Kwetsbaarheden melden en ontvangen: CVD onder de Cyberbeveiligingswet

Wat staat er in de wet?

De vijfde zorgplichtmaatregel gaat over beveiliging bij verwerven, ontwikkelen en onderhouden van systemen, "met inbegrip van de respons op en bekendmaking van kwetsbaarheden" (artikel 21, derde lid, onder e, Cbw). Daarnaast:

• Iedereen kan op vrijwillige basis een kwetsbaarheid melden bij de coördinator voor gecoördineerde bekendmaking van kwetsbaarheden, ook anoniem (artikel 34 Cbw).
• Volgens het Cyberbeveiligingsbesluit is de minister die coördinator (artikel 2, derde lid, Cbb). In de praktijk heeft het NCSC een meldpunt voor kwetsbaarheden.
• Beoordeel gerichte waarschuwingen over kwetsbaarheden die u ontvangt, en leg de uitkomst schriftelijk vast (artikel 17 Cbb).
• Voor telecomaanbieders: kwetsbaarheden die een risico vormen, verhelpt u onverwijld, of u motiveert en documenteert waarom niet of later (artikel 5, derde lid, Regeling cyberbeveiliging EZK).

De wet verplicht u niet letterlijk om een openbaar CVD-beleid te hebben. Maar zonder afspraken over hoe meldingen binnenkomen en worden afgehandeld, is het lastig om "respons op kwetsbaarheden" aantoonbaar te regelen.

Wat zegt het NCSC?

Het NCSC heeft een CVD-meldpunt. Volgens de NCSC-pagina is dat bedoeld voor kwetsbaarheden in systemen van de Rijksoverheid en voor kwetsbaarheden die meerdere systemen of leveranciers treffen. Voor systemen buiten de Rijksoverheid meldt een vinder eerst bij de eigenaar. Reageert de eigenaar niet goed, dan kan het NCSC bemiddelen. Het NCSC noemt kleine bevindingen, zoals ontbrekende HTTP-headers of zichtbare versienummers, meestal buiten de scope.

Voor u betekent dat: vinders komen eerst bij u. Zorg dat ze u kunnen vinden.

Zo richt u CVD in

1. Een meldadres

Maak een vast adres, bijvoorbeeld security@ of een webformulier, dat niet afhangt van één persoon. Publiceer het op uw website.

2. security.txt

Plaats een bestand security.txt op uw domeinen (in /.well-known/), met uw meldadres en een link naar uw beleid. Zo vinden onderzoekers snel de juiste plek. Uitleg over de opbouw staat op securitytxt.org.

3. Een kort beleid

Beschrijf in gewone taal:

• wat iemand mag melden en hoe;
• wat de vinder niet mag doen, zoals gegevens downloaden, diensten verstoren of meer toegang zoeken dan nodig;
• wanneer u een ontvangstbevestiging stuurt en hoe u de vinder op de hoogte houdt;
• dat u geen aangifte doet bij een melding volgens het beleid, als u dat wilt toezeggen;
• of u een bedankje of beloning geeft. Beloof niets wat u niet kunt waarmaken.

4. Interne afhandeling

1. Bevestig de ontvangst.
2. Beoordeel de ernst en of het systeem van u is of van een leverancier.
3. Herstel binnen uw eigen termijnen, of leg vast waarom het later wordt; zie patchbeleid.
4. Controleer of de kwetsbaarheid al is misbruikt. Is er sprake van een significant incident, dan geldt de meldplicht; zie de voorbeeldtijdlijn.
5. Laat de vinder weten dat het is opgelost.
6. Leg alles vast in uw incident- of kwetsbaarhedenregister.

Zelf een kwetsbaarheid gevonden?

Vindt u een lek in apparatuur of software van een leverancier, bijvoorbeeld in een router of SBC, meld het dan eerst bij die leverancier. Treft het meerdere leveranciers of reageert de leverancier niet, dan kunt u volgens het NCSC daar melden. Neem in de tussentijd zelf maatregelen om uw netwerk te beschermen.

Waarschuwingen die u krijgt

Het NCSC, uw CSIRT, leveranciers of onderzoekers kunnen u gericht wijzen op een kwetsbaarheid. Artikel 17 Cbb vraagt dat u dan beoordeelt of u maatregelen moet aanpassen, en de uitkomst vastlegt. Een kort register met datum, bron, beoordeling en actie is genoeg. Volg ook de openbare beveiligingsadviezen van het NCSC.

Veelgestelde vragen

Is een CVD-beleid verplicht onder de Cbw?

De wet gebruikt die woorden niet. Wel vraagt de zorgplicht een aanpak voor "respons op en bekendmaking van kwetsbaarheden" (artikel 21 Cbw). Een CVD-beleid is een gangbare manier om dat te regelen.

Waar meldt een vinder een lek in mijn netwerk?

Eerst bij u als eigenaar. Volgens het NCSC kan het NCSC bemiddelen als de eigenaar niet goed reageert, of als het meerdere systemen of leveranciers raakt.

Moet ik een gemelde kwetsbaarheid binnen een vaste termijn oplossen?

De regels noemen geen vaste termijn. Voor telecomaanbieders vraagt de Regeling cyberbeveiliging EZK dat u risicovolle kwetsbaarheden onverwijld verhelpt, of motiveert en vastlegt waarom niet of later.