Kwetsbaarheidsscan of pentest: wat heeft uw organisatie nodig?
·Het belangrijkste in het kort
- Een kwetsbaarheidsscan is geautomatiseerd en breed; een pentest is handwerk en gaat de diepte in
- Een scan beantwoordt de vraag wat verouderd of verkeerd ingesteld is – een test beantwoordt wat daarvan misbruikt kan worden, en hoe ver iemand komt
- Fouten in de bedrijfslogica vindt geen enkele scanner: die staan in geen database, omdat ze alleen in úw applicatie bestaan
- Vulnerability management is géén van beide, maar het doorlopende proces eromheen – en dat vervangt geen van beide
- Ze concurreren niet: de scan is hygiëne met een korte cyclus, de test is diepgang met een lange
Twee offertes, een factor vijf verschil in prijs, en op het eerste gezicht dezelfde belofte: “wij brengen uw kwetsbaarheden in kaart”. Dat is het moment waarop de meeste inkopers vastlopen, en het is een terecht moment om even stil te staan – want het zijn verschillende diensten die verschillende vragen beantwoorden.
Wat is een kwetsbaarheidsscan?
Een kwetsbaarheidsscan is grotendeels geautomatiseerd onderzoek. Een scanner benadert uw systemen, bepaalt welke software en welke versies er draaien, en vergelijkt dat met een database van bekende fouten – de CVE-lijst, met een risicoscore volgens CVSS. Wat eruit komt is een lijst met bevindingen, gesorteerd op ernst.
Wat een scan goed kan:
- breedte – honderden of duizenden adressen in één nacht;
- herhaalbaarheid – draai hem elke maand en u ziet de verschuiving;
- snelheid en prijs – dit is de goedkoopste manier om te weten wat er achterloopt.
Wat een scan niet kan:
- verifiëren – de scanner ziet dat versie X draait en weet dat versie X een bekende fout heeft. Of die fout in úw configuratie ook werkelijk te misbruiken is, weet hij niet;
- combineren – drie bevindingen die apart als “laag” gelden en samen een volledige overname mogelijk maken, blijven drie losse regels op een lijst;
- bedrijfslogica beoordelen – daarover zo meer.
En scans leveren valse positieven op. Een bevinding die “kritiek” heet maar in uw omgeving onbereikbaar is, kost uw team een middag. Andersom bestaat ook: een fout die de scanner “gemiddeld” noemt maar die in uw specifieke opstelling de voordeur is.
Wat is een pentest?
Een pentest begint waar die lijst ophoudt. Een tester verifieert bevindingen, probeert ze daadwerkelijk te misbruiken, rijgt fouten aaneen, en zoekt naar dingen die in geen enkele database staan.
Het onderscheidende woord is bewijs. Bij elke bevinding in een goed pentestrapport staat hoe die reproduceerbaar is, wat de tester ermee kon bereiken, en wat u er concreet aan doet. Dat is wat een risico van een vermoeden onderscheidt.
Het voorbeeld dat het verschil vangt
Een webwinkel laat een kortingscode tweemaal inwisselen. Geen enkele CVE, geen verouderde versie, geen verkeerde instelling – de code doet exact wat er geprogrammeerd is. Een scanner ziet hier niets, en kán hier niets zien: er is geen database van fouten die alleen in úw applicatie bestaan.
Een tester met een testaccount en een half uur vindt dit wel. Datzelfde geldt voor een stap in een bestelproces die overgeslagen kan worden, een overboeking met een negatief bedrag, en een gebruiker die door een id in de URL te wijzigen de gegevens van een ander ziet.
Dit is de reden dat de twee diensten niet uitwisselbaar zijn, en de belangrijkste reden dat de goedkoopste offerte zelden hetzelfde is als de andere.
Naast elkaar
| Kwetsbaarheidsscan | Pentest | |
|---|---|---|
| Aanpak | Overwegend geautomatiseerd | Handwerk, met gereedschap als hulpmiddel |
| Vraag die het beantwoordt | Wat is verouderd of verkeerd ingesteld? | Wat kan misbruikt worden, en hoe ver komt iemand? |
| Breedte | Zeer breed – het hele adresbereik | Beperkt tot de afgesproken scope |
| Diepte | Tot bekende fouten in versies en configuratie | Tot en met rechten, ketens en bedrijfslogica |
| Valse positieven | Komen voor, u filtert zelf | Weggefilterd – een bevinding is geverifieerd |
| Bedrijfslogica | Nee | Ja, en vaak zijn dat de zwaarste bevindingen |
| Doorlooptijd | Uren tot een nacht | Dagen tot weken |
| Frequentie | Maandelijks of continu | Jaarlijks, of bij een belangrijke wijziging |
| Kosten | Laag, vaak een abonnement | Aanzienlijk hoger – zie wat een pentest kost |
| Resultaat | Een lijst met bevindingen | Een rapport met bewijs, risico-inschatting en herstelvolgorde |
En vulnerability management dan?
Deze term loopt in Nederland veel door de andere twee heen, en het is geen synoniem voor een van beide.
Vulnerability management is het doorlopende proces: kwetsbaarheden signaleren, registreren, prioriteren, toewijzen, herstellen en controleren – als een cyclus die blijft draaien. Een scan is daarbinnen een van de bronnen. Een pentest is een periodieke diepteboring die het proces voedt.
Anders gezegd: vulnerability management is de administratie en de opvolging. Het vervangt geen scan en zeker geen test; het zorgt dat wat eruit komt ook daadwerkelijk ergens landt.
Wie u vulnerability management verkoopt als vervanging van een pentest, verkoopt u een proces in plaats van een bevinding.
Wanneer zet u wat in?
Een scan, als terugkerende hygiëne. Maandelijks of continu, over uw hele omgeving. Dit is de goedkoopste manier om te weten dat er niets ongemerkt achterloopt, en het is precies wat u wilt hebben draaien tussen twee tests door.
Een pentest, bij een van deze vier aanleidingen:
- een applicatie of een belangrijke functie gaat live;
- er is iets wezenlijks veranderd in de architectuur, de authenticatie of de rechtenstructuur;
- een auditor, klant of verzekeraar vraagt om aantoonbaar bewijs;
- u heeft iets te beschermen waarvan een incident u werkelijk raakt – klantgegevens, betalingen, productie.
Allebei, in de meeste organisaties. Ze staan niet tegenover elkaar. De scan houdt de basis op orde tussen tests door; de test vindt wat de scan structureel niet ziet.
Wat vraagt de wet?
De Cyberbeveiligingswet – de Nederlandse invulling van NIS2, in werking sinds 15 augustus 2026 en van toepassing op zo’n 8.000 organisaties – noemt geen van beide bij naam. De zorgplicht vraagt om een risicoanalyse en om passende en evenredige maatregelen; hoe u aantoont dat die maatregelen werken, is aan u.
De AVG komt dichterbij: artikel 32 lid 1 sub d verlangt – waar passend – “een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid” van uw beveiligingsmaatregelen. Let op dat “waar passend”: ook dat is geen absolute plicht, maar het is de enige EU-bepaling die periodiek testen met zoveel woorden noemt.
Onder DORA (voor financiële entiteiten, die op grond van artikel 7 buiten de Cyberbeveiligingswet vallen) en onder de BIO voor overheidsleveranciers ligt dat anders: daar is testen wel degelijk onderdeel van het kader.
Voor de keuze tussen scan en test betekent dat het volgende: als het resultaat dienst moet doen als bewijs richting een auditor of toezichthouder, is een lijst uit een scanner zelden genoeg. Dan wilt u een rapport met een scope, een datum, geverifieerde bevindingen en een hertest.
Dit artikel is informatief en is geen juridisch advies. Welke verplichtingen op uw organisatie rusten, hangt af van sector, omvang en positie in de keten.
Hoe u een als test verkochte scan herkent
Drie signalen, alle drie zichtbaar in de offerte of het voorbeeldrapport:
- Bij geen enkele bevinding staat bewijs. Elke bevinding heeft een keurige beschrijving, maar nergens staat hoe de tester die daadwerkelijk heeft gereproduceerd.
- De beschrijvingen zijn generiek. Ze komen letterlijk uit een database en zeggen niets over úw omgeving.
- Er staat een prijs voordat er een scope is. Wie een bedrag noemt vóórdat het aantal applicaties, rollen en integraties bekend is, gokt – of levert een scan.
Een echte pentest is duurder, en dat hoort ook. Wat u ervoor terugkrijgt is een korte lijst waarvan elk punt is aangetoond, in plaats van een lange lijst die u zelf nog moet uitzoeken.
Twijfelt u wat er in uw situatie zinnig is? Wij zeggen het gewoon als een kwetsbaarheidsscan volstaat – dat scheelt u geld. Bespreek het in een gratis adviesgesprek, of lees eerst wat een pentest precies is.
