Opdracht en vrijwaring geautomatiseerde security testing

Dit document beschrijft de (aanvullende) voorwaarden en vrijwaringsafspraken voor de geautomatiseerde security testing opdracht, met referentienummer [NUMMER], die partijen wensen overeen te komen.

De in dit document (en de eventuele documenten die naar onderhavig document refereren en/of dit incorporeren) omschreven opdracht, alsmede de daartoe strekkende overeenkomst, komt tot stand na wederzijdse schriftelijke accordering of ondertekening van onderhavig document, de betaling door Opdrachtgever van de in onderhavig document omschreven bedragen en de daaropvolgende al dan niet geautomatiseerde (bestel)bevestiging door Cruxa.

1. Scope van de testing

1.1 In-scope objecten

Uitsluitend de door Opdrachtgever expliciet aangewezen systemen, applicaties en netwerkcomponenten vallen binnen de scope van de geautomatiseerde pentesting dienstverlening.

Categorie	Specificatie
Domeinen	bijv. example.nl, example.com
Subdomeinen	bijv. portal.example.nl, api.example.nl
Webapplicaties	bijv. klantenportaal, CMS
API-endpoints	bijv. api.example.nl/v1/

Alle overige systemen, applicaties, netwerkcomponenten en omgevingen worden geacht buiten de scope te vallen en zullen niet door geautomatiseerde scans worden benaderd, tenzij deze naderhand uitdrukkelijk door Opdrachtgever zijn toegevoegd.

1.2 Eigendomsverklaring

Opdrachtgever verklaart dat zij de rechtmatige eigenaar of houder is van bovengenoemde objecten, dan wel gemachtigd is om derden toestemming te verlenen voor het uitvoeren van security-testactiviteiten op deze objecten.

1.3 Vestigingsverklaring

Opdrachtgever verklaart dat zij niet is gevestigd in de Verenigde Staten of Canada, dat op deze opdracht geen recht van de Verenigde Staten of Canada van toepassing is, en dat geschillen niet aan een rechter in de Verenigde Staten of Canada zullen worden voorgelegd. Indien deze verklaring onjuist blijkt, is Cruxa gerechtigd de opdracht met onmiddellijke ingang te beëindigen zonder tot enige schadevergoeding gehouden te zijn; reeds verrichte werkzaamheden worden niet gecrediteerd.

2. Testperiode

De opdracht vangt aan op het moment dat Cruxa de betaling voor de scan heeft bevestigd ontvangen (de “Startdatum”) en eindigt bij oplevering van het eindrapport, doch uiterlijk 14 dagen na de Startdatum (de “Einddatum”). Binnen deze periode voert Cruxa de scan uit en kan zij bevindingen herverifiëren. Testactiviteiten worden geautomatiseerd uitgevoerd en kennen geen beperkingen in dagen of tijdstippen. De belasting op de systemen van Opdrachtgever is laag en niet-verstorend; Denial-of-Service en het verstoren van bedrijfsprocessen zijn te allen tijde uitgesloten.

3. Aard van de dienstverlening

3.1 AI-gedreven security testing

Opdrachtgever erkent dat de dienstverlening van Cruxa gebruikmaakt van AI-gestuurde tooling en automatisering voor het uitvoeren van security scans en penetratietests. AI-functionaliteiten worden ingezet onder menselijk toezicht op afstand, waarbij de operator de uitvoering monitort en op ieder moment kan ingrijpen, maar individuele testhandelingen autonoom door de AI worden uitgevoerd (‘human-on-the-loop’ toezicht), tenzij anders overeengekomen. De toepassing van LLM’s vindt plaats onder een verwerkersovereenkomst, waarbij persoonsgegevens in scanresultaten via technische redactie worden geminimaliseerd voordat zij externe modellen bereiken; volledige eliminatie wordt daarbij niet gegarandeerd. Ruwe scandata wordt conform de verwerkersovereenkomst na maximaal 3 maanden automatisch verwijderd. Zie voor verdere informatie de privacyverklaring en verwerkersovereenkomst.

Voor zover technisch mogelijk en van toepassing kan de dienstverlening onder meer omvatten:

• Geautomatiseerde verkenning en in kaart brengen van het externe aanvalsoppervlak (subdomeinen, endpoints en blootgestelde services).
• Geautomatiseerde kwetsbaarheidsscans op alle in-scope systemen, applicaties en endpoints.
• Detectie van bekende kwetsbaarheden, misconfiguraties en blootgestelde services.
• Authenticatie-, autorisatie- en rate limiting-tests waar technisch mogelijk.
• Actieve, niet-destructieve verificatie (exploitatie) van gevonden kwetsbaarheden om daadwerkelijke impact aan te tonen, uitsluitend ter bewijsvoering en zonder bestaande data te verwijderen of te wijzigen.
• AI-ondersteunde analyse, classificatie en prioritering van beveiligingsbevindingen.
• Geautomatiseerde validatie, reproductie en correlatie van scanresultaten, waaronder het combineren van losse bevindingen tot een aanvalsketen met hogere impact.
• Analyse van configuraties, headers, certificaten en gebruikte softwarecomponenten.
• Geautomatiseerde rapportage, inclusief technische bewijslast, screenshots, reproductie-stappen en concrete oplossingsadviezen (code-fixes) ter mitigatie.

3.2 Toegestane technieken

Om te voldoen aan de vereisten in het Wetboek van Strafrecht en Burgerlijk Wetboek erkent Opdrachtgever dat Cruxa onder andere de volgende technieken gebruikt, en dat Opdrachtgever geen bezwaar heeft tegen het gebruik hiervan door Cruxa.

Standaard toegestaan:

Tenzij schriftelijk anders overeengekomen, mogen in het kader van reguliere security testing onder meer de volgende technieken worden toegepast:

• Technische handelingen, valse signalen, sleutels of identiteiten om toegang te verkrijgen tot de geautomatiseerde systemen.
• Kopiëren en opslaan van data die wordt aangetroffen op de geautomatiseerde systemen, uitsluitend voor rapportage- en validatiedoeleinden.
• Gebruik van een openbare telecommunicatie-infrastructuur of -systeem om rekencapaciteit van de geautomatiseerde systemen van Opdrachtgever te gebruiken.
• Bijhouden, overdragen of — uitsluitend voor zover strikt noodzakelijk om een kwetsbaarheid aan te tonen — tijdelijk wijzigen of toevoegen van data die wordt aangetroffen op de geautomatiseerde systemen van Opdrachtgever, zonder bestaande data te beschadigen, te verwijderen of blijvend te wijzigen.
• Bijhouden van logging- en testinformatie die noodzakelijk is voor rapportage en validatie van bevindingen.
• Analyse van configuraties, headers, certificaten en gebruikte softwarecomponenten.
• Geautomatiseerde verkenning en in kaart brengen van het externe aanvalsoppervlak.
• Geautomatiseerde subdomain-enumeratie via publieke certificaattransparantie-logs en passieve bronnen.
• Detectie van subdomain-takeover en exploiteerbare DNS-misconfiguraties (dangling records).
• DNS-analyse, inclusief het uitlezen van publieke DNS-records (waaronder SPF) ten behoeve van aanvalsoppervlak- en infrastructuurverkenning.
• Detectie van bekende TLS/SSL-gerelateerde kwetsbaarheden en verouderde protocolversies waar relevant voor exploitatie.
• HTTP-header-analyse (security headers, CORS-configuratie, CSP).
• Analyse van publiek toegankelijke JavaScript-bundels op blootgestelde endpoints en secrets.
• Detectie van bekende kwetsbaarheden op basis van geïdentificeerde softwarecomponenten en versies (CVE-matching).
• Geautomatiseerde authenticatietests, inclusief sessie- en tokenbeheer.
• Geautomatiseerde autorisatietests (horizontale en verticale privilege escalation / IDOR).
• Injectietests (SQL, XSS, SSRF, GraphQL) — uitsluitend op in-scope endpoints.
• Business logic-tests op transactie- en workflowlaag.
• Niet-destructieve exploitatie (proof-of-concept) van bevestigde kwetsbaarheden ter onderbouwing van de daadwerkelijke impact.

3.3 Verboden technieken

Tijdens de security testing kunnen procedures en mechanismen worden gebruikt die de algehele systeembeveiliging tijdelijk kunnen beïnvloeden. Tenzij uitdrukkelijk schriftelijk anders overeengekomen, zijn de volgende technieken niet toegestaan:

• Denial-of-Service (DoS) of Distributed Denial-of-Service (DDoS) aanvallen.
• Opzettelijke beschadiging, vernietiging of ontoegankelijk maken van systemen of data.
• Het bewust verstoren van bedrijfsprocessen of productieomgevingen.
• Het verwerken of exfiltreren van gegevens buiten hetgeen noodzakelijk is voor de uitvoering van de dienstverlening.
• Social engineering, phishing of andere vormen van mensgerichte aanvallen.
• Fysieke beveiligingstests.
• Het installeren van persistente toegang, backdoors of malware op systemen van Opdrachtgever.
• Laterale beweging naar systemen buiten de overeengekomen scope.
• Mass brute-force of credential stuffing op schaal (waarbij accounts worden vergrendeld of productieverkeer wordt verstoord).
• Het overnemen van accounts waarbij bestaande gebruikers worden buitengesloten.
• Het permanent wijzigen of verwijderen van productiedata — schrijfoperaties zijn uitsluitend toegestaan voor zover strikt noodzakelijk om een kwetsbaarheid aan te tonen, en worden direct ongedaan gemaakt waar mogelijk.
• Het exfiltreren of opslaan van persoonsgegevens van eindgebruikers buiten hetgeen noodzakelijk is voor bewijsvoering.
• Het aanpassen van configuraties, secrets of toegangsrechten van systemen van Opdrachtgever.
• Aanvallen op systemen van derden die als infrastructuur dienen voor in-scope objecten maar zelf niet in scope zijn (bijv. CDN-providers, DNS-registrars, hosting-partijen).
• Het daadwerkelijk overnemen of claimen van bij derden gehoste resources bij een gedetecteerde subdomain-takeover; detectie en signalering vinden plaats, maar de dangling resource wordt niet door Cruxa geclaimd.
• Het wissen, manipuleren of uitschakelen van logbestanden, beveiligingsmaatregelen of detectiemechanismen (anti-forensics of defense evasion).
• Het versturen van ongevraagde berichten (e-mail, SMS, push-notificaties) naar werkelijke eindgebruikers van Opdrachtgever, of het op andere wijze betrekken van eindgebruikers in de testactiviteiten.

4. Vrijwaring, aansprakelijkheid en derden

Opdrachtgever garandeert dat alle derden die mogelijk overlast, hinder of schade kunnen ondervinden als gevolg van de security testing, waaronder maar niet beperkt tot IT-leveranciers, klanten en samenwerkingspartners, door Opdrachtgever zijn:

• Geïnformeerd over de aard van het onderzoek
• Geïnformeerd over de periode waarin het onderzoek plaatsvindt
• Geïnformeerd over de wijze waarop het onderzoek wordt uitgevoerd
• Akkoord met de uitvoering van het onderzoek voor zover dit hun systemen, diensten of belangen kan raken

Opdrachtgever vrijwaart Cruxa volledig voor alle claims, schade, kosten en gevolgen die voortvloeien uit het niet of onvolledig nakomen van bovenstaande garantie.

Opdrachtgever verklaart dat zij Cruxa, diens medewerkers, en aan Cruxa gelieerde ondernemingen vrijwaart en schadeloos stelt voor:

• Enige schade, claims, eisen of aansprakelijkheden
• Materiële of immateriële schade
• Gevolgschade of indirecte schade

Die kunnen voortvloeien uit of verband houden met de uitvoering van de security testing activiteiten, voor zover deze binnen de scope en voorwaarden van de overeenkomst vallen.

De vrijwaring is niet van toepassing in geval van:

• Grove nalatigheid van Cruxa
• Roekeloosheid van Cruxa
• Opzettelijk onrechtmatig handelen door Cruxa
• Handelen buiten de overeengekomen scope zonder toestemming

De aansprakelijkheid van Cruxa is in alle gevallen beperkt tot het bedrag dat door de beroepsaansprakelijkheidsverzekering van Cruxa wordt uitgekeerd, dan wel, indien geen uitkering plaatsvindt, tot maximaal het factuurbedrag van de betreffende opdracht.

5. Geheimhouding

Partijen verplichten zich tot strikte geheimhouding van alle vertrouwelijke informatie die zij in het kader van deze verklaring van elkaar ontvangen. Onder vertrouwelijke informatie wordt in ieder geval verstaan:

• Alle informatie over kwetsbaarheden, beveiligingsrisico's en bevindingen uit de security testing
• Technische documentatie en configuratiegegevens
• Rapportages, logbestanden en bewijsmateriaal
• Bedrijfsgevoelige informatie, waaronder klant- en personeelsgegevens
• Alle overige informatie die als vertrouwelijk is aangemerkt of waarvan het vertrouwelijke karakter redelijkerwijs begrepen moet worden

Vertrouwelijke informatie wordt uitsluitend gebruikt voor het doel waarvoor deze is verstrekt en wordt niet aan derden verstrekt, tenzij verstrekking noodzakelijk is op grond van wet- of regelgeving, een rechterlijke uitspraak of een bevel van een bevoegde autoriteit; of de informatie aantoonbaar reeds publiekelijk bekend was of wordt zonder toedoen van Cruxa.

De geheimhoudingsplicht blijft van kracht tijdens de looptijd van de overeenkomst en gedurende een periode van 1 jaar na beëindiging daarvan, tenzij de aard van de informatie een langere termijn rechtvaardigt.

6. Operationele afspraken

Opdrachtgever en Cruxa houden zich aan de volgende operationele afspraken:

• Cruxa informeert de contactpersonen van Opdrachtgever gedurende de opdracht. Er vindt minimaal éénmaal contact plaats tussen Cruxa en de aangewezen contactpersoon van Opdrachtgever. Bij kritieke bevindingen neemt de operator van Cruxa zo spoedig mogelijk handmatig contact op met de aangewezen contactpersoon.
• Opdrachtgever verzekert een redelijke bereikbaarheid van de door hem aangewezen contactpersoon gedurende de testperiode, en garandeert dat kritieke meldingen vanuit Cruxa binnen [24] uur door de contactpersoon (of diens vervanger) kunnen worden opgepakt.
• Opdrachtgever onthoudt zich van handelingen die de scan kunnen verstoren, zoals het blokkeren van IP-adressen van Cruxa, het aanpassen van WAF-regels of het resetten van door Cruxa aangemaakte testaccounts, tenzij in overleg.
• Indien het nodig is dat Cruxa wordt gewhitelistet in firewall- of WAF-configuraties van Opdrachtgever, wordt dit voorafgaand aan de start van de opdracht duidelijk vermeld door Opdrachtgever, en draagt Opdrachtgever hier de verantwoordelijkheid voor.
• Cruxa houdt een logboek bij van testactiviteiten. Na afronding van de operationele activiteiten wordt een overzicht van de testactiviteiten met het eindrapport meegeleverd; tussentijdse inzage is op verzoek mogelijk. Rapportages bevatten bewijslast (geanonimiseerd waar nodig) ter onderbouwing van bevindingen.
• Bij onvoorziene problemen of incidenten neemt Cruxa direct contact op met de contactpersoon zoals hieronder vermeld en staakt alle testactiviteiten.
• Opdrachtgever is verantwoordelijk voor het maken en onderhouden van adequate back-ups voorafgaand aan de uitvoering van de testactiviteiten.
• Opdrachtgever kan de scan op elk moment laten stopzetten door een bericht te sturen naar [email protected], met daarin de referentie van deze opdracht. Cruxa staakt de testactiviteiten zo snel als redelijkerwijs technisch mogelijk na ontvangst van dit verzoek. Reeds betaalde bedragen worden niet gerestitueerd.
• Wijzigingen in de scope tijdens een lopende scan zijn niet mogelijk zonder schriftelijke overeenstemming.
• Een rapportage van de opdracht is beschikbaar gedurende zeven (7) dagen na afloop van de overeengekomen testperiode via een downloadlink (maximaal 5 downloads). Opdrachtgever is verantwoordelijk voor het tijdig opslaan van het rapport.
• Partijen publiceren bevindingen uit de security testing niet zonder voorafgaande schriftelijke toestemming van de andere partij.
• Indien Cruxa bevindingen aantreft die systemen van derden buiten de scope raken, informeert Cruxa de opdrachtgever onmiddellijk. Verdere stappen worden in overleg bepaald.

7. Kosten

De kosten voor de opdracht bedragen EUR 300,-, welke voorafgaand aan de opdracht worden gefactureerd.

8. Aanvullende voorwaarden

• Bij tegenstrijdigheid tussen de documenten die samen de overeenkomst vormen, geldt de volgende rangorde: (1) deze opdracht- en vrijwaringsverklaring, (2) de verwerkersovereenkomst, (3) de algemene voorwaarden. De verwerkersovereenkomst prevaleert echter voor zover het de verwerking van persoonsgegevens betreft.
• Op deze opdracht is uitsluitend Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Cruxa is gevestigd.
• Deze rechts- en forumkeuze is exclusief en dwingend. Eventuele inkoop-, algemene of andere voorwaarden van Opdrachtgever die een ander toepasselijk recht of een andere bevoegde rechter aanwijzen — in het bijzonder het recht of een rechter van de Verenigde Staten of Canada — worden hierbij uitdrukkelijk van de hand gewezen en zijn niet van toepassing.
• Alle genoemde bedragen zijn exclusief btw en andere overheidsheffingen.
• Betalingen zijn direct tijdens/na het tot stand komen van de opdracht verschuldigd.
• Uitvoering van deze opdracht vangt direct na de totstandkoming ervan aan, en de met deze opdracht samenhangende kosten kunnen niet worden terugbetaald, ook niet als de operationele uitvoering van deze opdracht gedurende de afgesproken testperiode op verzoek van Opdrachtgever worden gepauzeerd of stopgezet.

9. Ondertekening