VIARIS

Verantwoorde openbaarmaking

Een beveiligingslek melden aan Viaris / RAENBI GROUP BV: kanaal, PGP-vingerafdruk, reikwijdte, gecoördineerd tijdpad en het Belgische CVD-kader.

Laatst herzien
11 oktober 2026

In het kort

  • Meld een kwetsbaarheid in één gestructureerde e-mail aan security@autovig.eu met "security report" in het onderwerp; binnen de reikwijdte vallen viaris.eu, de build-output en de cookietoestemmingsflow.
  • Gebruik de gepubliceerde PGP-vingerafdruk en publieke sleutel; Autovig en Viaris delen één CVD-kanaal van dezelfde verwerkingsverantwoordelijke.
  • Onderzoek te goeder trouw binnen de reikwijdte is toegestaan door de verwerkingsverantwoordelijke; de wettelijke vrijstelling van artikel 23 van de Belgische NIS2-wet vereist daarnaast meldingen aan het CCB (CERT.be) binnen 24 en 72 uur.

RAENBI GROUP BV (merken Viaris en Autovig) verwelkomt beveiligingsonderzoek te goeder trouw op haar publieke diensten. Dit beleid is het beleid van de verwerkingsverantwoordelijke voor gecoördineerde openbaarmaking van kwetsbaarheden (CVD). Het geldt voor viaris.eu en is afgestemd op het Autovig-CVD-kanaal van dezelfde verwerkingsverantwoordelijke.

1. Meldkanaal

Kunt u ons niet bereiken, of ontvangt u binnen de hieronder vermelde termijn geen ontvangstbevestiging, dan kunt u de melding doorsturen naar:

Meldingen zijn welkom in het Engels, Frans, Duits, Nederlands, Roemeens of Pools.

2. Reikwijdte

Binnen de reikwijdte:

  • viaris.eu en elk subdomein met productie-inhoud;
  • de output van de statische build: HTML, CSS, JS-bundels en de gestructureerde gegevens die wij publiceren;
  • de cookietoestemmingsflow en de opslag van toestemming op het toestel.

Buiten de reikwijdte:

  • websites van externe operatoren — meld die rechtstreeks bij hen;
  • problemen die een gecompromitteerde browser, een kwaadaardige extensie of fysieke toegang tot het toestel vereisen;
  • output van geautomatiseerde scanners zonder duidelijke, aantoonbare beveiligingsimpact;
  • meldingen over ontbrekende best practices zonder aangetoond uitbuitbaar risico.

3. Inhoud van de melding

Een bruikbare melding bevat een duidelijke beschrijving, de betrokken URL’s, stappen om het probleem te reproduceren, een inschatting van de impact en eventueel een proof of concept die beperkt blijft tot wat nodig is om het probleem aan te tonen.

4. Onze verbintenissen

  • Ontvangstbevestiging binnen 5 werkdagen.
  • Inschatting van de ernst binnen 10 werkdagen.
  • Streefdoel: herstel of beperking binnen 90 dagen onder gecoördineerde openbaarmaking, tenzij de complexiteit een langere termijn vereist die wij u meedelen.
  • Er is geen betaald bugbountyprogramma; op uw verzoek kunnen wij u publiek vermelden.

5. Vrijwaring en Belgisch wettelijk kader

Onderzoek te goeder trouw dat binnen de reikwijdte van dit beleid blijft en inbreuken op de privacy, verstoring van de dienst en exfiltratie van gegevens verder dan nodig om het probleem aan te tonen vermijdt, beschouwen wij als toegestaan, als verantwoordelijke voor de betrokken activa. Deze toestemming bindt geen overheidsinstanties of derden.

Daarnaast stelt artikel 23 van de Belgische Wet van 26 april 2024 (de Belgische NIS2-wet) wie een potentiële kwetsbaarheid meldt volgens de procedure van artikel 22 vrij van bepaalde misdrijven, waaronder onbevoegde toegang tot een informaticasysteem, mits aan alle voorwaarden is voldaan — onder meer een vereenvoudigde melding aan ons en aan het CCB binnen 24 uur na de ontdekking, een volledige melding binnen 72 uur, uitsluitend evenredige handelingen en geen openbaarmaking zonder akkoord van het CCB. De CVD-pagina van het CCB is de referentie: https://ccb.belgium.be/nl/regelgeving/cvdp.

6. Privacy van meldingen

Meldingsgegevens worden verwerkt op grond van art. 6, lid 1, f), AVG voor gecoördineerde openbaarmaking. Details in het Privacybeleid. Afgesloten meldingen worden tot 5 jaar bewaard.

Bronnen

Gerelateerde juridische pagina’s