Juridische eisen vóór een test vastleggen

Wie dit zoekt, staat vaak onder druk. Juist dan duiken anonieme aanbieders op met grote beloftes. Cyberlord begint met eigendom, toestemming, scope, bewijs en doel. Zo kunt u juridische eisen vóór een test vastleggen met een proces dat helder, controleerbaar en verdedigbaar is.

Een opdracht is legaal met toestemming, scope, dataregels, aansprakelijkheid, geheimhouding en gedocumenteerde resultaten.

Wij helpen niet met toegang tot andermans accounts, geheime monitoring van privéapparaten of het omzeilen van wachtwoorden zonder duidelijke toestemming.

Wanneer professionele hulp zinvol is

Professionele hulp is zinvol wanneer u het incident niet goed kunt duiden, bewijs kan verdwijnen of uw organisatie een controleerbaar rapport nodig heeft. Formuleer het als toegestane analyse, niet als geheime aanval.

Wat Cyberlord eerst controleert

Cyberlord vraagt eerst wie het systeem beheert, wie toestemming mag geven en welk resultaat nodig is. Daarna bepalen we of herstel, forensisch onderzoek, penetratietest of beveiligingsadvies past.

schriftelijke toestemming en duidelijke scope
veilige communicatie en traceerbare betaling
bewijs bewaren zonder gegevens te wijzigen
technisch rapport met prioriteiten en acties
herstel of hertest wanneer dat binnen de opdracht past

Waarschuwingssignalen bij valse aanbieders

Let op gegarandeerde resultaten, anonieme chats, volledige betaling in crypto, geen contract of druk om direct wachtwoorden te sturen. Een professional legt grenzen, risico’s en documentatie vooraf uit.

Zo richt u de opdracht goed in

Een goede opdracht bevat doel, scope, periode, contactpersoon, toegestane methoden en databehandeling. Dat beschermt beide partijen en maakt het eindrapport bruikbaar.

Wie mag een test laten uitvoeren: eigendom en machtiging

Bevoegdheid is de eerste drempel, nog vóór elke techniek. Alleen de eigenaar van het apparaat, de omgeving of de gegevens, of degene die die partij formeel machtigt, mag een test laten uitvoeren. Een huurder is eigenaar van een smartphone, maar niet automatisch van accounts erop of van het netwerk van een werkgever; dat vraagt telkens een eigen machtiging. Bij een bv, vereniging of stichting ondertekent degene met tekeningsbevoegdheid, niet de medewerker die het voorstel indient. Bij hosting en cloud telt wie het leverancierscontract houdt; controleer registratie of beheerovereenkomst, want betalen is niet hetzelfde als opdrachtgeven. Zit de omgeving in een keten van leveranciers, dan heeft de tester aan elke partij bevestiging nodig, of die delen worden expliciet buiten scope gehouden. Dit is de meest gemaakte rechtmatigheidsfout: de infrastructuur klopt, de machtiging niet.

Wat er schriftelijk vastgelegd hoort te zijn

Mondelinge afspraken zijn achteraf te zwak; wat telt, is wat beide partijen ondertekend of schriftelijk bevestigd hebben. Laat minstens dit in een opdrachtdocument terugkomen:

identiteit van de machtiger: contactgegevens en, bij organisaties, KvK-nummer en functie van de ondertekenaar;
exacte reikwijdte: domeinnamen, IP-adressen, hostnames, applicaties en apparaatkenmerken, overgenomen uit uw eigen administratie;
venster: startdatum, einddatum en de grens waarop de tester zonder verlenging stopt;
toegestane methoden naast een uitgesloten lijst; sociale engineering, fysieke toegang en productietesten buiten kantooruren horen standaard in de uitsluitingen;
noodcontacten aan beide zijden, ook buiten kantooruren bereikbaar;
de plicht om direct te stoppen zodra een systeem of datastore die niet op de lijst staat in zicht komt.

Dat document is ook de plek voor de risicoverdeling:

aansprakelijkheidsbeperking, bijvoorbeeld begrensd op de factuurwaarde, zonder schade door opzet of grove schuld uit te sluiten;
de verzekeringssituatie van de uitvoerder: vraag naar een bedrijfs- of cyberaansprakelijkheidsdekking en om een certificaat;
freeze-periode: tijdens het venster geen releases of configuratiewijzigingen zonder afstemming, zodat een incident herleidbaar blijft;
de route bij een kwetsbaarheid buiten de scope: direct stoppen, melden en gezamenlijk herstellen;
de heldere noot dat weinig bevindingen geen bewijs is dat er niets anders mankeert; wie een vast aantal kwetsbaarheden belooft, biedt reden tot wantrouwen.

Vermijd twee rondgaande versies; een afwijkende e-mailbijlage is precies waar discussies later op blijven zitten. Onderteken met datum en bewaar die versie in uw dossier.

AVG-verplichtingen tijdens en na de test

Elke securitytest raakt automatisch persoonsgegevens: logbestanden bevatten IP-adressen, accountnamen en sessies, soms ook medewerkersgegevens. Dat maakt de test tot een AVG-verwerking, met deze verplichtingen:

leg de grondslag vast, bij een test op eigen systemen meestal gerechtvaardigd belang, inclusief een korte belangenafweging;
sluit een verwerkersovereenkomst op basis van artikel 28 AVG met de uitvoerder: welke gegevens, welke beveiligingseisen, hoelang bewaard en wanneer vernietigd;
beperk wat in de testomgeving terechtkomt: alleen wat het onderzoek nodig heeft;
pseudonimiseer waar het kan: codes in rapporten in plaats van namen of gebruikersnamen;
spreek af hoe de testpartij een datalek in haar eigen omgeving meldt en binnen welke termijn u ingelicht wordt;
laat het eindrapport alleen gegevens bevatten die noodzakelijk zijn voor herstel en verantwoording.

Stappenplan van eerste contact tot afgesloten opdracht

Leg de aanleiding vast (incident, auditspoor, wettelijke eis of de wens tot proactieve controle) en formuleer wat u wilt weten.
Inventariseer de te onderzoeken middelen met exacte namen en nummers en bepaal per middel wie bevoegd is.
Vraag een voorstel op met methode, team, planning en rapportagevorm; handmatig of geautomatiseerd bepaalt mede de prijs, zie de vergelijking met geautomatiseerde scanners en de penetratietest kostengids.
Onderhandel over scope, venster en uitsluitingslijst en verwerk de uitkomsten in de ondertekende opdracht.
Plan een kickoffgesprek, verbind de tester met uw beveiligingscontactpersoon en bevestig de freeze-periode en noodroute.
Houd het venster vrij van wijzigingen, verwerk opmerkingen van de tester direct en schrijf afwijkende situaties samen uit.
Sluit af met een debriefing, waar nodig een retest van de kernbevindingen, een herstelplan met deadlines en archivering van alle rapporten en communicatie.

Bewijsvorming onder de Nederlandse praktijk

In een civiele of arbeidsrechtelijke vraag weegt geordend, controleerbaar bewijs zwaarder dan losse uitspraken.

maak bij forensisch onderzoek een exacte kopie, houd het origineel onaangeroerd en registreer hashwaarden, tijdstip en uitvoerder bij elke handeling;
houd één dossier bij — opdracht, machtiging, e-mails, screenshots, rapportversies — zodat de herkomst van elk gegeven traceerbaar is;
documenteer ook wat niet kon worden onderzocht, zoals versleutelde delen of systemen buiten uw machtiging;
raakt het onderzoek aan een verdenking tegen een eigen medewerker, stem af met HR en lees de beveiligingschecklist voor uitdiensttreding.

Welke resultaten u mag verwachten

U hoort een duidelijke samenvatting, technische details, bewijs, prioriteiten en vervolgstappen te krijgen. Dat is de echte waarde van een legitieme opdracht.

Cyberlord

Moet u snel handelen, stuur dan feiten, datums, screenshots en uw doel. Wij geven eerst aan wat legaal en technisch verstandig is.

Kan Cyberlord direct helpen?
Ja, eerst met een snelle beoordeling van recht, risico en bewijs.

Moet ik wachtwoorden sturen?
Nee. Stuur geen wachtwoorden voordat scope en veilige overdracht zijn afgesproken.