Sicherheitshinweise und Cyber Resilience Act
sektoreins steuert Anlagen, die Menschen mit Wärme und Strom versorgen. Diese Seite beschreibt, wie Sie eine Sicherheitslücke bei uns melden, was Sie danach von uns erwarten können und wie wir die Anforderungen des EU Cyber Resilience Act umsetzen.
Eine Sicherheitslücke melden
Schreiben Sie uns an security@sektoreins.de. Dieses Postfach ist ausschließlich für Sicherheitsmeldungen da und wird gesondert überwacht. Sie brauchen dafür kein Kundenkonto.
Maschinenlesbar finden Sie denselben Kontaktweg unter /.well-known/security.txt nach RFC 9116.
Was uns hilft
- Betroffene Komponente oder Adresse, so genau wie möglich
- Beschreibung der Lücke und ihrer möglichen Auswirkung
- Nachvollziehbare Schritte zur Reproduktion
- Zeitpunkt Ihrer Beobachtung
- Wie wir Sie erreichen und ob Sie genannt werden möchten
Was wir zusagen
Diese Fristen sind eine freiwillige Selbstverpflichtung. Sie sind bewusst so gewählt, dass wir sie auch dann einhalten, wenn gerade viel los ist.
| Schritt | Frist |
|---|---|
| Eingangsbestätigung | 2 Werktage |
| Ersteinschätzung mit Schweregrad | 10 Werktage |
| Statusmeldung bis zur Klärung | mindestens alle 14 Tage |
| Information über die Behebung | nach Auslieferung des Updates |
Wir halten Sie über den Verlauf auf dem Laufenden. Wenn Sie möchten, nennen wir Sie als Finder, sobald die Lücke geschlossen ist. Eine Vergütung können wir nicht anbieten.
Wofür diese Richtlinie gilt
Sie beschreibt, wie Sie uns eine Schwachstelle melden, die Ihnen aufgefallen ist. Sie ist keine Erlaubnis, unsere Systeme aktiv zu testen. Für Sicherheitstests sprechen Sie uns bitte vorher an, wir vereinbaren den Rahmen dann schriftlich.
Ausdrücklich nicht erfasst sind:
- Anlagen, Gateways und Installationen unserer Kunden. Sie gehören dem jeweiligen Betreiber, Tests dort sind ohne dessen Einverständnis unzulässig
- Dienste Dritter, auch wenn wir sie einsetzen
- Denial-of-Service, Lasttests, Social Engineering und physischer Zugang
Ausgeschlossen sind außerdem jeder Zugriff auf Daten Dritter, jede Veränderung oder Löschung von Daten und jede Beeinträchtigung des laufenden Betriebs.
Das ist keine Bitte, sondern eine Bedingung. Solche Handlungen sind von dieser Richtlinie nicht gedeckt und können strafrechtlich verfolgt werden. Die Daten und Anlagen unserer Kunden stehen nicht zur Disposition.
Worum wir Sie bitten
Geben Sie uns 90 Tage Zeit, bevor Sie Einzelheiten veröffentlichen. Brauchen wir länger, sagen wir das und begründen es.
Meldungen, die in gutem Glauben und in diesem Rahmen erfolgen, verfolgen wir nicht rechtlich.
Cyber Resilience Act
sektoreins ist ein Produkt mit digitalen Elementen und fällt damit selbst unter die Verordnung (EU) 2024/2847, den Cyber Resilience Act. Mit dem 11. September 2026 greift die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die vollständigen Herstellerpflichten folgen zum 11. Dezember 2027.
Meldepflicht gegenüber den Behörden
Wird eine Schwachstelle in unserem Produkt aktiv ausgenutzt, melden wir das über die zentrale Meldeplattform an das zuständige CSIRT und die ENISA: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht nach 14 Tagen. Dieser Weg führt über die Behörden, nicht über diese Seite.
Schwachstellenmanagement
Wir verfolgen Schwachstellen in den von uns eingesetzten Komponenten fortlaufend und bewerten sie nach Ausnutzbarkeit im Kontext unseres Produkts. Gateways erhalten kontrollierte Updates in festen Abständen, die vor der Installation automatisch geprüft werden.
Software Bill of Materials
Für unsere Software führen wir eine Stückliste der eingesetzten Komponenten. Sie ist Teil der technischen Dokumentation und wird bewusst nicht veröffentlicht: Eine offen einsehbare Komponentenliste wäre für Angreifer eine Landkarte auf verwundbare Stellen. Der Cyber Resilience Act verlangt die Veröffentlichung auch nicht.
Marktüberwachungsbehörden erhalten die Stückliste auf begründete Anfrage. Kunden erhalten sie im Rahmen der vertraglichen Zusammenarbeit, vertraulich und auf Anfrage.
NIS2 für Betreiber
Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Die Pflicht trifft den Betreiber, nicht die Software. Für Energieversorger, Stadtwerke und andere pflichtige Kunden liefern wir die technischen Bausteine und die Unterlagen, die Sie für die Bewertung Ihrer Lieferanten nach Artikel 21 benötigen. Fordern Sie diese über security@sektoreins.de an.
Sicherheitsmerkmale im Überblick
- Verbindung zwischen Gateway und Cloud beiderseitig per Zertifikat authentifiziert, mit automatischer Rotation und kurzen Laufzeiten
- Gateway baut alle Verbindungen selbst auf und ist aus dem Internet nicht erreichbar: keine Portfreigabe, keine VPN-Einwahl für den Betrieb
- Verlorene Gateways lassen sich zentral sperren
- Mandantentrennung auf Datenbankebene
- Rollenbasierte Zugriffskontrolle, Zwei-Faktor-Authentifizierung verfügbar
- Keine freie Codeausführung auf der Anlage: Regellogik wird vor dem Ausrollen validiert
- Betrieb und Datenhaltung in deutschen Rechenzentren. Ihre Anlagen- und Messdaten bleiben im deutschen Rechtsraum
Keine Sicherheitslücke, sondern ein Fehler?
Fehlerberichte und Funktionswünsche nehmen wir über die Kundenkanäle entgegen, die Sie mit uns vereinbart haben. Nutzen Sie das Sicherheitspostfach bitte nur für sicherheitsrelevante Themen, damit dort nichts untergeht.
Reporting a vulnerability (English)
Please send security reports to security@sektoreins.de. No customer account is required. Machine-readable contact details are available at /.well-known/security.txt.
We acknowledge receipt within 2 working days, provide an initial assessment within 10 working days, and update you at least every 14 days until the issue is resolved. We are happy to credit you as the finder once the issue is fixed, but we cannot offer a reward.
This policy describes how to report a vulnerability you have come across. It is not permission to actively test our systems. Please contact us beforehand if you would like to run security tests, and we will agree the scope in writing. Explicitly out of scope: plants, gateways and installations belonging to our customers, third-party services, denial of service, load testing, social engineering and physical access. Any access to third-party data, any modification or deletion of data and any disruption of live operation are excluded as well. That is not a request but a condition: such actions are not covered by this policy and may be prosecuted. Our customers' data and plants are not up for negotiation. We do ask you to allow us 90 days before publishing details. We will not pursue reports made in good faith and within this scope.
Stand: 8. September 2026. Diese Seite wird gepflegt, sobald sich unsere Prozesse oder die rechtlichen Anforderungen ändern.