Dit beleid geldt voor elke repository van de Nederlandse Digitale Dienst die geen eigen SECURITY.md heeft. Staat er in een repository wel een, dan gaat die voor.

Ontdek je een kwetsbaarheid, meld hem dan vertrouwelijk via GitHub. Open de repository waar het om gaat, ga naar het tabblad Security en kies Report a vulnerability. Je melding is dan alleen zichtbaar voor jou en de beheerders van die repository. Meld een kwetsbaarheid niet in een openbaar issue.

Heb je geen GitHub-account, of meld je liever niet via GitHub, dan kan het ook via het Nationaal Cyber Security Centrum:

https://www.ncsc.nl/contact/kwetsbaarheid-melden

Vermeld daarbij om welke repository van de Nederlandse Digitale Dienst het gaat, met het adres erbij. Het NCSC brengt je melding dan bij ons onder de aandacht.

• De repository en de versie of commit waarin je het zag.
• Het bestand of het onderdeel waar het zit.
• Hoe je het reproduceert, zo klein mogelijk.
• Wat er misgaat, en waar mogelijk wat een aanvaller ermee zou kunnen.

Deel de kwetsbaarheid niet met anderen voordat hij is opgelost, en ga niet verder dan nodig is om het bestaan aan te tonen. Verander niets aan systemen van derden om je punt te maken.

Meld je via het NCSC, dan volgt de afhandeling het beleid op https://www.ncsc.nl/contact/kwetsbaarheid-melden. Meld je via GitHub:

• Je krijgt een reactie op je melding met een inschatting.
• Je hoort van ons hoe het staat met de oplossing. Dat gesprek loopt in de melding zelf.
• Is de kwetsbaarheid opgelost, dan publiceren we een security advisory.
• In die advisory noemen we je als ontdekker, tenzij je dat liever niet hebt.

Gaat het om een gewone fout, open dan een issue in de repository zelf.