Pentestwaiver

• Stel duidelijke afspraken vast over wat tijdens een pentest wel en niet is toegestaan.
• Leg toestemming, aansprakelijkheid en verantwoordelijkheden van alle betrokken partijen schriftelijk vast.
• Creëer een juridisch kader voor security-onderzoeken op websites, applicaties en IT-systemen.

Wat is een pentestwaiver?

Een pentestwaiver is een juridische vrijwaringsverklaring die wordt gebruikt bij penetratietesten (pentests) en andere vormen van security-onderzoek. Met dit document leggen opdrachtgever, pentester en eventueel betrokken leveranciers vast dat de geplande security-test bekend is en onder welke voorwaarden deze mag worden uitgevoerd.

Tijdens een pentest probeert een ethische hacker kwetsbaarheden in websites, applicaties, netwerken of andere IT-systemen op te sporen. Omdat deze activiteiten kunnen lijken op handelingen die normaal gesproken niet zijn toegestaan, is het belangrijk om vooraf schriftelijke toestemming en duidelijke afspraken vast te leggen.

Met een pentestwaiver verklein je juridische risico's en creëer je duidelijkheid voor alle betrokken partijen.

Wanneer gebruik je een pentestwaiver?

Een pentestwaiver is onder meer geschikt in de volgende situaties:

• Je voert een penetratietest uit op een website of webshop.
• Je onderzoekt de beveiliging van een bedrijfsnetwerk.
• Je test de veiligheid van een cloudomgeving.
• Je voert een applicatie- of API-securityscan uit.
• Meerdere leveranciers, hostingpartijen of IT-dienstverleners zijn betrokken bij het onderzoek.
• Je wilt vooraf toestemming vastleggen voor het uitvoeren van security-tests.

Door vooraf afspraken vast te leggen, verklein je de kans op discussies over aansprakelijkheid, ongeautoriseerde toegang of schadeclaims.

Wat regelt een pentestwaiver?

Een pentestwaiver bevat afspraken die belangrijk zijn voor een zorgvuldig en gecontroleerd security-onderzoek. Denk bijvoorbeeld aan:

• toestemming voor het uitvoeren van de pentest;
• de scope van het onderzoek;
• de systemen die wel of niet getest mogen worden;
• de looptijd van de test;
• verantwoordelijkheden van opdrachtgever en uitvoerder;
• afspraken over vertrouwelijkheid en geheimhouding;
• aansprakelijkheid en vrijwaring;
• omgang met gevonden kwetsbaarheden en gevoelige informatie.

Hierdoor weten alle betrokken partijen vooraf wat de bedoeling van het onderzoek is en welke kaders daarbij gelden.

Wanneer is een pentestwaiver niet voldoende?

Een pentestwaiver is bedoeld als juridisch kader voor een security-test. In sommige situaties zijn aanvullende afspraken nodig. Denk bijvoorbeeld aan:

• internationale security-onderzoeken;
• uitgebreide softwareontwikkelprojecten;
• structurele cybersecuritydienstverlening;
• verwerking van grote hoeveelheden persoonsgegevens;
• samenwerking tussen meerdere organisaties met complexe contractuele afspraken.

In deze gevallen kan naast een pentestwaiver ook een dienstverleningsovereenkomst, geheimhoudingsovereenkomst NDA of verwerkersovereenkomst noodzakelijk zijn.

Veelgestelde vragen over een pentestwaiver

Is een pentestwaiver verplicht?

Een pentestwaiver is niet wettelijk verplicht, maar helpt om toestemming, verantwoordelijkheden en aansprakelijkheid vooraf duidelijk vast te leggen.

Wie ondertekent een pentestwaiver?

Meestal ondertekenen de opdrachtgever en de uitvoerende partij het document. Afhankelijk van de situatie kunnen ook hostingproviders of andere leveranciers betrokken zijn.

Beschermt een pentestwaiver tegen alle aansprakelijkheid?

Nee. Een vrijwaringsverklaring kan risico's beperken, maar biedt niet automatisch bescherming in iedere situatie. De inhoud van de overeenkomst en de omstandigheden blijven belangrijk.

Heb ik een pentestwaiver nodig voor een website?

Wanneer je een website, webshop of webapplicatie laat testen op kwetsbaarheden is het verstandig om vooraf toestemming en afspraken schriftelijk vast te leggen.

Wat is het verschil tussen een pentestwaiver en een NDA?

Een NDA richt zich op geheimhouding van informatie. Een pentestwaiver richt zich specifiek op toestemming, verantwoordelijkheden en aansprakelijkheid rondom een security-onderzoek.