MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Een pentestwaiver laten opstellen kost bij een gespecialiseerde jurist doorgaans tussen de 500 en 1.500 euro, afhankelijk van de complexiteit van de test en het aantal betrokken partijen. Voor die prijs krijg je een document dat de test legaal maakt: een sluitende toestemming, een scherpe scope, een vrijwaring voor de pentester en de juiste AVG-bepalingen. Omdat inbreken zonder toestemming strafbaar is op grond van artikel 138ab Sr, is de kwaliteit van de waiver bepalend voor de risico’s. Hieronder staan de kosten, het proces en waar je op let bij de keuze van een adviseur.
Het korte antwoord
- Kosten: circa 500 tot 1.500 euro, meer bij systemen van derden en persoonsgegevens.
- Proces: intake, scope bepalen, toestemmingsketen checken, concept, ondertekening.
- Doorlooptijd: doorgaans enkele dagen tot twee weken.
- Zelf doen: kan bij een eenvoudige interne test op eigen systemen.
- Wie: een jurist met kennis van IT-recht, aansprakelijkheid en de AVG.
Wanneer een pentestwaiver laten opstellen?
Je laat een pentestwaiver opstellen zodra de test meer omvat dan een interne controle op je eigen, volledig zelf beheerde systemen. Zijn er systemen van derden, klantgegevens, een productieomgeving of een externe pentester in het spel, dan bepaalt de kwaliteit van de waiver of de test legaal is en wie het risico draagt. Zonder toestemming valt de test onder computervredebreuk, artikel 138ab Sr, en een te ruime of onduidelijke scope kan zowel de opdrachtgever als de pentester in de problemen brengen. Een jurist zorgt dat de toestemmingsketen klopt, de scope scherp is en de AVG-kant is afgedekt. Voor een simpele interne test kun je met een beknopte verklaring toe.
Wat bepaalt de prijs
De kosten hangen af van een paar factoren:
- Aantal partijen: draaien de systemen bij een hostingpartij of clouddienst, dan moet de toestemming van meerdere partijen worden geregeld.
- Persoonsgegevens: raakt de test klantgegevens, dan komen er AVG-bepalingen en vaak een verwerkersovereenkomst bij.
- Omvang van de scope: meer systemen, applicaties en methoden vragen om een uitgebreidere afbakening.
- Risicoprofiel: een test op een productieomgeving of kritieke systemen vraagt om zorgvuldiger afspraken over schade en herstel.
Reken voor een gemiddelde pentestwaiver op 500 tot 1.500 euro. Een eenvoudige waiver voor een interne test zit aan de onderkant, een test met systemen van derden, persoonsgegevens en een productieomgeving aan de bovenkant.
Het proces stap voor stap
- Intake: de jurist brengt in kaart welke systemen worden getest, door wie en met welk doel.
- Toestemmingsketen: controleren wie rechthebbende is en of ook een hostingpartij of clouddienst toestemming moet geven.
- Scope bepalen: samen met de pentester de systemen, methoden, uitsluitingen en het tijdvenster vastleggen.
- Concept: de jurist stelt de waiver op met de vrijwaring, de aansprakelijkheids- en AVG-bepalingen.
- Ondertekening: tekenbevoegden van de rechthebbende, eventueel de hostingpartij en de pentester tekenen voordat de test start.
Een voorbeeld. Een softwarebedrijf wil zijn applicatie laten testen die in een externe cloud draait. Bij de intake blijkt dat de clouddienst apart toestemming moet geven, iets wat het bedrijf zelf over het hoofd had gezien. De jurist regelt die toestemming en stelt de scope zo op dat de gedeelde infrastructuur buiten de test blijft. Zo verloopt de test legaal.
Waar je op let bij de keuze van een adviseur
Let bij de keuze op het volgende:
- Kennis van IT-recht: computervredebreuk, aansprakelijkheid en de AVG moeten samenkomen in één document.
- Ervaring met pentests: een adviseur die de praktijk kent, weet welke scope-afspraken en uitsluitingen nodig zijn.
- Vaste prijs: voor een standaardwaiver bieden veel juristen een vaste prijs; vraag daarnaar.
- Aandacht voor de toestemmingsketen: dit is het onderdeel dat het vaakst wordt vergeten en de grootste risico’s geeft.
Eerlijke aanbeveling
Voor een eenvoudige, interne test op systemen die je volledig zelf beheert, zonder persoonsgegevens en zonder systemen van derden, hoef je geen jurist in te schakelen. Een beknopte, ondertekende toestemmingsverklaring met een duidelijke scope, een tijdvenster en de juiste tekenbevoegdheid volstaat dan.
Zodra er systemen van derden, klantgegevens, een productieomgeving of een externe pentester meespelen, verdient een pentestwaiver laten opstellen zich vrijwel altijd terug. De adviseur zorgt dat de toestemmingsketen klopt, de scope scherp is en de AVG-kant is afgedekt, zodat de test legaal verloopt en de risico’s helder verdeeld zijn. Een ontbrekende toestemming van de hostingpartij of een te ruime scope kan tot strafrechtelijke of civiele aansprakelijkheid leiden, wat een veelvoud van het honorarium kost. Vraag vooraf een vaste prijs en laat de adviseur juist de toestemmingsketen controleren.
Meer over de uitleg en de inhoud: pentestwaiver, wat is een pentestwaiver en pentestwaiver opstellen.
Veelgestelde vragen
Bij een gespecialiseerde jurist doorgaans 500 tot 1.500 euro, afhankelijk van de complexiteit. Een eenvoudige waiver voor een interne test zit aan de onderkant, een test met systemen van derden, persoonsgegevens en een productieomgeving aan de bovenkant.
Doorgaans enkele dagen tot twee weken. Het meeste tijd gaat zitten in het bepalen van de scope en het regelen van de toestemmingsketen wanneer er een hostingpartij of clouddienst bij betrokken is.
Voor een eenvoudige interne test op eigen systemen kan een beknopte verklaring volstaan. Zodra er systemen van derden, klantgegevens of een externe pentester meespelen, is maatwerk verstandig, omdat een fout in de toestemming of scope tot aansprakelijkheid of strafbaarheid kan leiden.
De toestemmingsketen. Vaak wordt vergeten dat een hostingpartij of clouddienst apart toestemming moet geven voor systemen die op hun infrastructuur draaien. Zonder die toestemming test je op systemen van een derde en is de test niet legaal.
Een jurist met kennis van IT-recht, waarin computervredebreuk, aansprakelijkheid en de AVG samenkomen, en bij voorkeur ervaring met pentests. Die weet welke scope-afspraken, uitsluitingen en vrijwaringen in de praktijk nodig zijn.
Een tekenbevoegde van de rechthebbende en de pentester, en bij systemen die bij een derde draaien ook die partij. De handtekeningen moeten er zijn voordat de test start, want de toestemming moet vooraf vaststaan.
Als de test persoonsgegevens raakt, meestal wel. De pentester verwerkt dan gegevens namens de opdrachtgever, wat onder de AVG een verwerkersovereenkomst en passende beveiliging op grond van artikel 32 AVG vereist. De jurist neemt dat mee in de waiver.
