Ethische hacker inhuren: wat u vraagt vóór u tekent

“Wij huren een hacker in” klinkt als een grap tot u het werkelijk moet inkopen: een leverancier kiezen, een contract tekenen en onbekende mensen toelaten tot de plek waar klantgegevens staan. Dan blijkt dat ethische hacker geen gereguleerd beroep is. Er is geen drempel en geen lijst. Iedereen mag op zijn website zetten dat hij pentests uitvoert, en het verschil wordt pas zichtbaar in het rapport – dus na de factuur.

Hieronder is die aankoop uit elkaar gehaald: aan wie u de test toevertrouwt, waaraan u ziet dat een leverancier kan wat hij belooft, wat er in het contract hoort en hoe een rapport eruitziet waarvoor het loont te betalen.

Wat een ethische hacker dagelijks doet

Het werk lijkt weinig op het beeld van een figuur met een capuchon uit een fotobank. Het grootste deel is lezen, proberen en vastleggen.

• Verkenning van wat openbaar is. Wat is er van buitenaf zichtbaar, welke subdomeinen leven nog, welke techniek draait eronder. Met enige regelmaat komt daar een testomgeving uit die intern allang vergeten was.
• Authenticatie en autorisatie. Kan iemand zich voordoen als een andere gebruiker? Ziet een gewoon account gegevens die het niet toekomen? Hier zitten de zwaarste bevindingen, en geen enkele scanner vindt ze.
• Bedrijfslogica. Een kortingscode die tweemaal werkt, een overgeslagen stap in een bestelproces, een overboeking met een negatief bedrag. Technisch breekt er niets; er lekt alleen geld weg.
• Ketens bouwen. Twee kleinigheden die apart niets opleveren en samen beheerderstoegang geven. Juist die keten is wat het rapport laat zien.
• Bewijs. Een bevinding zonder reproduceerbaar bewijs is een mening. Het bewijs is precies wat een test onderscheidt van een lijst uit een scanner.

De functietitel wisselt, het werk niet. In vacatures en op websites komen “ethische hacker”, “pentester”, “security tester” en “white hat” door elkaar voor. Bestel niettemin een pentest: alleen die term heeft een scope, een planning en een resultaat aan het eind. Een offerte met “diensten van een ethische hacker” in de kop valt met niets te vergelijken, omdat er niets in staat over de omvang van het werk.

Wat een ethische hacker onderscheidt van een aanvaller

Niet de techniek – die is dezelfde. Het verschil zit in drie documenten.

• Schriftelijke toestemming. Gegeven door iemand die bevoegd is, vóórdat het werk begint, en afkomstig van wie het systeem daadwerkelijk beheert. Bij een applicatie in andermans cloud of bij een SaaS-dienst is dat niet altijd uw eigen organisatie, en de voorwaarden van die leverancier beperken testen soms of vereisen voorafgaande melding.
• Scope. Een precieze lijst van wat binnen de test valt en wat niet. Wat erbuiten valt, blijft onaangeroerd – ook als de tester er een fout ziet.
• Testregels. Tijdvenster, toegestane methoden, escalatiecontacten, en de handelingen waarvoor aparte toestemming nodig is. Doorgaans staan daar aanvallen op beschikbaarheid, massale mailings en ingrepen in productiegegevens tussen.

Zonder die drie is dezelfde handeling geen dienstverlening maar computervredebreuk in de zin van artikel 138ab van het Wetboek van Strafrecht. Wat de test rechtmatig maakt is de toestemming van de opdrachtgever en de afgesproken scope – geen registratie, want een register bestaat in Nederland niet.

Welke opdrachten wij niet aannemen

De zoekopdracht “hacker inhuren” dekt twee volstrekt verschillende bedoelingen, dus voor de duidelijkheid: wij testen uitsluitend systemen waarvoor schriftelijke toestemming van een bevoegd persoon is verkregen.

Wij nemen niet aan – ongeacht de onderbouwing en ongeacht het bedrag:

• toegang verschaffen tot andermans account, mailbox, berichten of apparaat, ook niet als het om een familielid, zakenpartner of medewerker gaat;
• toegang tot een account herstellen wanneer niet aantoonbaar is dat het account van de opdrachtgever is;
• systemen van een concurrent, leverancier of klant testen zonder hun eigen opdracht;
• het volgen van personen.

Dat is geen formaliteit en geen onderhandelpunt. Een leverancier die over deze grens onderhandelt, onderhandelt straks ook over uw gegevens.

Certificaten: wat elk ervan aantoont

Een certificaat is de enige breed beschikbare maatstaf, maar verschillende certificaten meten heel verschillende dingen. De scheidslijn loopt tussen een praktijkexamen in een werkend systeem en een meerkeuze-examen over beveiligingsbeheer.

Twee dingen controleert u in een kwartier. Ten eerste: een certificaat hoort bij een persoon, niet bij een bedrijf – vraag dus de namen van de mensen die het werk gaan doen, niet een algemene opsomming op een website. Ten tweede: OffSec en ISC2 houden openbaar controleerbare registers bij, dus vraag om een identificatienummer of een verificatielink, geen schermafdruk.

Vraag dat ook van ons. Ons team staat met naam en rol op de site, en een geanonimiseerd voorbeeldrapport leveren wij vóór ondertekening, niet erna.

Wat de Nederlandse wet over de tester zegt

Kort antwoord: niets. Nederlandse wetgeving verplicht niet tot een pentest, en voor pentesters bestaat geen vergunning, geen registratie en geen kwalificatie-eis. De Cyberbeveiligingswet – de Nederlandse invulling van NIS2, in werking sinds 15 augustus 2026 en van toepassing op zo’n 8.000 organisaties – heeft daar niets aan veranderd. Die wet legt een registratieplicht op aan de organisaties die eronder vallen, niet aan hun leveranciers.

Er is één vrijwillig Nederlands kwaliteitsmerk: het CCV Keurmerk Pentesten, beheerd door het Centrum voor Criminaliteitspreventie en Veiligheid, met certificering via DEKRA, DigiTrust en Kiwa. Het openbare register telt op dit moment 46 vestigingsregels die neerkomen op 40 organisaties. Het keurmerk is vrijwillig: het ontbreken ervan is geen tekortkoming, en het bezit ervan is geen wettelijke status.

Wij zijn er duidelijk over: Haxoris staat niet op dat register. Wij zijn een in Slowakije gevestigd bedrijf – een lidstaat van de Europese Unie en van de NAVO – en in Nederland is voor het uitvoeren van pentests geen registratie vereist. Wij geven geen certificaten af, doen geen uitspraken over de vraag of u aan de wet voldoet, en voeren geen certificeringsaudits uit. Ons deel is het technische werk en het bewijs: een rapport dat uw auditor bij zijn eigen dossier kan voegen.

Daaruit volgt het praktische punt van dit hele artikel: het toetsen van de leverancier is uw eigen werk, en geen register neemt het van u over. De kwaliteitseisen moet u zelf in de uitvraag zetten. Daar gaan de volgende twee hoofdstukken over.

Wat er in het contract hoort

Een pentestovereenkomst is niet één zin over “het uitvoeren van beveiligingscontroles”. Hieronder het minimum, waarvan het ontbreken doorgaans pas opvalt op het moment dat er iets misgaat.

• Scope. De lijst met adressen, domeinen, applicaties, rollen en testaccounts. Uitzonderingen apart benoemd, samen met systemen van derden waarvoor geen toestemming bestaat.
• Testperiode. Werkdagen en -uren, en of belastende controles buiten kantoortijd plaatsvinden. Zonder die afspraak levert het eerste alarm een onnodig crisisoverleg op.
• Contactpersonen en escalatie. Wie neemt aan beide kanten ‘s nachts op als de test een dienst plat legt, of als de tester sporen van een échte inbraak aantreft. Dat tweede komt vaker voor dan offertes doen vermoeden.
• Omgang met testgegevens. Waar bewijsmateriaal en tijdens de test verkregen gegevens worden bewaard, wie toegang heeft, hoe lang ze blijven en wanneer ze worden vernietigd. Kunnen er persoonsgegevens binnen de scope vallen, leg dan de rollen van verwerkingsverantwoordelijke en verwerker vast en sluit een bijbehorende verwerkersovereenkomst.
• Geheimhoudingsverklaring. Getekend vóór het gesprek over de scope, niet erna: alleen het afstemmen al legt uw architectuur bloot.
• Beroepsaansprakelijkheidsverzekering. Of die er is, tot welk bedrag, en of die schade in een productieomgeving dekt.
• Publiciteit en referenties. Mag de leverancier uw organisatie als klant noemen, er een klantverhaal over schrijven, of een gevonden fout melden bij de softwareleverancier. Zo ja: binnen welke termijn en met wiens toestemming.
• Hertest. In het contract, met termijn en prijs, of inbegrepen. Een hertest is geen nieuwe test: er wordt gekeken naar de eerder gemarkeerde punten, niet naar de hele applicatie opnieuw.
• Onderaannemers. Wie het werk feitelijk uitvoert. Het komt voor dat de namen in de offerte en de mensen op het project twee verschillende verzamelingen zijn.

Hoe een rapport eruitziet waarvoor het loont te betalen

Het rapport is het enige blijvende resultaat van de test. Over een jaar herinnert niemand zich de gesprekken, en vraagt een auditor om een document. Een bruikbaar rapport bevat:

• een samenvatting voor de leiding, in bedrijfstaal;
• het aantal bevindingen en de verdeling naar risiconiveau;
• per bevinding een identificatie en een naam, een risicobeoordeling volgens CVSS, een technische beschrijving met bewijs waarmee de bevinding te reproduceren is, en tot slot een concrete herstelaanwijzing.

Twee dingen doet u vóór het besluit. Vraag om een geanonimiseerd voorbeeldrapport – vóór ondertekening, niet erna; het rapport ís het product, en wie het niet laat zien heeft daar een reden voor. En lees de aanbevelingen: met “implementeer best practices” kan niemand iets, terwijl “stel header X in op waarde Z” voor uw team een middag werk is.

De vorm van het rapport houdt op een smaakkwestie te zijn zodra het als bewijs moet dienen. Valt u onder de Cyberbeveiligingswet, dan moet u kunnen aantonen dat uw maatregelen passend en evenredig zijn en dat ze werken. Valt u onder DORA – financiële entiteiten vallen op grond van artikel 7 juist buiten de Cyberbeveiligingswet – dan gelden daar eigen eisen, ook aan wie de zwaarste tests mag uitvoeren. In beide gevallen wilt u een document dat een tweede lezer over een jaar nog begrijpt.

Waarschuwingssignalen

• Een scan die als pentest wordt verkocht. Herkenbaar doordat bij elke bevinding een beschrijving staat die rechtstreeks uit een database komt, en bij géén enkele bevinding bewijs van misbruik. Een kwetsbaarheidsscan is een zelfstandige, goedkopere en volstrekt zinnige dienst – alleen is het geen test, en kost het dat ook niet. Beide staan naast elkaar in kwetsbaarheidsscan of pentest.
• Een prijs vóór de scope. Wie een bedrag noemt zonder het aantal applicaties, rollen en integraties te kennen, gokt of bereidt een scan voor. Wat de prijs werkelijk bepaalt, staat in wat kost een pentest.
• Een offerte zonder hertest. Zonder controle van de herstelmaatregelen houdt u een takenlijst over die niemand ooit aftekent.
• “Een team van gecertificeerde experts” zonder namen. Een leverancier die zijn team niet benoemt en geen enkel verifieerbaar identificatienummer overlegt, biedt reclame aan in plaats van een referentie.

Wilt u ons langs deze lat leggen? Dat is precies de bedoeling – plan een gratis adviesgesprek en vraag om de namen, de certificaten en het voorbeeldrapport.

Gerelateerde diensten van Haxoris: pentesten van webapplicaties en infrastructuur · red teaming – een realistische aanvalssimulatie · social engineering en phishingsimulaties