00fcr Schwachstellen in:<\/p>\n Die folgenden Punkte fallen nicht unter diese Richtlinie und werden nicht als Sicherheitsl\u00fccke behandelt:<\/p>\n Melden Sie Schwachstellen ausschlie\u00dflich vertraulich \u00fcber den unten genannten Kanal. Nutzen Sie keine \u00f6ffentlichen Kan\u00e4le. <\/p>\n F\u00fcgen Sie der Meldung vorzugsweise folgende Informationen bei:<\/p>\n Unvollst\u00e4ndige Meldungen werden nicht abgelehnt, k\u00f6nnen aber zu einer l\u00e4ngeren Bearbeitungszeit f\u00fchren.<\/p>\n Bei \u00dcberschreitung von 90 Tagen wird der Melder rechtzeitig unter Angabe von Gr\u00fcnden und einer neuen Zielfrist informiert. Bei aktivem Missbrauch werden alle Fristen gem\u00e4\u00df der CRA-Meldepflicht verk\u00fcrzt. <\/p>\n Nach Erhalt einer Meldung folgt AMT den unten stehenden Schritten:<\/p>\n AMT hat die Bearbeitung von Schwachstellenmeldungen einem festen Security-Team mit klaren Verantwortlichkeiten \u00fcbertragen:<\/p>\n AMT sch\u00e4tzt den Beitrag von Sicherheitsforschern und bietet Forschern, die diese Richtlinie einhalten, folgende Garantien:<\/p>\n Von Forschern erwartet AMT, dass sie:<\/p>\n Safe Harbor gilt nicht bei vors\u00e4tzlicher Schadenszuf\u00fcgung, Datendiebstahl oder Erpressungsversuchen.<\/p>\n AMT unterh\u00e4lt derzeit kein formelles Bug-Bounty-Programm und beh\u00e4lt sich das Recht vor, hier\u00fcber pro Einzelfallmeldung zu entscheiden. Forscher, die eine signifikante Schwachstelle melden, k\u00f6nnen auf Wunsch im \u00f6ffentlichen Sicherheitshinweis (Credits) genannt werden. <\/p>\n AMT strebt eine koordinierte Offenlegung gem\u00e4\u00df ISO\/IEC 29147 und den NCSC CVD-Leitlinien an. Nach Verf\u00fcgbarkeit eines Fixes oder einer Mitigation ver\u00f6ffentlicht AMT einen Sicherheitshinweis. Der Melder wird vorab \u00fcber das Ver\u00f6ffentlichungsdatum informiert. <\/p>\n Falls nach 90 Tagen keine L\u00f6sung verf\u00fcgbar ist, kann AMT in Absprache mit dem Melder eine begrenzte Offenlegung einschlie\u00dflich mildernder Ma\u00dfnahmen beschlie\u00dfen. AMT kommuniziert hier\u00fcber proaktiv mit dem Melder. <\/p>\n Bei Schwachstellen, die eine CVE-Kennung rechtfertigen, beantragt AMT eine CVE \u00fcber MITRE oder eine relevante CNA. Die CVE wird in den Sicherheitshinweis und die SBOM des betreffenden Produkts aufgenommen. <\/p>\n Betroffene Abnehmer und Infrastrukturbetreiber werden proaktiv und vertraulich \u00fcber Schwachstellen informiert, die sie direkt betreffen, einschlie\u00dflich verf\u00fcgbarer Patches oder Workarounds, noch vor der \u00f6ffentlichen Bekanntgabe.<\/p>\n AMT ist als Hersteller bei der ENISA Single Reporting Platform registriert. Wo erforderlich, informiert AMT zus\u00e4tzlich die niederl\u00e4ndische Marktaufsichtsbeh\u00f6rde (RDI \u2013 Rijksdienst voor Digitale Infrastructuur) gem\u00e4\u00df der nationalen Umsetzung der CRA-Meldepflicht. <\/p>\n AMT integriert Softwarekomponenten von Drittanbietern, darunter die CODESYS-Runtime und Software von spezialisierten Lieferanten. Bei Schwachstellen in diesen Komponenten gilt: <\/p>\n AMT erfasst alle Schwachstellenmeldungen in einem internen Schwachstellenregister, das mindestens Folgendes enth\u00e4lt: Datum des Eingangs und eine eindeutige Referenznummer, eine Beschreibung der Schwachstelle und der betroffenen Produkte\/Versionen, den CVSS-Score und die Klassifizierung, den Status pro Prozessschritt, die Kontaktdaten des Melders (auf Wunsch anonym), das Datum und die Form der Offenlegung sowie \u2013 falls zutreffend \u2013 das ENISA-Meldedatum und die CVE-Nummer. Das Register ist Teil des CRA-Compliance-Dossiers und wird gem\u00e4\u00df der CRA-Aufbewahrungspflicht mindestens f\u00fcnf Jahre lang aufbewahrt. <\/p>\n Diese Richtlinie wird j\u00e4hrlich evaluiert, nach jedem signifikanten Vorfall oder jeder schwerwiegenden Schwachstelle \u00fcberpr\u00fcft, bei \u00c4nderungen der CRA-Durchf\u00fchrungsbestimmungen oder ENISA-Leitlinien angepasst und bei einer wesentlichen Erweiterung des AMT-Produktportfolios \u00fcberarbeitet.<\/p>\n AMT Rail Road Production BV \u00b7 CVD-Richtlinie \u00b7 Dokumentnummer AMT-CRA-CVD-001 \u00b7 Version 1.0 \u00b7 Juni 2026 \u00b7 Klassifizierung: \u00d6ffentlich<\/small><\/p>\n","protected":false},"excerpt":{"rendered":" Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD) Coordinated Vulnerability Disclosure (CVD)-Richtlinie gem\u00e4\u00df dem EU Cyber Resilience Act (Verordnung (EU) 2024\/2847). 1. Einleitung und Zielsetzung AMT Rail Road Production BV (nachfolgend: AMT) entwickelt und liefert Produkte<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_top_nav_excluded":false,"_cms_nav_minihome":false,"_cms_nav_section":"","_cms_nav_offsite_url":"","footnotes":""},"class_list":["post-31620","page","type-page","status-publish","hentry"],"yoast_head":"\n1. Einleitung und Zielsetzung<\/h2>\n
\n
2. Anwendungsbereich<\/h2>\n
2.1 In Scope<\/h3>\n
\n
2.2 Out of Scope<\/h3>\n
\n
3. Eine Schwachstelle melden<\/h2>\n
3.1 Meldekanal<\/h3>\n
\n\n
\n \nKanal<\/th>\n Details<\/th>\n<\/tr>\n<\/thead>\n \n E-Mail (prim\u00e4r)<\/td>\n security@amtgroup.nl<\/td>\n<\/tr>\n \n PGP-Verschl\u00fcsselung<\/td>\n Ein \u00f6ffentlicher Schl\u00fcssel wird \u00fcber security.txt bekannt gegeben, sobald dieser verf\u00fcgbar ist.<\/td>\n<\/tr>\n \n security.txt (RFC 9116)<\/td>\n https:\/\/www.amtgroup.nl\/.well-known\/security.txt<\/td>\n<\/tr>\n \n Sprache<\/td>\n Niederl\u00e4ndisch, Deutsch oder Englisch<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n 3.2 Inhalt der Meldung<\/h3>\n
\n
4. Bearbeitungsverfahren<\/h2>\n
4.1 Reaktionsfristen<\/h3>\n
\n\n
\n \nSchritt<\/th>\n Frist<\/th>\n<\/tr>\n<\/thead>\n \n Empfangsbest\u00e4tigung an den Melder<\/td>\n Innerhalb von 3 Werktagen<\/td>\n<\/tr>\n \n Erste Bewertung (Validierung + Schweregrad)<\/td>\n Innerhalb von 7 Werktagen<\/td>\n<\/tr>\n \n Fortschritts-Update an den Melder<\/td>\n Alle 14 Tage<\/td>\n<\/tr>\n \n L\u00f6sung (Patch oder Mitigation)<\/td>\n Ziel: innerhalb von 90 Tagen<\/td>\n<\/tr>\n \n \u00d6ffentliche Bekanntgabe<\/td>\n Nach Fix oder nach 90 Tagen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n 4.2 Klassifizierung (CVSS v3.1)<\/h3>\n
\n\n
\n \nSchweregrad<\/th>\n CVSS-Score<\/th>\n Bearbeitungsfrist \/ Ma\u00dfnahme<\/th>\n<\/tr>\n<\/thead>\n \n Kritisch<\/td>\n 9.0 – 10.0<\/td>\n Sofort eskalieren; Patch innerhalb von 30 Tagen oder unmittelbare Mitigation<\/td>\n<\/tr>\n \n Hoch<\/td>\n 7.0 – 8.9<\/td>\n Eskalation innerhalb von 7 Werktagen; Patch innerhalb von 60 Tagen<\/td>\n<\/tr>\n \n Mittel<\/td>\n 4.0 – 6.9<\/td>\n Bearbeitung innerhalb von 30 Werktagen; Patch innerhalb von 90 Tagen<\/td>\n<\/tr>\n \n Niedrig<\/td>\n 0.1 – 3.9<\/td>\n Aufnahme in den regul\u00e4ren Release-Zyklus; innerhalb von 180 Tagen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n 4.3 Prozessschritte<\/h3>\n
\n
5. Rollen und Verantwortlichkeiten<\/h2>\n
\n\n
\n \nRolle<\/th>\n Verantwortlichkeit<\/th>\n<\/tr>\n<\/thead>\n \n Security-Ansprechpartner<\/td>\n Erster Ansprechpartner, Registrierung und Kommunikation mit dem Melder; Koordination von ENISA-Meldungen.<\/td>\n<\/tr>\n \n Technisches Team<\/td>\n Validierung der Schwachstelle; Entwicklung und Test von Patches oder Mitigationen; Aktualisierung der SBOM.<\/td>\n<\/tr>\n \n Compliance<\/td>\n F\u00fchren des technischen Dossiers; Review nach der Bearbeitung; j\u00e4hrliche Evaluierung der Richtlinie.<\/td>\n<\/tr>\n \n Gesch\u00e4ftsf\u00fchrung<\/td>\n Entscheidungsfindung bei schwerwiegenden Vorf\u00e4llen und Autorisierung von ENISA-Meldungen.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n 6. Regeln f\u00fcr Forscher (Safe Harbor)<\/h2>\n
\n
\n
6.1 Bug Bounty<\/h3>\n
7. Offenlegung und Kommunikation<\/h2>\n
7.1 Koordinierte Offenlegung<\/h3>\n
7.2 Maximale Frist<\/h3>\n
7.3 CVE-Beantragungen<\/h3>\n
7.4 Kundenkommunikation<\/h3>\n
8. CRA-Meldepflicht gegen\u00fcber der ENISA<\/h2>\n
8.1 Meldeschwellen<\/h3>\n
\n\n
\n \nSituation<\/th>\n Frist<\/th>\n Inhalt der Meldung<\/th>\n<\/tr>\n<\/thead>\n \n Aktiv ausgenutzte Schwachstelle entdeckt<\/td>\n 24 Stunden (Fr\u00fchwarnung)<\/td>\n Produkt, Art der Schwachstelle, betroffene Versionen, initialer CVSS, Verf\u00fcgbarkeit der Mitigation.<\/td>\n<\/tr>\n \n Schwerwiegender Vorfall mit Auswirkungen auf die Produktsicherheit<\/td>\n 72 Stunden<\/td>\n Detaillierte Beschreibung, betroffene Kunden, ergriffene Ma\u00dfnahmen, erwartete Wiederherstellungszeit.<\/td>\n<\/tr>\n \n Abschlie\u00dfender Vorfallsbericht<\/td>\n Innerhalb von 1 Monat<\/td>\n Vollst\u00e4ndige Analyse, Root Cause, strukturelle Ma\u00dfnahmen, CVE-Nummer falls zutreffend.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n 8.2 Registrierung und nationale Beh\u00f6rde<\/h3>\n
9. Schwachstellen in Komponenten von Drittanbietern<\/h2>\n
\n
10. Dokumentation und Registrierung<\/h2>\n
11. Evaluierung und \u00dcberarbeitung<\/h2>\n
12. Kontakt<\/h2>\n
\n\n
\n \nAngabe<\/th>\n Details<\/th>\n<\/tr>\n<\/thead>\n \n Security-E-Mail<\/td>\n security@amtgroup.nl<\/td>\n<\/tr>\n \n Website<\/td>\n https:\/\/www.amtgroup.nl<\/td>\n<\/tr>\n \n security.txt<\/td>\n https:\/\/www.amtgroup.nl\/.well-known\/security.txt<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
\n