Coordinated Vulnerability Disclosure Policy

AVT Audio Video Technologies GmbH

Herausgeber	AVT Audio Video Technologies GmbH, Nürnberg, Deutschland
Gültig für	Alle AVT-Produkte mit digitalen Elementen
Rechtliche Basis	Annex I Part II(5); Artikel 13. Struktur nach BSI TR-03183-3 v1.0.0
Dokumentreferenz	AVT-CRA-CVD-006
Version / Datum	1.0 / 04-09-2026 — wird mind. einmal jährlich überprüft
Entsprechende nationale CSIRT	CERT-Bund (betrieben durch das BSI), Deutschland

Hinweis: Dies ist ein unternehmesweites Prozessdokument (nicht produktspezifisch). Es wird auf der AVT-Website veröffentlicht und in jeder technischen Produktdokumentation referenziert.

1 Umfang und Verpflichtung

AVT begrüßt Meldungen über potenzielle Sicherheitslücken in seinen Produkten und Dienstleistungen. Diese Richtlinie legt dar, wie eine Sicherheitslücke gemeldet werden kann, welche Erwartungen Meldende haben können und wie AVT die Offenlegung koordiniert. In den Anwendungsbereich fallen Cybersicherheitslücken, die bei Ausnutzung die Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Nichtabstreitbarkeit oder Zuverlässigkeit eines Produkts oder einer Komponente beeinträchtigen.

2 Wie man meldet

Hauptkontakt (Produkte): psirt@avt-nbg.de
Verschlüsseln mit dem AVT PSIRT OpenPGP key — fingerprint 5C6808CA65DC0702FAA22ABA0862220CF3663A4E
Infrastruktur/Service-Probleme: csirt@avt-nbg.de
Web-Reporting-Seite: https://www.avt-nbg.de/security-contact (funktioniert ohne JavaScript; kein Login/keine Paywall)
Demnächst verfügbar: Anonymes Melden — ein Webformular, welches zur Verfügung gestellt wird ohne Tracking von Drittanbietern und bei dem Metadaten-Logging minimiert wurde (IP-Adresse, Browser und Gerätedaten werden nicht gespeichert).
Bevorzugte Sprachen: Deutsch, Englisch.

3 Versicherung an Meldende

AVT behandelt Berichte vertraulich und fordert keine Geheimhaltungsvereinbarung, um einen Bericht zu erhalten.
AVT wird keine rechtlichen Schritte gegen Meldende, die im Rahmen dieser Richtlinie nach Treu und Glauben handeln, einleiten oder unterstützen.
Meldende können anonym bleiben; werden Kontaktdaten angegeben, wird AVT den Meldenden über die weiteren Entwicklungen informieren.

4 Garantierte Reaktionszeiten

Stadium	Ziel
Einfach, nicht automatisierte Empfangsbestätigung	Innerhalb von 5 Arbeitstagen
Detailliertes Feedback / erste Einschätzung	Innerhalb von 10 Arbeitstagen
Öffentliche Bekanntgabe nach einer Behebung/Mitigation	Innerhalb von 90 Tagen (einmalig um weitere 90 Tage nach Absprache mit CERT-Bund verlängerbar; weitere Verlängerung nur durch CSIRT auf Anfrage)

5 Koordination und öffentliche Bekanntmachung

AVT koordiniert sich mit seinem entsprechenden nationalen CSIRT (CERT-Bund) für die aktive Bearbeitung jeder gültigen Sicherheitslücke.
Auf Anfrage von AVT und in Absprache mit CERT-Bund oder ENISA erfolgt die Offenlegung mindestens in der von ENISA gepflegten Europäischen Schwachstellendatenbank (EUVD).
Sicherheitsinformationen werden auf der AVT-Website im Common Security Advisory Framework (CSAF v2.0)-Format veröffentlicht, einschließlich VEX, sofern zutreffend, und geben die betroffenen Modelle/Versionen, die Auswirkungen sowie die empfohlenen Gegenmaßnahmen an.

6 Gesetzliche Berichterstattung nach Artikel 14 (ab dem 11. September 2026)

Für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die AVT-Produkte betreffen, informiert AVT gleichzeitig das zuständige nationale CSIRT und ENISA über die einheitliche Meldungsplattform (Artikel 16) gemäß dem folgenden Zeitplan:

Stadium	Aktiv ausgenutzte Schwachstelle	Schwerwiegender Vorfall
Vorabwarnung	Innerhalb von 24 Stunden nach Kenntnisnahme; Angabe der betroffenen Mitgliedstaaten, sofern bekannt	Innerhalb von 24 Stunden; Angabe, ob ein rechtswidriges/böswilliges Verhalten vermutet wird; betroffene Mitgliedstaaten
Benachrichtigung	Innerhalb von 72 Stunden: Produktinformationen, Art der Schwachstelle/Angriffsmöglichkeit, korrigierende oder mildernde Maßnahmen, Benutzerhinweise	Innerhalb von 72 Stunden; gleichwertige Details
Finaler Bericht	Innerhalb von 14 Tagen, nachdem eine Korrektur- oder Minderungsmaßnahme verfügbar ist	Innerhalb eines Monats nach der Benachrichtigung über den Vorfall

Freiwillige Meldungen über andere Schwachstellen, Bedrohungen, Vorfälle oder Beinaheunfälle können ebenfalls an das CSIRT oder ENISA (Artikel 15) gerichtet werden.

7 Abschluss des CVD-Prozesses

AVT betrachtet den Prozess als abgeschlossen, wenn: der Bericht als unbegründet befunden wurde; die Schwachstelle durch einen geeigneten Patch behoben/gelöst und öffentlich bekannt gemacht wurde; eine Dienstleistungsschwachstelle behoben und veröffentlicht wurde; der Meldende mindestens 30 Tage lang nicht auf Anfragen reagiert; oder in Absprache mit CERT-Bund nicht mehr davon ausgegangen werden kann, dass die Schwachstelle behoben wird. Der Meldende wird unverzüglich informiert (es sei denn, der Bericht war anonym).