Home / Vulnerability Disclosure Policy
Vulnerability Disclosure Policy

Vulnerability Disclosure Policy

Zweck

Sollten Sie eine Sicherheitslücke in einem unserer Produkte oder Systeme entdecken, möchten wir davon erf ahren. Diese Richtlinie erläutert, wie Sie diese melden können, was Sie während der Untersuchung tun dürfen und was nicht, und was Sie von uns erwarten können.

Wir befolgen den Grundsatz der koordinierten Offenlegung von Sicherheitslücken: Sie melden uns die Sicherheitslücke zunächst, wir beheben sie, und wir vereinbaren gemeinsam, wie und wann sie öffentlich bekannt gegeben wird.

Geltungsbereich

Diese Richtlinie gilt für:

  • Produkte von RoboJob, einschließlich der von uns mitgelieferten Software, Firmware und Konfiguration, für alle Versionen innerhalb ihres Supportzeitraums
  • Unsere eigenen IT -Systeme und Online-Dienste, einschließlich aller Inhalte unter den uns gehörenden Domains:
    • robojob.eu, robojob.be, robojob.de, robojob.nl
    • robojob-usa.com, robojob.us
    • robojob.cloud

Nicht abgedeckt sind: die eigenen Netzwerke und Systeme unserer Kunden sowie Produkte anderer Hersteller, die neben unseren Produkten installiert sind. Sollte Ihr Fund eine von uns verwendete Komponente eines Drittanbieters betreffen, melden Sie ihn uns dennoch – wir leiten ihn an den Hersteller weiter und bleiben weiterhin involviert.

So melden Sie einen Fund

Senden Sie Ihren Bericht an security@robojob.eu, in Englisch, Niederländisch, Deutch oder Französisch. Verwenden Sie ausschließlich diese Adresse; allgemeine Supportkanäle verzögern die Bearbeitung Ihres Berichts.

Sie können Ihren Bericht anonym einreichen. In diesem Fall können wir jedoch keine Folgefragen stellen oder Sie auf dem Laufenden halten.

Wir verlangen vor der Meldung weder eine Geheimhaltungsvereinbarung noch einen sonstigen Vertrag.

Bitte geben Sie, soweit möglich, Folgendes an:

  • Um welche Sicherheitslücke es sich handelt
  • Welches Produkt und welche V ersion bzw . welches System betroffen ist
  • Wie sich die Schwachstelle reproduzieren lässt, mit Belegen wie einem Proof-of- Concept, Protokollen oder Screenshots
  • Was ein Angreifer damit anstellen könnte
  • Wie wir Sie erreichen können

Regeln für Ihre Untersuchung

Wir bitten Sie:

  • Handeln Sie in gutem Glauben mit dem Ziel, die Sicherheit zu verbessern
  • Tun Sie nicht mehr , als nötig ist, um nachzuweisen, dass die Schwachstelle existiert; brechen Sie die Untersuchung dann ab und melden Sie sie
  • Nicht auf Daten zuzugreifen, diese zu kopieren oder zu verändern, die Ihnen nicht gehören; sollten Sie auf personenbezogene Daten stoßen, brechen Sie die Untersuchung ab und informieren Sie uns
  • Keine Systeme oder Rechner zu stören – unsere Produkte werden in der Produktion eingesetzt
  • Die Sicherheitslücke vertraulich zu behandeln, bis wir uns über die Offenlegung geeinigt haben

Nicht gestattet sind: das Ausnutzen einer Sicherheitslücke zu Ihrem eigenen Vorteil oderzum Vorteil Dritter, Denial-of-Service-Angriffe, Social Engineering oder Phishing gegenüber unseren Mitarbeitern oder Kunden, die Installation von Schadsoftware sowie der physische Zugriff auf Rechner, die Ihnen nicht gehören.Sofern Sie diese Regeln einhalten, werden wir im Zusammenhang mit Ihrer Meldung keine rechtlichen Schritte gegen Sie einleiten.

Wie wir vorgehen

  • Wir bestätigen den Eingang Ihrer Meldung innerhalb von 5 Werktagen.
  • Innerhalb von 10 Werktagen teilen wir Ihnen das Ergebnis unserer ersten Bewertung sowie unsere weiteren Vorgehenspläne mit.
  • Wir halten Sie während der Bearbeitung auf dem Laufenden.
  • Wir beheben die Sicherheitslücke innerhalb einer angemessenen Frist, die sich nach dem damit verbundenen Risiko richtet. Die Behebung kann in Form eines Sicherheitsupdates, einer Übergangslösung oder einer Konfigurationsrichtlinie erfolgen. Ist eine Änderung an einem installierten Rechner erforderlich, wird diese in einem geplanten Wartungsfenster vorgenommen.
  • Sobald eine Behebung oder Abhilfemaßnahme verfügbar ist, informieren wir die betroffenen Kunden. Wir stimmen mit Ihnen ab, ob und wann die Sicherheitslücke öffentlich bekannt gegeben wird. Sollte eine V eröffentlichung die Kunden einem größeren Risiko aussetzen, behalten wir uns vor , diese zu verzögern, und teilen Ihnen die Gründe dafür mit.

Wir behandeln Ihre Meldung vertraulich und geben Ihre personenbezogenen Daten ohne Ihre Zustimmung an niemanden weiter .Wir zahlen keine Vergütung für Sicherheitslückenmeldungen und betreiben kein Bug- Bounty-Programm. Wenn Sie bei der Bekanntgabe der Sicherheitslücke als Melder genannt werden möchten, teilen Sie uns dies bitte mit.

Rechtliches

Das belgische Recht schützt Sicherheitsforscher , die in gutem Glauben handeln. Gemäß den Artikeln 22 und 23 des Gesetzes vom 26. April 2024 (das belgische NIS2-Gesetz) können Sie nicht wegen Straftaten wie unbefugtem Zugriff strafrechtlich verfolgt werden, sofern Sie die Bedingungen dieses Gesetzes erfüllen. Zu diesen Bedingungen gehören:

  • Handeln ohne betrügerische Absicht oder die Absicht, Schaden zu verursachen
  • Nicht mehr tun, als notwendig und verhältnismäßig ist
  • Benachrichtigung des Centre for Cybersecurity Belgium (CCB): eine vereinf achte Meldung innerhalb von 24 Stunden nach Entdeckung und eine vollständige Meldung innerhalb von 72 Stunden an vulnerabilityreport@cert.be
  • Keine öffentliche Bekanntgabe der Sicherheitslücke ohne Zustimmung des CCB

Möglicherweise sind wir gemäß dem Cyber Resilience Act gesetzlich verpflichtet, eine Sicherheitslücke in unseren Produkten an das belgische CSIRT und die ENISA zu melden. Sollte dies auf Ihre Meldung zutreffen, werden die Behörden davon Kenntnis erlangen. Dies bedeutet nicht, dass Ihnen irgendetwas zur Last gelegt wird.

Über diese Richtlinie

Version 1, 21. Oktober 2026. Herausgegeben von RoboJob NV , Knotwilgenweg 19, 2220 Heist-op-den-Berg, Belgien. Fragen zu dieser security@robojob.eu.Dies ist eine Übersetzung des englischen Originals. Sollten Abweichungen zwischen den beiden Fassungen bestehen, ist die englische Fassung maßgebend.