Industriekommunikations-Software-Erfahrung, die in unsere Sicherheitsarbeit einfließt.
Compliance ist Teil unserer Arbeit — kein separater Vorgang.
Industriekommunikation hat regulatorische Anforderungen, die mit der Zeit komplexer werden. Wir behandeln sie, wie wir Software behandeln: systematisch, dokumentiert, überprüfbar.
Regulatorisch im Blick
Cyber Resilience Act:
Was wir bis 2027 umsetzen — und
was wir längst tun.
Der EU Cyber Resilience Act bringt für Hersteller industrieller Software ab 2027 verpflichtende Sicherheitsanforderungen. Für uns ist das weniger Kursänderung als Formalisierung: Vieles, was die Verordnung vorschreibt, gehört seit Jahren zu unserer Entwicklungsarbeit.
SBOM-Daten liefern wir bereits heute mit jedem Release. Sicherheitsmeldungen unserer Drittabhängigkeiten beobachten wir kontinuierlich. Out-of-band-Hotfixes sind etablierte Praxis.
Was sich durch CRA neu strukturiert: dedizierter Sicherheitskontakt, formale CVSS-Bewertung, öffentliche Security Advisories und eine dokumentierte Coordinated Vulnerability Disclosure Policy.
Vollständige CRA-AufstellungUnterstützungszeitraum für Sicherheitsupdates ab Erstveröffentlichung jeder Produktversion.
Erstreaktion und Hotfix-Ziel bei kritischen Sicherheitsmeldungen.
Für Ihre NIS2-Lieferkette
Was wir Ihrer NIS2-Compliance liefern.
NIS2 verpflichtet Sie als Betreiber wesentlicher oder wichtiger Einrichtungen, Ihre Lieferkette auf IT-Sicherheit zu prüfen. Wenn Traeger-Produkte in Ihren Systemen laufen, sind Sie auf belastbare
Aussagen unserer Seite angewiesen.
Software Bill of Materials
Maschinenlesbar im SPDX-2.3-Format, Bestandteil jedes Produkt-Downloads. Mit Package-URL-Identifikatoren für automatisierte CVE-Cross-Referenzierung in Ihrem Audit-Werkzeug.
EU-Konformitätserklärung
Selbstdeklaration nach dem im CRA vorgesehenen Verfahren (Modul A) für unsere Produkte mit digitalen Elementen, ab CRA-Wirksamkeit. Nutzbar als Bestandteil Ihrer Lieferanten-Dokumentation.
Schwachstellen-Information
Öffentliche Security Advisories mit RSS-Feed. Auf Wunsch zusätzlich aktive Benachrichtigung per E-Mail für Kunden mit Service-Stufe.
Lieferantenfragebögen
Wir beantworten LkSG- und Sicherheits-Fragebögen Ihrer Compliance-Abteilung transparent und ohne Verzögerung. Antwortzeit in der Regel innerhalb einer Woche.
Dual-Use und Defence
BAFA-geprüft. Defence-Anfragen werden geprüft, nicht reflexhaft beantwortet.
Status nach Außenwirtschaftsrecht
Unsere SDKs und Produkte zur Industriekommunikation sind beim Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) geprüft. Eine aktuelle Auskunft zur Güterliste bestätigt, dass das OPC UA SDK weder von der EU-Dual-Use-Verordnung 2021/821 noch von der nationalen Ausfuhrliste, der Anti-Folter-Verordnung oder der Feuerwaffenverordnung erfasst wird.
Den aktuellen Bescheid stellen wir auf Anfrage zur Verfügung.
Lieferung in sanktionierte Länder
Erfolgt grundsätzlich nicht. Bei Bestellungen aus Ländern mit erhöhtem Prüfaufwand klärt unser Vertrieb den Endverwendungszweck im Einzelfall.
Anfragen aus dem Defence-Sektor
Werden nicht pauschal abgelehnt, sondern individuell geprüft. Voraussetzung für ein Angebot ist eine schriftliche Endverwendungserklärung des Kunden, in der ABC-Waffen, völkerrechtlich geächtete Waffen und offensive militärische Operationen ausgeschlossen werden. Die interne Bewertung erfolgt nach einer dokumentierten Richtlinie mit Geschäftsleitungs-Freigabe.
Die Richtlinie selbst stellen wir auf Anfrage zur Verfügung.
Lieferanten- und Menschenrechtsstandards
Was wir unterschreiben — und
was wir selbst tun.
Lieferantenfragebögen unserer Kunden
Großkunden, die selbst dem Lieferkettensorgfaltspflichtengesetz unterliegen, fragen ihre Lieferanten regelmäßig nach Menschenrechts- und Arbeitsstandards ab. Lieferantenstandards auf Basis des Verhaltenskodex der Responsible Business Alliance sind für uns nichts Neues — wir beantworten sie transparent und unterzeichnen sie, wenn sie unseren Werten entsprechen.
Eigene Verpflichtung
Wir richten uns nach den UN-Leitprinzipien für Wirtschaft und Menschenrechte, den ILO-Kernarbeitsnormen und dem UN Global Compact.
Eine eigene Grundsatzerklärung dazu ist in Vorbereitung und wird hier verfügbar gemacht, sobald sie unterzeichnet ist.
Daten und Zugriffskontrolle
Datenschutz dokumentiert. Informationssicherheit gelebt.
Datenschutz nach DSGVO
Personenbezogene Daten verarbeiten wir DSGVO-konform — auf unserer Webseite, in Kontakt- und Bestellformularen sowie bei der Lizenzvergabe. Welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden, steht ausführlich in unserer Datenschutzerklärung. Anfragen zum Datenschutz richten Sie an datenschutz@traeger.de.
Unsere Produkte kommunizieren nicht „nach Hause“
Das gilt während der Evaluation, im produktiven Einsatz, bei der Verwendung einer Lizenz, bei deren Aktivierung und im Fehlerfall. Was unsere SDKs und Codabix kommunizieren, ist ausschließlich das, was der Anwender oder Entwickler über die Konfiguration vorgibt — mit den Quellsystemen und Zielsystemen, die er selbst festlegt.
Es gibt keinen Telemetrie-Kanal, keinen Analytics-Endpunkt, keinen Update-Check, keine Crash-Reporting-Verbindung zu Traeger.
Informationssicherheit als Praxis
Wir setzen die zentralen Praktiken eines Informationssicherheits-Managementsystems ein — unter anderem rollenbasierte Zugriffskontrolle mit Zwei-Faktor-Authentifizierung, verpflichtende Code-Reviews, digital signierte Release-Artefakte und regelmäßige Sicherheitsschulungen für unser Team.
Eine formale Zertifizierung nach ISO 27001 oder TISAX besteht aktuell nicht — sie war bislang nicht notwendig. Mit wachsenden Anforderungen unserer Kunden werden wir hier perspektivisch nachziehen. Detail-Auskunft zu unseren Praktiken geben wir gerne im Rahmen von Lieferantenprüfungen.
Ehrliche Abgrenzung
Was wir nicht tun — und warum das
in Ordnung ist.
Compliance-Aussagen sind nur dann verlässlich, wenn auch die Lücken benannt werden. Drei Punkte, an denen wir bewusst keine Versprechen machen.
Außerhalb unseres Bereichs
Maschinenverordnung 2023/1230
Unsere Produkte sind Daten-Kommunikations-Komponenten. Für die funktionale Sicherheit nach Maschinenverordnung oder IEC 61508/62061 bleibt der Maschinenhersteller verantwortlich. Wir liefern die Datenebene, nicht die Steuerungsebene.
Keine Zertifizierung
IEC 62443
Unsere SDKs sind in 62443-konformen Architekturen einsetzbar, aber selbst nicht 62443-zertifiziert. Detail-Auskunft im Rahmen einer Lieferantenprüfung.
Keine Zertifizierung
ISO 27001, TISAX
Keine Zertifizierung. Konkrete Sicherheitspraktiken kommunizieren wir individuell auf Anfrage und vermeiden generische Versprechen ohne Audit-Beleg.
Für Compliance-Anfragen
Sie haben eine Frage, die hier
nicht beantwortet ist?
- Sicherheitsmeldungen
- psirt@traeger.de PGP-verschlüsselt verfügbar
- Compliance-Anfragen
- info@traeger.de
- Telefon
- +49 961 48 23 0-0
„Wir antworten in der Regel innerhalb einer Woche — auch auf Lieferantenfragebögen, die unsere Kunden uns weiterleiten.