Product Security

Sicherheit endet nicht mit der Auslieferung. Wir beobachten unsere Produkte und die von uns eingesetzten Fremdkomponenten über den gesamten Produktlebenszyklus hinweg, bewerten gemeldete Schwachstellen strukturiert und informieren Sie so, dass Sie in Ihrer Anlage handlungsfähig bleiben — nachvollziehbar, zeitnah und in einem Format, das sich in Ihr eigenes Schwachstellenmanagement einbinden lässt.

Unser Schwachstellenmanagement erfüllt die Anforderungen der EU-Verordnung 2024/2847 (Cyber Resilience Act, CRA).

Security Advisories

Sobald eine aktiv ausgenutzte Schwachstelle in einem unserer Produkte bestätigt und eine Korrektur- oder Abhilfemaßnahme verfügbar ist, veröffentlichen wir ein Security Advisory.

 

Kontakt zu unserem PSIRT (Product Security Incident Response Team)

Meldung eines schwerwiegenden Sicherheitsvorfalls oder einer aktiv ausgenutzten Schwachstelle in einem SIGMATEK Produkt.

Möchten Sie einen schwerwiegenden Sicherheitsvorfall (gem. CRA-Artikel 3 (44)) oder eine Schwachstelle (gem. CRA-Artikel 3(42), die in einem SIGMATEK Produkt aktiv ausgenutzt wird, melden? Kontaktieren Sie unser PSIRT (Product Security Incident Response Team) bitte mittels Email unter Verwendung des PGP-Schlüssels. So erreichen Sie unser Product-Security-Team am schnellsten. Nur wir können ein Update bereitstellen. Bitte weisen Sie in der Betreffzeile ausdrücklich auf eine laufende Ausnutzung hin, zum Beispiel mit [AKTIV AUSGENUTZT] oder [SCHWERWIEGENDER SICHERHEITSVORFALL]

EMail: product-security(xmsAt)sigmatek(xmsDot)at

Betreff: z.B.: [AKTIV AUSGENUTZT] oder [SCHWERWIEGENDER SICHERHEITSVORFALL]

PGP-Schlüssel: PGP-File

Sprachen: Deutsch, Englisch

Bitte verschlüsseln Sie Ihre Meldung mit unserem PGP-Schlüssel, wenn sie technische Details, Proof-of-Concept-Code oder Angaben zu betroffenen Anlagen enthält. Senden Sie uns bitte keine personenbezogenen Daten Dritter und keine Kundendaten. Verzichten Sie nach Möglichkeit auf Anhänge, da die Überprüfung dieser zu Verzögerungen führen können.

Was uns hilft

• betroffenes Produkt, Artikelnummer, Hard- und Firmware- bzw. Softwarestand
• Beschreibung der Schwachstelle und der vermuteten Auswirkung
• nachvollziehbare Schritte zur Reproduktion, gerne mit PoC, Log-Auszug oder Netzwerkmitschnitt
• ob die Schwachstelle Ihres Wissens bereits ausgenutzt wird oder öffentlich bekannt ist.
• Konfiguration und Umgebung, in der Sie den Effekt beobachtet haben
• Ihre Kontaktdaten

Alternativ

Wenn Sie uns nicht direkt kontaktieren möchten oder eine unabhängige Stelle einbinden wollen, steht Ihnen der Weg über eine Koordinierungsstelle (Single Reporting Platform (SRP) der ENISA) oder Ihrem nationalen CSIRT offen.

Hinweis:

Meldungen zu Schwachstellen können nur CRA konform bearbeitet werden, wenn diese über einen der o.g. Meldewege (PGP-E-Mail oder SRP) erfolgt. Senden Sie bitte keine derartigen Meldungen an andere Instanzen bei Fa. SIGMATEK (wie z.B. den Support, Applikation, Office, etc.).

Nicht in den Anwendungsbereich fallen:

Unsere Unternehmens-IT, Webshop und Marketing-Websites, Phishing- und Social-Engineering-Versuche gegen unsere Mitarbeitenden sowie Lastspitzen- und DoS-Tests.

 

Aktiv ausgenutzte Schwachstellen: unsere Meldewege

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller ab dem 11. September 2026, aktiv ausgenutzte Schwachstellen in ihren Produkten sowie schwerwiegende Sicherheitsvorfälle an die Behörden zu melden. Diese Pflicht liegt beim Hersteller — also bei uns, nicht bei Ihnen als Anwender.

Die Meldung erfolgt einmalig über die von der ENISA betriebene Single Reporting Platform (SRP) und geht von dort gleichzeitig an die ENISA und an das zuständige nationale CSIRT.

Parallel zur behördlichen Meldung informieren wir Sie über die etablierten Kanäle.

Zentrale Anlaufstelle (Single Point of Contact)

Sigmatekstraße 1
5112 Lamprechtshausen
Österreich