Richtlinie zur Offenlegung von Sicherheitslücken

 

1. Zweck und Geltungsbereich

Diese Richtlinie erläutert, wie Sicherheitslücken, die Laica-Produkte mit digitalen Komponenten betreffen, gemeldet werden können.

Sie dient der Einhaltung der Verordnung (EU) 2024/2847 sowie des Cyber-Resilience-Gesetzes und gilt während des gesamten angegebenen Supportzeitraums des jeweiligen Produkts.

Gilt für LAICA-Smartwaagen, die mit den Apps „LAICA Home Wellness“ und „Fitdays+“ verbunden sind.

Diese Richtlinie gilt während des gesamten angegebenen Supportzeitraums des jeweiligen Produkts. Meldungen zu Produkten, für die kein Support mehr geleistet wird, können dennoch geprüft werden, um festzustellen, ob gemäß dem Cyber Resilience Act Melde- oder Informationspflichten gegenüber den Nutzern bestehen. Dies bedeutet jedoch nicht, dass für Produkte außerhalb ihres Supportzeitraums ein Sicherheitsupdate bereitgestellt wird.

 

2. Meldung von Sicherheitslücken

Wir schätzen es sehr, wenn sich Personen die Zeit und Mühe nehmen, Sicherheitslücken gemäß dieser Richtlinie zu melden. Wir bieten jedoch keine finanziellen Belohnungen für die Offenlegung von Sicherheitslücken an. Forscher, Kunden, Lieferanten und andere Interessengruppen können vermutete Sicherheitslücken über den von LAICA S.p.A. dafür vorgesehenen Kontakt für die Meldung von Sicherheitslücken melden. Meldungen sollten folgende Angaben enthalten (Pflichtangaben): das betroffene Produkt, die Version, die Konfiguration, eine Beschreibung der Sicherheitslücke, Schritte zur Reproduktion, die Auswirkungen, relevante Nachweise sowie (nicht obligatorische Angaben) die Kontaktdaten des Meldenden. In den Meldungen sollten personenbezogene Daten, Kundendaten, Betriebsgeheimnisse oder Exploit-Code vermieden werden, soweit dies nicht zur sicheren Demonstration des Problems erforderlich ist. Die Datenschutzerklärung kann auf der Website www.laica.it eingesehen werden.

Wenn Sie glauben, eine Sicherheitslücke entdeckt zu haben, reichen Sie Ihren Bericht bitte über die folgende E-Mail-Adresse bei uns ein: customerservice@laica.com

 

3. Safe-Harbor-Regelung und Erwartungen an Forscher

LAICA S.p.A. unterstützt in gutem Glauben durchgeführte Sicherheitsforschung, die verantwortungsbewusst und rechtskonform erfolgt. Forscher müssen Datenschutzverletzungen, Datenvernichtung, Dienstunterbrechungen, Social Engineering, physische Angriffe, Erpressung, Persistenz, laterale Bewegung und öffentliche Bekanntgabe vermeiden, bevor die Abstimmung abgeschlossen ist.

LAICA S.p.A. wird keine rechtlichen Schritte einleiten, die ausschließlich auf gutgläubiger Sicherheitsforschung beruhen, die im Einklang mit dieser Richtlinie durchgeführt wurde, unbeschadet geltenden Rechts und der Rechte Dritter.

 

4. Bewertung, Behebung und Aktualisierungen

Der Ansprechpartner wird Schwachstellenmeldungen bestätigen, eine Referenznummer zuweisen, Beweismittel sichern und die Gültigkeit, den Schweregrad, die betroffenen Produkte, die Ausnutzbarkeit, die Auswirkungen, Abhilfemaßnahmen sowie Hinweise auf aktive Ausnutzung oder schwerwiegende Vorfälle bewerten. Validierte Schwachstellen werden unverzüglich durch angemessene Maßnahmen wie Sicherheitsupdates, Konfigurationsänderungen, Abhilfemaßnahmen, Korrekturen durch Lieferanten oder andere Korrekturmaßnahmen behoben. Sicherheitsupdates werden getestet, gegebenenfalls vor Manipulationen geschützt und über zugelassene Kanäle verteilt.

 

5. Koordinierte Offenlegung und Berichterstattung gemäß dem CRA

LAICA S.p.A. koordiniert die Offenlegung von Sicherheitslücken gegebenenfalls mit dem Meldenden sowie mit den betroffenen Lieferanten und den zuständigen Behörden. LAICA hält den Meldenden während des Bewertungs- und Behebungsprozesses in angemessenem Umfang auf dem Laufenden, wobei die Komplexität und die Sensibilität der gemeldeten Sicherheitslücke berücksichtigt werden.

Erhält LAICA S.p.A. Kenntnis von einer aktiv ausgenutzten Sicherheitslücke oder einem schwerwiegenden Vorfall, der die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigt, wird das Unternehmen den Vorfall umgehend bewerten und alle gemäß dem Cyber Resilience Act erforderlichen Meldungen innerhalb der geltenden behördlichen Fristen vornehmen. LAICA wird zudem betroffene Nutzer sowie gegebenenfalls alle Nutzer über die Sicherheitslücke oder den Vorfall, die damit verbundenen Risiken und etwaige von ihnen zu ergreifende Abhilfemaßnahmen oder Korrekturmaßnahmen informieren.

Sobald ein entsprechendes Sicherheitsupdate zur Verfügung steht, veröffentlicht LAICA S.p.A. Informationen über die behobene Sicherheitslücke, einschließlich der betroffenen Produkte, der Auswirkungen und des Schweregrads der Sicherheitslücke sowie klarer Anweisungen zu den Maßnahmen, die Nutzer ergreifen sollten. Die Veröffentlichung kann verzögert werden, wenn aufgrund hinreichend begründeter Cybersicherheitsrisiken den Nutzern ausreichend Zeit eingeräumt werden muss, um das entsprechende Update zu installieren.

 

6. Kommunikation, Lieferanten, Aufzeichnungen und Überprüfung

Sind Komponenten von Drittanbietern betroffen, wird LAICA S.p.A. sich gegebenenfalls mit den entsprechenden Lieferanten oder Betreibern abstimmen. LAICA S.p.A. wird Schwachstellenmeldungen gemäß ihren internen Prozessen und den geltenden gesetzlichen Verpflichtungen dokumentieren und verwalten. Diese Richtlinie wird regelmäßig sowie nach wesentlichen Änderungen in Bezug auf Produkte, gesetzliche Vorschriften oder die Reaktion auf Vorfälle überprüft. LAICA wird sich bemühen, während des Bewertungs- und Behebungsprozesses angemessene Statusaktualisierungen bereitzustellen, wobei die Komplexität und Sensibilität der gemeldeten Schwachstelle berücksichtigt werden.