Voor directies van technische bedrijven met 50 tot 300+ medewerkers
Van eerste scan tot auditklaar in 3–6 maanden, tegen vaste prijzen. Je werkt rechtstreeks met mij: geen juniors, geen tussenlagen.
20 jaar ervaring met audits en certificering in medtech en techniek · Vaste prijzen, geen verrassingen · Bel direct: 06 11 80 48 10
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse invulling van NIS2. Valt je bedrijf eronder, dan is de directie zelf aan zet.
Voor wie? Middelgrote en grote organisaties (vanaf 50 medewerkers, of met meer dan €10 miljoen omzet én balanstotaal) in sectoren zoals energie, transport, zorg, water, digitale infrastructuur, ICT-dienstverlening, afvalbeheer, chemie, voeding en de maakindustrie (onder meer medische hulpmiddelen, elektronica en machines).
Twijfel je? Doe de Cbw-scopecheck: vier vragen, direct antwoord
Val je er zelf niet onder? Dan merk je het vaak toch: klanten die wél onder de wet vallen, moeten hun leveranciers beoordelen en vragen om aantoonbare maatregelen.
Bron: Cyberbeveiligingswet (artikelen 24, 92 en 93) en het overzicht van het NCSC.
Twijfel je of de wet voor jou geldt? Plan een gratis Cbw-check (30 min)
Veel organisaties voeren ISO 27001 in voor het certificaat, niet om grip te krijgen op hun beveiliging.
Het resultaat is papierwerk dat eruitziet als governance, maar niet standhoudt bij een klantvragenlijst, een incident of een toezichthouder.
Ik bouw governance die aantoonbaar werkt.
Wat je van mij krijgt:
Ik werk in drie stappen: eerst een scan, daarna richten we samen je ISMS in, en daarna kan ik helpen het draaiende te houden met een abonnement. Elke stap heeft een vaste scope, een vaste prijs en duidelijke opleveringen. Alle prijzen zijn exclusief btw. De maatregelen sluiten aan op ISO 27001:2022 Bijlage A en de zorgplicht uit de Cyberbeveiligingswet (NIS2 artikel 21). Typisch traject voor een bedrijf van zo'n 100 medewerkers: Scan Compleet, 3 tot 6 sprints inrichten en daarna Borging 8 uur. Reken in totaal op €15.000 tot €40.000 aan advieskosten, verspreid over 3 tot 6 maanden.
Start bij de directie
Een dagdeel waarin ik je directie en MT meeneem in wat de Cyberbeveiligingswet van jullie vraagt: valt je bedrijf eronder, welke plichten liggen bij de bestuurders zelf, hoe staan jullie er nu voor en wie pakt wat op. Elke deelnemer krijgt een certificaat van deelname, zoals de wet van bestuurders vraagt (uiterlijk 15 augustus 2028). Ga je daarna door met een scan, dan verreken ik de sessie volledig.
Drie pakketten, afgestemd op je organisatie. Je krijgt een totaaloverzicht van je risico's en je verplichtingen uit de Cyberbeveiligingswet (NIS2), plus een uitvoerbaar plan. Ga je daarna door met stap 2 of een abonnement, dan verreken ik 20% van de scankosten: bij Scan Compleet is dat €1.360.
Voor de meeste MKB-bedrijven
Vaste prijs per sprint van twee weken. Stap 2 duurt meestal 3 tot 6 sprints (6 tot 12 weken), afhankelijk van de complexiteit. Na de scan leggen we samen de exacte omvang en het aantal sprints vast.
Ik stuur, je IT-partner voert uit en je organisatie kan zich op haar werk richten. Ik ben verantwoordelijk voor governance, roadmap, de kwaliteit van het bewijs en rapportage, zodat de maatregelen blijven werken. Minimale looptijd: 3 maanden. Bij een jaarabonnement met vooruitbetaling krijg je 10% korting.
Voor toeleveranciers die zelf niet onder de Cbw vallen, maar wel aan de eisen van hun klanten moeten voldoen. Tot 4 uur per maand expertondersteuning voor governance, beoordeling van bewijs en besluitvorming.
Past goed na Scan Compleet. Tot 8 uur per maand expertondersteuning.
Past goed na Scan Auditklaar. Tot 16 uur per maand expertondersteuning.
Voor organisaties die onder de Cbw vallen en een vaste security officer willen, zonder vacature. Tot 24 uur per maand expertondersteuning.
Elke twee weken zie je wat er af is. Zo verloopt een traject:
Ik praat met je mensen, lees je documenten en kijk naar je systemen. Je krijgt een helder risicobeeld en een concreet plan op één A4. Van jouw kant: een paar interviews en toegang tot documenten.
Ik richt de maatregelen in, beleg ze bij eigenaren en bouw het bewijs op dat de auditor wil zien. Van jouw kant: een vaste contactpersoon en korte afstemming per sprint.
We draaien samen de eerste maandcyclus en doen een proefaudit vóór de certificeringsaudit. Daarna draai je het zelf, of blijf ik met een abonnement betrokken.
In een gratis gesprek van 30 minuten hoor je van mij of de Cyberbeveiligingswet voor je bedrijf geldt, wat dat voor jou als bestuurder betekent en wat een verstandige eerste stap is. Ook als die stap niet bij mij ligt.
Je wordt doorgestuurd naar Calendly, een externe planningsservice met eigen privacybeleid.
Drie tools die ik zelf heb gemaakt en gratis weggeef. Geen e-mailadres, geen account.
Gratis tool
Vier vragen, direct antwoord: essentieel, belangrijk of buiten de wet, met het wetsartikel erbij. Je antwoorden blijven in je browser.
Gratis · open source
Mag die AI-notulist mee in klantgesprekken? Wat doe je als een Microsoft 365-account is gehackt? Beschrijf je besluit. Zeven AI-securityadviseurs (een CISO, een architect, een hacker, een operations-lead, een compliance-analist, een privacy officer en een risicomanager) wegen het eerst los van elkaar en bevragen elkaar daarna.
ask the infosec-council: mogen we een AI-notulist toelaten bij klantgesprekken? 25 medewerkers, ISO 27001 in voorbereiding.
Gebruik het in Claude of bekijk de broncode op GitHub
Beslisondersteuning, geen professioneel advies. Deel geen vertrouwelijke of persoonsgegevens; gebruik bij voorkeur je eigen zakelijke AI-omgeving. Wil je dat een ervaren mens het advies toetst? Vraag het mij.
Gratis tool
Twintig vragen langs wat de Cyberbeveiligingswet minimaal eist. Je ziet wat ontbreekt en waar je begint, met het wetsartikel en de ISO-maatregel erbij. Ook te printen als checklist.
Wie over informatiebeveiliging adviseert, moet het zelf laten zien. Elke bewering hieronder kun je met één klik door een onafhankelijke partij laten controleren.
Een Content Security Policy zonder unsafe-inline: de enkele inline scripts draaien alleen op hun exacte hash, met afgedwongen Trusted Types en geen scripts van derden.
Controleer bij Mozilla Observatory (opent in een nieuw tabblad)Alleen moderne TLS, met HSTS voor het hele domein.
Controleer bij SSL Labs (opent in een nieuw tabblad)lumero.nl staat op de HSTS-preloadlijst: browsers maken nooit een onversleutelde verbinding.
Controleer op hstspreload.org (opent in een nieuw tabblad)SPF, DKIM en DMARC met het strengste beleid: mail die zich ten onrechte voordoet als lumero.nl, wordt geweigerd door mailservers die dat controleren.
Controleer bij MXToolbox (opent in een nieuw tabblad)Een digitaal ondertekende security.txt en een beleid voor coordinated vulnerability disclosure.
Bekijk security.txtEen software bill of materials (SBOM) van alle componenten die deze site naar je browser stuurt, met versies en hashes.
Bekijk de SBOMElke wijziging doorloopt geautomatiseerde beveiligingscontroles voordat ze live gaat; faalt er één, dan wordt er niets gepubliceerd.
Deel kort iets over je situatie. Ik reageer binnen één werkdag, persoonlijk.
Bedankt! Ik neem binnen één werkdag persoonlijk contact met je op.
Luméro is verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens zoals beschreven in deze verklaring.
Luméro (Menno Verheij)
KvK: 99056011
E-mail: privacy@lumero.nl
Luméro is niet wettelijk verplicht een functionaris voor gegevensbescherming (FG) aan te stellen en heeft deze ook niet. Voor alle privacyvragen kun je terecht op bovenstaand e-mailadres.
Luméro verwerkt uitsluitend zakelijke contactgegevens van (potentiële) klanten en personen die contact opnemen via het formulier of e-mail. Het gaat om:
Luméro verwerkt geen bijzondere persoonsgegevens zoals geboortedatum, BSN of medische gegevens.
Luméro gebruikt jouw gegevens alleen voor duidelijke, noodzakelijke doelen. Waar de verwerking berust op een gerechtvaardigd belang (AVG art. 6(1)(f)), is dat belang hieronder benoemd.
| Verwerking | Categorie betrokkene | Doel | Grondslag (AVG art. 6) | Persoonsgegevens | Bewaartermijn |
|---|---|---|---|---|---|
| Offerte- en opdrachtafhandeling | Klant, particuliere opdrachtgever, contactpersoon zakelijke klant | Offertes, opdrachten, projectadministratie | 6(1)(f) gerechtvaardigd belang: zakelijke contactpersonen kunnen benaderen voor opdrachtuitvoering. 6(1)(b) als betrokkene zelf contractpartij is. 6(1)(c) fiscale administratie | NAW, contactgegevens, functie, projectgegevens, factuurgegevens | Factuurgegevens 7 jaar. Projectgegevens zolang nodig voor uitvoering, garantie, aansprakelijkheid en geschil |
| Leveranciersadministratie | Leverancier, onderaannemer, contactpersoon | Inkoop, betaling, facturatie | 6(1)(f) gerechtvaardigd belang: bedrijfsvoering en inkoop. 6(1)(b) als betrokkene zelf leverancier is. 6(1)(c) fiscale administratie | NAW, contactgegevens, functie, bankrekening, KvK, btw-nummer | 7 jaar voor fiscale administratie |
| Klant- en projectcommunicatie | Klant, leverancier, prospect, contactpersoon | Communicatie, dossiervorming, projectuitvoering | 6(1)(f) gerechtvaardigd belang: bedrijfsvoering en projectcommunicatie. 6(1)(b) waar betrokkene zelf contractpartij is | Naam, contactgegevens, berichtinhoud, kanaal, projectreferentie | Duur project plus maximaal 7 jaar, of langer bij geschil |
| Correspondentie en contactverzoeken | Prospect, websitebezoeker die contact opneemt, zakelijke relatie | Beantwoorden van vragen via formulier of e-mail, opvolging en relatiebeheer zonder lopende opdracht | 6(1)(f) gerechtvaardigd belang: communicatie en relatiebeheer | Naam, contactgegevens, berichtinhoud, kanaal | Maximaal 24 maanden na laatste contact, tenzij een doorlopende relatie ontstaat of je eerder om verwijdering vraagt |
| Nieuwsbrief | Abonnee | Verzenden nieuwsbrief en meten effectiviteit | 6(1)(a) toestemming | Naam, e-mailadres, voorkeuren, klikgedrag indien toegestaan | Tot afmelding. Beperkte bewijsgegevens langer indien nodig |
| Klachtbehandeling | Klant, leverancier, derde | Behandelen en vastleggen klacht | 6(1)(f) gerechtvaardigd belang: klachtenafhandeling en rechtspositie | Naam, contactgegevens, klachtinhoud, correspondentie | 2 jaar na afhandeling, langer bij geschil |
| Sollicitaties | Sollicitant | Werving en selectie | 6(1)(b) precontractuele stappen. 6(1)(a) voor langer bewaren | CV, motivatie, contactgegevens, correspondentie | 4 weken na procedure. Maximaal 1 jaar met toestemming |
| Beveiligingsmeldingen (CVD) | Melder van een kwetsbaarheid (beveiligingsonderzoeker) | Beoordelen en verhelpen van gemelde kwetsbaarheden en coördineren van openbaarmaking | 6(1)(f) gerechtvaardigd belang: beveiliging van onze systemen | Naam (indien opgegeven), contactgegevens, inhoud van de melding | 12 maanden na afhandeling, langer bij een geschil |
| Klantreferenties op website | Klant, contactpersoon | Publicatie referentie of testimonial | 6(1)(a) toestemming | Naam, functie, bedrijfsnaam, foto, citaat | Tot intrekking toestemming |
Deze website is ontworpen met privacy als uitgangspunt. Luméro gebruikt geen cookies, volgt je individuele gedrag niet en past geen profilering toe.
Luméro gebruikt wel Simple Analytics (Nederland, hosting in de EU) voor cookieloze, geaggregeerde bezoekstatistieken: paginaweergaven en klikken op externe links, e-maillinks en downloads. Simple Analytics plaatst geen cookies, slaat geen IP-adressen of andere identificatoren op en respecteert Do Not Track. Zonder JavaScript wordt een cookieloos beeldverzoek gebruikt. Kies je een lichte of donkere weergave, dan onthoudt je browser alleen die keuze in zijn lokale opslag; die keuze wordt nooit naar Luméro verstuurd. Daarom zie je hier geen cookiebanner.
Luméro maakt geen gebruik van geautomatiseerde besluitvorming of profilering met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen voor betrokkenen (AVG art. 22).
Luméro neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen. Toegang is beperkt tot Luméro en, waar strikt noodzakelijk, tot verwerkers die Luméro ondersteunen (zoals boekhouding of hosting/e-mail).
Luméro verkoopt geen persoonsgegevens. Gegevens worden alleen gedeeld met partijen die nodig zijn voor de dienstverlening of administratie van Luméro, zoals boekhouding, hosting, het contactformulier, e-mail en het plannen van gesprekken. Met deze verwerkers sluit Luméro verwerkersovereenkomsten waar nodig. Volg je een link naar ChatGPT (Infosec Council), GitHub of LinkedIn, dan verlaat je deze website en geldt het privacybeleid van die partij.
Luméro streeft ernaar persoonsgegevens binnen de Europese Economische Ruimte (EER) te verwerken. Voor de hosting van deze website, het contactformulier, e-mail en het plannen van gesprekken maakt Luméro echter gebruik van leveranciers die onderdeel zijn van Amerikaanse ondernemingen. Daardoor kan er sprake zijn van doorgifte naar, of toegang vanuit, de Verenigde Staten:
Voor deze doorgifte baseert Luméro zich op het EU-VS Data Privacy Framework (DPF), waaronder Netlify, Microsoft en Calendly zijn gecertificeerd, aangevuld met de modelcontractbepalingen van de Europese Commissie (Standard Contractual Clauses) als waarborg. Hiermee is een passend beschermingsniveau geborgd.
Je hebt het recht op inzage, rectificatie, verwijdering, beperking van verwerking, overdraagbaarheid van gegevens en het maken van bezwaar.
Waar de verwerking berust op jouw toestemming (zoals de nieuwsbrief, klantreferenties of het langer bewaren van een sollicitatie), kun je die toestemming te allen tijde intrekken. Het intrekken doet geen afbreuk aan de rechtmatigheid van de verwerking vóór de intrekking.
Wil je een van deze rechten uitoefenen of heb je vragen? Neem contact op via privacy@lumero.nl.
Je hebt daarnaast het recht een klacht in te dienen bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
Luméro
Menno Verheij
KvK: 99056011
E-mail: privacy@lumero.nl
Deze privacyverklaring kan gewijzigd worden wanneer dat nodig is. De meest recente versie vind je altijd op deze pagina. Bij belangrijke wijzigingen vermeldt Luméro de datum van de laatste aanpassing bovenaan deze verklaring.
1.1 Deze Algemene Voorwaarden zijn van toepassing op alle offertes, overeenkomsten en diensten van Luméro.
1.2 Afwijkingen gelden alleen als deze door Luméro schriftelijk zijn bevestigd.
1.3 De toepasselijkheid van algemene voorwaarden van de opdrachtgever wordt uitdrukkelijk uitgesloten.
2.1 Offertes zijn 30 dagen geldig, tenzij anders vermeld.
2.2 Een overeenkomst komt tot stand zodra Luméro een opdracht schriftelijk (incl. e-mail) bevestigt.
2.3 Planningen zijn indicatief. Luméro spant zich in om deze te halen, maar zij vormen geen fatale termijnen.
3.1 Luméro voert de werkzaamheden uit op basis van een inspanningsverplichting, niet op basis van een gegarandeerd resultaat.
3.2 De opdrachtgever zorgt tijdig voor alle informatie, toegang, beslissingen en contactpersonen die noodzakelijk zijn voor een correcte uitvoering.
3.3 Indien vereiste informatie onjuist, onvolledig of te laat wordt aangeleverd, mag Luméro de planning aanpassen en eventuele extra werkzaamheden als meerwerk doorbelasten.
3.4 Luméro heeft het recht om, indien nodig, werkzaamheden tijdelijk op te schorten wanneer omstandigheden bij de opdrachtgever correcte uitvoering onmogelijk maken.
4.1 Wijzigingen in scope, planning of werkwijze worden vooraf afgestemd.
4.2 Meerwerk wordt uitgevoerd tegen het dan geldende uurtarief en vooraf gemeld.
4.3 Luméro is niet verplicht meerwerk uit te voeren; weigering geeft geen recht op schadevergoeding.
5.1 Tenzij anders overeengekomen, werkt Luméro op basis van uurtarieven of vaste projectprijzen.
5.2 Alle bedragen zijn exclusief btw en overige heffingen.
5.3 Betalingstermijn: 14 dagen na factuurdatum.
5.4 Bij overschrijding van de betalingstermijn is opdrachtgever van rechtswege in verzuim en kan Luméro: wettelijke rente in rekening brengen, buitengerechtelijke incassokosten rekenen, werkzaamheden opschorten.
5.5 Opschorting of beëindiging van de opdracht ontbindt niet de verplichting reeds uitgevoerde werkzaamheden te betalen.
6.1 Beide partijen behandelen alle vertrouwelijke informatie strikt vertrouwelijk.
6.2 Informatie wordt uitsluitend gedeeld met derden wanneer dit noodzakelijk is voor de opdracht of wanneer de wet dit vereist.
6.3 Deze verplichting blijft van kracht na beëindiging van de overeenkomst.
7.1 Algemene methodieken, werkwijzen, templates en kennis die Luméro gebruikt of (door)ontwikkelt, blijven eigendom van Luméro.
7.2 Documenten en producten die Luméro specifiek voor de opdrachtgever maakt, zoals beleid, procedures, risicoanalyses, registers en het ingerichte ISMS, worden na volledige betaling eigendom van de opdrachtgever. De opdrachtgever mag deze vrij gebruiken, aanpassen en door anderen laten beheren.
7.3 Voor zover in die documenten algemene templates of methodieken van Luméro zijn verwerkt, krijgt de opdrachtgever daarop een blijvend, niet-exclusief gebruiksrecht voor eigen gebruik.
7.4 Het is niet toegestaan algemene materialen van Luméro commercieel te exploiteren of als eigen product aan derden aan te bieden zonder schriftelijke toestemming van Luméro.
8.1 Luméro verwerkt uitsluitend persoonsgegevens die noodzakelijk zijn voor de uitvoering van de opdracht en handelt conform de AVG.
8.2 Indien van toepassing wordt een afzonderlijke verwerkersovereenkomst afgesloten.
8.3 De opdrachtgever blijft eindverantwoordelijk voor de eigen beveiligingsmaatregelen, beleidsvoering en compliancestatus.
9.1 Luméro is uitsluitend aansprakelijk voor directe schade als gevolg van opzet of grove nalatigheid.
9.2 Aansprakelijkheid is altijd beperkt tot het bedrag dat in het betreffende geval door de beroeps- of bedrijfsaansprakelijkheidsverzekering wordt uitgekeerd, vermeerderd met het eigen risico.
9.3 Indien om welke reden dan ook geen uitkering door de verzekering plaatsvindt, is de aansprakelijkheid beperkt tot de factuurwaarde van de opdracht, met een absoluut maximum van €25.000.
9.4 Luméro is nooit aansprakelijk voor indirecte schade, waaronder mede begrepen: omzetverlies, winstderving, gemiste besparingen, reputatieschade of dataverlies, schade als gevolg van beveiligingsincidenten binnen systemen van de opdrachtgever.
9.5 Adviezen van Luméro zijn gebaseerd op inzichten van dat moment. De opdrachtgever blijft verantwoordelijk voor implementatie, naleving en risicobeoordeling.
10.1 Onder overmacht vallen onder meer overheidsmaatregelen, netwerkstoringen, cyberincidenten, uitval van leveranciers en andere omstandigheden buiten de invloedssfeer van Luméro.
10.2 Bij ziekte of een andere langdurige verhindering informeert Luméro de opdrachtgever zo snel mogelijk. Partijen overleggen dan over de voortgang, zoals een tijdelijke opschorting of de overdracht van het werk.
10.3 Duurt een verhindering langer dan 30 dagen, dan mag elke partij de overeenkomst schriftelijk beëindigen. De opdrachtgever betaalt alleen voor wat tot dat moment is geleverd en ontvangt alle opgeleverde documenten; vooruitbetaalde bedragen voor niet-geleverd werk worden terugbetaald.
10.4 In geval van overmacht is geen van beide partijen schadeplichtig.
11.1 Luméro mag derden inschakelen voor de uitvoering van de opdracht, mits dit zorgvuldig gebeurt.
11.2 Waar mogelijk informeert Luméro de opdrachtgever vooraf.
11.3 Luméro blijft verantwoordelijk voor de kwaliteit van de ingeschakelde derden, tenzij opdrachtgever deze zelf selecteert.
12.1 Doorlopende overeenkomsten kunnen door beide partijen schriftelijk worden opgezegd met een opzegtermijn van 30 dagen.
12.2 Opzegging ontslaat opdrachtgever niet van de verplichting tot betaling van reeds uitgevoerde werkzaamheden.
12.3 Bij beëindiging zorgt Luméro voor een nette overdracht van relevante documenten en status.
13.1 De opdrachtgever mag rechten en verplichtingen uit de overeenkomst niet overdragen zonder schriftelijke toestemming van Luméro.
13.2 Luméro mag haar rechten en verplichtingen overdragen in het geval van bedrijfsopvolging of herstructurering, mits de kwaliteit van dienstverlening gewaarborgd blijft.
14.1 Klachten dienen binnen 14 dagen na ontdekking schriftelijk te worden gemeld.
14.2 Luméro zal de klacht beoordelen en – indien gegrond – zo spoedig mogelijk herstellen of toelichten.
14.3 Een klacht schort de betalingsverplichting niet op.
15.1 Op deze overeenkomst is uitsluitend Nederlands recht van toepassing.
15.2 Geschillen worden eerst in gezamenlijk overleg geprobeerd op te lossen.
15.3 Indien overleg niet tot een oplossing leidt, wordt het geschil voorgelegd aan de bevoegde rechter in het arrondissement Midden-Nederland.
16.1 Luméro werkt onafhankelijk, objectief en zonder belangenverstrengeling.
16.2 Luméro behoudt zich het recht voor opdrachten te weigeren wanneer deze de integriteit, onafhankelijkheid of vertrouwelijkheid van andere klanten kan schaden.
17.1 Luméro adviseert op basis van geldende normen, best practices en branche-inzichten.
17.2 De opdrachtgever blijft eindverantwoordelijk voor implementatie, technische configuraties, beveiligingsmaatregelen en naleving van wet- en regelgeving.
17.3 Aanbevelingen van Luméro vormen geen garantie dat audits, certificeringen of toezichthouders zonder bevindingen zullen verlopen.
Dit Coordinated Vulnerability Disclosure (CVD)-beleid – ook bekend als responsible disclosure – beschrijft hoe u een kwetsbaarheid in onze systemen veilig bij ons meldt, en wat u daarbij van ons mag verwachten.
Dit is geen uitnodiging om onze systemen of ons netwerk actief en uitgebreid te scannen op kwetsbaarheden. Wij monitoren onze omgeving zelf, waardoor een scan waarschijnlijk wordt opgemerkt en onnodig onderzoek tot gevolg kan hebben.
Safe harbour: Als u zich aan de voorwaarden van dit beleid houdt en te goeder trouw handelt, beschouwen wij uw melding als rechtmatig en ondernemen wij geen juridische stappen tegen u naar aanleiding van uw melding. Wij kunnen echter niet garanderen dat derden geen stappen ondernemen, en evenmin treden wij in de bevoegdheid van het Openbaar Ministerie.
Wij streven ernaar kwetsbaarheden binnen 90 dagen na uw melding op te lossen. Wij stemmen het moment van publicatie in overleg met u af; doorgaans maken wij een kwetsbaarheid pas openbaar nadat deze is verholpen.
Dit beleid is van toepassing op de openbare website en e-mailinfrastructuur van Luméro: lumero.nl en bijbehorende subdomeinen, en e-mail (security@lumero.nl en het lumero.nl-maildomein). Wij nemen alleen meldingen in behandeling die binnen deze scope vallen.
Buiten scope vallen onder meer de volgende zaken; hiervoor is geen melding nodig:
U mag anoniem of onder een pseudoniem melden. Houd er rekening mee dat wij u dan niet op de hoogte kunnen houden van de voortgang, geen vervolgvragen kunnen stellen en u niet bij naam kunnen vermelden.
Komen wij er samen niet uit over de afhandeling of het moment van openbaarmaking, dan kunnen u of wij een onafhankelijke derde partij inschakelen om te bemiddelen. In Nederland kan hiervoor het Nationaal Cyber Security Centrum (NCSC) worden betrokken. De uiteindelijke beoordeling of iets een kwetsbaarheid is, blijft aan Luméro als systeemeigenaar.
Wij verwerken de persoonsgegevens uit uw melding (zoals naam, contactgegevens en de inhoud van de melding) op grond van ons gerechtvaardigd belang (AVG art. 6(1)(f)) om kwetsbaarheden te beoordelen en te verhelpen. Zie onze privacyverklaring voor meer informatie.
Onze contactgegevens voor beveiligingsmeldingen zijn ook machineleesbaar beschikbaar volgens RFC 9116: /.well-known/security.txt. Dit bestand is digitaal ondertekend met onze PGP-sleutel. Wilt u uw melding versleutelen, gebruik dan dezelfde sleutel: /.well-known/pgp-key.txt, met fingerprint B6B7 3D81 413B D1F0 F1FC 592F BCF0 56E9 95AF B422. Controleer deze fingerprint voordat u de sleutel gebruikt.
