Richtlinie zur koordinierten Offenlegung von Schwachstellen
(Coordinated Vulnerability Disclosure Policy)

Die Sicherheit unserer Maschinen und die unserer Kunden hat für die PROFIROLL TECHNOLOGIES GmbH (künftig PROFIROLL genannt) höchste Priorität. Diese Richtlinie definiert den Prozess zur sicheren und koordinierten Meldung potenzieller Cybersicherheits-Schwachstellen in unseren Produkten. Wir schätzen die Zusammenarbeit mit unabhängigen Sicherheitsforschern, Kunden und Partnern, um Schwachstellen frühzeitig zu identifizieren, zu beheben und so einen sicheren Betrieb unserer Maschinen in der industriellen Produktion zu gewährleisten.

Diese Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD-Policy) orientiert sich an den Anforderungen der europäischen Verordnung (EU) 2024/2847 (Cyber Resilience Act / CRA) sowie den einschlägigen technischen Normen, insbesondere der ISO/IEC 29147 und der prEN 40000-1-3.

Diese Policy gilt für Schwachstellen in sämtlichen von PROFIROLL entwickelten, hergestellten oder bereitgestellten Produkten mit digitalen Elementen sowie in den zugehörigen Hardware-, Software-, Firmware- und Kommunikationskomponenten und digitalen Schnittstellen.

Nicht erfasst sind:

• Produkte nach kommuniziertem End-of-Support-Datum
• Interne IT-Systeme und Webseiten von PROFIROLL

Wir ermutigen unabhängige Sicherheitsforscher, Kunden, Partner und andere Akteure, uns identifizierte Schwachstellen in unseren Produkten zu melden.

Meldungen sind zu richten an:
product.security@profiroll.de

Um eine schnelle Analyse zu ermöglichen, bitten wir um folgende hilfreiche Angaben:

• Betroffenes Produkt und genaue Versionsnummer
• Art der Schwachstelle
• Detaillierte, nachvollziehbare Reproduktionsschritte
• Mögliche oder bereits beobachtete Auswirkungen der Schwachstelle
• Ein optionaler Proof of Concept (PoC)

PROFIROLL bestätigt den Eingang einer Meldung umgehend, spätestens jedoch innerhalb von fünf Werktagen. Anschließend wird die Schwachstelle analysiert, das damit verbundene Risiko bewertet und eine angemessene Korrekturmaßnahme entwickelt. PROFIROLL informiert die meldende Person regelmäßig über den Status der Untersuchung und die geplanten Behebungsschritte.

Informationen zu einer Schwachstelle werden nicht öffentlich zugänglich gemacht, bevor eine Korrekturmaßnahme oder ein geeigneter Workaround verfügbar ist. Die Offenlegung erfolgt koordiniert nach Verfügbarkeit der Maßnahme. Betrifft eine Schwachstelle Zukaufkomponenten weiterer Hersteller, erfolgt die Offenlegung in Abstimmung mit diesen Parteien.

Bei aktiv ausgenutzten Schwachstellen hält PROFIROLL die gesetzlichen Meldepflichten nach Art. 14 des CRA gegenüber der EU-Cybersicherheitsagentur (ENISA) und dem zuständigen Computer Security Incident Response Team (CSIRT) ein.

Wir betrachten Meldungen, die in gutem Glauben und in Übereinstimmung mit dieser Richtlinie erfolgen, als autorisiert. PROFIROLL wird gegen Personen, die Schwachstellen unter diesen Bedingungen melden und nicht missbräuchlich ausnutzen, keine rechtlichen Schritte einleiten oder strafrechtliche Verfolgung anstreben. Personenbezogene Daten des Melders werden gemäß den geltenden Datenschutzbestimmungen streng vertraulich behandelt und ohne explizite Zustimmung nicht an Dritte weitergegeben.

Behobene Schwachstellen werden als Security Advisory veröffentlicht. Sofern erforderlich, koordiniert PROFIROLL die Beantragung eines Eintrags in der Common Vulnerabilities and Exposures-Datenbank (CVE), um eine standardisierte Referenzierung zu ermöglichen. Meldende Personen werden auf Wunsch namentlich genannt und anerkannt.

Meldungen zu Sicherheitsvorfällen, die ausschließlich die unternehmensinterne IT-Infrastruktur oder die Webpräsenz von PROFIROLL betreffen, sind an security@profiroll.de zu richten. Für vertrauliche Meldungen zu Compliance-Verstößen, Korruption oder sonstigen Rechtsverstößen steht unser internes Hinweisgebersystem auf unserer Webseite zur Verfügung.

Verantwortlich für die Pflege, Aktualisierung und operative Durchführung dieser Richtlinie ist das Product Security Incident Response Team (PSIRT) von PROFIROLL. Diese Policy wird mindestens einmal jährlich auf ihre Aktualität und Konformität mit dem aktuellen Stand der Technik sowie den gesetzlichen Rahmenbedingungen überprüft.

Kontakt: product.security@profiroll.de

Bad Düben, September 2026