Informatie­beveiligings­beleid

Versie 1.1 · Datum 4 juni 2026 · Status vastgesteld · Review jaarlijks of na een relevant incident

Exedo B.V. (“Exedo”) zorgt voor een passend niveau van beveiliging bij de diensten die wij leveren. Dit informatiebeveiligingsbeleid is bedoeld voor transparantie richting klanten en als onderbouwing bij leveranciers- en securityvragen (onder meer in het kader van NIS2-dossiers van klanten).

Artikel 1. Doel en reikwijdte

1. Reikwijdte

Dit beleid is van toepassing op:

• hosting en technisch beheer van websites en aanverwante online diensten;
• het closed-source contentbeheersysteem Mijn Exedo;
• systemen, netwerken en data waarover Exedo de technische controle heeft;
• personen en partijen die namens Exedo toegang hebben tot klantomgevingen.

Buiten scope (tenzij schriftelijk anders overeengekomen): IT en processen die volledig bij de klant beheer worden, inhoud die de klant zelf publiceert, en accounts die uitsluitend door de klant worden beheerd.

2. Uitgangspunten

Exedo is een MKB-organisatie. Wij hanteren best practices die passen bij onze schaal en dienstverlening.

Exedo beschikt niet over certificeringen (zoals ISO 27001) of NIS2-certificering die wij aan klanten kunnen overleggen. Certificaten van onderliggende datacenters of leveranciers zijn in de praktijk niet overdraagbaar aan klanten.

Hosting vindt plaats in Nederlandse datacenters met een Tier-3+ classificatie (redundant, binnen de EU). Klanten mogen rekenen op een hoog niveau van betrouwbaarheid, beveiliging en beschikbaarheid van de door Exedo beheerde hostingomgeving, conform de afspraken in offerte, SLA en dit beleid.

Contractueel en operationeel sluiten wij aan op de Algemene Voorwaarden, het privacybeleid en — bij verwerking van persoonsgegevens in opdracht — de verwerkersovereenkomst.

Artikel 2. Kader en relatie met andere documenten

• Algemene Voorwaarden: contractueel kader, aansprakelijkheid, technische wijzigingen (o.a. art. 8).
• Privacybeleid: verwerking persoonsgegevens en beschreven beveiligingsmaatregelen.
• Verwerkersovereenkomst: alleen bij verwerking persoonsgegevens in opdracht van de klant; o.a. meldplicht datalek (48 uur).
• Dit IB-beleid: overzicht en werkwijze informatiebeveiliging Exedo.

Bij tegenstrijdigheid tussen documenten geldt: specifieke schriftelijke afspraken met de klant gaan vóór dit beleid; bij persoonsgegevens prevaleert de verwerkersovereenkomst en de AVG.

Artikel 3. Organisatie en verantwoordelijkheden

1. Exedo

Exedo B.V. is verantwoordelijk voor dit beleid, de toepassing ervan en de periodieke evaluatie.

2. Uitvoering

Personen die namens Exedo hosting, beheer of ontwikkeling uitvoeren, en derden die in opdracht van Exedo werkzaamheden verrichten:

• handelen volgens dit beleid en de door Exedo gehanteerde werkwijze;
• hebben alleen toegang tot systemen die nodig zijn voor de uitvoering van de opdracht (need-to-know);
• melden vermoedelijke beveiligingsincidenten en kwetsbaarheden zo spoedig mogelijk aan Exedo.

3. Klant

De klant is verantwoordelijk voor:

• juistheid van aangeleverde gegevens en content;
• gebruikersbeheer binnen door de klant beheerde onderdelen (waar van toepassing);
• het aanwijzen van een vaste contactpersoon voor incidentmeldingen en voor afstemming over toegang (o.a. mailboxen);
• naleving van wet- en regelgeving voor eigen processen en gepubliceerde gegevens.

Artikel 4. Classificatie en beveiligingseisen

1. Exedo onderscheidt in de praktijk de volgende categorieën:

• Publieke website-inhoud (pagina's, afbeeldingen): HTTPS, gecontroleerd beheer via Mijn Exedo, back-ups.
• Operationele klantdata (websitebestanden, databases, configuratie): toegangsbeperking, monitoring, dagelijkse back-ups, updates.
• Persoonsgegevens (contactformulieren, nieuwsbrief, accountgegevens): AVG, privacybeleid; verwerkersovereenkomst indien Exedo verwerker is; verscherpte maatregelen op verzoek.

2. Voor omgevingen met gevoelige gegevens kunnen aanvullende maatregelen worden afgesproken, waaronder multi-factor authenticatie (MFA) en contractueel vastgelegde dubbel uitgevoerde hosting (zie artikel 8).

Artikel 5. Toegangsbeheer

1. Algemeen

• Beheeraccounts zijn persoonlijk en worden niet gedeeld.
• Toegang tot hosting, CMS (Mijn Exedo), DNS en gerelateerde beheersystemen is doelgebonden (alleen wat nodig is voor de opdracht).
• Schrijfrechten in applicatiecode en klantdatabases zijn bij standaarddienstverlening beperkt tot Exedo, om het beheerde platform gesloten te houden.

2. Wachtwoorden

Exedo hanteert een sterk wachtwoordbeleid voor beheeraccounts, in lijn met het privacybeleid.

3. Multi-factor authenticatie (MFA)

MFA is niet op alle beheeraccounts standaard verplicht. MFA wordt ingezet bij gevoelige gegevens of op verzoek van de klant.

4. E-mailboxen (waar door Exedo geleverd)

Sommige klanten beschikken over een mailbox die door Exedo wordt gehost, naast website en CMS.

• De mailbox wordt opgeleverd met een tijdelijk wachtwoord; de klant wijzigt dit bij eerste gebruik.
• Exedo kan het wachtwoord alleen resetten als de klant er niet meer mee kan inloggen.
• De klant bepaalt of en door wie de mailbox binnen de eigen organisatie wordt gebruikt (bijv. toegewezen aan een persoon). Exedo gaat daar niet over; wij werken met een vaste contactpersoon bij de klant, zodat wij binnen de verantwoordelijkheid van de klant geen beoordeling hoeven te maken over interne toegang of wenselijkheid.
• Toegang kan via webmail of via inrichting op eigen apparatuur met versleutelde verbindingen (o.a. SMTP/TLS poort 465, IMAP/TLS poort 993). Exedo verstrekt algemene instructies; het inrichten van e-mail op systemen van de klant geschiedt op eigen verantwoordelijkheid van de klant. Bij problemen met die inrichting is doorgaans een eigen systeembeheerder van de klant nodig.
• Exedo neemt geen scherm over en past niets aan op systemen of netwerken van de klant. De dienstverlening beperkt zich tot wat Exedo host en beheert.

5. Beëindiging toegang

Bij beëindiging van een opdracht of beëindiging van toegang voor personen die namens Exedo werkzaam waren, wordt toegang tot klantomgevingen zo spoedig mogelijk ingetrokken of aangepast.

Artikel 6. Technische beveiliging

1. Platform Mijn Exedo

Exedo levert een eigen, closed-source contentbeheersysteem (Mijn Exedo). Websites worden niet standaard op open-source CMS'en (zoals WordPress) beheerd binnen dit model. Alleen Exedo voert wijzigingen uit in platformcode en -database van het beheerde systeem, tenzij schriftelijk anders overeengekomen.

Websitebeheer door de klant verloopt via Mijn Exedo met persoonlijke accounts en doelgebonden rechten. Websites zijn uitsluitend bereikbaar via een versleutelde HTTPS-verbinding.

2. Hosting en infrastructuur

• Exedo host en beheert de technische omgeving van klanten binnen deze dienstverlening.
• Infrastructuur staat in Nederlandse datacenters met Tier-3+ classificatie (redundant), binnen de Europese Unie; gegevens vallen onder Nederlands en EU-recht (o.a. AVG).
• Exedo verstrekt geen certificaten van datacenters of leveranciers aan klanten; zie ook punt 3 van artikel 1.
• Exedo gebruikt waar nodig aanvullende hosting in Nederland en de EU voor aanverwante diensten.

3. Netwerk en serverhardening

• Servers worden gemonitord op onverwacht gedrag.
• Schrijfrechten en netwerkpoorten zijn strak ingericht; voor grote wijzigingen kunnen tijdelijk aanvullende toegangen nodig zijn, die daarna weer worden beperkt.
• FTP is voor standaard websitebeheer niet de gebruikelijke beheerweg; beheer verloopt via Mijn Exedo.

4. Versleuteling

• Verkeer naar websites: HTTPS/TLS.
• Persoonsgegevens worden waar van toepassing versleuteld verstuurd, conform privacybeleid.

5. Formulieren en misbruikwerende maatregelen

• Op publieke websites zetten wij waar passend extra maatregelen tegen spam en misbruik (onder meer Cloudflare Turnstile).
• Vermoedelijke kwetsbaarheden of misbruik kunt u melden via info@exedo.nl (responsible disclosure). Maak geen misbruik van een vermoedelijke kwetsbaarheid.

Aanvullende maatregelen in de praktijk

• Websites en portalen zijn uitsluitend via HTTPS/TLS bereikbaar.
• Beheer van klantsites verloopt via Mijn Exedo met persoonlijke, doelgebonden accounts; platformcode blijft closed-source onder beheer van Exedo.
• Op publieke formulieren zetten wij waar passend extra spam- en misbruikwerende maatregelen in (onder meer Cloudflare Turnstile).
• Beveiligingsupdates en patches worden na impactbeoordeling en test doorgevoerd; klanten worden geïnformeerd wanneer een incident hen raakt.
• Kwetsbaarheden of vermoedens van misbruik kunt u melden via info@exedo.nl (responsible disclosure). Maak geen misbruik van een vermoedelijke kwetsbaarheid.

Artikel 7. Wijzigingen, updates en kwetsbaarheden

1. Gepland onderhoud

Exedo voert maandelijks geplande updates uit op platform, serveromgeving en — waar nodig — het CMS.

2. Beveiligingsupdates

Beveiligingsupdates worden uitgevoerd na beoordeling van impact op beschikbaarheid en stabiliteit. Exedo gaat niet blind naar de nieuwste softwareversie; grotere wijzigingen worden vooraf getest.

3. Technische aanpassingen (wet en techniek)

Exedo is gerechtigd technische eigenschappen van diensten aan te passen om te voldoen aan wetgeving en de stand van de techniek (zoals opgenomen in de Algemene Voorwaarden).

4. Kwetsbaarheden

Vermoedelijke kwetsbaarheden in eigen systemen of klantomgevingen worden intern gemeld en naar beoordeling opgepakt met passende prioriteit.

Artikel 8. Back-up, herstel en continuïteit

1. Back-ups

• Van website en database wordt dagelijks een back-up gemaakt.
• Back-ups worden bewaard volgens een rolling principe (tot een nieuwere versie beschikbaar is).

2. Herstel

• Hersteltijd is afhankelijk van de omvang van het incident; in de praktijk is herstel vaak binnen circa één uur mogelijk.
• Proefherstel wordt uitgevoerd om de back-upprocedure te verifiëren.

3. Dubbel uitgevoerde hosting en beschikbaarheid

In de praktijk werkt Exedo veel omgevingen dubbel uit (redundantie, overschakeling bij storing), onder meer voor eigen continuïteit en beheer. De klant kan daarop geen rechten ontlenen, tenzij dit uitdrukkelijk schriftelijk in offerte of SLA is overeengekomen.

Voor klanten die gegarandeerde dubbel uitgevoerde hosting en afspraken over overschakeling nodig hebben (bijv. bij gevoelige of bedrijfskritische systemen), wordt dit apart aangeboden en apart gefactureerd. Zonder die afspraak geldt alleen de reguliere dienstverlening en SLA.

Artikel 9. Incidenten en datalekken

1. Detectie en opvolging

Exedo maakt gebruik van actieve monitoring. Incidenten worden zo mogelijk snel gedetecteerd. De impact is in de praktijk vaak beperkt (bijv. verminderde prestaties).

2. Melding aan de klant

• Is een website offline en kan Exedo dit niet direct verhelpen, dan wordt de bij de opdracht bekende contactpersoon van de klant geïnformeerd.
• Bij een datalek (inbreuk op beveiliging van persoonsgegevens) meldt Exedo dit altijd aan de klant.
• Indien een verwerkersovereenkomst van toepassing is: melding aan de verantwoordelijke klant binnen 48 uur nadat het lek bij Exedo bekend is geworden, en medewerking aan wettelijke meldplichten van de klant voor zover overeengekomen.

3. Melding door de klant

De klant meldt vermoedelijke incidenten die de door Exedo beheerde diensten raken zo spoedig mogelijk aan Exedo (info@exedo.nl of het afgesproken contact).

4. Logging en forensisch onderzoek

Exedo beperkt zich tot wat nodig is voor herstel en analyse. Verdere stappen worden in overleg met de klant bepaald, rekening houdend met privacy en contractuele afspraken.

Artikel 10. Leveranciers en subverwerkers

1. Exedo schakelt infrastructuur- en andere leveranciers in binnen de EU waar mogelijk. Bij verwerking van persoonsgegevens in opdracht van de klant:

• worden subverwerkers gemeld conform de verwerkersovereenkomst;
• blijft Exedo verantwoordelijk voor een passend niveau van beveiliging binnen het eigen beheer.

2. Klanten worden niet standaard geïnformeerd over individuele providernamen, tenzij dit nodig is voor de opdracht of op verzoek.

Artikel 11. Bewustwording en naleving

1. Personen die namens Exedo werkzaamheden verrichten, worden geïnformeerd over het belang van bescherming van klant- en persoonsgegevens (o.a. via privacybeleid en interne instructie).

2. Overtreding van dit beleid kan leiden tot maatregelen conform contractuele afspraken en het toepasselijke recht.

Artikel 12. Evaluatie en wijziging van dit beleid

1. Dit beleid wordt minimaal jaarlijks door Exedo beoordeeld, en eerder indien wetgeving, diensten of een incident daar aanleiding toe geeft.

2. Wijzigingen worden vastgelegd met versienummer en datum.

3. Op verzoek van klanten kan een actuele versie of relevante samenvatting worden verstrekt.

Artikel 13. Contact

1. Exedo B.V., Alfred Nobelstraat 9, 2665 KZ Bleiswijk, Nederland.

2. E-mail: info@exedo.nl — Telefoon: (010) 226 64 00.

3. Vragen over dit informatiebeveiligingsbeleid kunnen via bovenstaand contact worden gesteld.

Dit document beschrijft het beleid van Exedo B.V. en vervangt geen juridisch advies. Specifieke rechten en plichten volgen uit de met de klant gesloten overeenkomst, de Algemene Voorwaarden en — waar van toepassing — de verwerkersovereenkomst.