Heeft een onderzoeker een lek gemeld en blijft antwoord uit? Controleer eerst of de melding het genoemde CVD-kanaal heeft bereikt. Een automatische ontvangstbevestiging zegt alleen dat het bericht is aangekomen, niet dat de kwetsbaarheid is beoordeeld. Voor de organisatie is een bewaakte inbox met vervanging belangrijker dan alleen een gepubliceerde beleidsregel.
Controleer de veilige meldroute en vraag om ontvangst, zonder extra gegevens te verzamelen of publicatie als drukmiddel te gebruiken.
Scheid ontvangst van inhoudelijke beoordeling
De melder kan via de opgegeven route vragen om een dossiernummer en contactpersoon, met verwijzing naar datum en onderwerp. Zend gevoelige bewijsstukken niet opnieuw naar algemene salesadressen. Stop onderzoek zodra voldoende minimale onderbouwing aanwezig is. De NCSC-uitleg vraagt eerst vertrouwelijk melden bij de eigenaar en afgestemde openbaarmaking.
De organisatie controleert bereikbaarheid, vakantievervanging en spamfilter. Vervolgens bepaalt zij urgentie en een volgend berichtmoment. Als persoonsgegevens zichtbaar waren of actief misbruik mogelijk is, laat de incidentverantwoordelijke dit parallel beoordelen. Een CVD-ticket mag zo’n signaal niet verbergen in een gewone ontwikkelwachtrij.
Voorbeeld: beleid werkt, de inbox niet
Fictief: een organisatie belooft zelf binnen twee werkdagen ontvangst te bevestigen. Na vijf werkdagen is geen antwoord. De vaste behandelaar blijkt met vakantie; niemand leest de inbox. Een vervanger registreert de oorspronkelijke ontvangst, bevestigt het dossier en plant dezelfde dag triage. Hij schrijft niet dat het lek pas bij zijn eigen lezing is ontstaan.
De twee werkdagen zijn in dit voorbeeld een eigen toezegging, geen universele wettelijke CVD-termijn. Test de meldroute periodiek met een onschuldig proefbericht en controleer de opvolging. Bespreek met de melder herstel en publicatie; geen antwoord geeft op zichzelf geen toestemming om verder te testen of gevoelige details openbaar te maken.