CVD Policy

2.1 Die Regelung für die koordinierte Veröffentlichung von Schwachstellen der Produkt Security wurde am 1.9.2026 veröffentlicht.

2.2 ErvoCom behält sich das Recht vor die Regelung im Rahmen der Vorgaben aus dem Cyber Resilliance Act CRA sowie den marktüblichen Umsetzungsrichtinien anzupassen.

2.3 Die aktuelle Version wird spätestens am 1.9.2027 durch eine überarbeitete Version abgelöst

2.4 Die Policy wird über die ErvoCom Homepage in deutsch und englisch veröffentlicht.

2.5 Meldungen von Nutzern werden gemäss der zum Zeitpunkt der Meldung gültigen Regelung bearbeitet. Dies gilt unabhängig vom Zeitpunkt der Beschaffung des Produktes oder der Inverkehrssetzung des Systems.

3.1 Fälle von aktiv ausgenutzten Schwachstellen sowie von schwerwiegenden Sicherheitsvorfällen im Zusammenhang mit den Produkten können durch alle Nutzer über das Meldeformular auf der ErvoCom Homepage gemeldet werden. 

3.2 Meldungen von Sicherheitsvorfällen welche im Bezug zu ErvoCom stehen aber keinen spezifischen Bezug zum Produkt haben können durch alle Nutzer über die Addresse ict@ervocom.ch gemeldet werden.

3.3 Diese Zielaccounts unterstützen die Übermittlung von verschlüsselten Nachrichten mittels des öffentlichen Schlüssels von ErvoCom

4.1 ErvoCom behält sich das Recht vor, Meldungen abzulehnen, wenn sie die Verhaltensregeln in Bezug auf Product Security Meldungen verletzen.

4.2 Als Verletzung der Verhaltensregeln sind definiert:

• Fehlender Bezug zum Produkt.
• Fehlender Bezug zum Integrator und Systemkontext der Integration.
• Massenmeldungen ohne spezifische Prüfung.
• Meldung einer bereits veröffentlichen Schwachstelle.
• Die Schwachstelle wurde durch den Melder aktiv ausgenutzt.
• Ein Angriff wurde ausgeführt auf die Infrastruktur von ErvoCom oder seiner Kunden.
• Werkzeuge für die Ausnutzung von Schwachstellen wurde durch Melder an Dritte angeboten um Angriffe auszuführen.

4.3 Spezifisch für als CRA compliant verkaufte Produkte kann eine Meldung auch abgelehnt werden sofern:

• Das Produkt von ErvoCom verkauft aber nicht durch ErvoCom in den Markt eingeführt wurde.
• Der kommunizierte Verwendungszweck des Produktes offensichtlich verletzt wurde.

5.1 Im Zusammenhang mit der CVD Policy unterschiedet ErvoCom zwischen dem NUTZER als allgemeine Bezeichnung und dem INTEGRATOR als eine spezifische Nutzergruppe.

5.2 Integratoren haben mit Blick auf die Handhabung von Product Security Meldungen wie auch auf die Veröffentlichung von Schwachstellen eine besondere Stellung. Diese besondere Stellung leitet sich aus dem für das Produkt vorgesehenen Verwendungszweck, welcher  eine Integration in ein System unter gewissen Integrationsbedingungen vorsieht.

5.3 Integratoren sind typischerweise die Vertragskunden von ErvoCom, welche die Komponenten beschaffen und in ein Produkt höheren Grades integrieren

5.4 Die Rolle als Integrator kann in Absprache mit dem Vertragskunden auch Dritten zugewiesen werden

5.5 Die Rolle als Integrator kann von ErvoCom selbst übernommen werden

5.6 Die Rolle des Integrators verbindet sowohl den physischen wie funktionalen Aspekt der Integration und kann unter der Verantwortung des Integrators weiter unterteilt werden

6.1 Der Eingang einer Meldung durch einen Nutzer an ErvoCom führt zu einer Einschätzung welche durch ErvoCom als Hersteller gemeinsam mit dem INTEGRATOR des Systems durchgeführt wird. Diese Einschätzung entspricht der Kenntnis Erlangung und dient als Startzeitpunkt für entsprechende Fristen.

6.2 Zu diesem Zweck ist der Integrator durch den Melder direkt oder indirekt zu identifizieren

6.3 Nach Kenntnis Erlangungim Zusammenhang mit einer Meldung über eine ausgenutzten Schwachstelle durch einen Nutzer erfolgt zuhanden von der zuständigen Behörden:

• Innerhalb 24 Stunden nach Kenntnis Erlangung: Frühwarnung mit Angabe der Mitgliedsstaaten, wo das PDE nach Kenntnis von ErvoCom bereitgestellt wurde
• Innerhalb 72 Stunden nach Kenntnisserlangung:  Informationen über Art des Sicherheitsvorfalls, erste Bewertung und bereits ergriff eine Maßnahmen durch Hersteller und Maßnahme, die Nutzer ergreifen können
• Ohne zeitliche Vorgaben: Definition der Massnahmen
• Innerhalb 14 Tage nach Definition der Massnahmen : Abschlussbericht

6.4 Nach Kenntnis Erlangung im Zusammenhang mit einer Meldung eines schwerwiegenden Sicherheitsvorfalles durch einen Nutzer erfolgt zuhanden von der zuständigen Behörden:

• Innerhalb von 24 Stunden nach Kenntnis Erlangung: Frühwarnung mit Angabe, ob der Verdacht auf rechtswidrige oder böswillige Handlungen besteht, ggf. mit Angabe der Mitgliedstaaten, wo das PDE nach Kenntnis von ErvoCom bereitgestellt wurde
• Innerhalb von 72 Stunden nach Kenntnisserlangung: Informationen über Art des Sicherheitsvorfalls, erste Bewertung und bereits ergriffene Massnahmen durch ErvoCom und ggf. Massnahmen, die Nutzer ergreifen können.
• Innerhalb von 1 Monat nach der Information : Abschlussbericht

6.5 Zum Zweck der Kenntnis Erlangung teilt ErvoCom die Meldung in deren relevanten Informationen des Melders mit dem Integrator.

6.6 Sofern die Rolle als Integrator nicht zugewiesen werden kann, wird der Besitzer des Systems als Integrator angesehen

6.7 als zuständige Behörden wird die Meldestelle am Firmensitz von ErvoCom sowie dem Land in dem die Infrastruktur betreiben wird. Für mobile Infrastrukturen ,wie beispielsweise Schienenfahrzeuge, erfolgt die Meldung nur im Land in dem der überwiegende Betreib stattfindet.

6.8 Die Behördenmeldung ist nicht öffentlich um das Risiko von Angriffen vor der umsetzung von Schutzmassnahmen auf den Systemen zu vermeiden.

7.1 ErvoCom veröffentlicht Informationen über Produktschwachstellen mit dem Ziel einer zeitnahen Umsetzung von Schutzmassnahmen am Produkt und/oder am System, in welches das Produkt integriert wurde. 

7.2 Die Veröffentlichung ist beschränkt auf Produkte welche von ErvoCom als CRA Compliant angeboten und verkauft wurden

7.3 Mit Verweis auf die Verwendung der Produkte als Komponenten eines Systems kann ErvoCom die Veröffentlichung auf den Kreis der Integratoren der Produkte respektive der Verantwortlichen für den Betrieb der Systeminfrastruktur beschränken.

7.4 Die Veröffentlichung erfolgt ohne Angaben welche einen Rückschluss auf Infrastrukturen erlaubt die das Ziel eines Angriffs waren

7.5 Diese Information beinhaltet:

• Informationen zu erfolgten Behördenmeldungen
• Aktueller Produktrelease des Produktes
• Schwachstellen die mit dem aktuellen Produktrelease behoben werden