Security & Vulnerability Disclosure
optiMEAS desarrolla sistemas inteligentes de medición e IoT para uso industrial. La seguridad de estos productos es una tarea continua en la que colaboramos abiertamente con quienes nos ayudan a encontrar y corregir vulnerabilidades.
Esta página explica cómo puede notificar una posible vulnerabilidad en un producto o servicio de optiMEAS y qué puede esperar de nosotros a cambio. Da cumplimiento al requisito del Reglamento de Ciberresiliencia de la UE (Reglamento (UE) 2024/2847, anexo I, parte II, n.º 5) de disponer de una política coordinada de divulgación de vulnerabilidades y aplicarla.
Escriba a security@optimeas.de; previa solicitud se facilita una clave PGP para las notificaciones cifradas. Le rogamos que realice la notificación de forma confidencial y que no haga público el asunto antes de que hayamos acordado una divulgación coordinada.
Ámbito de aplicación
Esta política se aplica a los productos con elementos digitales de optiMEAS y a los servicios asociados, en particular:
- sistemas de medición y de adquisición de datos (hardware, incluido el firmware)
- software y aplicaciones de optiMEAS para configuración, visualización y análisis de datos
- servicios de nube y de portal, así como la infraestructura de actualización y de licencias
- nuestros sitios web y portales de clientes
No están incluidos en el ámbito de aplicación los sistemas y servicios de terceros que no operamos nosotros mismos, ni los productos cuyo período de soporte haya finalizado. Aun así, le rogamos que nos comunique sus hallazgos; siempre que sea posible, los trasladaremos al organismo competente.
Cómo notificar una vulnerabilidad
Envíe su notificación a security@optimeas.de. Los siguientes datos nos ayudan a reaccionar con rapidez:
- el producto afectado, la versión o el firmware y el entorno
- una descripción clara de la vulnerabilidad y de sus posibles repercusiones
- los pasos para reproducirla (se agradecen pruebas de concepto, registros o capturas de pantalla)
- cómo podemos contactar con usted y si desea que se mencione su nombre
Las notificaciones en alemán o en inglés son igualmente válidas. También se agradecen las notificaciones incompletas; nos pondremos en contacto con usted si necesitamos más detalles.
Qué puede esperar de nosotros
| Paso | Nuestro compromiso |
|---|---|
| Acuse de recibo | en un plazo de 3 días laborables desde su notificación |
| Primera valoración | en un plazo de 10 días laborables, incluida nuestra clasificación |
| Corrección | según la gravedad, sin demora injustificada, con actualizaciones sobre el avance |
| Divulgación coordinada | el momento y el contenido se acuerdan conjuntamente en cuanto esté disponible una corrección |
En casos complejos o críticos le informaremos con transparencia si necesitamos más tiempo.
En qué confiamos conjuntamente
Consideramos que la investigación de seguridad realizada de buena fe y de acuerdo con esta política es una contribución valiosa y no un acceso no autorizado. Si respeta los siguientes principios, no iniciaremos ni recomendaremos acciones legales en relación con su investigación:
- acceda únicamente a los datos necesarios para demostrar la vulnerabilidad y no modifique, elimine ni publique datos de terceros
- no perjudique el funcionamiento ni la disponibilidad de nuestros sistemas para otros usuarios (sin denegación de servicio, sin pruebas masivas ni de spam)
- trate la vulnerabilidad y toda la información obtenida de forma confidencial hasta que hayamos acordado una divulgación
- concédanos un plazo razonable para la corrección (normalmente 90 días) antes de publicar detalles
Esta garantía solo rige dentro del marco legalmente permitido, no concede permiso para realizar pruebas que vayan más allá de lo necesario para la notificación y no protege frente a reclamaciones de terceros.
Divulgación coordinada y obligaciones legales de notificación
Tratamos las vulnerabilidades según el principio de divulgación coordinada: la publicación se realiza en cuanto hay una medida correctiva disponible y se puede proteger a los clientes afectados. Cuando procede, solicitamos un identificador CVE y, con su consentimiento, mencionamos su contribución por su nombre.
Con independencia de ello, cumplimos nuestras obligaciones legales conforme al Reglamento de Ciberresiliencia. Las vulnerabilidades explotadas activamente y los incidentes de seguridad graves se notifican, dentro de los plazos legales y a través de la plataforma europea de notificación prevista, al CSIRT competente y a ENISA. Nuestro proceso sigue las normas establecidas ISO/IEC 29147 (divulgación de vulnerabilidades) e ISO/IEC 30111 (tratamiento de vulnerabilidades).
Reconocimiento
Valoramos el trabajo de los investigadores de seguridad y, si lo desea, lo mencionamos como descubridor de una vulnerabilidad confirmada. Actualmente no operamos un programa remunerado de recompensas por errores (bug bounty).
Contacto de seguridad: security@optimeas.de · Versión 1.0 (julio de 2026)