1 Geltungsbereich
Diese Seite beschreibt unseren Umgang mit Schwachstellen in den Standardprodukten der IRS Systementwicklung GmbH: Software, Firmware, Treiber und zugehörige Dienste, die wir als Katalogprodukt ausliefern. Welche Produkte das im Einzelnen sind, zeigt unsere öffentliche Produktübersicht.
Ein erheblicher Teil unseres Geschäfts sind kundenspezifische Systeme. Für diese gelten vorrangig die im jeweiligen Projekt vereinbarten Regelungen – Lastenheft, Kundenspezifikation, Wartungs- oder Rahmenvertrag. Dort sind Meldewege, Reaktionszeiten und Unterstützungszeiträume individuell festgelegt und weichen von dieser Seite ab. Diese Seite gilt für kundenspezifische Systeme nur ergänzend und nur dort, wo vertraglich nichts Abweichendes vereinbart ist. Auch für sicherheitsrelevante Themen zu diesen Anlagen können Sie sich jederzeit an unsere Sicherheitskontaktstelle nach Abschnitt 2 wenden.
Produkte Dritter, die wir weiterverkaufen oder integrieren, fallen nicht unter diese Erklärung. Meldungen dazu leiten wir an den jeweiligen Hersteller weiter und informieren betroffene Kunden, sofern uns eine Betroffenheit bekannt wird.
2 Sicherheitskontakt und Meldung
Zentraler Eingang für Schwachstellenmeldungen, Sicherheitsvorfälle und sicherheitsbezogene Rückfragen.
Hilfreich für eine zügige Bearbeitung sind: betroffenes Produkt mit Version oder Seriennummer, Beschreibung der Schwachstelle und des Angriffsvektors, Schritte zur Reproduktion sowie Ihre Einschätzung der Auswirkung. Logs, Screenshots oder ein Proof of Concept sind willkommen.
Was Sie von uns erwarten können
| Schritt | Frist |
|---|---|
| Empfangsbestätigung | 3 Werktage |
| Erste Bewertung und Einstufung | 10 Werktage |
| Statusmeldung an die meldende Person | mindestens alle 14 Tage |
| Koordinierte Veröffentlichung | in der Regel 90 Tage nach Meldung oder mit Verfügbarkeit des Fixes |
3 Security Advisories
Sobald eine Schwachstelle bestätigt ist und eine Abhilfemaßnahme vorliegt, veröffentlichen wir ein Security Advisory mit der Kennung IRS-SA-JJJJ-NNN. Es nennt betroffene Produkte und Versionen, Schweregrad mit CVSS-Vektor, Auswirkung, Abhilfe oder Workaround sowie – sofern vergeben – die CVE-Nummer.
Für Ihr Monitoring steht ein maschinenlesbarer RSS-Feed unter advisories.xml bereit. Kunden mit Wartungs- oder Liefervertrag informieren wir bei kritischen und hohen Schweregraden zusätzlich direkt über den hinterlegten technischen Ansprechpartner. Hinterlegen Sie dafür bitte eine funktionsbezogene Adresse statt eines persönlichen Postfachs.
| Advisory-ID | CVE | Betroffene Produkte | Schweregrad | Veröffentlicht | Behoben in |
|---|
Bislang wurden keine Security Advisories veröffentlicht. Neue Advisories erscheinen hier und im Feed.
Sicherheitsupdates und aktualisierte Treiber stehen in unserem Download-Bereich bereit.
4 Unterstützung und Schwachstellenbehandlung
Für jedes Standardprodukt legen wir einen Unterstützungszeitraum fest: mindestens fünf Jahre ab Inverkehrbringen der jeweiligen Version, bei längerer erwarteter Nutzungsdauer entsprechend länger. In diesem Zeitraum bearbeiten wir Schwachstellen, stellen Sicherheitsupdates bereit und halten die zugehörige Dokumentation aktuell. Den Lifecycle-Status und, sofern festgelegt, das End-of-Support-Datum jedes Produkts veröffentlichen wir in der Produktübersicht in myIRS.
Das Ende eines Unterstützungszeitraums kündigen wir mindestens zwölf Monate im Voraus an; danach erhält die betroffene Version keine Sicherheitsupdates mehr. Eine Verlängerung im Rahmen individueller Wartungsvereinbarungen ist möglich. Technische Dokumentation und Konformitätsunterlagen halten wir mindestens zehn Jahre ab Inverkehrbringen vor.
Bewertung und Behebung
Schwachstellen erkennen wir aus internen Tests, automatisierten Scans, Meldungen Dritter und Herstellerinformationen zu eingesetzten Komponenten, die wir anhand der Software-Stückliste je Release fortlaufend abgleichen. Dass Schwachstellen gar nicht erst entstehen, adressieren wir mit verbindlichen Coding-Standards, Code-Reviews im Vier-Augen-Prinzip, automatisierter Analyse in der Build-Pipeline sowie Härtung, sicheren Voreinstellungen und minimaler Rechtevergabe bereits im Entwurf.
Jeder Fund wird im konkreten Produktkontext nach CVSS und interner Risikobewertung eingestuft und einer Behebungsfrist zugeordnet. Nach Entwicklung und Test des Fixes prüfen wir nach, dass die Schwachstelle vollständig geschlossen ist, und veröffentlichen ein Advisory.
| Schweregrad | CVSS v3.1 | Ziel Fix oder Workaround | Advisory |
|---|---|---|---|
| Critical | 9.0 – 10.0 | 7 Tage | sofort, ggf. vor dem Fix |
| High | 7.0 – 8.9 | 30 Tage | mit Bereitstellung des Fixes |
| Medium | 4.0 – 6.9 | 90 Tage | mit dem nächsten regulären Release |
| Low | 0.1 – 3.9 | nächstes reguläres Release | gesammelt in den Release Notes |
Die Fristen beginnen mit der Bestätigung der Schwachstelle und sind Zielwerte, keine vertragliche Zusage. Abweichungen begründen wir gegenüber betroffenen Kunden.
Gesetzliche Meldepflichten
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in unseren Produkten melden wir gemäß Artikel 14 der Verordnung (EU) 2024/2847 über die Single Reporting Platform der ENISA an die ENISA und das zuständige nationale CSIRT, in Deutschland CERT-Bund im BSI. Die Fristen betragen 24 Stunden für die Frühwarnung, 72 Stunden für die vollständige Meldung und 14 Tage nach Bereitstellung einer Abhilfemaßnahme für den Abschlussbericht.
5 Unterlagen auf Anfrage
TISAX®-Assessment
- Scope-ID
- S67WMM
- Scope-Typ
- Standard Scope 2.0.1
- Gültig bis
- 22.07.2029
- Standorte
- Brennberg, Wörth a.d. Donau
Die Ergebnisse stellen wir ausschließlich autorisierten TISAX®-Teilnehmern über das ENX-Portal bereit. Schreiben Sie uns dazu an security@irs.systems und nennen Sie Ihre ENX-Teilnehmer-ID (Participant ID), damit wir die Ergebnisse mit Ihnen teilen können.
Integratoren, die unsere Produkte als Komponenten verbauen, benötigen für ihre eigene technische Dokumentation häufig weitere Nachweise. Über security@irs.systems stellen wir bereit: Software-Stückliste im Format CycloneDX oder SPDX, soweit für das Produkt verfügbar; ein produktbezogenes Security-Datenblatt mit Sicherheitsfunktionen, Schnittstellen und Härtungsempfehlungen; eine schriftliche Bestätigung des Unterstützungszeitraums für die von Ihnen eingesetzte Version; sowie ausgefüllte Lieferanten- und Sicherheitsfragebögen.
CE-Kennzeichnung und EU-Konformitätserklärung nach Cyber Resilience Act gelten für Produkte mit digitalen Elementen ab dem 11. Dezember 2027. Eine CRA-Konformitätserklärung ergänzen wir, sobald sie ausgestellt ist.