Ley de Ciberresiliencia

1. Finalidad

BIXOLON se compromete a mejorar continuamente la seguridad de sus productos. Agradecemos los informes sobre posibles vulnerabilidades de seguridad realizados por investigadores de seguridad, clientes y usuarios. Esta política describe cómo informar de una vulnerabilidad en un producto de BIXOLON y cómo BIXOLON gestiona y divulga las vulnerabilidades notificadas. 

2. Ámbito de aplicación

Esta política se aplica a: 

• Impresoras de recibos, impresoras móviles, impresoras de etiquetas y productos de hardware relacionados fabricados y comercializados por BIXOLON. 

• Firmware de los productos mencionados anteriormente. 

• Controladores, utilidades, SDK y aplicaciones móviles distribuidos por BIXOLON. 

• Sitios web y servicios en línea operados por BIXOLON. 

Quedan fuera del ámbito de aplicación: 

• Productos y software cuyo soporte haya finalizado (la lista de productos cuyo soporte ha finalizado se publica por separado). 

• Productos y servicios fabricados u operados por terceros. 

• Ataques que requieran acceso físico, robo o pérdida de un dispositivo. 

• Ingeniería social y phishing dirigidos a empleados de BIXOLON. 

• Recomendaciones de configuración y hallazgos informativos sin un impacto demostrable en la seguridad. 

3. Cómo informar de una vulnerabilidad

Por favor, informe de las vulnerabilidades a través de: 

Informar de una vulnerabilidad 

NOTA: Al hacer clic en el enlace anterior, se conectará al sitio web externo de BIXOLON (www.Bixolon.com). 

Incluir la siguiente información nos ayudará a validar su informe rápidamente: 

• Nombre y número de modelo del producto afectado. 

• Versión del firmware o software. 

• Tipo de vulnerabilidad y una descripción detallada. 

• Pasos para reproducirla, incluyendo código de prueba de concepto (Proof of Concept) o capturas de pantalla cuando corresponda. 

• Impacto previsto y escenario de ataque. 

• Sus datos de contacto y si desea que se reconozca públicamente su contribución. 

• La fecha prevista de publicación, si tiene intención de publicar la información. 

Los informes se aceptan en inglés o coreano. 

4. Nuestro proceso y plazos de respuesta

Tras recibir un informe, BIXOLON: 

• Confirmará la recepción en un plazo de 3 días laborables. 

• Proporcionará una evaluación inicial en un plazo de 10 días laborables, incluyendo si consideramos que el hallazgo constituye una vulnerabilidad y nuestra clasificación preliminar de gravedad. 

• Proporcionará una actualización del estado cada 30 días mientras se esté llevando a cabo la corrección. 

• Le notificará cuando se haya publicado una solución o medida de mitigación. 

El tiempo necesario para la corrección depende de la gravedad de la vulnerabilidad, del alcance de los productos afectados y de la validación requerida. BIXOLON tiene como objetivo resolver las vulnerabilidades de alta gravedad en un plazo de 90 días desde el informe inicial y, cuando no sea viable proporcionar una solución inmediata, ofrecer primero orientación sobre las medidas de mitigación correspondientes. Estos plazos son objetivos previstos y no constituyen garantías. 

5. Divulgación

• BIXOLON sigue un proceso de divulgación coordinada. Publicamos información sobre una vulnerabilidad una vez que se ha puesto a disposición de los usuarios una solución o medida de mitigación. 

• La fecha de divulgación se acuerda con la persona que realiza el informe y, salvo circunstancias excepcionales, tendrá lugar dentro de los 90 días siguientes al informe inicial. 

• Cuando consideremos que la publicación podría generar un riesgo adicional para los usuarios antes de que puedan aplicar una solución, podremos retrasar la divulgación hasta que los usuarios hayan tenido la oportunidad de hacerlo. Explicaremos los motivos de esta decisión a la persona que realizó el informe. 

• Los avisos de seguridad publicados incluyen los productos y versiones afectados, una descripción de la vulnerabilidad, su gravedad y las medidas que deben adoptar los usuarios. 

• Reconoceremos públicamente a las personas que informen de vulnerabilidades en nuestros avisos de seguridad cuando así lo deseen y respetaremos las solicitudes de permanecer en el anonimato. 

6. Directrices para investigadores

Al investigar y comunicar vulnerabilidades, le rogamos que: 

• Realice pruebas únicamente en dispositivos de su propiedad o en dispositivos para los que esté expresamente autorizado a realizar pruebas. 

• No acceda, almacene, transfiera ni utilice datos personales de otras personas. Si encuentra dichos datos, detenga inmediatamente la actividad e indíquelo en su informe. 

• No interrumpa servicios, destruya datos ni reduzca el rendimiento de los sistemas. 

• Limite su actividad a lo estrictamente necesario para demostrar la vulnerabilidad. 

• No divulgue ni comparta información sobre vulnerabilidades con terceros antes de coordinarse con BIXOLON. 

• No exija pagos ni ninguna otra contraprestación a cambio de la información sobre la vulnerabilidad. 

7. Protección frente a acciones legales (Safe Harbour)

Si investiga y comunica una vulnerabilidad de buena fe y de conformidad con la Sección 6 de esta política, BIXOLON considerará que su actividad está autorizada. No iniciaremos ni apoyaremos acciones civiles o penales contra usted en relación con dicha actividad. 

Si un tercero emprende acciones legales contra usted en relación con una investigación realizada conforme a esta política, dejaremos constancia de que su actividad se llevó a cabo de conformidad con esta política. 

Esta sección se aplica en la medida permitida por la legislación aplicable y no se aplica a actividades que infrinjan la Sección 6. 

8. Recompensas

Actualmente, BIXOLON no opera un programa de recompensas económicas por la detección de vulnerabilidades (bug bounty). Reconocemos la contribución de las personas que informan de vulnerabilidades mencionándolas en nuestros avisos de seguridad. 

9. Comunicación a las autoridades

De conformidad con la Ley de Ciberresiliencia de la UE (EU Cyber Resilience Act) y demás legislación aplicable, BIXOLON está obligado a notificar a las autoridades competentes las vulnerabilidades que estén siendo explotadas activamente y los incidentes de seguridad graves. 

Cuando dicha notificación sea obligatoria, la realizaremos dentro de los plazos establecidos por la legislación aplicable. No incluiremos los datos personales de la persona que haya realizado el informe en dichas notificaciones sin su consentimiento. 

10. Cambios en esta política

Esta política podrá revisarse en respuesta a cambios en la legislación aplicable y a nuestra experiencia operativa. Las revisiones se publicarán en esta página junto con la fecha de revisión correspondiente. 

Última revisión: 11 de septiembre de 2026
Contacto: info@bixolon.de