Een bug bounty is een beloning voor wie een kwetsbaarheid in je systemen vindt en meldt. Responsible disclosure, officieel coordinated vulnerability disclosure (CVD), is de afspraak dat een vinder een lek eerst bij jou meldt en jij het oplost voor het openbaar wordt. Beide vullen de pentest aan met meldingen van buitenaf.
Het NCSC hanteert 60 dagen tussen melding en openbaarmaking van een softwarelek. Voor overheden is een meldpunt verplicht. De Cyberbeveiligingswet rekent de omgang met kwetsbaarheden tot de zorgplicht.
Door Redactie Securiguide. Laatst gecontroleerd op 5 oktober 2026.
| Responsible disclosure | Meldpunt met spelregels voor iedereen die een lek vindt. Officiële naam: coordinated vulnerability disclosure (CVD) |
| Bug bounty | Programma met een geldbedrag per geldige melding, meestal via een platform |
| Beloning | Bij CVD een bedankje, vermelding of cadeau. Bij een bug bounty tientallen tot tienduizenden euro’s per melding |
| Termijn | 60 dagen tot openbaarmaking bij software, 6 maanden bij hardware |
| Reactietijd | Het NCSC bevestigt binnen één werkdag en reageert inhoudelijk binnen drie werkdagen |
| Vindbaar via | Het bestand security.txt op je website |
| Verplicht voor | Overheden. Onder de Cyberbeveiligingswet onderdeel van de zorgplicht |
Termijnen volgens de Leidraad Coordinated Vulnerability Disclosure en het CVD-beleid van het NCSC.
Op deze pagina: het verschil · CVD-beleid opstellen · security.txt · bug bounty-programma · beloningen en kosten · strafbaarheid · wetgeving · wat past bij jou · veelgestelde vragen
Bug bounty of responsible disclosure: het verschil
Responsible disclosure regelt hoe een melding binnenkomt. Een bug bounty nodigt onderzoekers uit om actief te zoeken en betaalt per geldige melding. De tabel zet beide naast de pentest.
| Kenmerk | Responsible disclosure | Bug bounty | Pentest |
|---|---|---|---|
| Wie zoekt | Iedereen die een lek tegenkomt | Onderzoekers die actief zoeken, open of op uitnodiging | Testers die je inhuurt |
| Beloning | Vrijwillig: bedankje, vermelding of cadeau | Geld per geldige melding, naar ernst | Vaste prijs per opdracht |
| Scope | De systemen die je in het beleid noemt | De systemen in het programma | Het scopedocument |
| Looptijd | Doorlopend | Doorlopend of een afgesproken periode | 3 tot 10 testdagen |
| Uitkomst | Losse meldingen | Losse meldingen, beoordeeld op ernst | Rapport met alle bevindingen binnen de scope |
| Kosten | Uren voor de afhandeling | Platformkosten, beloningen en uren voor de afhandeling | 4.000 tot 15.000 euro |
Responsible disclosure is de basis. Meldingen komen ook binnen bij organisaties zonder beleid, en met beleid weet de vinder waar hij terechtkan. Een bug bounty bouwt daarop voort.
Responsible disclosure, CVD en VDP: drie namen
Het NCSC spreekt sinds de leidraad van oktober 2018 van coordinated vulnerability disclosure. De term responsible disclosure komt uit de eerdere leidraad van 2013 en blijft in gebruik. Engelstalige organisaties noemen hun beleid een vulnerability disclosure policy (VDP).
De leidraad noemt ook twee tegenhangers. Bij full disclosure maakt de vinder een kwetsbaarheid direct volledig openbaar. Bij non-disclosure verkoopt hij de kwetsbaarheid of gebruikt hij haar zelf.
Een responsible disclosure-beleid opstellen: zes onderdelen
Een CVD-beleid is een pagina op je website met de spelregels voor melders. De leidraad van het NCSC bevat een voorbeeldtekst. Deze zes onderdelen horen erin.
- Scope. Welke systemen en domeinen vallen onder het beleid en welke blijven erbuiten.
- Spelregels voor het onderzoek. Welke technieken zijn toegestaan. Veel organisaties laten social engineering, DDoS-aanvallen en fysieke toegang buiten het beleid. De melder bekijkt de gegevens die nodig zijn om het lek aan te tonen, en wist ze na de oplossing.
- Meldkanaal. Een e-mailadres of formulier, bij voorkeur met versleuteling. Het IP-adres of de URL van het systeem en een beschrijving van de kwetsbaarheid volstaan meestal als melding.
- Reactietermijnen. De voorbeeldtekst van het NCSC belooft binnen drie dagen een inhoudelijke reactie met de verwachte oplossingstermijn.
- Termijn tot openbaarmaking. De richtlijn is 60 dagen voor software en 6 maanden voor hardware. Melder en organisatie kunnen die termijn in overleg verlengen of inkorten.
- Toezegging en beloning. Je zegt toe geen juridische stappen te nemen tegen een melder die zich aan de regels houdt. Een bedankje, een vermelding of een cadeau is gebruikelijk.
Wijs daarnaast één persoon of team aan dat binnenkomende meldingen beoordeelt en bij de juiste beheerder neerlegt. Bevindingen horen daarna thuis in je vulnerability management.
Drie valkuilen bij het afhandelen van een melding
- De melding heeft geen eigenaar. Ze komt binnen in een algemene mailbox en blijft daar liggen.
- De melder hoort niets terug. Na het verstrijken van de termijn staat het hem vrij om te publiceren.
- De organisatie dreigt met aangifte. Een melder die zich aan de regels hield, vertelt dat verder, en volgende vinders kiezen dan een andere weg.
Security.txt: zo vinden melders je meldpunt
Security.txt is een tekstbestand op je webserver met de contactgegevens voor beveiligingsmeldingen. De standaard staat in RFC 9116 uit april 2022. Het bestand hoort op het adres /.well-known/security.txt. De velden Contact en Expires zijn verplicht.
Contact: mailto:security@jouwbedrijf.nl Expires: 2027-10-01T00:00:00.000Z Policy: https://www.jouwbedrijf.nl/responsible-disclosure Preferred-Languages: nl, en
RFC 9116 raadt een verloopdatum aan die korter dan een jaar vooruit ligt. Na die datum hoort een onderzoeker het bestand als verouderd te beschouwen, dus zet de vernieuwing in je agenda. De test op Internet.nl controleert of het bestand aanwezig is en aan de standaard voldoet.
Sinds 25 mei 2023 staat security.txt op de lijst ‘Pas toe of leg uit’ van Forum Standaardisatie. Gemeenten, provincies, het Rijk, waterschappen en uitvoeringsorganisaties zijn daarmee verplicht de standaard toe te passen. Het NCSC meldt bij de Wall of Fame 2025 dat veel melders het meldportaal via security.txt vonden.
Bug bounty: hoe een programma werkt
In een bug bounty-programma leg je vast welke systemen meedoen, welke technieken zijn toegestaan en welk bedrag bij welke ernst hoort. Onderzoekers zoeken binnen die regels. De eerste geldige melding van een kwetsbaarheid krijgt de beloning.
Tussen melding en uitbetaling zit de triage: iemand controleert of de melding klopt, of ze binnen de scope valt en of dezelfde kwetsbaarheid al eerder is gemeld. Platforms bieden die beoordeling als dienst aan.
Besloten of open programma
Een besloten programma werkt met een geselecteerde groep onderzoekers op uitnodiging. Een open programma staat open voor iedereen en levert meer meldingen op, waaronder meer dubbele en ongeldige. Veel organisaties beginnen besloten.
Vijf bug bounty-platforms
Een platform brengt organisaties en onderzoekers bij elkaar en regelt de triage en de uitbetaling.
| Platform | Herkomst | Kenmerk |
|---|---|---|
| Zerocopter | Nederland | Netwerk van getoetste onderzoekers. Levert ook pentests en een CVD-meldpunt |
| Intigriti | België | Europees platform, opgericht in 2016. Host ook disclosure-programma’s zonder beloning |
| YesWeHack | Frankrijk | Europees platform voor bug bounty en CVD |
| HackerOne | Verenigde Staten | Opgericht in 2012, met Nederlandse medeoprichters. Beheert ook de Internet Bug Bounty voor open source |
| Bugcrowd | Verenigde Staten | Amerikaans platform voor bug bounty en disclosure-programma’s |
Een vermelding in deze tabel is geen aanbeveling.
De keerzijde: veel meldingen van weinig waarde
Een geldbedrag trekt ook meldingen aan die weinig opleveren, waaronder rapporten die met AI zijn gemaakt. Tom’s Hardware meldde in september 2026 dat Intel zijn programma met beloningen tot 100.000 dollar heeft vervangen door een disclosure-programma zonder beloning. Het project curl stopte volgens dezelfde publicatie met zijn bug bounty na een stroom AI-rapporten. HackerOne neemt voor de Internet Bug Bounty sinds eind maart 2026 geen nieuwe meldingen aan.
Reken daarom vooraf uit hoeveel uren je team per week aan triage kan besteden. Een programma zonder capaciteit voor de afhandeling levert vooral achterstand op.
Beloningen en kosten van een bug bounty
De hoogte van een beloning volgt uit de ernst van de kwetsbaarheid en uit het budget van het programma. Drie voorbeelden laten de bandbreedte zien.
| Programma | Soort | Beloning per melding |
|---|---|---|
| Rijksoverheid, via het NCSC | CVD-beleid | Een T-shirt met de tekst “I hacked the Dutch government and all I got was this lousy t-shirt”. De sterkste meldingen krijgen een plek op de jaarlijkse Wall of Fame |
| Internet Bug Bounty van HackerOne | Bug bounty voor open source | 68 tot 2.257 dollar, afhankelijk van de ernst. Stand van mei 2026 |
| Intel, tot 2026 | Bug bounty van een fabrikant | 500 tot 100.000 dollar, afhankelijk van de ernst en het product |
Bronnen: NCSC, HackerOne en Tom’s Hardware, geraadpleegd op 5 oktober 2026.
Voor de organisatie bestaat een programma uit drie kostenposten:
- Platformkosten. Een vast bedrag voor de toegang tot onderzoekers, de triage en de uitbetaling. Platforms publiceren hun tarieven zelden, dus vraag een offerte waarin dit bedrag los van de beloningen staat.
- Beloningen. Je bepaalt zelf de bedragen per ernstniveau en een plafond per jaar.
- Eigen uren. Elke geldige melding vraagt beoordeling, herstel en een terugkoppeling aan de melder.
Een pentest kost meestal 4.000 tot 15.000 euro en levert een volledig rapport over een vaste scope. De opbouw van die prijs staat bij pentest kosten.
Vergelijk bureaus voor pentests en bug bounty
Het overzicht van Securiguide toont 52 Nederlandse bureaus die pentests uitvoeren, waaronder bug bounty-platform Zerocopter.
Is zoeken naar kwetsbaarheden strafbaar?
Binnendringen in een systeem zonder toestemming is computervredebreuk, strafbaar onder artikel 138ab van het Wetboek van Strafrecht. De wet maakt daarbij geen onderscheid naar de bedoeling van de hacker. Met een CVD-beleid of een bug bounty-programma geef je toestemming voor onderzoek binnen jouw spelregels.
Het Openbaar Ministerie legde zijn beleid vast in de beleidsbrief van 14 december 2020. Meldt een ethische hacker een gevonden kwetsbaarheid bij de organisatie, dan volgt in principe geen strafrechtelijk onderzoek. De officier van justitie weegt drie factoren:
- diende het onderzoek een wezenlijk maatschappelijk belang;
- ging de hacker niet verder dan nodig was om het lek aan te tonen (proportionaliteit);
- was er een minder ingrijpende manier om hetzelfde te bereiken (subsidiariteit).
Het OM verwacht dat ethische hackers vooraf het CVD-beleid van de organisatie lezen of de leidraad van het NCSC raadplegen. Doet een organisatie zonder CVD-beleid aangifte, dan is dat voor het OM geen reden om de hacker direct als verdachte aan te merken. Het OM beslist zelf over vervolging, ook als jouw beleid vrijwaring toezegt.
Meer over de grenzen voor testers staat bij ethisch hacken.
Wat wetgeving over kwetsbaarheidsmeldingen vraagt
Vier regelingen stellen eisen aan het ontvangen, afhandelen of melden van kwetsbaarheden.
| Regeling | Voor wie | Wat het vraagt |
|---|---|---|
| BIO en security.txt | Overheden | Een procedure voor het ontvangen en afhandelen van kwetsbaarheidsmeldingen. Security.txt is verplicht sinds 25 mei 2023 |
| Cyberbeveiligingswet, zorgplicht | Ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen | Artikel 21 rekent de respons op en bekendmaking van kwetsbaarheden tot de zorgplicht. Het NCSC adviseert een contactpunt voor beveiligingsonderzoekers. De wet geldt sinds 15 augustus 2026 |
| Cyberbeveiligingswet, coördinator | Iedereen die een kwetsbaarheid vindt | Het NCSC treedt op als coördinator voor de gecoördineerde bekendmaking van kwetsbaarheden. Volgens artikel 34 kan eenieder daar vrijwillig een kwetsbaarheid melden |
| Cyber Resilience Act | Fabrikanten van producten met digitale elementen | Sinds 11 september 2026 een melding van actief misbruikte kwetsbaarheden: binnen 24 uur een waarschuwing, binnen 72 uur een uitgebreidere melding. De producteisen volgen op 11 december 2027 |
Bronnen: Forum Standaardisatie, Staatsblad 2026, 187 en 189, NCTV en NCSC.
Een kwetsbaarheid die via responsible disclosure binnenkomt en waarvan geen misbruik is aangetoond, valt volgens het NCSC buiten de meldplicht van de Cyber Resilience Act. Wat de Cyberbeveiligingswet verder vraagt, lees je bij NIS2 en de Cyberbeveiligingswet.
Meldingen komen ook van partijen zonder uitnodiging. Het Dutch Institute for Vulnerability Disclosure (DIVD) is een stichting van vrijwilligers die het internet scant op kwetsbare systemen en de eigenaren waarschuwt. Het Digital Trust Center gebruikt security.txt om bedrijven te waarschuwen bij een ernstige dreiging.
Meldpunt, bug bounty of pentest: wat past bij jouw organisatie?
De drie vormen volgen elkaar op. Begin met het meldpunt en voeg de andere toe naarmate je team meldingen sneller afhandelt.
| Situatie | Keuze | Waarom |
|---|---|---|
| Elke organisatie met een website | CVD-beleid en security.txt | Een vinder weet waar hij terechtkan en wat hij mag verwachten |
| Nieuwe applicatie of website voor livegang | Pentest | Je krijgt een volledig beeld van één afgebakend systeem |
| Rapport nodig voor een audit of een klant | Pentest | Een bug bounty levert losse meldingen en geen rapport over de hele scope |
| Pentests leveren weinig nieuws op en je team handelt meldingen binnen dagen af | Besloten bug bounty | Een geselecteerde groep onderzoekers zoekt doorlopend verder |
| Groot platform met wekelijkse releases | Open bug bounty naast pentests | Nieuwe code krijgt aandacht tussen twee pentests in |
| De vraag of je organisatie een aanval opmerkt | Red teaming | Die test meet detectie en respons |
Een bureau dat de pentest uitvoert, vind je in het overzicht van pentest bedrijven.
Veelgestelde vragen over bug bounty en responsible disclosure
Wat is het verschil tussen responsible disclosure en coordinated vulnerability disclosure?
Het zijn twee namen voor dezelfde afspraak. Het NCSC gebruikt sinds 2018 de term coordinated vulnerability disclosure, die de samenwerking tussen melder en organisatie benadrukt. Veel organisaties noemen hun beleid nog responsible disclosure.
Hoeveel verdien je met een bug bounty?
Dat verschilt sterk per programma. De Internet Bug Bounty van HackerOne betaalde in mei 2026 68 tot 2.257 dollar per melding. Intel betaalde tot 100.000 dollar voor de zwaarste kwetsbaarheden. De inkomsten zijn onregelmatig, omdat de eerste melder van een kwetsbaarheid de beloning krijgt.
Vervangt een bug bounty de pentest?
Een bug bounty vult de pentest aan. De pentest levert een rapport over een vaste scope, bruikbaar als bewijs bij een audit. Een bug bounty levert doorlopend losse meldingen op, zonder garantie dat alles is bekeken.
Wat doe je met een melding als je nog geen beleid hebt?
Bevestig de ontvangst, bedank de melder en laat de melding beoordelen door iemand met technische kennis. Spreek een termijn af voor de oplossing en koppel het resultaat terug. Publiceer daarna een CVD-beleid en een security.txt, zodat de volgende melder de weg kent.
Waar meld je een kwetsbaarheid bij de overheid?
Bij het NCSC, via het CVD-formulier. Het NCSC bevestigt de ontvangst binnen één werkdag, reageert binnen drie werkdagen en streeft naar een oplossing binnen 60 dagen. Het NCSC helpt ook bij kwetsbaarheden die meerdere systemen of leveranciers raken.
Bronnen
- NCSC, Coordinated Vulnerability Disclosure: de Leidraad, oktober 2018.
- NCSC, In vijf stappen naar CVD-beleid en Kwetsbaarheid melden (CVD). Geraadpleegd op 5 oktober 2026.
- NCSC, Security.txt en IT-dienstverleners. Geraadpleegd op 5 oktober 2026.
- IETF, RFC 9116: A File Format to Aid in Security Vulnerability Disclosure, april 2022.
- Forum Standaardisatie, security.txt verplicht voor overheid, 30 mei 2023.
- NCSC, Het oordeel van onze jury: de Wall of Fame 2025.
- Openbaar Ministerie, Coordinated Vulnerability Disclosure / ethisch hacken en de OM-beleidsbrief ethisch hacken, 14 december 2020.
- Wetboek van Strafrecht, artikel 138ab (computervredebreuk).
- Staatsblad 2026, 187, Cyberbeveiligingswet, artikelen 17, 21 en 34, en Staatsblad 2026, 189, Cyberbeveiligingsbesluit.
- NCSC, Zorgplicht, en NCTV, Cyberbeveiligingswet. Geraadpleegd op 5 oktober 2026.
- NCSC, Meldplicht Cyber Resilience Act gaat vandaag in, 11 september 2026.
- HackerOne, Internet Bug Bounty, beloningstabel van 18 mei 2026.
- Tom’s Hardware, Intel suspends bug bounty program that paid up to $100,000 per flaw, 19 september 2026.
- DIVD, Dutch Institute for Vulnerability Disclosure. Geraadpleegd op 5 oktober 2026.