Digitale kwetsbaarheid melden

Wat doet u als u een kwetsbaarheid ontdekt?

• Mail dit naar cvd@doetinchem.nl. Versleutel uw bericht met onze PGP-sleutel om te voorkomen dat de informatie in verkeerde handen valt. U vindt de PGP-sleutel onderaan deze pagina.
• Geef voldoende informatie, zodat wij het probleem kunnen vinden, namaken en zo snel mogelijk kunnen oplossen. Uw melding bestaat uit:
  • een IP-adres of de URL van het systeem waar u de kwetsbaarheid heeft ontdekt;
  • een Proof of Concept (PoC), laten zien hoe u bent gekomen tot de kwetsbaarheid;
  • een CVE (als deze beschikbaar is), een lijst waarop bekende kwetsbaarheden uit software staan;
  • een duidelijke omschrijving van de kwetsbaarheid.
• Doe uw melding zo snel mogelijk nadat u de kwetsbaarheid heeft ontdekt.
• Deel tips die ons helpen het probleem op te lossen. Geef met feiten uitleg over uw tips en vermijd reclame voor bepaalde (beveiligings)producten.
• Laat uw contactgegevens achter zodat we met u kunnen samenwerken aan een veilig resultaat. We hebben minimaal één e-mailadres of telefoonnummer nodig.

Wat kunt u van ons verwachten?

• Wij behandelen uw melding vertrouwelijk. En delen uw persoonlijke gegevens niet met derden zonder uw toestemming. Behalve als de wet ons dat verplicht. Of als wij een rechterlijke uitspraak moeten volgen.
• Binnen 1 werkdag ontvangt u een automatische ontvangstbevestiging.
• Binnen 7 werkdagen ontvangt u een (eerste) beoordeling van de melding. En eventueel een verwachte datum voor een oplossing.
• Wij proberen het probleem binnen 90 dagen op te lossen. We werken als het kan hiermee met u samen. In elk geval laten we u weten wat wij doen. 
• Als het kan delen wij de melding met de Informatiebeveiligingsdienst voor gemeenten (IBD). Zo zorgen wij ervoor dat gemeenten hun ervaringen op dit vlak met elkaar delen.
• Helpt uw melding echt mee aan het verhogen van de veiligheid van onze systemen? Dan ontvangt u als dank een passende beloning voor uw hulp. Afhankelijk van de ernst van het beveiligingsprobleem en de kwaliteit van de melding, kan de beloning verschillen. Het moet hierbij wel gaan om een nog onbekend en serieus beveiligingsprobleem.

U mag ervan uitgaan dat uw melding geen juridische gevolgen voor u heeft als u bovenstaande spelregels volgt. Blijkt toch dat u zich niet aan de spelregels heeft gehouden? Dan kunnen wij alsnog besluiten om gerechtelijke stappen tegen u te ondernemen. Hierbij beoordelen wij of u gehandeld heeft in oog van maatschappelijk belang, de proportionaliteit en het subsidiariteitsvereiste.