Wat is een pentest en wanneer heeft uw organisatie er een nodig?

Wat is een pentest?

Een pentest – voluit een penetratietest – is een gecontroleerde aanval op een informatiesysteem, uitgevoerd met schriftelijke toestemming van degene die het systeem daadwerkelijk beheert, binnen een vooraf afgesproken scope en een afgesproken tijdvenster.

De tester stopt niet zodra hij een zwakke plek vindt. Hij probeert die te misbruiken en te combineren met andere fouten, om te laten zien hoe ver een echte aanvaller zou komen. Het resultaat is een rapport met bewijs, een inschatting van de risico’s en een volgorde waarin u de bevindingen aanpakt.

Dat laatste is het hele punt. Een lijst met theoretische zwakke plekken kan niemand prioriteren. Een aangetoonde keten – van een openbaar e-mailadres naar een account, van dat account naar een server, van die server naar de klantgegevens – kan iedereen prioriteren, ook een directeur zonder technische achtergrond.

Waarom pentesten?

Organisaties laten om drie redenen testen, en meestal spelen ze alle drie tegelijk.

Om te weten wat er werkelijk open staat. Uw eigen team kent de systemen van binnenuit en heeft daardoor blinde vlekken die niets met vakmanschap te maken hebben. Een tester van buiten kijkt zoals een aanvaller kijkt: naar wat er van buitenaf zichtbaar is en naar wat er te combineren valt.

Om aantoonbaar te zijn. Een auditor, een verzekeraar, een aanbestedende dienst of een klant in een leveranciersketen vraagt niet of u veilig bent, maar of u het kunt aantonen. Een rapport met een datum, een scope en een hertest is dat bewijs; een beleidsdocument waarin staat dat beveiliging belangrijk is, niet.

Omdat de kosten asymmetrisch zijn. Een test kost een bedrag dat u vooraf kent. Een incident kost herstel, uitval, meldingen aan de Autoriteit Persoonsgegevens binnen 72 uur, en het gesprek met klanten dat daarop volgt.

Pentest of kwetsbaarheidsscan?

Dit is de vraag die het vaakst verkeerd wordt beantwoord, en het onderscheid is niet academisch – het scheelt een factor in de prijs.

Een kwetsbaarheidsscan is grotendeels geautomatiseerd werk. Een scanner vergelijkt draaiende versies en instellingen met een database van bekende fouten en levert een lijst. Dat is nuttig, goedkoop en volstrekt zinnig als terugkerende hygiënemaatregel.

Een pentest is handwerk dat begint waar die lijst ophoudt. De tester verifieert de bevindingen, rijgt fouten aaneen die los van elkaar onschuldig lijken, en vindt fouten in de bedrijfslogica die geen enkel gereedschap beschrijft – een kortingscode die tweemaal inwisselbaar is, een stap in een bestelproces die overgeslagen kan worden, een overboeking met een negatief bedrag.

Kort gezegd: een scan beantwoordt de vraag wat verouderd is. Een test beantwoordt de vraag wat misbruikt kan worden, en hoe ver iemand daarmee komt.

Let op één term die in Nederland vaak door elkaar loopt met beide: vulnerability management is geen van tweeën. Dat is een doorlopend programma waarin u kwetsbaarheden registreert, prioriteert en opvolgt. Het vervangt geen test, en een test vervangt het niet.

Black box, grey box of white box?

Deze drie termen beschrijven hoeveel de tester vooraf weet, en de keuze bepaalt vooral hoe efficiënt de tijd wordt besteed.

• Black box – de tester krijgt niets meer dan wat een buitenstaander ook heeft: een domeinnaam, een IP-bereik. Realistisch, maar een deel van de tijd gaat op aan het in kaart brengen van wat u zelf al weet.
• Grey box – de tester krijgt gebruikersaccounts en een globale beschrijving van de architectuur. Dit is voor de meeste opdrachten de verstandigste keuze: de tijd gaat naar het zoeken van fouten in plaats van naar verkenning.
• White box – de tester krijgt volledige documentatie en vaak de broncode. Levert de meeste bevindingen per bestede dag op en is de aangewezen vorm wanneer u een applicatie vóór livegang wilt dichtzetten.

Er is geen “beste” variant. Er is een variant die past bij de vraag die u beantwoord wilt hebben.

Welke soorten pentesten zijn er?

Hoe verloopt een pentest?

Een opdracht valt in de praktijk uiteen in zeven fasen. De namen verschillen per methodiek, maar de volgorde is overal dezelfde.

Daarna volgt de hertest: na uw herstelwerk wordt gecontroleerd of de gemarkeerde punten daadwerkelijk dicht zijn. Een hertest is geen nieuwe test – er wordt gekeken naar de eerder gevonden bevindingen, niet naar de hele applicatie opnieuw. Spreek vooraf af of die is inbegrepen, want zonder hertest houdt u een takenlijst over die niemand ooit aftekent.

Wat kost een pentest?

Het eerlijke antwoord is dat de prijs volgt uit de scope, en dat iedere leverancier die een bedrag noemt vóórdat de scope helder is, ofwel gokt ofwel een scan verkoopt.

De factoren die het bedrag bepalen zijn steeds dezelfde: het aantal applicaties en omgevingen, het aantal rollen en gebruikerstypen dat getest moet worden, de diepgang, of er broncode beschikbaar is, en of een hertest is inbegrepen.

In de Nederlandse markt publiceren opvallend weinig aanbieders een bedrag. Enkele die dat wél doen, ter oriëntatie en met bronvermelding: Zolder noemt een uurtarief van € 175 en een bandbreedte van € 5.000 tot € 15.000 voor een gemiddelde webapplicatiepentest; Warpnet noemt vanaf € 3.200 voor een eenmalige test; Surelock noemt vanaf € 3.750; DEFION en Pinewood noemen beide vanaf € 2.500. Dat zijn hun cijfers, niet de onze, en ze zeggen alleen iets over de orde van grootte.

Wat vraagt de Nederlandse wet werkelijk?

Hier gaat in Nederlandse verkooppraatjes het meeste mis, dus onderstaand precies.

De Cyberbeveiligingswet schrijft geen pentest voor

De Cyberbeveiligingswet is de Nederlandse invulling van de NIS2-richtlijn. De wet is op 15 augustus 2026 in werking getreden en raakt ongeveer 8.000 organisaties. Daarnaast geldt de Wet weerbaarheid kritieke entiteiten voor de fysieke kant, met ongeveer 500 organisaties.

De wet legt vier verplichtingen op:

• registratieplicht – u registreert zich in het entiteitenregister via mijn.ncsc.nl;
• zorgplicht – u voert een risicoanalyse uit en neemt op basis daarvan passende en evenredige maatregelen voor de beveiliging van uw netwerk- en informatiesystemen;
• meldplicht – een significant incident meldt u zo snel mogelijk, en in elk geval binnen 24 uur, bij het CSIRT en de toezichthouder;
• bestuurlijke verantwoordelijkheid – het bestuur is aanspreekbaar, en bestuurders zijn verplicht een cyberbeveiligingstraining te volgen.

Nergens in die opsomming staat het woord pentest. De zorgplicht vraagt om maatregelen die passend en evenredig zijn, en het is aan u om te onderbouwen dat ze dat zijn – en dat ze werken. Een test is de gebruikelijke en meest overtuigende manier om dat laatste aan te tonen, maar het is een keuze, geen wettelijk voorschrift.

Wie beweert dat de Cyberbeveiligingswet een pentest verplicht stelt, heeft de wet niet gelezen. Dat is geen muggenzifterij: het is het verschil tussen een leverancier die uw situatie begrijpt en een leverancier die een verkoopargument napraat.

Wie houdt toezicht?

Het toezicht is per sector belegd. Voor de digitale infrastructuur is de Rijksinspectie Digitale Infrastructuur (RDI) de toezichthouder. Het NCSC treedt op als CSIRT: daar meldt u incidenten.

Financiële entiteiten vallen op grond van artikel 7 van de Cyberbeveiligingswet buiten die wet – voor hen is DORA het kader. Dat is een belangrijk onderscheid: aan een Nederlandse bank of verzekeraar “NIS2-compliance” verkopen is domweg het verkeerde regime.

De AVG noemt testen wél met zoveel woorden

De sterkste Europese grondslag voor periodiek testen staat niet in NIS2 maar in de AVG. Artikel 32 lid 1 sub d verplicht de verwerkingsverantwoordelijke en de verwerker tot passende technische en organisatorische maatregelen, waaronder – waar passend – “een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking”.

Let op de woorden waar passend: ook dit is geen absolute plicht. Maar het is de enige EU-bepaling die periodiek testen bij naam noemt, en opvallend weinig Nederlandse aanbieders verwijzen ernaar.

Waar testen in de praktijk wél verplicht is

• DORA – voor financiële entiteiten is testen onderdeel van het kader, en voor de zwaarste vorm (threat-led penetration testing) stelt DORA bovendien eisen aan wie de test mag uitvoeren.
• BIO – leveranciers van de overheid krijgen de eisen contractueel opgelegd. Er bestaat geen “BIO-accreditatie” voor leveranciers; u voldoet via het contract.
• Sectorale normen zoals NEN 7510 in de zorg en PCI DSS voor kaartbetalingen stellen eigen eisen aan het toetsen van maatregelen.

Wie mag in Nederland een pentest uitvoeren?

Kort antwoord: iedereen. Nederland kent geen register, geen vergunning en geen kwalificatie-eis voor pentesters. Wat het werk rechtmatig maakt is schriftelijke toestemming van degene die bevoegd is over het systeem te beschikken – zonder die toestemming is dezelfde handeling computervredebreuk in de zin van artikel 138ab van het Wetboek van Strafrecht.

Dat betekent dat het beoordelen van de leverancier uw eigen werk is. Er is één vrijwillig Nederlands kwaliteitsmerk, het CCV Keurmerk Pentesten, met een openbaar register waarin op dit moment 46 vestigingsregels staan die neerkomen op 40 organisaties; certificering loopt via DEKRA, DigiTrust en Kiwa. Haxoris staat daar niet op – wij zijn een in Slowakije gevestigd bedrijf – en wij zullen dat keurmerk dus ook nooit claimen.

Wat u in plaats daarvan kunt controleren:

• vraag de namen van de mensen die het werk doen, niet een algemene lijst op een website. Certificeringen als OSCP, OSWE en CISSP horen bij personen, niet bij bedrijven, en OffSec en ISC2 houden openbaar controleerbare registers bij;
• vraag een geanonimiseerd voorbeeldrapport vóór ondertekening. Het rapport is het product; wie het niet laat zien, heeft daar een reden voor;
• lees de aanbevelingen. “Implementeer best practices” is voor niemand uitvoerbaar; “stel header X in op waarde Z” is een middag werk.

Voor wie is een pentest bedoeld?

Voor organisaties die iets te verliezen hebben dat online bereikbaar is. In de praktijk zien wij vier aanleidingen: een applicatie die live gaat, een auditor of klant die om bewijs vraagt, een incident bij een branchegenoot, of een wettelijk kader dat in werking treedt – wat sinds augustus 2026 voor zo’n 8.000 Nederlandse organisaties tegelijk gebeurde.

Wilt u weten wat er in uw geval zinnig is om te testen, en wat dat ongeveer kost? Bespreek het in een gratis adviesgesprek, of bekijk hoe wij pentesten uitvoeren en wat een NIS2-pentest inhoudt.

Gerelateerde diensten van Haxoris: pentesten van webapplicaties en infrastructuur · pentesten ter voorbereiding op NIS2 en de Cyberbeveiligingswet