Is een pentest verplicht onder de Cyberbeveiligingswet?

Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, staat er in vrijwel elke Nederlandse verkooppitch dezelfde zin: “NIS2 verplicht een pentest.”

Die zin is onjuist. Dat is geen muggenzifterij – het is het verschil tussen een leverancier die het regime kent en een leverancier die een verkoopargument napraat. Hieronder per regime wat er werkelijk staat.

De Cyberbeveiligingswet: nee, maar

De Cyberbeveiligingswet is de Nederlandse invulling van de NIS2-richtlijn. De wet raakt ongeveer 8.000 organisaties en legt vier verplichtingen op:

• registratieplicht – registreren in het entiteitenregister via mijn.ncsc.nl;
• zorgplicht – een risicoanalyse uitvoeren en op basis daarvan passende en evenredige maatregelen nemen voor de beveiliging van netwerk- en informatiesystemen;
• meldplicht – een significant incident zo snel mogelijk en in elk geval binnen 24 uur melden bij het CSIRT en de toezichthouder;
• bestuurlijke verantwoordelijkheid – het bestuur is aanspreekbaar, en bestuurders moeten een cyberbeveiligingstraining volgen.

Het woord pentest komt in die opsomming niet voor, en ook elders in de wet niet. De zorgplicht is een resultaatsnorm: uw maatregelen moeten passend en evenredig zijn, gegeven uw risico’s.

En daar zit de nuance die het antwoord “nee” onvolledig maakt. Een norm die vraagt of uw maatregelen werken, roept vanzelf de vraag op hoe u dat weet. In de praktijk zijn er maar twee antwoorden: u neemt aan dat ze werken, of u toetst het. Een pentest is de gebruikelijke en meest overtuigende manier om het tweede te doen – maar het is uw keuze, geen voorschrift.

Vandaar het eerlijke antwoord: nee, maar – en dat “maar” doet er wel degelijk toe.

Wie houdt toezicht?

Het toezicht is per sector belegd. Voor de digitale infrastructuur is de Rijksinspectie Digitale Infrastructuur (RDI) de toezichthouder; het NCSC treedt op als CSIRT en is het adres voor incidentmeldingen. Naast de Cyberbeveiligingswet geldt voor de fysieke kant de Wet weerbaarheid kritieke entiteiten.

DORA: ja, en met eisen aan de tester

Hier ligt het anders, en dit is de fout die het vaakst wordt gemaakt.

Artikel 7 van de Cyberbeveiligingswet zondert financiële entiteiten uit. Voor banken, verzekeraars, betaalinstellingen en vergelijkbare partijen is DORA het kader – een Europese verordening die rechtstreeks werkt.

Onder DORA is testen wel degelijk onderdeel van het geheel. Voor de zwaarste vorm, threat-led penetration testing, stelt DORA bovendien eisen aan de partij die de test uitvoert. Een aanbieder die zonder meer beweert die tests te kunnen leveren, hoort u te kunnen laten zien waarop dat berust.

Wij zijn daar duidelijk over: wij claimen niet dat wij aan die eisen voldoen. Wat wij leveren is regulier pentestwerk en het bewijs dat daarbij hoort.

BIO: ja, via het contract

Levert u aan de overheid, dan komt de BIO in beeld. Hier is de vorm anders dan mensen verwachten: de BIO bindt de overheidsorganisatie, die de eisen vervolgens contractueel doorlegt aan haar leveranciers.

Praktisch gevolg: er bestaat geen BIO-accreditatie voor leveranciers. U voldoet via het contract, niet via een keurmerk. Iedere partij die zich “BIO-geaccrediteerd” noemt, beschrijft iets wat niet bestaat.

De AVG: de enige die testen bij naam noemt

Dit verrast de meeste mensen. De bepaling die periodiek testen expliciet noemt staat niet in NIS2 en niet in de Cyberbeveiligingswet, maar in de privacywetgeving.

AVG artikel 32 lid 1 sub d verlangt van de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen, waaronder – waar passend – “een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking”.

Het voorbehoud waar passend maakt ook dit geen absolute plicht. Maar verwerkt u persoonsgegevens van enige omvang of gevoeligheid, dan is dit de bepaling waaraan u het makkelijkst uitlegt waarom u laat testen. Wij hebben die kant apart uitgewerkt in pentesten en de AVG.

Overzicht per regime

Waarom “niet verplicht” geen vrijbrief is

Drie redenen waarom organisaties zonder wettelijke plicht toch laten testen, en het zijn alle drie betere redenen dan een verplichting.

Uw ketenpartners vragen erom. De Cyberbeveiligingswet verplicht entiteiten die eronder vallen om ook de risico’s in hun leveranciersketen te beheersen. Levert u aan zo’n organisatie, dan komt die eis via het contract bij u terecht – zonder dat u zelf onder de wet valt.

De onderbouwing ligt bij u. Bij een incident is de vraag van de toezichthouder niet of u een pentest had laten doen, maar of uw maatregelen passend en evenredig waren. “Wij dachten van wel” is een zwakker antwoord dan een rapport met een datum en een hertest.

Aannames verlopen. Een configuratie die vorig jaar klopte, klopt na twee migraties en een nieuwe koppeling misschien niet meer. Testen is hoe u dat merkt voordat iemand anders het merkt.

Wat u concreet doet

1. Stel vast onder welk regime u valt. Financiële entiteit? DORA. Overheidsleverancier? BIO via uw contract. Anders: valt u onder de Cyberbeveiligingswet, en zo ja, registreer u.
2. Leg de zorgplicht af tegen uw huidige maatregelen. Waar kunt u aantonen dat ze werken, en waar neemt u het aan?
3. Test waar de aanname het duurst is. Dat is bijna altijd de plek waar persoonsgegevens of geld langskomen.
4. Zorg dat het rapport bruikbaar is als bewijs. Met scope, datum, geverifieerde bevindingen en een hertest.

Wilt u dit voor uw eigen situatie doorlopen? Bespreek het in een gratis adviesgesprek, of lees hoe wij een NIS2-pentest inrichten en wat een pentest precies is.

Gerelateerde diensten van Haxoris: pentesten ter voorbereiding op NIS2 en de Cyberbeveiligingswet · pentesten van webapplicaties en infrastructuur · security audit van de IT-omgeving