Versie 1.0, 15 november 2026
Inleiding
HISCON is een huisartsinformatiesysteem. Huisartsenpraktijken leggen er medische gegevens van hun patiënten in vast. De beveiliging van die gegevens heeft voor ons de hoogste prioriteit. Toch kan het gebeuren dat er een zwakke plek in HISCON zit. Heeft u zo'n kwetsbaarheid gevonden, dan horen we dat graag, zodat we die zo snel mogelijk kunnen oplossen.
Dit beleid beschrijft hoe u een kwetsbaarheid op een verantwoorde manier bij ons meldt (Coordinated Vulnerability Disclosure, CVD) en wat u dan van ons kunt verwachten. Het volgt de Leidraad Coordinated Vulnerability Disclosure van het Nationaal Cyber Security Centrum (NCSC).
Melden: stuur een e-mail naar security@hiscon.nl.
Wat vragen we van u?
- Meld de kwetsbaarheid zo snel mogelijk nadat u hem hebt gevonden, per e-mail aan security@hiscon.nl.
- Geef genoeg informatie om het probleem na te bootsen: wat u deed, waar (adres of scherm), wanneer, en wat er gebeurde. Meestal zijn een paar stappen, een adres of een schermafdruk genoeg.
- Laat een manier achter waarop we contact met u kunnen opnemen. Anoniem melden mag ook; dan kunnen we u niet op de hoogte houden.
- Maak de kwetsbaarheid niet openbaar en deel hem niet met anderen tot het probleem is opgelost. We spreken samen af wanneer en hoe er over gepubliceerd mag worden.
- Ga zorgvuldig om met wat u vindt, en doe niet meer dan nodig is om de kwetsbaarheid aan te tonen.
Wat u niet mag doen
- Gegevens bekijken, kopiëren, wijzigen of verwijderen, meer dan nodig is om de kwetsbaarheid aan te tonen. Ziet u patiëntgegevens of andere persoonsgegevens, stop dan meteen, bewaar ze niet en meld het ons direct.
- Gegevens of systemen van huisartsenpraktijken of patiënten gebruiken, of misbruik maken van een praktijkserver.
- Malware plaatsen, achterdeurtjes inbouwen of de kwetsbaarheid verder uitbuiten.
- Systemen overbelasten of onbereikbaar maken (denial of service), of brute-force-aanvallen uitvoeren.
- Social engineering, phishing of fysieke toegang tot een praktijk of kantoor proberen.
- Instellingen wijzigen, of de kwetsbaarheid delen met anderen.
Wat mag u van ons verwachten?
- We bevestigen uw melding binnen 3 werkdagen.
- Binnen 10 werkdagen krijgt u onze beoordeling, met een verwachte termijn voor de oplossing.
- We houden u op de hoogte van de voortgang en lossen de kwetsbaarheid zo snel mogelijk op; uiterlijk binnen 60 dagen, tenzij we samen een andere termijn afspreken.
- Handelt u volgens dit beleid, dan doen we geen aangifte en nemen we geen juridische stappen tegen u.
- We behandelen uw melding vertrouwelijk en geven uw persoonsgegevens niet zonder uw toestemming aan anderen, tenzij de wet ons daartoe verplicht.
- Als u dat wilt, noemen we uw naam als ontdekker wanneer we over de kwetsbaarheid publiceren.
- Raakt de kwetsbaarheid gegevens van patiënten, dan informeren we de betrokken huisartsenpraktijken. Zij beslissen, als verwerkingsverantwoordelijke, over een melding aan de Autoriteit Persoonsgegevens; wij helpen hen daarbij.
Waarvoor geldt dit beleid?
- HISCON zelf, de praktijkservers waarop HISCON draait, het patiëntportaal (mijn.hiscon.nl), beheer.hiscon.nl en hiscon.nl.
- Niet voor systemen van anderen waarmee HISCON is gekoppeld, zoals het Landelijk Schakelpunt, ZorgDomein, VECOZO of laboratoria. Meld een kwetsbaarheid daarin bij die partij zelf.
Wijzigingen
We kunnen dit beleid aanpassen. De laatste versie staat altijd op deze pagina.