Cybersecurity-audit: zo bereidt u zich voor met een pentest

Cyberaanvallen zijn geen uitzondering meer en organisaties moeten hun beschermingsniveau structureel kunnen aantonen. Een cybersecurity-audit is een systematische toets: heeft u de noodzakelijke maatregelen getroffen, en voldoet u aan de normen of wettelijke eisen die op u van toepassing zijn. Documenten en beleidsstukken alleen zijn daarvoor niet genoeg. Het gaat er ook om dat u de feitelijke weerbaarheid van uw systemen kunt laten zien. Precies daar komt een pentest in beeld: een gecontroleerde aanval op uw eigen omgeving, uitgevoerd door een ethische hacker.

In dit artikel leest u wat zo’n audit inhoudt, waarom de uitkomsten van een pentest het verschil maken tussen een moeizame en een vlotte audit, en hoe u zich er praktisch op voorbereidt. Geschreven voor IT-managers, security officers en directeuren, in gewone taal.

Wat is een cybersecurity-audit en wat omvat die

Een cybersecurity-audit is een systematische beoordeling of een organisatie voldoet aan de beveiligingsnormen en -maatregelen die voor haar gelden. In Nederland kent zo’n audit meerdere aanleidingen: een certificeringsaudit tegen ISO 27001 door een geaccrediteerde certificerende instelling, een interne audit als onderdeel van uw eigen managementsysteem, een klantaudit of leveranciersbeoordeling in een aanbesteding, of een sectorale toets zoals die onder de BIO of DORA. De audit toetst of de getroffen organisatorische, personele en technische maatregelen aansluiten op de eisen die gelden, en of u dat kunt onderbouwen. Het doel is ook om zwakke plekken te vinden en te verhelpen, dus vóórdat een echte aanvaller ze gebruikt.

Een typische cybersecurity-audit bestaat uit een aantal onderdelen:

• Beoordeling van documentatie en processen: auditors nemen uw beveiligingsbeleid, het toegangsbeleid voor gegevens, het incidentresponsplan, de back-upprocedures en soortgelijke stukken door om te toetsen of ze voldoen aan de eisen van de norm of de wet.


• Beoordeling van organisatorische en personele maatregelen: zijn de verantwoordelijkheden voor beveiliging belegd, krijgen medewerkers training, houdt het bestuur toezicht op beveiliging.


• Beoordeling van technische maatregelen: de beveiliging van netwerken en systemen wordt getoetst, bijvoorbeeld de inrichting van firewalls, endpointbescherming, versleuteling van gevoelige gegevens, het beheer van toegangsrechten, logmonitoring en incidentdetectie, en het beheer van technische kwetsbaarheden, inclusief het periodiek testen daarvan.

De uitkomst van een audit is een auditrapport dat de bevindingen samenvat. Daarin staat op welke punten u voldoet en welke tekortkomingen zijn vastgesteld, met aanbevelingen voor verbetering. Dat rapport is niet alleen relevant richting certificerende instelling, toezichthouder of opdrachtgever. Het is voor het management ook een momentopname van de feitelijke stand van de informatiebeveiliging.

Het Nederlandse kader: wat verplicht u werkelijk tot testen

Voor de voorbereiding op een audit is het belangrijk om een misverstand meteen uit de weg te ruimen. De Cyberbeveiligingswet schrijft geen pentest voor. De wet, de Nederlandse omzetting van NIS2, treedt in werking op 15 augustus 2026 en raakt naar schatting 8.000 organisaties. De kern is een zorgplicht: u voert een risicoanalyse uit en treft op basis daarvan passende en evenredige maatregelen. Nergens staat dat die maatregelen een penetratietest moeten omvatten. Daarnaast gelden een registratieplicht via mijn.ncsc.nl, een meldplicht met een eerste melding binnen 24 uur en een uitdrukkelijke verantwoordelijkheid van het bestuur, inclusief scholing van bestuurders (art. 24 lid 5). De RDI houdt toezicht op digitale infrastructuur, het NCSC is het CSIRT. Artikel 7 zondert financiële entiteiten uit: die vallen onder DORA.

Wie een pentest presenteert als “verplicht onder NIS2” verkoopt u dus een verhaal dat niet klopt. Tegelijk is de nuance belangrijker dan het misverstand, want langs andere routes komt technisch testen er in de praktijk wél uit rollen:

Twee praktische punten nog. Een geautoriseerde test is rechtmatig doordat u er schriftelijk opdracht toe geeft, want zonder toestemming is toegang tot een systeem computervredebreuk in de zin van artikel 138ab Wetboek van Strafrecht. In Nederland bestaat geen register of vergunning voor pentesters, dus de kwaliteit van uw leverancier bepaalt u zelf, aan de hand van methodiek, rapportage en referenties. En als tijdens of naar aanleiding van een test blijkt dat er persoonsgegevens gelekt zijn, geldt de meldplicht datalekken bij de Autoriteit Persoonsgegevens binnen 72 uur (AVG art. 33).

Wat auditors verwachten van technisch bewijsmateriaal

Als het aankomt op technisch bewijs van uw beveiliging, stellen auditors hoge eisen aan de kwaliteit en de geloofwaardigheid van wat u aanlevert. Ze willen geen vinkje zetten bij “er is iets gedaan”, ze willen navolgbaar bewijs. Wat betekent dat in de praktijk?

1. Onafhankelijk en actueel getest: auditors zien technische beveiligingstests, zoals een pentest, het liefst uitgevoerd door onafhankelijke, gekwalificeerde specialisten. Interne tests door uw eigen IT-afdeling zijn nuttig voor de dagelijkse praktijk, maar volstaan zelden als formeel bewijs in een audit. Een rapport van een externe partij is dan sterker. Bovendien moeten de bevindingen redelijk vers zijn: een test die ouder is dan twaalf maanden verliest snel zijn zeggingskracht, omdat zowel uw omgeving als het dreigingsbeeld verandert.


2. Inhoud in plaats van ruwe data: een tweede eis is dat de technische uitkomsten meer zijn dan een export uit een tool. Een ruwe dump uit een geautomatiseerde kwetsbaarheidsscan, vol technische details en zonder context, werkt eerder tegen u. Rapporten die alleen scanneroutput of onbevestigde geautomatiseerde meldingen bevatten, roepen bij een audit juist argwaan op en leiden vrijwel altijd tot de vraag om beter onderbouwd bewijs. Levert u daarentegen een helder [pentestrapport](/nl/artikelen/wat-is-een-pentest) aan met eenduidige bevindingen, uitgelegde impact en bevestiging per bevinding, dan is dat precies wat men zoekt. Verderop leest u waarin een scan en een pentest van elkaar verschillen.


3. Concreet, met nadruk op herstel: auditors verwachten ook dat er per vastgestelde tekortkoming een herstelplan ligt. Een lijst met kwetsbaarheden overleggen is niet genoeg. Het gaat erom dat u weet hoe u ze oplost, dat u eraan werkt en dat u de voortgang vastlegt. Goed technisch bewijsmateriaal bevat dus aanbevelingen per bevinding en laat de status van het herstel zien. Men wil niet alleen risicobewustzijn zien, maar ook een aantoonbare inspanning om risico's binnen een redelijke termijn te beperken. Zo laat u zien dat uw beheersmaatregelen in de praktijk werken en niet alleen op papier bestaan.

Kort gezegd zoeken auditors geloofwaardig bewijs dat u uw digitale weerbaarheid actief en regelmatig test en dat u vastgestelde zwakke plekken aanpakt. Het goede nieuws: met een degelijk pentestrapport dekt u het merendeel van die verwachtingen in één keer af.

Waar het bewijs in een ISO 27001-dossier landt

Werkt u toe naar of onder een ISO 27001-certificering, dan zijn er twee beheersmaatregelen waar pentestuitkomsten vrijwel altijd terechtkomen. A.8.8 gaat over het beheer van technische kwetsbaarheden: informatie over kwetsbaarheden in de gebruikte systemen moet worden verkregen, de blootstelling eraan moet worden beoordeeld en er moeten passende maatregelen worden genomen. Een pentestrapport met risicoduiding, plus de registratie van herstel en een hertest, vult die keten precies in. A.8.29 gaat over beveiligingstesten tijdens ontwikkeling en acceptatie: testen hoort onderdeel te zijn van uw ontwikkelstraat, niet iets dat één keer per jaar los gebeurt. Wie beide onderbouwt met dezelfde reeks rapporten, houdt het auditdossier compact en consistent. Wat ISO 27001 overigens niet doet, is uw verplichtingen onder de Cyberbeveiligingswet automatisch afdekken; die verhouding leggen we uit in is ISO 27001 genoeg voor NIS2.

Waarom een pentest het verschil maakt bij een audit

Veel beveiligingsmaatregelen kunt u intern regelen: beleid schrijven, mensen trainen, tooling uitrollen. Een pentest is uniek doordat hij realistisch onderzoekt of die maatregelen daadwerkelijk werken en waar de zwakke plekken zitten. U huurt in feite een goede hacker in om binnen te komen, voordat iemand met slechtere bedoelingen het probeert. Waarom is dat vanuit auditperspectief zo waardevol?

• Toetsing van de werking van maatregelen: een audit stelt op papier vast dat u een firewall, endpointbescherming en back-ups hebt. Alleen een pentest laat zien of die firewall gevaarlijk verkeer werkelijk tegenhoudt of dat een aanvaller er eenvoudig omheen loopt. Anders gezegd: een pentest toont hoe veilig u feitelijk bent, een audit toetst vooral of u uw beveiliging formeel kunt aantonen. De twee vullen elkaar aan. Zonder pentest loopt u het risico op een vals gevoel van zekerheid.


• Concrete kwetsbaarheden in beeld: een pentest legt heel specifieke zwakke plekken bloot, bijvoorbeeld een netwerkdienst die als opstap dient, ongeautoriseerde toegang tot systemen of het uitlekken van gevoelige gegevens. Zulke bevindingen zijn direct bruikbaar: u kunt er meteen mee aan de slag. Zonder test blijven veel van die kwetsbaarheden onzichtbaar tot een echte aanvaller of de auditor ze vindt.


• Geen pijnlijke verrassingen tijdens de audit: stel dat een auditor een ernstig beveiligingslek aantreft waarvan u niet wist dat het bestond, bijvoorbeeld een database die vanaf het internet benaderbaar is. Dat kleurt het hele auditoordeel. Beter is het om zulke gaten vooraf te vinden en te dichten. Een pentest geeft u die kans, zodat de auditor een herstelde omgeving aantreft of op zijn minst ziet dat er actief aan gewerkt wordt.


• Aansluiting op normen en contracten: diverse normen en kaders vragen expliciet om periodieke beveiligingstests of gelijkwaardige beoordelingen. PCI DSS voor kaartbetalingen, SOC 2 en ISO 27001 leggen allemaal nadruk op het toetsen van kwetsbaarheden als onderdeel van de beheersmaatregelen. Valt u onder een van die kaders, dan is een pentest geen optionele goede gewoonte maar een noodzakelijk onderdeel. En ook waar geen formele verplichting bestaat, blijft het een beproefde manier om de weerbaarheid te verhogen: de investering betaalt zich terug in minder incidentrisico en een soepeler auditproces.


• Geloofwaardigheid richting de markt: een afgeronde pentest levert u een rapport op dat u kunt tonen aan partners, klanten, verzekeraars en auditors. In aanbestedingen en leveranciersbeoordelingen is dat vaak het eerste document waar men naar vraagt. U laat daarmee zien dat u beveiliging serieus neemt en het onafhankelijk laat toetsen, in plaats van dat u het zelf beweert.

Om al die redenen is een pentest een sleutelinstrument bij de voorbereiding op een cybersecurity-audit. Het is geen extra horde, maar juist de manier om problemen voor te zijn en te laten zien dat uw beveiliging niet alleen formeel is, maar echt.

En de menselijke kant?

Beveiliging is niet alleen techniek. Waar de scope het toelaat, geeft een gecontroleerde phishingsimulatie of social engineering-test een beeld van hoe uw meldproces, detectie en escalatie in de praktijk functioneren. Dat is geen beoordeling van personen: het is een test van organisatorische beheersmaatregelen. Resultaten worden uitsluitend geaggregeerd gerapporteerd; individuele medewerkers worden niet beoordeeld of geïdentificeerd. Voor een auditor is dat aggregaat precies het bewijs dat telt, en het sluit naadloos aan op de security awareness training die u eromheen organiseert.

Welke uitkomsten uw auditor en uw eigen team helpen

Een goede pentest levert een aantal samenhangende producten op: een rapport, een beschrijving van de gehanteerde methodiek, een overzicht van de gevonden kwetsbaarheden en aanbevelingen voor herstel. Hieronder ziet u per onderdeel wat u er zelf aan hebt en waarom een auditor het waardeert.

• Het pentestrapport: dit is het hoofddocument dat het verloop en de uitkomsten van de test samenvat. Het bevat doorgaans een managementsamenvatting met de zwaarste risico's en hun impact, in taal die het bestuur begrijpt, en daarnaast een technisch deel waarin elke bevinding is uitgewerkt. Een degelijk rapport benoemt ook de gebruikte methodiek, bijvoorbeeld volgens [OWASP](/nl/testmethodieken/owasp) of PTES, zodat de lezer kan nagaan hoe diep er is gekeken. Voor de auditor is dat waardevol: hij heeft in één document het bewijs van uw beveiligingstesten. Is het rapport helder opgezet, dan vindt hij er snel antwoord op zijn vragen: wat is er getest, welke risico's zijn er aangetroffen en wat heeft de organisatie eraan gedaan. Voor u is het rapport tegelijk een werkdocument, een agenda voor de komende maanden.


• De bevindingenlijst met risicoduiding: bij het rapport hoort een overzicht van alle gevonden kwetsbaarheden, elk met een prioriteit of risicoscore, zodat meteen duidelijk is wat kritiek is en wat kan wachten. Goede pentests blijven niet steken bij een generieke score als CVSS, maar duiden het risico in uw context. Het rapport legt dus uit wat een kwetsbaarheid concreet betekent voor uw systemen en uw bedrijfsvoering: het uitlekken van klantgegevens, financiële schade, uitval van dienstverlening. Die context maakt het werk van de auditor eenvoudiger, want hij ziet dat u uw eigen risico's kent en begrijpt. En u weet waar u begint. Staat er iets als kritiek in, dan is het verstandig dat vóór de audit te herstellen en het herstel in het dossier zichtbaar te maken.


• Aanbevelingen en herstelplan: een lijst met gebreken zegt weinig zonder oplossingsrichting. Daarom horen bij elke bevinding concrete aanbevelingen: hoe herstelt u de kwetsbaarheid of hoe beperkt u het risico. Een goed rapport geeft die instructies gedetailleerd en op volgorde van prioriteit, zodat uw ontwikkel- en beheerteams weten wat er moet gebeuren en waarom. Denk aan een upgrade naar een specifieke versie, een aanpassing in de serverconfiguratie, het invoeren van meervoudige authenticatie of het aanscherpen van beheerdersrechten. Voor de auditor tonen die aanbevelingen aan dat u niet alleen zwakke plekken hebt vastgesteld, maar er ook een plan bij hebt. Beveiliging is dan geen eenmalige constatering meer, maar een doorlopend proces. Voor uzelf zijn de aanbevelingen vaak het waardevolste deel van de opdracht.


• Methodiek en scope: het loont om vast te leggen waaruit de test bestond. Haxoris test [webapplicaties](/nl/diensten/pentest/webapplicaties) bijvoorbeeld volgens de [OWASP ASVS](/nl/testmethodieken/asvs)-methodiek. Dat heeft een praktisch gevolg: de test dekt een brede reeks mogelijke kwetsbaarheden af, niet alleen de bekendste. De pentester probeert verschillende aanvalsscenario's, combineert meerdere zwakheden tot één route naar binnen en toetst de robuustheid van authenticatie, sessiebeheer, versleuteling en foutafhandeling. Doordat het rapport die methodiek samenvat, is transparant wat er getest is. Dat geeft de auditor vertrouwen dat er niets wezenlijks buiten beeld is gebleven. Bovendien maakt een expliciete methodiek de test navolgbaar: een onafhankelijke partij kan onderdelen herhalen en de uitkomsten verifiëren.

Pentestuitkomsten vormen zo een brug tussen de techniek en de audit. Voor uw technische team zijn ze een bron van concrete taken. Voor de auditor zijn ze het bewijs dat u uw beveiliging in de hand hebt: u kent de risico’s en u handelt ernaar. Beide partijen worden er sneller van, en u houdt er een betere omgeving aan over dan waarmee u begon.

Pentest of kwetsbaarheidsscan: waar zit het verschil

Tot slot het onderscheid tussen een volwaardige pentest en een geautomatiseerde kwetsbaarheidsscan. Buiten het vakgebied worden die twee vaak door elkaar gehaald, terwijl het verschil in waarde, zowel voor uw beveiliging als voor uw audit, groot is. We werkten dit uit in kwetsbaarheidsscan of pentest; hier de kern.

• Diepgang en creativiteit tegenover oppervlaktedekking: een scanner volgt vooraf vastgelegde signatures en controles. Hij vindt het voor de hand liggende, zoals ontbrekende patches, open poorten en zwakke wachtwoorden, maar bedenkt niets nieuws. Een ervaren pentester werkt creatief: die zoekt naar fouten in bedrijfslogica en combineert meerdere kleine zwakheden tot één bruikbare route, precies zoals een echte aanvaller doet. Daardoor komt uit een goede pentest wat een scan nooit zou vinden, bijvoorbeeld een procesfout waarmee authenticatie te omzeilen is of een keten van kleine gebreken waarmee rechten worden opgehoogd.


• Handmatige verificatie tegenover valse meldingen: geautomatiseerde tools produceren vaak lange lijsten met mogelijke problemen, waarvan lang niet alles echt misbruikt kan worden. Die false positives zien er dreigend uit maar zijn het niet. Een pentester loopt de meldingen handmatig na en bevestigt elke bevinding, zodat alleen werkelijk aantoonbare kwetsbaarheden het rapport halen. Dat scheelt u tijd, want u werkt niet honderden regels af maar de tien die ertoe doen, en het verhoogt de geloofwaardigheid richting de auditor.


• Context en prioritering tegenover een generieke score: een goede pentest beoordeelt risico's in de context van uw organisatie. Er staat niet alleen "deze kwetsbaarheid heeft een CVSS van 7,5", er staat bij wat misbruik zou betekenen voor uw bedrijfsvoering. Een scanner kent per bevinding een algemene ernst toe volgens vaste criteria, ongeacht uw omgeving. Een pentestrapport legt daarentegen uit dat een SQL-injectie in deze specifieke applicatie een aanvaller toegang zou geven tot uw volledige klantenbestand, en dus voor u kritiek is. Zulke scenario's krijgt u niet uit een tool. Ze helpen u bepalen waar u begint en laten de auditor zien dat u beveiliging in samenhang begrijpt.


• Aanbevelingen tegenover een kale lijst: scanneruitvoer is meestal een opsomming met een korte beschrijving en een algemeen advies in de trant van "werk het systeem bij". Een pentest gaat verder en geeft advies dat op uw situatie is toegesneden: welke header u precies instelt om een XSS-aanval in deze applicatie af te vangen, welke module u uitschakelt, welke logica u aanpast. Daar komt bij dat serieuze aanbieders, Haxoris inbegrepen, een hertest aanbieden om te bevestigen dat de kwetsbaarheden werkelijk verdwenen zijn, en het rapport daarna bijwerken. Dat bijgewerkte rapport is vaak precies het document dat uw auditor wil zien.


• Normdekking tegenover een beperkte scope: scanners toetsen doorgaans alleen bekende kwetsbaarheden en configuraties. Een pentester werkt tegen beproefde standaarden, zoals de eerdergenoemde OWASP ASVS, en dekt daarmee de beveiligingsdomeinen systematisch af, veel breder dan een top 10. Uw systeem wordt dan langs tientallen categorieën gelegd: authenticatiemechanismen, sessiebeheer, cryptografie, invoerverwerking, netwerksegmentatie en meer. Een geautomatiseerde scan laat een deel van die gebieden eenvoudigweg links liggen.

Er is dus pentest en pentest. Wie enkel een snelle geautomatiseerde scan heeft laten draaien, of een oppervlakkig uitgevoerde test, kan bij een audit alsnog nul op het rekest krijgen. Dat betekent niet dat een kwetsbaarheidsscan waardeloos is: als doorlopende bewaking tussen twee pentests door is die juist zinvol en past hij goed bij beheersmaatregel A.8.8. Maar als bewijsmateriaal voor een audit is een handmatig geverifieerde pentest van een andere orde.

Zo bereidt u zich praktisch voor

Een audit die over drie maanden plaatsvindt, vraagt nu om werk. De volgorde hieronder werkt in de praktijk goed en voorkomt dat u in de laatste weken nog kritieke bevindingen moet oplossen.

Drie aandachtspunten daarbij. Leg de opdracht schriftelijk vast, want dat is wat een geautoriseerde test onderscheidt van computervredebreuk, en een auditor vraagt er vaak naar. Accepteer restrisico bewust en gemotiveerd: niet elke bevinding hoeft hersteld te zijn, maar een expliciete, door de juiste persoon vastgelegde acceptatie is voor een auditor veel sterker dan een bevinding die stilletjes is blijven liggen. En plan de test niet te dicht op de auditdatum, want u hebt de tussenliggende tijd nodig om te herstellen en te laten hertesten.

Wat de test kost, hangt vooral af van de omvang van de scope en de diepte van het onderzoek; die opbouw leggen we uit in wat kost een pentest. Weet u nog niet welke omvang bij uw situatie past, dan komt u daar in een gratis adviesgesprek meestal binnen een half uur uit.

Conclusie: ga voorbereid de audit in

Een cybersecurity-audit hoeft geen schrikbeeld te zijn als u er goed op voorbereid bent. Een pentest en de bijbehorende uitkomsten leveren daar een wezenlijke bijdrage aan: u vindt en herstelt zwakke plekken op tijd, u geeft de auditor overtuigend bewijs van uw beveiliging en u laat zien dat u de bescherming van uw systemen serieus neemt. Uiteindelijk gaat het niet om het zetten van een vinkje, maar om het feitelijk verhogen van de digitale weerbaarheid van uw organisatie.

Haxoris helpt u op dat pad. Onze ethische hackers leveren gedetailleerde rapporten, beproefde testmethodieken en praktische aanbevelingen waar zowel uw team als uw auditor mee vooruit kan. Werkt u toe naar een ISO 27001-certificering of naar de verplichtingen onder de Cyberbeveiligingswet, dan sluiten wij het testprogramma daarop aan. Laat beveiliging niet aan het toeval over en wacht niet tot een auditor of een aanvaller de gebreken vindt. Investeer in een degelijke pentest: het resultaat is niet alleen een soepeler cybersecurity-audit, maar bovenal een beter beschermde organisatie.

Gerelateerde diensten van Haxoris: security audit van de IT-omgeving · pentesten ter voorbereiding op ISO 27001-certificering