Welche Pflichten hat ein Hersteller bei der Behandlung von Schwachstellen?

Ein Hersteller muss bei der Behandlung von Schwachstellen insbesondere:

• Schwachstellen und Komponenten seines Produkts ermitteln und dokumentieren, unter anderem durch eine Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten hervorgehen.
• Schwachstellen im Hinblick auf die Produktrisiken unverzüglich behandeln und beheben, insbesondere durch Sicherheitsaktualisierungen. Soweit technisch machbar, sind Sicherheitsaktualisierungen getrennt von Funktionsaktualisierungen bereitzustellen.
• Die Sicherheit des Produkts regelmäßig und wirksam testen und überprüfen.
• Eine Strategie für die koordinierte Offenlegung von Schwachstellen aufstellen und umsetzen sowie den Informationsaustausch über mögliche Schwachstellen erleichtern. Dazu ist unter anderem eine Kontaktadresse für Meldungen anzugeben.
• Schwachstellen in integrierten Komponenten, einschließlich quelloffener Komponenten, der jeweiligen herstellenden oder wartenden Person oder Einrichtung melden und gemäß den Anforderungen an die Behandlung von Schwachstellen behandeln und beheben. Entwickelte Änderungen oder einschlägige Unterlagen sind gegebenenfalls in maschinenlesbarem Format zu teilen.
• Nach Bereitstellung einer Sicherheitsaktualisierung Informationen über beseitigte Schwachstellen veröffentlichen und teilen, einschließlich Angaben zum betroffenen Produkt, zu Auswirkungen und Schwere sowie verständlichen Hinweisen zur Behebung. Die Veröffentlichung darf in hinreichend begründeten Fällen bis zur Möglichkeit der Patch-Anwendung aufgeschoben werden.
• Verfügbare Sicherheitsaktualisierungen unverzüglich und grundsätzlich kostenlos verbreiten, zusammen mit Hinweisen und Informationen zu möglichen Maßnahmen. Für maßgeschneiderte Produkte kann mit gewerblichen Nutzern etwas anderes vereinbart werden.
• Betroffene Nutzer über aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sowie erforderlichenfalls über Risiko- und Korrekturmaßnahmen informieren.