Responsible-disclosure-beleid — voorbeeld & model
Regels waarbinnen beveiligingsonderzoekers kwetsbaarheden veilig mogen melden. Dit document wordt opgebouwd uit modelclausules. De software controleert de ingevoerde gegevens op de ingestelde regels; controleer zelf of het contract bij jouw situatie past. Wat je invult wordt nergens opgeslagen — tot je het volledige document bestelt.
Status: AI-opgezet model — laat een jurist het document beoordelen. Laat vóór ondertekening altijd een jurist meekijken.
Zo ziet een responsible-disclosure-beleid eruit
Een voorbeeld met fictieve gegevens — jouw versie vul je zelf in.
Partijen en inleiding
Dit responsible-disclosure-beleid van Voorbeeld B.V., gevestigd te Vught, geldt vanaf 1 september 2026 en beschrijft hoe beveiligingsonderzoekers en andere melders kwetsbaarheden in de systemen van Voorbeeld B.V. veilig en verantwoord kunnen melden. Voorbeeld B.V. hecht groot belang aan de beveiliging van haar systemen en waardeert de inzet van iedereen die daaraan bijdraagt door kwetsbaarheden op een verantwoorde manier te melden.
Gegevens van partijen
Naam organisatie: Voorbeeld B.V., Vught.
Artikel 1 · Wat is responsible disclosure
Onder responsible disclosure (gecoördineerde openbaarmaking van kwetsbaarheden) verstaat Voorbeeld B.V. het op een verantwoorde, vertrouwelijke wijze melden van een kwetsbaarheid, zodat deze kan worden onderzocht en verholpen voordat details openbaar worden gemaakt. Dit beleid heeft tot doel de veiligheid van de systemen en gegevens te vergroten en tegelijk melders duidelijkheid en bescherming te bieden.
Artikel 2 · Reikwijdte (scope)
Dit beleid is van toepassing op de volgende systemen en diensten: Alle domeinen onder voorbeeld.nl, de webapplicatie en de mobiele app. Uitdrukkelijk buiten de scope vallen: Systemen van derden, phishing-tests op medewerkers, en fysieke toegang tot kantoren. Bij twijfel over de reikwijdte kan de melder vooraf contact opnemen via security@voorbeeld.nl.
Artikel 3 · Hoe melden
Een kwetsbaarheid kan worden gemeld via security@voorbeeld.nl, met een zo duidelijk mogelijke beschrijving van de kwetsbaarheid, de stappen om deze te reproduceren en, indien mogelijk, bewijsmateriaal (zoals schermafbeeldingen of logbestanden). Voor het versleuteld verzenden van gevoelige informatie is een PGP-sleutel beschikbaar via https://voorbeeld.nl/.well-known/security.txt. Voorbeeld B.V. verzoekt melders voldoende informatie te verstrekken om de melding te kunnen beoordelen en te reproduceren.
Dit is het begin van het model. Vul je eigen gegevens in voor het complete, kant-en-klare document.
Wat staat er in een responsible-disclosure-beleid?
Een responsible-disclosure-beleid van Lexparaat is geen invul-voorbeeld maar een opgebouwd document: elke clausule komt uit een gecureerde set, waar relevant met het wetsartikel erbij.
- Partijen en inleiding
- Artikel 1 · Wat is responsible disclosure
- Artikel 2 · Reikwijdte (scope)
- Artikel 3 · Hoe melden
- Artikel 4 · Anonimiteit en contactgegevens
- Artikel 5 · Reactie en proces
- Artikel 6 · Coordinated disclosure
- Artikel 7 · Omgang met persoonsgegevens
- Artikel 8 · Veilige haven
⚖ art. 138ab Sr
1. Met gevangenisstraf van ten hoogste twee jaren of geldboete van de vierde categorie wordt, als schuldig aan computervredebreuk, gestraft hij die opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of in een deel daarvan. Van binnendringen is in ieder geval sprake indien de toegang tot het werk wordt verworven:
a. door het doorbreken van een beveiliging,
b. door een technische ingreep,
c. met behulp van valse signalen of een valse sleutel, of
d. door het aannemen van een valse hoedanigheid.2. Met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categorie wordt gestraft computervredebreuk, indien de dader vervolgens gegevens die zijn opgeslagen, worden verwerkt of overgedragen door middel van het geautomatiseerd werk waarin hij zich wederrechtelijk bevindt, voor zichzelf of een ander overneemt, aftapt of opneemt.
3. Met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categorie wordt gestraft computervredebreuk gepleegd door tussenkomst van een openbaar telecommunicatienetwerk, indien de dader vervolgens
a. met het oogmerk zichzelf of een ander wederrechtelijk te bevoordelen gebruik maakt van verwerkingscapaciteit van een geautomatiseerd werk;
b. door tussenkomst van het geautomatiseerd werk waarin hij is binnengedrongen de toegang verwerft tot het geautomatiseerd werk van een derde.4. Indien het feit is gepleegd ten behoeve van een buitenlandse mogendheid wordt de op het feit gestelde gevangenisstraf met een derde verhoogd.
Artikel 138ab Wetboek van Strafrecht — uitleg en de modellen die erop rusten →
Bron: wetten.overheid.nl — Wetboek van Strafrecht (BWBR0001854), toestand geldig vanaf 2026-07-01, opgehaald 10-09-2026 uit de BWB-repository van de overheid. Wetteksten zijn vrij van auteursrecht (art. 11 Auteurswet); de uitleg en de contractmodellen zijn van Lexparaat.
- Artikel 9 · Beloning
- Artikel 10 · Wat niet is toegestaan
- Artikel 11 · Wijziging van het beleid
- Artikel 11a · Aansprakelijkheid
⚖ art. 6:74 BW
1. Iedere tekortkoming in de nakoming van een verbintenis verplicht de schuldenaar de schade die de schuldeiser daardoor lijdt te vergoeden, tenzij de tekortkoming de schuldenaar niet kan worden toegerekend.
2. Voor zover nakoming niet reeds blijvend onmogelijk is, vindt lid 1 slechts toepassing met inachtneming van hetgeen is bepaald in de tweede paragraaf betreffende het verzuim van de schuldenaar.
Artikel 6:74 BW — uitleg en de modellen die erop rusten →
Bron: wetten.overheid.nl — Burgerlijk Wetboek Boek 6 (BWBR0005289), toestand geldig vanaf 2026-07-16, opgehaald 10-09-2026 uit de BWB-repository van de overheid. Wetteksten zijn vrij van auteursrecht (art. 11 Auteurswet); de uitleg en de contractmodellen zijn van Lexparaat.
- Artikel 12 · Toepasselijk recht
Veelgestelde vragen over een responsible-disclosure-beleid
Waarvoor gebruik je een responsible-disclosure-beleid?
Regels waarbinnen beveiligingsonderzoekers kwetsbaarheden veilig mogen melden.
Wat kost een responsible-disclosure-beleid?
Je eerste document is gratis. Daarna kost een document €5, of €29 voor alle modellen uit dezelfde bundel. Invullen en bekijken kost je niets. Wil je dat een jurist het controleert en meetekent, dan kost dat €99.
Is dit een statisch voorbeeld of een echt document?
Geen voorbeeld-PDF: je vult de velden in en de software bouwt het document op uit gecureerde clausules en voert de ingestelde invoercontroles uit. Controleer of het document bij jouw situatie past.
Is dit model juridisch getoetst?
De clausuleset is een werkversie; de juridische toets door mr. Yves Houben volgt. De software voert de ingestelde invoercontroles uit. Een geslaagde controle is geen juridische goedkeuring.
Wat heb ik nodig om dit model in te vullen?
Niet meer dan de basisgegevens: naam organisatie, vestigingsplaats, e-mailadres voor meldingen, pgp-sleutel / vindplaats voor versleutelde meldingen, ingangsdatum beleid, systemen/diensten die binnen de scope vallen. Twijfel je ergens over, dan laat je het veld staan en kijkt de jurist mee.
Andere modellen
BYOD-beleid (eigen apparaten)
Voorwaarden voor zakelijk gebruik van privé-apparaten door medewerkers.
Verwerkersovereenkomst (AVG)
Verplicht zodra een leverancier persoonsgegevens voor je verwerkt (AVG) — denk aan je boekhouder, IT-partij of marketingbureau.
Informatiebeveiligingsbeleid
Interne kaders en verantwoordelijkheden voor informatiebeveiliging.
Meer over dit onderwerp
Wat de wet hierover zegt, uitgelegd aan de hand van de artikelen waar dit model op steunt.
