Zur Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) bewerten Sie Ihre unmittelbaren Lieferanten. Diese
Seite beantwortet die Fragen, die ein Fragebogen zur Lieferantenbewertung üblicherweise stellt, für
WKL Database Gateway Manager und die VBA-Klasse WklGatewayClient. Was von der Version abhängt, steht in
MANUFACTURER.de.md und SECURITY.de.md der Lieferung.
Hersteller und Ansprechpartner
Frage
Antwort
Hersteller
EMSR DATA, D.O.O., Trg komandanta Staneta 8, 1000 Ljubljana, Slowenien, https://wvds.it
Hersteller im Sinne der Cyberresilienz-Verordnung
EMSR DATA, D.O.O., auch wenn Sie das Produkt über einen Vertriebspartner wie die DATECpro GmbH erhalten
Kontakt
die E-Mail-Adressen in MANUFACTURER.de.md
Zentrale Anlaufstelle für Schwachstellen
SECURITY.de.md: Meldung per E-Mail an beide Adressen oder per Post; Deutsch, Englisch oder Slowenisch
Schwachstellen und Aktualisierungen
Frage
Antwort
Wie behandelt der Hersteller eine gemeldete Schwachstelle?
Erfassen und bewerten, Korrektur in einer eigenen, kostenlosen Korrekturversion, Sicherheitshinweis mit betroffenen und korrigierten Versionen, Auswirkung, Schwere und Ihren Schritten; Einzelheiten in SECURITY.de.md
Meldet der Hersteller aktiv ausgenutzte Schwachstellen den Behörden?
Ja, über die einheitliche Meldeplattform an das koordinierende CSIRT in Slowenien (SI-CERT) und die ENISA, nach Art. 14 der Verordnung (EU) 2024/2847: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur oder Abhilfemaßnahme vorliegt
Unterstützungszeitraum
jede Version fünf Jahre ab ihrem Auslieferungsmonat; das Ende für Ihre Version steht in MANUFACTURER.de.md. Vorabversionen (Beta) werden bis zur nächsten Vorabversion unterstützt, höchstens drei Monate; das Ende steht in MANUFACTURER.de.md.
Wie lange bleibt eine Sicherheitsaktualisierung verfügbar?
mindestens zehn Jahre nach ihrem Erscheinen oder für den Rest des Unterstützungszeitraums, je nachdem, was länger ist
Was kostet eine Sicherheitsaktualisierung?
nichts; eine neuere Version derselben Hauptversion verlangt keine Anpassungen von Ihnen
Auf welchem Weg kommen Aktualisierungen?
als neue Lieferung (ZIP oder Windows-Installer-Paket), die Sie in den Lieferordner einspielen; die Anwendung und ihr Starter laden nichts aus dem Internet (Eine neue Version einspielen)
Integrität und Zusammensetzung
Frage
Antwort
Wie wird die Integrität der installierten Dateien geprüft?
Der Starter prüft jede Kopie der Anwendung gegen die Lieferung und startet keine, die nicht passt
Ist die Lieferung signiert?
Teilweise. Mit der Authenticode-Signatur von EMSR DATA, D.O.O. signiert sind der Starter Wkl.Bootstrapper.exe, die Bibliotheken WKL Forms Object Library und WKL Office JSON sowie der ODBC-Treiber samt seinem Installationspaket; die .NET-Laufzeit trägt die Signatur von Microsoft. Nicht signiert sind die Anwendung selbst (Access-Datei), die ZIP-Datei und die Windows-Installer-Pakete der Anwendung. Verteilen Sie die Lieferung nur aus einer Quelle, der Sie vertrauen
Gibt es eine Software-Stückliste?
Enthält die Lieferung einen Ordner SBOM, liegen dort die Software-Stücklisten (CycloneDX) der Anwendung, der mitgelieferten WKL-Bibliotheken und des ODBC-Treibers
Welche Bestandteile bringt die Lieferung mit?
die Anwendung; den Starter WKL Bootstrapper; die Bibliotheken WKL Forms Object Library und WKL Office JSON; den ODBC-Treiber „Wkl OData“; eine private .NET-Laufzeit von Microsoft. Hersteller der WKL-Bestandteile ist EMSR DATA, D.O.O.
Was muss beim Betreiber vorhanden sein?
Access aus Microsoft 365 oder Office LTSC 2024 (Vollversion oder Runtime, 32 oder 64 Bit) auf dem Arbeitsplatz und ein laufender Datendienst WKL Database Gateway
Daten
Frage
Antwort
Verarbeitet der Hersteller Daten des Betreibers?
Nein. Die Anwendung verbindet sich nur mit dem Datendienst, dessen Adresse Sie bei der Anmeldung angeben, und sendet keine Daten an den Hersteller
Gibt es Verbindungen zu Dritten?
Nur auf Ihre Veranlassung: Einladungen per Mail verschickt die Anwendung über das Mailprogramm des Arbeitsplatzes (Einladung per Mail senden); die Geodatenbank lädt der Datendienst von DB-IP oder MaxMind nur, wenn Sie diese Quelle wählen (Anmeldungen und ihre Herkunft prüfen). Weitere Verbindungen des Datendienstes beschreibt dessen Dokumentation
Wo liegen personenbezogene Daten?
im Verwaltungsspeicher und in der Protokolldatei des Datendienstes bei Ihnen; auf dem Arbeitsplatz nur Einstellungen und Zwischenstände; Übersicht unter Sicherheit und Datenschutz
Wer ist Verantwortlicher nach DSGVO?
der Betreiber der Installation, nicht der Hersteller
