Cybersecurity bij STIEBEL ELTRON

De veiligheid van onze producten, digitale diensten en verbonden oplossingen heeft bij STIEBEL ELTRON hoge prioriteit. We ontwikkelen en beheren onze producten met als doel vertrouwelijkheid, integriteit, beschikbaarheid en veiligheid voor onze klanten te waarborgen.

Tegelijk beseffen we dat kwetsbaarheden, ondanks zorgvuldige ontwikkeling, tests en kwaliteitsborging, nooit volledig zijn uit te sluiten. Meldingen van beveiligingsonderzoekers, klanten, partners en derden helpen ons mogelijke kwetsbaarheden vroegtijdig te herkennen, te beoordelen en te verhelpen.

Daarom verwelkomen we verantwoorde meldingen van mogelijke kwetsbaarheden in het kader van deze Vulnerability Disclosure Policy.

This policy sets out how potential security vulnerabilities can be reported to STIEBEL ELTRON and how we handle such reports.

We aim to ensure the coordinated disclosure of vulnerabilities. This means that any potential vulnerability should first be reported to us confidentially, so we can investigate and assess it and, where necessary, provide appropriate remedial measures (such as security updates, configuration guidance or other protective measures) before any technical details become public knowledge.

Deze policy geldt voor mogelijke kwetsbaarheden in producten, software, firmware, apps, digitale interfaces en daaraan gekoppelde diensten van STIEBEL ELTRON, voor zover STIEBEL ELTRON die levert, beheert of ervoor verantwoordelijk is.

Het toepassingsgebied omvat in het bijzonder:

• verbonden apparaten en systemen van STIEBEL ELTRON;
• software en firmware die op producten van STIEBEL ELTRON wordt gebruikt;
• mobiele apps en webapplicaties, voor zover STIEBEL ELTRON die aanbiedt;
• digitale interfaces, API's en communicatie-interfaces;
• cloud- of remotefuncties, voor zover die deel uitmaken van een product of dienst van STIEBEL ELTRON;
• componenten van derden, voor zover die zijn opgenomen in producten of digitale oplossingen van STIEBEL ELTRON.

Systemen of diensten van derden waarvoor STIEBEL ELTRON niet verantwoordelijk is, vallen buiten deze policy.

Je kunt kwetsbaarheden op de volgende manieren melden:

• via het beveiligingsformulier op deze website
• per e-mail aan security@stiebel-eltron.com

Geef daarbij zo mogelijk de volgende informatie:

• betrokken producten of diensten
• productversie
• beschrijving van de kwetsbaarheid
• stappen om de kwetsbaarheid te reproduceren
• mogelijke gevolgen
• beschikbare screenshots, logbestanden of proof-of-concept

Na ontvangst van een melding:

1. bevestigen we de ontvangst van de melding;
2. beoordelen we de gemelde kwetsbaarheid;
3. nemen we de noodzakelijke tegenmaatregelen;
4. houden we de melder, waar mogelijk, op de hoogte van de voortgang;
5. informeren we, waar nodig, de betrokken gebruikers over de kwetsbaarheid en over passende beschermende of herstelmaatregelen.

 
Meldingen worden afgehandeld op basis van het risico en de ernst van de kwetsbaarheid.

We vragen alle melders om bij het onderzoeken en melden van mogelijke kwetsbaarheden verantwoord, rechtmatig en zorgvuldig te werk te gaan. Let in het bijzonder op het volgende:

• Test alleen systemen, apparaten of accounts die je mag gebruiken.
• Benader geen gegevens van derden en wijzig, verwijder of exfiltreer geen gegevens.
• Voorkom elke aantasting van de beschikbaarheid, integriteit of veiligheid van producten, diensten of netwerken.
• Maak niet verder gebruik van een mogelijke kwetsbaarheid dan nodig is om die te verifiëren.
• Publiceer geen technische details voordat wij de kwetsbaarheid hebben kunnen onderzoeken en passende maatregelen hebben kunnen nemen.
• Zie af van afpersing, dreigementen of andere ontoelaatbare drukmiddelen.
• Houd je aan alle geldende wettelijke voorschriften.

Publiceer pas wanneer:

• wij de kwetsbaarheid hebben beoordeeld;
• passende herstelmaatregelen beschikbaar zijn of een redelijk publicatiemoment is afgestemd;
• betrokken gebruikers, waar nodig, geïnformeerd konden worden;
• wettelijke meld- of informatieplichten in acht zijn genomen.

Wordt een kwetsbaarheid al actief uitgebuit of bestaat er een direct risico voor gebruikers, dan kunnen andere maatregelen nodig zijn, met name het versneld informeren van betrokkenen of bevoegde instanties.

De volgende handelingen zijn niet toegestaan:

• toegang tot persoonsgegevens of vertrouwelijke informatie van derden
• het wijzigen of verwijderen van gegevens
• het aantasten van de beschikbaarheid van systemen of diensten
• het inzetten van denial-of-service-aanvallen (DoS/DDoS)
• het installeren van schadelijke software
• social engineering gericht op medewerkers, klanten of partners
• fysieke aanvallen op gebouwen of infrastructuur

STIEBEL ELTRON zal in beginsel geen juridische stappen ondernemen tegen personen die te goeder trouw, rechtmatig en in overeenstemming met deze policy handelen, vanwege het verantwoord melden van een kwetsbaarheid.

Dit geldt echter alleen voor zover de melder:

• binnen de grenzen van deze policy blijft;
• geen gegevens van derden onbevoegd verzamelt, wijzigt, verwijdert, publiceert of doorgeeft;
• geen systemen, producten of diensten aantast;
• geen kwetsbaarheid uitbuit voor eigen doeleinden of ten nadele van derden;
• geen onrechtmatige handelingen verricht;
• met ons samenwerkt bij de gecoördineerde afhandeling van de melding.

Deze verklaring houdt geen afstand in van rechten of aanspraken voor zover handelingen buiten het kader van deze policy of in strijd met geldend recht plaatsvinden.

Persoonsgegevens die in verband met een kwetsbaarheidsmelding worden verstrekt, gebruiken we uitsluitend voor het afhandelen van de melding en de communicatie met de melder.

Meer informatie vind je in onze privacyverklaring.

Deze policy vormt geen bug-bountyprogramma en geeft geen recht op een vergoeding, beloning, onkostenvergoeding of andere tegenprestatie.

Als STIEBEL ELTRON in individuele gevallen een erkenning of naamsvermelding wil geven, gebeurt dat vrijwillig en na voorafgaande afstemming met de melder.

Als een gemelde kwetsbaarheid wordt bevestigd en herstelmaatregelen nodig zijn, kan STIEBEL ELTRON in het bijzonder de volgende maatregelen nemen:

• het uitbrengen van beveiligingsupdates of firmware-updates;
• het publiceren van beveiligingsadviezen (security advisories);
• het aanbieden van workarounds of configuratieadviezen;
• het direct informeren van betrokken gebruikers;
• het informeren van partners, handelspartners of dienstverleners;
• wettelijk verplichte meldingen aan bevoegde instanties.

STIEBEL ELTRON houdt rekening met wettelijke meld- en informatieplichten, in het bijzonder wanneer een gemelde kwetsbaarheid moet worden aangemerkt als actief uitgebuite kwetsbaarheid of als ernstig beveiligingsincident in de zin van de toepasselijke cybersecuritywetgeving.

Waar nodig doen we meldingen via de daarvoor bestemde meldkanalen of platforms en informeren we betrokken gebruikers over risico's en mogelijke beschermende of herstelmaatregelen.

STIEBEL ELTRON Security Team

E-mail: security@stiebel-eltron.com

Je kunt ook ons meldformulier voor kwetsbaarheden gebruiken. Gebruik dit contact uitsluitend voor beveiligingsgerelateerde meldingen. Voor algemene klantenservice, productadvies of technische servicevragen gebruik je de reguliere contactmogelijkheden van STIEBEL ELTRON.