Autovig

Beleid voor gecoördineerde openbaarmaking van kwetsbaarheden

Hoe een kwetsbaarheid melden aan Autovig: reikwijdte, kanaal, gecoördineerd tijdpad, Belgisch wettelijk CVD-kader (NIS2-wet 2024) en CCB-doorverwijzing.

Laatst herzien
11 oktober 2026

In het kort

  • Meld een kwetsbaarheid in één gestructureerde e-mail aan security@autovig.eu met "security report" in het onderwerp; de scope omvat autovig.eu, de build-uitvoer en de cookie-consentflow, en meldingen zijn in zes talen mogelijk.
  • Autovig bevestigt binnen 5 werkdagen, triageert binnen 10 werkdagen en streeft naar 90 dagen tot herstel volgens een gecoördineerd openbaarmakingsmodel; er is geen betaald bug-bountyprogramma, alleen publieke vermelding.
  • Onderzoek te goeder trouw binnen de scope valt onder een toestemming van de verwerkingsverantwoordelijke; de wettelijke vrijstelling van artikel 23 van de Belgische NIS2-wet geldt bovendien als u het CCB binnen 24 uur (vereenvoudigde melding) en 72 uur (volledige melding) inlicht, en het CCB (CERT.be) is de escalatieroute.

Autovig verwelkomt te goeder trouw uitgevoerd beveiligingsonderzoek op haar publiek toegankelijke systemen. Dit beleid is het CVD-beleid van de verantwoordelijke in de zin van ISO/IEC 29147:2018, het Belgische wettelijke kader voor gecoördineerde openbaarmaking van kwetsbaarheden (artikelen 22 en 23 van de Wet van 26 april 2024, de Belgische NIS2-wet, en de rol van het Centrum voor Cybersecurity België — CCB) en de Good Practice Guide on Vulnerability Disclosure van ENISA. Het is van toepassing op de website autovig.eu (de "Website").

1. Meldkanaal

Stuur één gestructureerde melding naar:

Indien u ons niet kunt bereiken, of geen ontvangstbevestiging ontvangt binnen de termijn van afdeling 6, kunt u de melding doorverwijzen naar het Belgische nationale CSIRT:

U kunt schrijven in het Engels, Frans, Duits, Nederlands, Roemeens of Pools.

2. Reikwijdte

In de reikwijdte:

  • autovig.eu en elk subdomein dat productie-inhoud aanbiedt;
  • de uitvoer van de statische build: HTML, CSS, JavaScript-bundels en de door ons gepubliceerde gestructureerde data;
  • de cookietoestemmingsbanner en de toestemmingsopslag aan de clientzijde.

3. Buiten de reikwijdte

  • Websites van externe operatoren (ASFINAG, DARS, NÚSZ, BGTOLL, CNAIR, enz.) — meld die rechtstreeks aan de operator.
  • Problemen die een bevoorrechte positie vereisen (reeds gecompromitteerde browser, kwaadaardige browserextensie, fysieke toegang tot het toestel van de gebruiker).
  • Output van geautomatiseerde scanners zonder duidelijke en aantoonbare beveiligingsimpact.
  • Meldingen over ontbrekende best practices (HTTP-headers, TLS-configuratie, identificatie van softwareversies) zonder aantoonbaar exploiteerbaar risico.
  • Denial-of-service-tests, social engineering tegen personeel of leveranciers, aanvallen op fysieke locaties of op derde leveranciers (hosting, DNS, e-mail).

4. Verwachte inhoud van de melding

  • Een korte beschrijving van het probleem en de betrokken URL of component.
  • Stappen om het probleem te reproduceren, met inbegrip van de request-payload waar relevant.
  • De impact die u inschat en een realistisch exploitatiescenario.
  • De datum en het tijdstip van de test en de gebruikte browser, tool of script.
  • De naam of het pseudoniem waaronder u eventueel publiekelijk bedankt wenst te worden (afdeling 8).

5. Wat wij van u vragen

  • Raadpleeg, wijzig of download geen gegevens die u niet toebehoren. Als een verkeerde configuratie gegevens van derden blootlegt, stop en verwittig ons — download niet meer dan het strikt noodzakelijke om het probleem aan te tonen.
  • Voer geen denial-of-service-tests, social engineering, aanvallen op fysieke locaties of op derde leveranciers uit.
  • Geef ons een redelijke termijn om te corrigeren vóór elke openbaarmaking (afdeling 7).
  • Handel te goeder trouw. Meldingen met de oprechte bedoeling de beveiliging te verbeteren zijn welkom; bedreigingen, afpersing of verzoeken om betaling tegen niet-openbaarmaking niet.

6. Gecoördineerd tijdpad — onze verbintenissen

  • Ontvangstbevestiging binnen 5 werkdagen na ontvangst.
  • Triage (bevestiging van reikwijdte, eerste ernstinschatting) binnen 10 werkdagen.
  • Statusupdates voor materiële bevindingen ten minste elke 15 kalenderdagen tot afsluiting.
  • Correctie binnen een termijn evenredig aan de ernst: kritische of actief uitgebuite kwetsbaarheden hebben voorrang; standaardcorrecties beogen 90 kalenderdagen vanaf de triage; elke langere termijn wordt gemotiveerd en met u overeengekomen.
  • Publieke erkenning bij oplevering van de correctie, indien gewenst (afdeling 8).

7. Gecoördineerde publieke openbaarmaking

Wij volgen een model van gecoördineerde openbaarmaking:

  • de melding en de correctie blijven vertrouwelijk tot de oplevering van de correctie of tot het verstrijken van de standaardtermijn van 90 kalenderdagen vanaf de triage;
  • de verantwoordelijke en de melder komen de bewoording, vermelding en timing van elke publicatie overeen;
  • wanneer een bevinding een derde betreft (operator, verwerker, bibliotheek), kan de termijn in onderling overleg worden verlengd om die derde toe te laten een eigen respons te coördineren;
  • bij meningsverschil over de timing kan het dossier worden voorgelegd aan het CCB (afdeling 9);
  • als u zich beroept op de wettelijke bescherming uit afdeling 9, vereist publieke openbaarmaking ook het akkoord van het CCB.

8. Erkenning — momenteel geen bugbounty-programma

Autovig voert momenteel geen betaald bugbounty-programma. Erkenning gebeurt door publieke vermelding op deze pagina (onder uw gewenste naam of pseudoniem) en door rechtstreekse correspondentie. Er wordt geen toezegging van geldelijke beloning gedaan; indien later een programma wordt ingevoerd, worden de voorwaarden hier gepubliceerd voordat een melding daarop kan steunen.

9. Safe harbour en Belgisch wettelijk kader

Wij zien af van rechtsvordering — en behandelen uw gedrag als toegestaan voor de toepassing van de Belgische strafbaarstellingen inzake onbevoegde toegang tot informaticasystemen — op voorwaarde dat u:

  • te goeder trouw handelt met de oprechte bedoeling de beveiliging te verbeteren;
  • binnen de reikwijdte van afdeling 2 blijft en de buiten-reikwijdte-lijst van afdeling 3 respecteert;
  • enkel toegang neemt tot het strikt noodzakelijke minimum aan gegevens om de bevinding te staven, en geen gegevens van derden exfiltreert, bewaart, publiceert of deelt;
  • de beschikbaarheid, integriteit of vertrouwelijkheid niet aantast verder dan strikt nodig om het probleem aan te tonen;
  • ons zonder onnodig uitstel meldt via het kanaal van afdeling 1;
  • het gecoördineerd openbaarmakingstijdpad van afdeling 7 respecteert.

Deze toestemming wordt verleend door Autovig in haar hoedanigheid van verantwoordelijke voor de bedoelde activa en geldt alleen voor handelingen binnen de reikwijdte. Zij bindt overheidsinstanties of derden wier systemen incidenteel kunnen worden geraakt niet.

Wettelijke bescherming. Los van deze toestemming bepaalt artikel 23 van de Belgische Wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen (de Belgische NIS2-wet) dat wie een potentiële kwetsbaarheid meldt volgens de procedure van artikel 22, bepaalde misdrijven — waaronder onbevoegde toegang tot een informaticasysteem — niet pleegt, op voorwaarde dat aan alle voorwaarden is voldaan, in het bijzonder:

  • handelen zonder bedrieglijk opzet of oogmerk om te schaden;
  • een vereenvoudigde melding sturen — het betrokken systeem en een eenvoudige beschrijving van de potentiële kwetsbaarheid — onverwijld en uiterlijk binnen 24 uur na de ontdekking, aan de verantwoordelijke organisatie (voor deze Website: security@autovig.eu) en aan het CCB;
  • een volledige melding sturen, onverwijld en uiterlijk binnen 72 uur na de ontdekking, aan dezelfde ontvangers;
  • niet verder gaan dan nodig en evenredig is om de kwetsbaarheid te verifiëren en te melden;
  • geen informatie over de kwetsbaarheid openbaar maken zonder het akkoord van het CCB.

De CVD-pagina van het CCB (https://ccb.belgium.be/nl/regelgeving/cvdp) is de referentie voor deze procedure. Het Belgische Strafwetboek van 1867 is op 1 september 2026 vervangen door een nieuw Strafwetboek; vraag het CCB of een advocaat als u de nu toepasselijke strafbepalingen nodig hebt.

10. Verwerking van uw persoonsgegevens

De gegevens die u bij een melding verstrekt (e-mailadres, inhoud van de melding, eventueel PGP-versleutelde inhoud) worden verwerkt door Autovig als verwerkingsverantwoordelijke op grond van het gerechtvaardigd belang (artikel 6, lid 1, f) AVG), met het oog op triage, correctie en gecoördineerde openbaarmaking. Meldingen worden tot 5 jaar na afsluiting bewaard. Uw rechten, de klachtroute naar de GBA/APD en de overige AVG-informatie staan in ons Privacybeleid.

Bronnen

Gerelateerde juridische pagina’s