Beleid voor het melden van kwetsbaarheden

Vindt u een kwetsbaarheid in een systeem van Fluxive? Meld het ons. Dit document beschrijft wat u mag melden, hoe u dat doet, binnen welke termijnen wij reageren en welke afspraken wij met u maken. Wij behandelen elke melding ernstig en gaan er niet van uit dat u kwaad in de zin had.

1. Toepassingsgebied

Dit beleid geldt voor systemen die Fluxive zelf exploiteert:

• fluxive.be en de subdomeinen ervan
• het Fluxive Housekeeping-platform
• de overige online diensten die Fluxive in eigen naam aanbiedt

2. Hoe meldt u een kwetsbaarheid?

Stuur uw melding naar security@fluxive.be, in het Nederlands, Frans of Engels. Wij antwoorden u persoonlijk op dezelfde werkdag, of op de eerstvolgende werkdag als uw melding buiten de kantooruren of in het weekend binnenkomt.

U mag in twee stappen melden: eerst kort (welk systeem, wat er mis is in een paar zinnen), daarna volledig. Een volledige melding bevat het betrokken systeem of adres, een beschrijving, de stappen om het probleem te reproduceren, uw inschatting van de impact, en de datum en het uur waarop u het vond. Screenshots of een korte opname helpen.

Stuur geen persoonsgegevens van anderen mee als dat niet nodig is. Volstaat één record om het probleem aan te tonen, stuur er dan maar één.

Wilt u ook de wettelijke bescherming uit punt 6, dan meldt u de kwetsbaarheid daarnaast aan het Centrum voor Cybersecurity België (CCB), via vulnerabilityreport@ccb.belgium.be en volgens de procedure op ccb.belgium.be/cert/vulnerability-reporting-ccb. De wet vereist dan een korte melding binnen 24 uur en een volledige melding binnen 72 uur na de ontdekking, telkens aan ons en aan het CCB.

3. Wat u van ons mag verwachten

• Wij bevestigen elke melding persoonlijk op dezelfde werkdag (zie punt 2). Een eerste inhoudelijke reactie krijgt u binnen 5 werkdagen.
• Wij laten u weten of wij de kwetsbaarheid bevestigen, en zo ja, wat wij eraan doen en wanneer.
• Wij houden u op de hoogte tot de kwetsbaarheid verholpen is.
• Fluxive is een kleine onderneming. Wij beloven geen 24/7-opvolging, maar wel dat wij binnen deze termijnen antwoorden.

4. Openbaarmaking

Maak het probleem niet openbaar voordat wij het hebben kunnen verhelpen. Wij vragen daarvoor maximaal 90 dagen vanaf uw melding. Is het eerder verholpen, dan mag u publiceren zodra wij dat bevestigen. Hebben wij meer tijd nodig, dan vragen wij dat aan u en leggen wij uit waarom. Wij gebruiken deze termijn niet om een probleem stil te houden.

Hebt u ook bij het CCB gemeld, dan hebt u voor elke openbaarmaking bovendien de toestemming van het CCB nodig. Onze toestemming vervangt die niet. Publiceert u zonder toestemming van het CCB, dan verliest u de wettelijke bescherming uit punt 6.

5. Wat wij u vragen niet te doen

• Geen denial-of-service, belastingstests of geautomatiseerd scannen dat de dienstverlening verstoort.
• Geen social engineering, phishing of benadering van medewerkers, klanten of leveranciers.
• Geen fysieke toegang tot gebouwen of apparatuur.
• Niet verder gaan dan nodig om de kwetsbaarheid aan te tonen: geen gegevens wijzigen of wissen, geen gegevens van derden downloaden, geen toegang behouden.
• Geen systemen van klanten onderzoeken (zie punt 1).

6. Juridisch kader

Dit is het beleid van Fluxive, geen juridisch advies. Twijfelt u over uw eigen situatie, raadpleeg dan een advocaat.

Onze toestemming. Blijft u binnen punt 1 en punt 5, dan hebt u onze toestemming om de systemen uit punt 1 op kwetsbaarheden te onderzoeken en die kwetsbaarheden aan ons te melden. Dat is belangrijk: het Belgische strafrecht bestraft onder meer toegang tot een informaticasysteem zonder daartoe gerechtigd te zijn. Onze toestemming dekt het zoeken naar en aantonen van een kwetsbaarheid, niet het inkijken, kopiëren of bewaren van gegevens van anderen verder dan nodig. Wij kunnen alleen toestemming geven voor wat van ons is: niet voor systemen van klanten, niet voor de platformen van onze hosting- en softwareleveranciers, en niet voor communicatie van anderen.

Wat wij beloven. Fluxive start geen burgerlijke procedure en dient geen klacht in tegen wie te goeder trouw meldt en binnen dit beleid blijft. Moeten wij een datalek melden aan de Gegevensbeschermingsautoriteit of klanten inlichten, dan doen wij dat. Dat is geen klacht tegen u. Over strafvervolging beslissen het openbaar ministerie en de rechter, niet Fluxive.

De wettelijke procedure. Los van dit beleid geldt in België een wettelijke regeling voor wie een kwetsbaarheid meldt: de artikelen 22 en 23 van de wet van 26 april 2024 (de NIS2-wet). Ze geldt ook voor kleine ondernemingen zoals Fluxive. Wie via het CCB meldt en alle voorwaarden naleeft, pleegt volgens die wet geen misdrijf van hacking, onderschepping van communicatie of schending van het beroepsgeheim. De voorwaarden zijn onder meer: u handelt zonder bedrieglijk opzet en zonder het oogmerk om te schaden; u meldt binnen 24 uur kort en binnen 72 uur volledig, aan ons en aan het CCB; u gaat niet verder dan wat nodig en evenredig is; u maakt niets openbaar zonder toestemming van het CCB. De volledige voorwaarden staan op ccb.belgium.be/cert/vulnerability-reporting-ccb. Of ze vervuld zijn, beslist uiteindelijk het gerecht.

U mag ons beleid en de wettelijke procedure samen gebruiken. Contacteert het CCB ons over uw melding, dan werken wij mee.

Beide bieden alleen bescherming naar Belgisch recht. Staan systemen geheel of gedeeltelijk in het buitenland, dan kan ook buitenlands recht gelden.

7. Vergoeding

Fluxive heeft geen bug bounty-programma en betaalt geen vergoeding voor meldingen. Wij zeggen dat liever vooraf dan achteraf. Wat wij wel doen: als u dat wenst, vermelden wij u met naam wanneer de kwetsbaarheid verholpen is.

8. Contact