Beveiligingsverklaring

Kenmerk: ISMS-KLT-02 · Versie: 1.1 · Datum: 05-11-2026

Cardan helpt organisaties hun digitale dienstverlening toegankelijk te maken. Klanten vertrouwen ons daarbij informatie toe. Wij nemen de beschikbaarheid, integriteit en vertrouwelijkheid van die informatie serieus. In deze verklaring lees je hoe wij informatiebeveiliging organiseren en hoe je een kwetsbaarheid bij ons meldt.

Meer over hoe wij met persoonsgegevens omgaan, lees je in onze privacyverklaring.

Hoe wij informatiebeveiliging organiseren

  • Cardan richt een managementsysteem voor informatiebeveiliging (ISMS) in volgens ISO/IEC 27001. Voor de maatregelen gebruiken we ISO/IEC 27002, en we houden rekening met de Europese NIS2-richtlijn en de Cyberbeveiligingswet. Cardan is al gecertificeerd voor ISO 9001.
  • Het ISMS gaat over het ontwikkelen, beheren, beschikbaar stellen en ondersteunen van onze eigen webapplicaties.
  • De directie stelt het informatiebeveiligingsbeleid vast, stelt de middelen beschikbaar en beoordeelt het ISMS periodiek. Zo blijven we ons verbeteren.
  • We kiezen maatregelen op basis van een risicoanalyse. Voor al onze applicaties geldt een vastgesteld minimaal beveiligingsniveau, onder meer voor accounts en meervoudige authenticatie, versleuteling, logging, back-ups, updates en monitoring.
  • Iedereen die voor Cardan werkt, heeft alleen toegang tot de informatie die nodig is voor het werk en heeft geheimhoudingsafspraken.
  • Afspraken met klanten over beveiliging en over het melden van beveiligingsincidenten en datalekken leggen we vast in de verwerkersovereenkomst.

Kwetsbaarheid melden (CVD)

Vind je een kwetsbaarheid in een van onze systemen? Meld het ons, dan kunnen we het oplossen voordat iemand er misbruik van maakt. Dit heet Coordinated Vulnerability Disclosure (CVD).

Waarvoor kun je een melding doen?

Je kunt kwetsbaarheden melden in alle systemen en domeinen die Cardan beheert, waaronder cardan.com en de domeinen van onze applicaties. Denk aan een kwetsbaarheid waarmee je een inlog kunt omzeilen of onbedoeld toegang krijgt tot vertrouwelijke gegevens.

Niet elke afwijking is een kwetsbaarheid. Voor deze afwijkingen vragen we je geen melding te doen:

  • een afwijking die geen gevolgen heeft voor de beschikbaarheid, integriteit of vertrouwelijkheid van informatie;
  • beschikbare versie-informatie (bijvoorbeeld een info.php-bestand), tenzij daaruit blijkt dat het systeem software met bekende kwetsbaarheden gebruikt;
  • het ontbreken van HTTP-beveiligingsheaders, tenzij dat aantoonbaar tot een beveiligingsprobleem leidt.

Twijfel je? Meld het dan gewoon.

Hoe doe je een melding?

  • Mail je bevindingen naar security@cardan.com.
  • Doe de melding zo snel mogelijk na de ontdekking.
  • Schrijf in het Nederlands of het Engels.
  • Beschrijf in je melding:
    • wat de kwetsbaarheid is, en om welke software het gaat als je dat weet (gaat het om een al bekende kwetsbaarheid, noem dan het CVE-nummer: het publieke registratienummer daarvan);
    • het IP-adres of de URL van het systeem;
    • hoe we het probleem kunnen nabootsen: de stappen die je hebt gezet en de onderdelen die een rol spelen, zoals invoervelden;
    • wat volgens jou de gevolgen kunnen zijn.
  • Schermafbeeldingen helpen ons.
  • Laat een e-mailadres achter, zodat we je vragen kunnen stellen.

Stuur in je eerste mail nog geen bewijsmateriaal mee, alleen een beschrijving van wat je hebt gevonden. Gaat het om gevoelige informatie, dan spreken we in ons antwoord met je af hoe je die veilig kunt delen. Onze applicaties publiceren de contactgegevens ook machineleesbaar in /.well-known/security.txt.

Wat vragen we van je?

  • Plaats geen malware of andere software die onze systemen kan schaden.
  • Doe niet meer dan nodig is om de kwetsbaarheid aan te tonen. Download, kopieer, wijzig of verwijder geen gegevens en bekijk geen gegevens van anderen. Een schermafbeelding van je eigen account is genoeg.
  • Verschaf jezelf niet herhaaldelijk toegang en deel de toegang of informatie niet met anderen.
  • Bewaar geen vertrouwelijke gegevens die je hebt verkregen. Verwijder ze direct nadat wij je melding hebben bevestigd.
  • Gebruik geen aanvalstechnieken die de werking van systemen verstoren, zoals (Distributed) Denial of Service-aanvallen, spam of buffer overflows.
  • Gebruik geen brute force-, dictionary- of social engineering-aanvallen om inlogmechanismen te omzeilen.
  • Test alleen systemen die Cardan beheert. De afspraken in deze verklaring gelden niet voor systemen van anderen, ook niet als je die tegenkomt terwijl je een kwetsbaarheid bij ons onderzoekt.
  • Maak de kwetsbaarheid niet openbaar voordat we die hebben opgelost of samen een moment van openbaarmaking hebben afgesproken.

Wat mag je van ons verwachten?

  • Binnen één werkdag bevestigen we de ontvangst van je melding.
  • Binnen vijf werkdagen laten we weten hoe we je melding beoordelen en wat de verwachte afhandeling is.
  • We houden je op de hoogte van de voortgang.
  • We streven ernaar een kwetsbaarheid binnen 90 dagen op te lossen, en ernstige kwetsbaarheden zo snel mogelijk. Samen spreken we af of en wanneer de kwetsbaarheid openbaar wordt gemaakt.
  • Houd je je aan de regels in deze verklaring, dan doen wij geen aangifte en ondernemen we geen juridische stappen tegen je.
  • We behandelen je melding vertrouwelijk en delen je persoonsgegevens niet zonder jouw toestemming met anderen, tenzij de wet ons daartoe verplicht.
  • Als je dat wilt, noemen we je naam als ontdekker in berichtgeving over de kwetsbaarheid. Melden onder een pseudoniem mag ook.
  • Cardan heeft geen beloningsprogramma (bug bounty).
  • Komen we er samen niet uit, dan kun je de kwetsbaarheid ook melden bij het Nationaal Cyber Security Centrum (NCSC).

Wijzigingen in deze verklaring

Cardan kan deze beveiligingsverklaring bijwerken door een nieuwe versie op deze website te plaatsen. Voor de meest recente versie van ons beleid bezoekt je onze website.