Dieses Dokument ist anwendbar auf sicherheitsbezogene elektrische, elektronische und programmierbare elektronische (E/E/PES) Systeme einschließlich Teilsysteme und Einrichtungen für elektrische Bahn-Signalanlagen. In diesem Dokument werden Aktivitäten und Methoden beschrieben, mit dem Ziel, ein Verfahren zur Behandlung von IT-Sicherheits-Schwachstellen und -Vorfällen festzulegen. Es werden hierzu auch risikobasierte Aussagen zu Umsetzungszeiten für Maßnahmen festgelegt. Dieses Dokument ist anwendbar für die Bewertung und Behandlung von Risiken, die sich durch die Bedrohungen der IT-Sicherheit in Folge von Sicherheitslücken ergeben.
Dabei werden nur die grundsätzlichen Schritte erläutert, die Details müssen in den geltenden Richtlinien und Prozessen beim Betreiber/Hersteller geregelt werden.
Für den Anwendungsbereich dieses Dokuments bestehen keine regionalen oder internationalen Normen.
Diese Norm befasst sich nicht mit Schwachstellen in der funktionalen Sicherheit oder des physischen Zutritts. Sie befasst sich ebenfalls nicht mit Schwachstellen, die nur dadurch verursacht sind, dass bei zeitlich befristeten Dokumenten, die Grundlage für die Inbetriebnahme des Systems waren, diese Frist abgelaufen ist.
Geeignete Prozesse zur rechtzeitigen Verlängerung/ Erneuerung dieser Grundlagen sind anderweitig zu definieren.
Typische Anwendungsbeispiele sind u.a. die Einrichtung eines Security-Life-Cycle-Managements (SLCM) und die Implementierung eines Schwachstellen-Managements.
