CAQ AG Logo
Kontakt

RICHTLINIE ZUR KOORDINIERTEN OFFENLEGUNG VON SICHERHEITSLÜCKEN

CAQ AG Factory Systems - Zuletzt aktualisiert: 24 August 2026 - Version 1

1. ZWECK UND GELTUNG

Die CAQ AG Factory Systems („CAQ“) nimmt die Sicherheit ihrer Produkte sehr ernst. Diese Richtlinie beschreibt, wie Sicherheitsforscher, Kunden, Partner und andere Dritte potenzielle Sicherheitslücken in unseren Produkten melden können und wie CAQ mit solchen Meldungen umgeht. Sie setzt die Anforderungen von Anhang I Teil II des Cyber Resilience Act (Verordnung (EU) 2024/2847) sowie von BSI TR-03183-1 und ISO/IEC 29147 um.
Wir begrüßen Meldungen über Sicherheitslücken ausdrücklich und behandeln jede Meldung vertraulich.

2. ERFASSTE PRODUKTE

Diese Richtlinie gilt für die von CAQ entwickelten und in Verkehr gebrachten Produkte, insbesondere die Softwaresuite CAQ.Net einschließlich aller zugehörigen Module und mitgelieferten Komponenten.

Nicht unter diese Richtlinie fallen beispielsweise:

  • Produkte und Dienstleistungen von Dritten, die nicht von CAQ verantwortet werden
  • Angriffe, die auf die Beeinträchtigung der Verfügbarkeit abzielen (DoS/DDoS)
  • Social Engineering gegen CAQ-Mitarbeiter oder -Kunden
  • rein theoretische Schwachstellen ohne glaubwürdigen Nachweis der Ausnutzbarkeit

3. MELDEWEG (KONTAKT)

Bitte senden Sie Meldungen an:

  • Meldeseite: https://www.caq.net/security/report
  • Referenz: Maschinenlesbare Kontaktdaten finden Sie unter https://www.caq.net/.well-known/security.txt

Die Übertragung ist während des Transports geschützt (TLS). Eine zusätzliche End-to-End-Verschlüsselung ist nicht erforderlich.

4. WAS EINE MELDUNG ENTHALTEN SOLLTE

Um uns eine schnelle Bewertung Ihrer Meldung zu ermöglichen, geben Sie bitte nach Möglichkeit Folgendes an:

  • das betroffene Produkt und, falls bekannt, die betroffene(n) Version(en)
  • eine Beschreibung der Sicherheitslücke und ihrer potenziellen Auswirkungen
  • Schritte zur Reproduktion (Proof-of-Concept, Konfiguration, Protokolle)
  • nach Möglichkeit eine Einschätzung des Schweregrads
  • Ihre Kontaktdaten für weitere Fragen (auf Wunsch anonym)

5. UNSERE VERPFLICHTUNGEN

Im Rahmen einer koordinierten Offenlegung verpflichtet sich CAQ zu Folgendem:

  • den Eingang einer Meldung zu bestätigen (zum Zeitrahmen siehe Abschnitt „Ablauf und Zeitrahmen“)
  • die Meldung zu bewerten (Triage) und Sie auf Anfrage über den Status zu informieren;
  • bestätigte Schwachstellen unverzüglich zu beheben und betroffenen Kunden Sicherheitsupdates (kostenlos, sofern nicht anders in einer schriftlichen Supportvereinbarung vereinbart) oder Hinweise zur Risikominderung zur Verfügung zu stellen;
  • sobald eine Abhilfemaßnahme verfügbar ist, eine Beschreibung der Schwachstelle zu veröffentlichen (Sicherheitshinweis, gegebenenfalls einschließlich einer CVE-Kennung);
  • Ihre Meldung vertraulich zu behandeln und Sie, falls Sie dies wünschen, bei der Veröffentlichung als Finder zu nennen.

6. ERWARTUNGEN AN MELDER

Im Sinne einer koordinierten Offenlegung bitten wir Sie:

  • Details zur Sicherheitslücke nicht öffentlich bekannt zu geben, bis eine Abhilfemaßnahme verfügbar ist oder eine einvernehmlich vereinbarte Frist abgelaufen ist;
  • nicht auf Daten Dritter zuzugreifen, diese zu ändern, zu löschen oder zu veröffentlichen, und nur in dem Umfang zu handeln, der zum Nachweis der Sicherheitslücke erforderlich ist;
  • die Verfügbarkeit oder Integrität unserer Systeme oder der Systeme unserer Kunden nicht zu beeinträchtigen.

7. SICHERHEITSFORSCHUNG IN GUTEM GLAUBEN (SAFE HARBOUR)

Wer in gutem Glauben und im Einklang mit dieser Richtlinie handelt, muss keine rechtlichen Schritte seitens CAQ befürchten. CAQ betrachtet solche Aktivitäten als zulässig und unterstützt verantwortungsvolle Sicherheitsforschung. Diese Verpflichtung entbindet niemanden von der Einhaltung geltender Gesetze gegenüber Dritten.

8. ABLAUF UND ZEITRAHMEN

  • 1. Eingang und Bestätigung – innerhalb von 5 Werktagen.
  • 2. Triage und Überprüfung – Bewertung, Einstufung des Schweregrads, Bestätigung.
  • 3. Behebung – Entwicklung, Test und Veröffentlichung einer Abhilfemaßnahme.
  • 4. Offenlegung – koordinierte Veröffentlichung, sobald die Abhilfemaßnahme verfügbar ist, in der Regel innerhalb von 90 Tagen nach Bestätigung. Je nach Einzelfall können andere Zeitrahmen vereinbart werden.

Wenn ein Melder Details vorzeitig offenlegt oder sich herausstellt, dass eine Schwachstelle aktiv ausgenutzt wird, kann CAQ die Behebung und Offenlegung beschleunigen.

9. VERHÄLTNIS ZU GESETZLICHEN MELDEPFLICHTEN

Wenn CAQ Kenntnis davon erlangt, dass eine gemeldete Schwachstelle aktiv ausgenutzt wird oder dass ein schwerwiegender Sicherheitsvorfall eingetreten ist, kommt CAQ zusätzlich seinen Meldepflichten gemäß Artikel 14 CRA gegenüber dem zuständigen CSIRT und der ENISA nach. Diese gesetzliche Meldung erfolgt unabhängig vom Status der koordinierten Offenlegung. Darüber hinaus und unabhängig von dieser Benachrichtigung an das zuständige CSIRT und die ENISA informiert CAQ die betroffenen Nutzer – und, falls erforderlich, alle Nutzer – gemäß Artikel 14 Absatz 8 CRA direkt über die Schwachstelle oder den Vorfall sowie über mögliche Maßnahmen zur Risikominderung oder zur Behebung des Problems.

10. KONTAKT UND ÄNDERUNGEN

Diese Richtlinie wird vom Product Security Incident Response Team (PSIRT) der CAQ AG gepflegt. Diese Richtlinie kann aktualisiert werden; maßgeblich ist die unter der oben genannten Adresse veröffentlichte Fassung.

Diese Richtlinie ist ein öffentlich zugängliches Dokument im Sinne von Anhang I Teil II des Cyber Resilience Act und der BSI TR-03183-1 (REQ_VH 5).