Linee guida per la segnalazione coordinata delle vulnerabilità

Politica di divulgazione coordinata delle vulnerabilità

EFE Elektronik-Forschungs- und Entwicklungsgesellschaft m.b.H., Mühltal

Versione 1.0, in vigore dal 1° settembre 2026

1. Finalità e ambito di applicazione

La sicurezza dei nostri prodotti è per noi una priorità assoluta. I nostri sistemi vengono utilizzati, ad esempio, in ospedali, strutture di assistenza e istituti penitenziari, ovvero in ambienti in cui un malfunzionamento può mettere a rischio la vita delle persone. Per questo motivo facciamo affidamento sulle segnalazioni da parte di ricercatori nel campo della sicurezza, clienti, installatori e terzi (di seguito denominati „segnalanti“).

La presente linea guida descrive le modalità di segnalazione delle vulnerabilità nei nostri prodotti e servizi e il modo in cui le gestiamo. Essa attua i requisiti di cui all’articolo 13, paragrafo 8, in combinato disposto con l’allegato I, parte II, punti 5 e 6, del regolamento (UE) 2024/2847 (Cyber Resilience Act, „CRA“).

1.1 Prodotti e sistemi contemplati (In Scope)

• Sistemi di chiamata della famiglia di prodotti Multicall (compresi Multicall Combi e Multicall Safe IP) e relativi componenti
• Terminale cellulare ZEI e altri componenti del sistema di comunicazione del penitenziario
• Sistemi di rilevamento e blocco comstop, compreso il relativo software di analisi e assistenza
• Firmware, software di configurazione e di servizio, nonché pacchetti di aggiornamento da noi forniti
• Il sito web www.efe-gmbh.de e i moduli disponibili su tale sito

1.2 Non contemplato (fuori dall'ambito di applicazione)

• Sistemi e impianti in funzione presso i nostri clienti. Questi sono soggetti al potere di disposizione del rispettivo gestore. Non possiamo né siamo autorizzati a concedere alcuna autorizzazione per effettuare test su tali impianti.
• Prodotti di terzi che interagiscono con i nostri componenti negli impianti dei clienti (ad es. impianti telefonici, componenti di rete, sistemi di gestione degli edifici)
• Sistemi informatici dei nostri fornitori e prestatori di servizi, nonché piattaforme gestite da terzi

2. Segnalazione di una vulnerabilità

Questi dati di contatto sono inoltre disponibili in formato leggibile da macchina nel nostro file security.txt, conforme alla specifica RFC 9116, all'indirizzo https://www.efe-gmbh.de/.well-known/security.txt.

Se non desiderate segnalarci direttamente il problema, potete rivolgervi anche al BSI, in qualità di centro di coordinamento nazionale per la segnalazione coordinata delle vulnerabilità. Collaboriamo con i centri di coordinamento.

Informazioni utili da includere nella segnalazione

• Prodotto interessato, versione hardware e software, URL o componente interessato
• Tipo di vulnerabilità (ad es. elusione dell'autenticazione, escalation dei privilegi, meccanismo di aggiornamento non sicuro, iniezione, XSS)
• Fasi di riproduzione, se possibile con una prova di fattibilità (Proof of Concept)
• Possibili ripercussioni, in particolare sulla disponibilità delle funzioni di chiamata e di allarme
• I suoi dati di contatto per eventuali domande

È possibile effettuare segnalazioni in forma anonima. In tal caso, tuttavia, non potremo fornirvi né una conferma di ricezione né un aggiornamento sullo stato di elaborazione della segnalazione, né potremo concordare con voi le modalità di divulgazione.

La preghiamo di non inviarci dati personali di terzi, né dati relativi a pazienti o detenuti, né estratti da archivi di dati dei clienti. Descriva invece la modalità di accesso.

3. Il nostro processo di elaborazione

I giorni lavorativi vanno dal lunedì al venerdì, ad eccezione dei giorni festivi previsti dalla legge presso la sede dell’azienda in Assia.

Valutiamo la gravità delle vulnerabilità utilizzando il Common Vulnerability Scoring System (CVSS v4.0), tenendo conto dell'effettiva sfruttabilità nell'ambiente operativo specifico. In caso di vulnerabilità confermate, se necessario richiediamo un ID CVE.

Se la segnalazione riguarda un componente di terzi, informiamo inoltre il produttore o l'ente responsabile della manutenzione di tale componente e, se del caso, mettiamo a sua disposizione le correzioni necessarie.

4. Obblighi di comunicazione previsti dalla legge nei confronti delle autorità

Se si tratta di una vulnerabilità attivamente sfruttata o di un grave incidente di sicurezza ai sensi dell’art. 14 del CRA, in qualità di produttori siamo tenuti, indipendentemente dalla presente direttiva, a segnalarlo al CSIRT competente e all’ENISA tramite la piattaforma di segnalazione unificata:

• Avviso preventivo entro 24 ore dal momento in cui se ne viene a conoscenza
• Segnalazione dettagliata entro 72 ore
• Relazione finale in caso di vulnerabilità entro 14 giorni dalla disponibilità di una misura correttiva; in caso di incidenti gravi, entro un mese dalla segnalazione entro 72 ore

Ai sensi dell’art. 14, comma 8, del CRA, informiamo gli utenti interessati in merito alla vulnerabilità e alle misure necessarie. Tali obblighi di legge si aggiungono alla nostra comunicazione con chi ha segnalato la vulnerabilità e non possono essere sospesi da un accordo di riservatezza. Tuttavia, nella misura consentita dalla legge, concordiamo con voi il contenuto e la tempistica di una pubblicazione.

5. Informativa coordinata

• Vi chiediamo di non rendere pubblici i dettagli relativi a una vulnerabilità prima che sia disponibile una soluzione o che sia stato concordato un termine comune.
• Come valore indicativo, puntiamo a una pubblicazione entro 90 giorni dalla conferma di ricezione. In caso di correzioni complesse, in particolare quando è necessario aggiornare dispositivi sul campo presenti in istituti penitenziari o cliniche, tale termine può essere prorogato di comune accordo.
• Una volta messa a disposizione una misura correttiva, pubblichiamo, ai sensi dell’Allegato I, Parte II, n. 4 del CRA, un avviso di sicurezza contenente la descrizione della vulnerabilità, le versioni interessate, le ripercussioni, il livello di gravità e le raccomandazioni operative.
• Su richiesta, vi citeremo per nome nel documento di consulenza come segnalante.
• In casi giustificati, possiamo accelerare la divulgazione (ad esempio in caso di sfruttamento attivo) oppure posticiparla fino a quando gli utenti non abbiano potuto installare la patch.

6. Garanzie nei confronti dei segnalanti (Safe Harbor)

Consideriamo autorizzata la ricerca in materia di sicurezza condotta in buona fede e in conformità con la presente direttiva.

Non intenteremo alcuna azione civile né sporgeremo denuncia penale nei confronti dei segnalanti che rispettano la presente direttiva. A tal fine è necessario che voi

• esaminare esclusivamente i sistemi di cui al punto 1.1 e, in tal caso, solo i propri dispositivi in un ambiente di prova,
• non recuperare, modificare, cancellare o divulgare dati di terzi,
• non compromettere il funzionamento dei sistemi oltre la misura necessaria ai fini della verifica,
• non lasciare malware, backdoor o accessi permanenti,
• trattare la vulnerabilità in modo riservato fino alla divulgazione concordata,
• non vendere né divulgare le informazioni a terzi.

La presente garanzia si riferisce esclusivamente ai diritti di cui disponiamo. Non si estende alle rivendicazioni di terzi, in particolare dei gestori di impianti, e non impedisce alle autorità di polizia giudiziaria di intervenire d’ufficio. Non si applica ad azioni che vadano oltre l’accertamento della vulnerabilità segnalata, quali la fuga di dati, il ricatto, gli attacchi denial-of-service o la divulgazione a terzi.

Qualora terzi dovessero avviare un'azione legale nei Suoi confronti a seguito di un'indagine condotta in conformità con la presente direttiva, su richiesta Le confermeremo che l'attività è stata da noi autorizzata.

7. Esclusioni e assenza di un programma Bug Bounty

La presente direttiva non istituisce alcun programma di bug bounty. Non sussiste alcun diritto al compenso.

Non rientrano nel campo di applicazione della presente direttiva, tra l’altro:

• Ingegneria sociale e phishing nei confronti dei dipendenti
• Attacchi fisici a sedi, impianti o apparecchiature
• Attacchi denial-of-service e spam
• Semplici indicazioni sulle migliori pratiche senza prova della vulnerabilità, ad esempio la mancanza di header di sicurezza HTTP o i risultati di scansioni automatizzate non verificati
• Vulnerabilità nei prodotti il cui periodo di supporto è scaduto. Accogliamo tali segnalazioni e informiamo gli utenti interessati, ma di norma non forniamo più alcun aggiornamento.

8. Periodo di assistenza e informazioni sulla sicurezza

Il periodo di assistenza viene stabilito per ogni prodotto in base alla durata di utilizzo prevista. Esso è di almeno cinque anni a partire dall’immissione sul mercato ed è, di conseguenza, più lungo per gli impianti di lunga durata delle nostre famiglie di prodotti. Le indicazioni vincolanti sono riportate nella rispettiva documentazione del prodotto.

Conserviamo gli aggiornamenti di sicurezza dopo la loro pubblicazione per almeno dieci anni o per la durata residua del periodo di supporto, a seconda di quale dei due periodi sia più lungo.

Pubblichiamo avvisi di sicurezza e informazioni sugli aggiornamenti di sicurezza all'indirizzo https://www.efe-gmbh.de/security-advisories/.

Per i nostri prodotti teniamo una distinta dei componenti software (SBOM) in conformità all’Allegato I, Parte II, n. 1 del CRA. Essa viene messa a disposizione delle autorità di vigilanza del mercato su richiesta. Ai clienti forniamo informazioni relative alla SBOM dei singoli prodotti nell’ambito degli accordi contrattuali.

9. Protezione dei dati

I dati personali contenuti nella Sua segnalazione vengono da noi trattati esclusivamente ai fini della gestione della vulnerabilità, per fornirLe un riscontro e per adempiere agli obblighi di segnalazione previsti dalla legge. Le basi giuridiche sono l’art. 6, comma 1, lettere c) e f) del GDPR. La trasmissione dei Suoi dati di contatto al CSIRT o all’ENISA avviene solo nella misura in cui ciò sia necessario ai fini della segnalazione ai sensi dell’art. 14 del CRA. Conserviamo le segnalazioni e la relativa corrispondenza come prova della gestione della vulnerabilità per tutta la durata del periodo di assistenza del prodotto in questione. Per ulteriori informazioni, consultare la nostra Informativa sulla privacy.

10. Contatti

EFE Elektronik-Forschungs- und Entwicklungsgesellschaft m.b.H. An der Flachsröste 3 64367 Mühltal Germania

E-mail: product-security@efe-gmbh.de Richieste generali: info@efe-gmbh.de

11. Cronologia delle modifiche

Versione
Data
Modifica
1.0
01/09/2026
Prima pubblicazione