SENECA S.r.l. misst der Informationssicherheit, dem Datenschutz, der Kontinuität seiner digitalen Dienste und der Sicherheit seiner Produkte mit digitalen Elementen höchste Bedeutung bei.

SENECA wendet technische und organisatorische Maßnahmen sowie Cybersicherheits-Managementprozesse in Übereinstimmung mit den anwendbaren europäischen und nationalen Vorschriften an, darunter:

• Verordnung (EU) 2016/679 – DSGVO;
• Richtlinie (EU) 2022/2555 – NIS2 und die entsprechende nationale Umsetzungsgesetzgebung;
• Verordnung (EU) 2024/2847 – Cyber Resilience Act (CRA);
• ISO/IEC 27001-Normen und andere anwendbare Cybersicherheits-Frameworks und -Standards;
• Industrielle Cybersicherheitsstandards, sofern anwendbar.

Meldung von Vorfällen und Schwachstellen

SENECA stellt eine zentrale Kontaktstelle für die Meldung von Cybersicherheitsvorfällen und potenziellen Schwachstellen zur Verfügung:

security@seneca.it

Die Adresse kann von Kunden, Partnern, Händlern, Integratoren, Lieferanten, Sicherheitsforschern und anderen Parteien genutzt werden, um Folgendes zu melden:

• Vorfälle oder potenzielle Verletzungen der Informationssysteme, digitalen Dienste oder Daten von SENECA;
• Schwachstellen oder Sicherheitsprobleme im Zusammenhang mit SENECA-Produkten mit digitalen Elementen;
• Schwachstellen bezüglich Firmware, eingebetteter Software, Anwendungen, Webschnittstellen, APIs oder digitalen Diensten, die mit SENECA-Produkten verbunden sind;
• Schwachstellen bezüglich Softwarekomponenten von Drittanbietern, die in SENECA-Produkte integriert sind;
• Hinweise oder Verdachtsmomente bezüglich einer aktiven Ausnutzung von Schwachstellen;
• Vorfälle, die Auswirkungen auf die Sicherheit eines SENECA-Produkts haben könnten.

Dieselbe Adresse dient als Eingangskanal für Meldungen bezüglich der Sicherheit von Unternehmenssystemen und -diensten sowie der Produktsicherheit.

Die Meldungen werden anschließend klassifiziert und dem entsprechenden internen Prozess zugewiesen.

Vorfälle bezüglich SENECA-Systemen und -Diensten

Meldungen bezüglich der Informationssysteme, digitalen Dienste, Infrastrukturen oder Daten von SENECA werden vom IT-Sicherheitsteam gemäß den internen Verfahren zum Incident Management bearbeitet.

Sofern anwendbar, kommt SENECA den nach den NIS2-Vorschriften vorgesehenen Benachrichtigungspflichten gegenüber den zuständigen Behörden nach.

Schwachstellen und Vorfälle bezüglich SENECA-Produkten

Meldungen bezüglich SENECA-Produkten mit digitalen Elementen werden gemäß dem internen Prozess für Product Security und Vulnerability Management bearbeitet.

SENECA bewertet die eingehenden Schwachstellen, prüft deren Auswirkungen auf die betroffenen Produkte und entwickelt bei Bedarf Abhilfemaßnahmen, Firmware- oder Software-Updates sowie sonstige Korrekturmaßnahmen.

In Übereinstimmung mit dem Cyber Resilience Act unterhält SENECA einen Prozess zur koordinierten Verwaltung von Schwachstellen und zur Bewertung von aktiv ausgenutzten Schwachstellen sowie schwerwiegenden Vorfällen mit Auswirkungen auf die Produktsicherheit.

In der Meldung zu enthaltende Informationen

Um eine zügige Bewertung zu ermöglichen, wird empfohlen, sofern verfügbar, Folgendes anzugeben:

• Betroffenes Produkt und Modell;
• Produktcode;
• Hardware-Version;
• Firmware- oder Software-Version;
• Detaillierte Beschreibung der Schwachstelle oder des Vorfalls;
• Verfahren oder erforderliche Bedingungen zur Reproduktion des Problems;
• Mögliche Auswirkungen auf die Sicherheit;
• Etwaige Protokolle (Logs) oder sonstige technische Nachweise;
• Etwaiger Proof of Concept;
• Angaben zu bereits beobachteten Ausnutzungen der Schwachstelle;
• Kontaktdaten des Meldenden für eventuelle Rückfragen.

Es wird empfohlen, keine Passwörter, persönlichen Zugangsdaten oder sonstige für die Bewertung der Schwachstelle nicht erforderliche Informationen zu senden.

Coordinated Vulnerability Disclosure

SENECA fördert den Ansatz der koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure).

Eingehende Meldungen werden vom zuständigen technischen Personal analysiert. Wird die Schwachstelle bestätigt, koordiniert SENECA die erforderlichen Aktivitäten, um:

• Deren Schweregrad und Auswirkungen zu bewerten;
• Betroffene Produkte und Versionen zu identifizieren;
• Temporäre Abhilfemaßnahmen zu ermitteln;
• Updates oder Korrekturen zu entwickeln und zu validieren;
• Betroffene Nutzer bei Bedarf zu informieren;
• Etwaige Security Advisories zu veröffentlichen.

SENECA bittet Forscher und Meldende, eine öffentliche Offenlegung technischer Details zu vermeiden, die die Ausnutzung der Schwachstelle erleichtern könnten, bevor angemessene Abhilfe- oder Korrekturmaßnahmen zur Verfügung gestellt wurden.

SENECA verpflichtet sich, nach Möglichkeit während der Analyse- und Behebungsaktivitäten einen Kommunikationskanal mit dem Meldenden aufrechtzuerhalten.

Gemäß dem Cyber Resilience Act vorgesehene Meldungen

Ab dem 11. September 2026 erfüllt SENECA, wenn die Voraussetzungen von Artikel 14 der Verordnung (EU) 2024/2847 – Cyber Resilience Act vorliegen, die Benachrichtigungspflichten in Bezug auf:

• Aktiv ausgenutzte Schwachstellen in Produkten mit digitalen Elementen;
• Schwerwiegende Vorfälle mit Auswirkungen auf die Sicherheit von Produkten mit digitalen Elementen.

Verpflichtende Benachrichtigungen erfolgen über die von der ENISA verwaltete Single Reporting Platform (SRP) gemäß den in den anwendbaren Vorschriften vorgesehenen Modalitäten und Fristen.

Die Single Reporting Platform ist der von SENECA gegenüber der ENISA und den zuständigen CSIRTs genutzte Kanal und ersetzt nicht die Adresse security@seneca.it, die weiterhin die öffentliche Kontaktstelle für Kunden, Nutzer, Partner und Forscher bleibt.

Bearbeitung der Meldungen

Eingehende Meldungen werden:

• Vertraulich erfasst und analysiert;
• Nach Art und Auswirkung klassifiziert;
• An das zuständige technische Personal weitergeleitet;
• Hinsichtlich etwaiger anwendbarer rechtlicher Verpflichtungen bewertet;
• Nach Kriterien der Zügigkeit, Verhältnismäßigkeit und Vertraulichkeit bearbeitet.

SENECA kann den Meldenden kontaktieren, um weitere für die technische Bewertung notwendige Informationen anzufordern.

Informationen über Schwachstellen werden intern ausschließlich mit den für die Abwicklung des Ereignisses erforderlichen Funktionen und, sofern gesetzlich vorgeschrieben, mit den zuständigen Behörden geteilt.

Sicherheitsaktivitäten und Tests

SENECA ermutigt zur verantwortungsvollen Meldung von Schwachstellen.

Diese Richtlinie stellt jedoch keine Genehmigung dar, Aktivitäten durchzuführen, die:

• Die Verfügbarkeit von Systemen oder Diensten beeinträchtigen könnten;
• Daten ändern oder löschen könnten;
• Vorsätzlich auf nicht erforderliche personenbezogene Daten oder vertrauliche Informationen zugreifen könnten;
• Systeme Dritter beeinträchtigen könnten;
• DoS- oder DDoS-Angriffe durchführen könnten;
• Social-Engineering-Techniken anwenden könnten;
• Aktivitäten ausführen könnten, die gegen anwendbare Vorschriften verstoßen.

Sollte im Rahmen einer Recherche unbeabsichtigt Zugriff auf vertrauliche oder personenbezogene Informationen erlangt werden, muss die Aktivität unverzüglich abgebrochen und das Ereignis SENECA unverzüglich gemeldet werden.

Organisation und Verantwortung

Die Verwaltung von Cybersicherheitsmeldungen ist einer multidisziplinären Organisationsstruktur anvertraut, die je nach Ereignis Folgendes einbinden kann:

• IT-Sicherheitsteam;
• Product Security / R&D;
• IT-Leiter;
• Qualität und Compliance;
• NIS2-Kontaktstelle;
• Rechts- und Regulierungsfunktionen;
• Geschäftsführung;
• Sonstige betroffene Unternehmensbereiche.

Dieses Modell ermöglicht es SENECA, Vorfälle bezüglich der Unternehmensinfrastruktur und solche bezüglich der Produktsicherheit korrekt zu unterscheiden und zu verwalten.