Kort antwoord: wat is een pentest?
Een pentest (penetratietest) is een geautoriseerde, afgebakende aanval op je eigen systemen door een ervaren tester, die laat zien welke zwakke plekken echt te misbruiken zijn en hoe je ze oplost. DongIT en Warpnet, twee Nederlandse aanbieders die hun prijzen publiceren, rekenen in september 2026 vanaf €2.500 tot €2.960 voor een kleine webapplicatie en vanaf ongeveer €5.000 tot €7.500 voor een grotere scope, exclusief btw waar dat vermeld staat. Het testen zelf duurt volgens DongIT van 16 uur voor een kleine webapplicatie tot 80 uur of meer voor een uitgebreide scope, en van scopegesprek tot eindrapport ben je doorgaans vier tot acht weken verder. Je laat een pentest uitvoeren rond een grote release, als klanten, auditors of verzekeraars om bewijs vragen en als je organisatie onder de Cyberbeveiligingswet valt en periodiek moet toetsen of beveiligingsmaatregelen werken.
In deze gids lees je wat het verschil is tussen een pentest, een kwetsbaarhedenscan en een audit, welke soorten pentests er zijn, welke standaarden testers gebruiken en wat de kosten en doorlooptijd bepaalt. We gaan ook in op de juridische kant: zonder toestemming een systeem binnendringen is in Nederland strafbaar. De informatie is gebaseerd op officiële Nederlandse bronnen en gepubliceerde informatie van aanbieders in september 2026. Prijzen en regels veranderen, dus controleer de gelinkte bronnen voordat je een budget vastlegt.
Wat is een pentest, en wat is het verschil met een kwetsbaarhedenscan of audit?
Het Nationaal Cyber Security Centrum (NCSC) onderscheidt drie technische tests. Bij een kwetsbaarhedenassessment zoekt een grotendeels geautomatiseerde scan naar bekende kwetsbaarheden, ontbrekende patches en zwakke configuraties. Bij een pentest kruipt een getrainde tester in de rol van aanvaller: die zoekt kwetsbaarheden en probeert ze uit te buiten. Bij een broncodereview onderzoekt een expert de code van een applicatie op programmeerfouten.
Het NCSC vat het verschil kort samen: een kwetsbaarhedenassessment is een scan in de breedte, een pentest gaat de diepte in. Juist die diepgang telt, want een scan vertelt zelden wat een kwetsbaarheid voor jouw organisatie betekent. Een pentest laat zien of een aanvaller echt bij klantgegevens kan of een account kan overnemen, en is beter geschikt om onbekende problemen te vinden, zoals fouten in autorisaties of bedrijfslogica.
Het NCSC adviseert wel om te beginnen met een kwetsbaarhedenassessment en die bevindingen eerst op te lossen. Heb je dat nog nooit gedaan, dan is een pentest minder effectief: de tester besteedt dan tijd aan problemen die een goedkopere scan ook had gevonden.
Een securityaudit beantwoordt een andere vraag. Bij een audit voor ISO/IEC 27001 kijkt de auditor bijvoorbeeld of beleid, processen en maatregelen bestaan en worden nageleefd; aanvallen op je systemen horen daar normaal niet bij. Wel kan een auditor om een recent pentestrapport vragen als bewijs dat technische maatregelen werken. Het Britse NCSC voegt eraan toe dat een pentest alleen iets zegt over de situatie op de dag van de test, dus tussen twee pentests in blijft kwetsbaarhedenbeheer nodig.
| Onderzoek | Wat er gebeurt | Wat je leert | Belangrijkste beperking |
|---|---|---|---|
| Passieve externe scan | Kijkt alleen naar wat iedere bezoeker kan zien, zoals pagina’s, headers, certificaten en DNS-records | Zichtbare configuratieproblemen en ontbrekende basismaatregelen | Geen inlogpogingen, poortscans of misbruik van kwetsbaarheden; geen pentest |
| Kwetsbaarhedenscan (assessment) | Grotendeels geautomatiseerde controle op bekende kwetsbaarheden, ontbrekende patches en zwakke configuraties | Een breed overzicht van bekende problemen | Laat meestal niet zien of een zwakte echt te misbruiken is en wat de gevolgen zijn |
| Pentest | Een tester neemt de rol van aanvaller aan en probeert binnen een afgesproken scope en tijd kwetsbaarheden uit te buiten | Of en hoe ver een aanvaller kan komen, en wat de gevolgen zijn | Afgebakend in tijd en op basis van best effort; een momentopname |
| Broncodereview | Een expert onderzoekt de code, vaak met geautomatiseerde analyse en een handmatige review | Programmeerfouten die tijdens de ontwikkeling zijn gemist | Test niet de draaiende omgeving en de configuratie daarvan |
| Securityaudit (bijv. ISO/IEC 27001) | Controleert of beleid, processen en maatregelen aanwezig zijn en worden nageleefd | Of je organisatie informatiebeveiliging systematisch aanpakt | Valt systemen meestal niet aan; kan om een pentestrapport als bewijs vragen |
Welke soorten pentests zijn er?
Een pentest wordt meestal genoemd naar wat er getest wordt. Een mkb-bedrijf heeft zelden alle soorten tegelijk nodig. Begin bij de systemen waar een inbraak de meeste schade doet: de applicatie met klantgegevens, de API achter je app of het cloudaccount waarop alles draait.
Veel opdrachten combineren twee soorten, bijvoorbeeld een webapplicatie en de API waar die op leunt. Voeg je AI-automatisering toe die klantgegevens leest of bijwerkt, neem die koppelingen dan ook mee in de scope.
Webapplicatie pentest
De tester bekijkt een website of webapplicatie zoals een gebruiker én een aanvaller dat zouden doen: inloggen en wachtwoordherstel, sessiebeheer, de verwerking van invoer, bestandsuploads, rechten tussen gebruikers en rollen, en de logica van processen zoals bestellen of goedkeuren. De OWASP Web Security Testing Guide is daarbij het gangbare naslagwerk. Voor een webshop, klantportaal of SaaS-product is dit meestal de eerste test om te overwegen.
API-pentest
Moderne applicaties wisselen gegevens uit via API’s, vaak met een mobiele app of met systemen van partners. Een API-pentest controleert of elk endpoint authenticatie en autorisatie afdwingt, of de ene klant de gegevens van een andere klant kan opvragen door een ID aan te passen en hoe de API omgaat met onverwachte invoer en grote aantallen verzoeken. API’s worden makkelijk vergeten, omdat ze geen zichtbare interface hebben.
Pentest van een mobiele app
Een mobiele pentest kijkt naar de app zelf en naar de communicatie met de backend: hoe gegevens op het toestel worden opgeslagen, hoe tokens en sleutels zijn beschermd en of de app de server op de juiste manier vertrouwt. Omdat de app afhankelijk is van de backend, worden een mobiele pentest en een API-pentest vaak in één opdracht gecombineerd.
Netwerk- en infrastructuurpentest
Een externe pentest richt zich op systemen die vanaf internet bereikbaar zijn, zoals servers, VPN-gateways en maildiensten. Een interne pentest gaat ervan uit dat een aanvaller al binnen is, bijvoorbeeld via een besmette laptop, en onderzoekt hoe ver die zich door het netwerk kan bewegen. Een interne test is vooral relevant als je een eigen kantoornetwerk, servers of Active Directory hebt.
Cloud- en Kubernetes-pentest
Hier draait het om configuratie: identiteits- en toegangsbeheer, rechten op opslag, netwerkregels, secrets en de scheiding tussen omgevingen. Bij Kubernetes kijkt de tester naar toegang tot het cluster, de rechten van workloads en de isolatie van containers. Een verkeerde instelling in deze lagen kan gegevens blootleggen zonder dat er iets mis is met de applicatiecode.
Social engineering
Sommige aanvallen richten zich op mensen in plaats van systemen, bijvoorbeeld via phishingmails of telefoontjes. Een phishingsimulatie test hoe alert medewerkers zijn en of meldprocedures werken. Omdat het om medewerkers gaat, spreek je vooraf af hoe resultaten worden gerapporteerd, noem je geen individuele namen en bespreek je de privacygevolgen met degene die verantwoordelijk is voor gegevensbescherming.
Black box, grey box of white box: hoeveel weet de tester vooraf?
Naast de scope bepaal je hoeveel informatie de tester vooraf krijgt. Het NCSC onderscheidt drie perspectieven. Elk perspectief beantwoordt een andere vraag en gebruikt de testtijd op een andere manier.
Black box
De tester krijgt vooraf niets, behalve bijvoorbeeld een IP-adres, domeinnaam of bedrijfsnaam. Dat komt overeen met een aanvaller die zich niet specifiek op jouw organisatie richt. Het klinkt realistisch, maar een groot deel van het budget gaat dan op aan het verkennen van wat je de tester ook gewoon had kunnen vertellen. Er blijven minder uren over voor de onderdelen die ertoe doen.
Grey box
De tester krijgt gedeeltelijke informatie, meestal inloggegevens voor één of meer gebruikersrollen. Zo test je wat een aanvaller kan bereiken met een gestolen account, of wat een kwaadwillende klant of medewerker kan zien en wijzigen. Voor webapplicaties en API’s met gebruikersaccounts is grey box een veelgekozen aanpak, omdat die ook de rechten tussen rollen meeneemt.
White box
De tester krijgt veel informatie: ontwerpdocumentatie, inloggegevens, voorbeeldberichten en broncode, ook als er geen volledige codereview plaatsvindt. De OWASP Application Security Verification Standard raadt dit soort testen op basis van documentatie of code sterk aan, omdat veel eisen van buitenaf niet te controleren zijn. Met hetzelfde budget kan de tester zo meestal een groter deel van de applicatie onderzoeken.
Welke methoden en standaarden gebruiken pentesters?
Een pentest is geen gestandaardiseerd product. Volgens het NCSC is er in de markt nog geen eenduidigheid over wat precies wordt onderzocht, hoe daarover wordt gerapporteerd en wat een test bewijst. Vragen welke methode een aanbieder volgt, is daarom een van de nuttigste vragen die je kunt stellen. Dit zijn de referenties die je het vaakst tegenkomt.
OWASP Web Security Testing Guide (WSTG)
De WSTG is een open handleiding voor het testen van webapplicaties, van informatie verzamelen tot authenticatie, autorisatie, sessiebeheer en bedrijfslogica. Versie 4.2 is de huidige stabiele versie; aan versie 5.0 wordt gewerkt. Een aanbieder die de WSTG volgt, kan je vertellen welke testgebieden wel en niet aan bod zijn gekomen.
OWASP Application Security Verification Standard (ASVS)
De ASVS beschrijft beveiligingseisen voor applicaties, verdeeld over drie niveaus. Versie 5.0.0 is de meest recente stabiele versie. Niveau 1 bevat ongeveer 20% van de eisen en is bedoeld als startpunt; volgens de standaard zouden de meeste applicaties niveau 2 moeten nastreven. De ASVS merkt ook op dat een traditioneel pentestrapport alleen tekortkomingen noemt, terwijl een ASVS-beoordeling rapporteert over elke gecontroleerde eis.
Penetration Testing Execution Standard (PTES)
PTES verdeelt een pentest in zeven onderdelen: afspraken vooraf, informatie verzamelen, dreigingsmodellering, kwetsbaarheidsanalyse, exploitatie, post-exploitatie en rapportage. Daarmee controleer je of een voorstel meer omvat dan alleen het technische werk, vooral de afspraken vooraf en het rapport achteraf.
NCSC-richtlijn en MIAUW
De NCSC-publicatie over het testen van technische veiligheidsmaatregelen neemt je als opdrachtgever mee langs de onderzoeksvraag, scope, testsoort, keuze van de leverancier, uitvoering en opvolging, met checklists per fase. MIAUW, de Methodiek voor Informatiebeveiligingsonderzoek met Auditwaarde, is een opensourcemethode die binnen de overheid is ontwikkeld om pentests gestructureerder te maken en de uitkomsten controleerbaar. Een expertblog van het NCSC uit mei 2025 gebruikt MIAUW als leidraad voor het vastleggen van een testplan.
Wanneer heb je een pentest nodig?
Een pentest is het nuttigst op momenten dat het risico verandert of dat iemand om bewijs vraagt. Het NCSC raadt af om een pentest vlak voor livegang te plannen: het oplossen van bevindingen kost tijd, en het systeem hoort tijdens de test niet te veranderen. Dit zijn de meest voorkomende aanleidingen.
Voor of na een grote release
Een nieuw klantportaal, een betaalflow, een openbare API of een grote herbouw verandert je aanvalsoppervlak. Test zodra de functionaliteit stabiel is, op een omgeving die lijkt op productie, en houd tijd over voor herstel en een hertest vóór de lancering. Bij kleinere releases zijn veilig ontwikkelen en geautomatiseerde controles in je CI/CD-pipeline meestal passender dan telkens een volledige pentest.
Eisen van klanten, aanbestedingen en partners
Klanten, vooral grotere organisaties en overheden, kunnen leveranciers om bewijs van securitytests vragen, zeker als je hun gegevens verwerkt. Denk aan een recent rapport, een managementsamenvatting of een verklaring van een hertest in een securityvragenlijst of aanbesteding. Vraag goed na wat er precies nodig is: sommige opdrachtgevers eisen een bepaalde scope, een maximale leeftijd van het rapport of een gecertificeerde aanbieder.
ISO 27001 en andere audits
ISO/IEC 27001 schrijft een pentest niet letterlijk voor, maar een auditor wil wel zien hoe je technische kwetsbaarheden beheert en je maatregelen test. Een pentestrapport is daarvoor een gebruikelijk bewijsstuk. Nederlandse aanbieders bieden ook rapportages die aansluiten op sectorkaders, zoals NEN 7510 in de zorg en DigiD-assessments.
Cyberverzekering
Verzekeraars kunnen bij het afsluiten of verlengen van een cyberverzekering vragen naar je beveiligingsmaatregelen. Het CCV-keurmerk Pentesten, waar we verderop op ingaan, is onder meer samen met het Verbond van Verzekeraars ontwikkeld. Verwijst je polis of tussenpersoon naar testen, vraag dan welk bewijs zij accepteren.
NIS2 en de Cyberbeveiligingswet
De Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden. Volgens het NCSC gaat het om ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen in aangewezen sectoren, in de regel met 50 of meer fte, of met zowel een jaaromzet als een balanstotaal boven €10 miljoen. Artikel 21 vraagt om beleid en procedures om de effectiviteit van beveiligingsmaatregelen te beoordelen. Het NCSC adviseert om maatregelen periodiek te toetsen, bijvoorbeeld jaarlijks, en technische maatregelen te laten testen volgens de eigen richtlijn.
De wet verplicht niet elk bedrijf tot een pentest. Organisaties onder de Cbw moeten wel de risico’s in hun toeleveringsketen beheersen. Ben je als mkb-bedrijf leverancier van zo’n organisatie, dan kan ook jou om bewijs worden gevraagd.
Wat kost een pentest in 2026?
De meeste aanbieders maken na een scopegesprek een offerte op maat, omdat de prijs het aantal testuren volgt. Een paar Nederlandse aanbieders publiceren pakketprijzen, en die geven een bruikbaar referentiepunt. In september 2026 noemt DongIT (Web Security Scan) €2.960 excl. btw voor een Quick Pentest van een overzichtelijke webapplicatie, vanaf €5.040 voor een Expert Pentest en vanaf €7.200 voor een Extensive Pentest. Warpnet noemt pakketten vanaf €2.500, €5.000 en €7.500, ingedeeld naar het aantal pagina’s, endpoints, rollen en hosts; op die pagina staat niet of de prijzen inclusief of exclusief btw zijn.
Kijk goed wat er in de prijs zit. Warpnet rekent de hertest tot het pakket, terwijl DongIT een hertest apart factureert, afhankelijk van het aantal bevindingen. De Basic Scan van DongIT (€1.480 excl. btw) is een semi-geautomatiseerde kwetsbaarhedenscan met beperkte handmatige controle; de aanbieder noemt dat zelf een ander type onderzoek en geen goedkopere pentest.
Complexe omgevingen, meerdere applicaties of grote netwerken gaan op offerte. Ook het CCV, dat het keurmerk voor pentesten beheert, stelt dat de kosten verschillen per soort test, omvang en aanbieder. De tabel onderaan deze sectie zet de gepubliceerde pakketten op een rij.
Scope en omvang
Het aantal pagina’s, endpoints, gebruikersrollen, API-calls, IP-adressen en cloudaccounts bepaalt hoeveel uren nodig zijn. Het kleinste pakket van Warpnet gaat bijvoorbeeld uit van minder dan 30 webpagina’s of endpoints en één of twee rollen.
Diepgang en voorkennis
Grey box en white box gebruiken de uren efficiënter dan black box. Extra diepgang, zoals elke combinatie van rollen testen of broncode beoordelen, kost meer tijd. DongIT noemt statische codeanalyse als aparte dienst, indicatief vanaf €3.500 excl. btw.
Complexiteit en koppelingen
Betaalproviders, single sign-on, bestandsverwerking, AI-functies en koppelingen met andere systemen leveren extra testscenario’s op. Is een koppeling van een derde partij, dan valt die buiten de scope tenzij die partij toestemming geeft.
Rapportage-eisen
Een rapport dat bevindingen koppelt aan ISO/IEC 27001, NEN 7510 of de securityvragenlijst van een klant kost meer tijd dan een standaard technisch rapport. Noem zulke eisen al in het scopegesprek, zodat de offerte er rekening mee houdt.
Planning en hertest
Testen buiten kantoortijden, op korte termijn of in meerdere rondes kan meer kosten. Reserveer budget voor een hertest na het herstel, of die nu in de prijs zit of apart wordt gefactureerd.
| Pakket | Gepubliceerde prijs | Bedoelde scope | Hertest |
|---|---|---|---|
| Basic Scan (DongIT) | €1.480 excl. btw | Semi-geautomatiseerde kwetsbaarhedenscan op basis van de OWASP Top 10; geen pentest | Niet inbegrepen |
| Quick Pentest (DongIT) | €2.960 excl. btw | Compacte pentest van een overzichtelijke webapplicatie met een beperkte testomvang | Apart, afhankelijk van de bevindingen |
| Expert Pentest (DongIT) | Vanaf €5.040 excl. btw | Applicaties met meerdere rollen, API’s of koppelingen; netwerk- of cloudpentests | Apart, afhankelijk van de bevindingen |
| Extensive Pentest (DongIT) | Vanaf €7.200 excl. btw | Complexe applicaties en infrastructuur; aangeboden voor NIS2- en ISO 27001-trajecten | Apart, afhankelijk van de bevindingen |
| Basic Pentest (Warpnet) | Vanaf €2.500 (btw niet vermeld) | Minder dan 30 webpagina’s of endpoints, 1-2 rollen, minder dan 25 API-endpoints | Inbegrepen |
| Standaard Pentest (Warpnet) | Vanaf €5.000 (btw niet vermeld) | 30-100 webpagina’s of endpoints, 3-5 rollen, 25-80 API-endpoints | Inbegrepen |
| Plus Pentest (Warpnet) | Vanaf €7.500 (btw niet vermeld) | Meer dan 100 webpagina’s of endpoints, meer dan 5 rollen, meer dan 80 API-endpoints | Inbegrepen |
Hoe lang duurt een pentest?
Het testen zelf is vaak het kortste deel. Volgens DongIT varieert de actieve testtijd van 16 uur voor een kleine webapplicatie tot 80 uur of meer voor een uitgebreide netwerk- of enterprise-webapplicatiepentest. De totale doorlooptijd van scopegesprek tot definitief rapport is bij deze aanbieder doorgaans vier tot acht weken: een offerte binnen drie werkdagen, één tot twee weken voorbereiding, vijf tot 25 werkdagen uitvoering afhankelijk van de scope en het rapport binnen vijf werkdagen daarna.
NFIR noemt een periode van twee tot vier weken, inclusief voorbereiding, analyse en toelichting op het rapport. KPN wijst erop dat een pentest, afhankelijk van de omvang en complexiteit van wat je laat testen, dagen, weken of zelfs maanden kan duren.
Reken terug vanaf je deadline. Staat een release over twee maanden gepland, begin dan nu met de scope, reserveer een testperiode waarin de applicatie stabiel is en houd tijd over voor herstel en een hertest vóór de lancering. Aanbieders hebben ook hun eigen planning, dus vraag bij de offerte naar de starttermijn. Bij een belangrijke release raden we aan de test vast te leggen zodra de scope duidelijk is.
Hoe verloopt een pentest, van scope tot hertest?
Een goed georganiseerde pentest verloopt in een vaste volgorde. De NCSC-publicatie over het testen van technische veiligheidsmaatregelen en het NCSC-expertblog over pentesten beschrijven per stap wat jij als opdrachtgever regelt. Jouw voorbereiding heeft veel invloed op het resultaat.
1. Scope en onderzoeksvraag
Begin met een vraag, niet met een lijst systemen. Het NCSC geeft als voorbeeld: kunnen al mijn klantgegevens lekken door misbruik van een kwetsbaarheid in applicatie A? Bepaal daarna samen met de systeemeigenaar, de ontwikkelaars en de aanbieder wat wel en niet binnen de scope valt, welke omgeving getest wordt en hoeveel informatie de tester krijgt.
Voer scopegesprekken met meer dan één aanbieder. Volgens het NCSC is het een goed teken als een aanbieder veel vragen stelt over je doel, scope en architectuur. Teken een geheimhoudingsverklaring voordat je gevoelige details deelt.
2. Schriftelijke toestemming en spelregels
Wie opzettelijk en wederrechtelijk een geautomatiseerd werk binnendringt, pleegt computervredebreuk volgens artikel 138ab van het Wetboek van Strafrecht. In de basisvorm staat daar een gevangenisstraf van maximaal twee jaar of een geldboete van de vierde categorie op; zwaardere vormen worden strenger bestraft. Een pentest is rechtmatig omdat de rechthebbende vooraf toestemming geeft.
Leg die toestemming schriftelijk vast, samen met de scope, IP-adressen en URL’s, testperiode, toegestane technieken en contactpersonen. Draait je applicatie bij een hostingpartij, cloudplatform of SaaS-leverancier, controleer dan hun voorwaarden en vraag zo nodig hun toestemming. Het NCSC raadt daarnaast een vrijwaringsclausule aan, afspraken over persoonsgegevens volgens de AVG en afspraken over het opslaan, verwijderen en delen van testgegevens en het rapport.
3. Testperiode en omgeving
Spreek af wanneer er getest wordt en of de tester op productie of op een acceptatieomgeving werkt. Productie geeft het meest realistische beeld, maar een pentest kan het systeem verstoren. Daarom adviseert het NCSC vooraf te bepalen of bruteforce-aanvallen en tests die de dienstverlening kunnen verstoren zijn toegestaan. Plan tijdens de testperiode geen grote wijzigingen, back-up- en restore-acties of andere tests, en licht betrokken partijen in, zoals je hostingpartij en identityprovider.
4. Tijdens de test
Spreek af hoe de tester communiceert: korte updates over de voortgang en direct contact bij urgente bevindingen. Wordt er een kritieke kwetsbaarheid gevonden, dan wil je dat dezelfde dag horen en niet pas in het eindrapport. Leg scopewijzigingen tijdens de test expliciet vast, zodat het rapport laat zien wat er werkelijk is getest.
5. Het rapport en de risicobeoordeling
Een goed rapport vermeldt wie wat wanneer heeft getest, wat niet getest kon worden, elke bevinding met bewijs, de impact en een aanbeveling, en een managementsamenvatting die antwoord geeft op de oorspronkelijke onderzoeksvraag. Veel aanbieders beoordelen bevindingen met het Common Vulnerability Scoring System (CVSS) van FIRST.
CVSS 4.0, voor het eerst uitgebracht in november 2023, vertaalt scores naar vijf niveaus: None (0,0), Low (0,1-3,9), Medium (4,0-6,9), High (7,0-8,9) en Critical (9,0-10,0). CVSS meet de technische ernst. Volgens FIRST vallen factoren als wettelijke eisen, het aantal getroffen klanten en reputatieschade buiten CVSS, dus bepaal je de prioriteiten in je eigen context.
6. Herstel en hertest
Het NCSC waarschuwt dat rapporten te vaak in een la verdwijnen. Wijs per bevinding een eigenaar en deadline aan, pak structurele oorzaken aan in plaats van losse symptomen en laat daarna een hertest uitvoeren, want herstelacties zijn niet altijd meteen goed. Het Britse NCSC benadrukt dat de risicoafweging en de keuze voor oplossingen bij jou liggen, niet bij de tester.
Hoe kies je een pentestbedrijf?
De prijs is maar één factor. Het NCSC adviseert om meerdere offertes te vergelijken, te vragen naar aanpak, ervaring, certificeringen en opleiding, en vooral om een voorbeeldrapport te vragen: het rapport is het enige tastbare eindproduct. Met deze punten vergelijk je aanbieders beter.
Een heldere scope en methode
Een goed voorstel noemt de systemen binnen de scope, de aanpak (black, grey of white box), het aantal testdagen of -uren, de methode en wat nadrukkelijk buiten de opdracht valt. Vage voorstellen maken offertes onvergelijkbaar.
Het CCV-keurmerk Pentesten
Het Centrum voor Criminaliteitspreventie en Veiligheid (CCV) beheert een keurmerk voor pentestaanbieders, ontwikkeld met onder meer de politie, VNO-NCW/MKB-Nederland, Cyberveilig Nederland, het Digital Trust Center en het Verbond van Verzekeraars. Het keurmerk certificeert bedrijven, geen individuele testers.
Pentesters moeten een praktijkcertificaat hebben van een lijst die jaarlijks wordt herzien, en het schema gaat uit van een verklaring omtrent het gedrag (VOG) van maximaal drie jaar oud. Certificering is wettelijk niet verplicht. Het CCV publiceert een overzicht van gecertificeerde bedrijven en wijst erop dat je als klant zelf verantwoordelijk blijft voor onderzoek naar de achtergrond van een aanbieder.
Persoonlijke kwalificaties
Individuele testers hebben vaak praktijkgerichte certificeringen. Voor OSCP van OffSec leg je een examen van 24 uur onder toezicht af, waarin je kwetsbaarheden in een labomgeving opspoort, misbruikt en rapporteert. CREST is een Britse non-profitorganisatie die aangesloten bedrijven accrediteert en certificeringen voor professionals aanbiedt.
Het CCV vindt instapcertificaten zoals CEH en LPT te licht om als kwalificatie mee te tellen. Een certificaat zegt iets over vaardigheden; een voorbeeldrapport en een gesprek met de tester zeggen meer over hoe er aan jouw systeem gewerkt wordt.
Verzekering, geheimhouding en gegevens
Vraag of de aanbieder een beroeps- en bedrijfsaansprakelijkheidsverzekering heeft, hoe bevindingen en inloggegevens tijdens de test worden bewaard en wanneer testgegevens worden verwijderd. Controleer wie het werk daadwerkelijk uitvoert, of er onderaannemers bij betrokken zijn en hoe urgente bevindingen worden gemeld.
Bereid je pentest voor: acht checks
Loop deze punten na voordat de test begint. Elk punt bespaart testuren of voorkomt vertraging. Begin met alles wat de test kan blokkeren of de uitkomsten lastig bruikbaar maakt.
De vinkjes zijn tijdelijk; je antwoorden worden niet opgeslagen of verstuurd. De checklist helpt je bij de voorbereiding en vervangt de afspraken met je aanbieder niet.
Een praktische volgende stap
Begin klein en concreet. Kies de applicatie of API waar een inbraak de meeste schade zou doen, schrijf de onderzoeksvraag op en verzamel de documentatie, testaccounts en randvoorwaarden die een tester nodig heeft. Vraag twee of drie aanbieders om een voorstel en vergelijk scope, methode, voorbeeldrapport en hertestvoorwaarden, niet alleen de prijs.
Pixel Dev voert pentests van webapplicaties en API’s uit op basis van een schriftelijke overeenkomst en een afgebakende scope, naast het hardenen van cloud- en Kubernetes-omgevingen en securitycontroles in CI/CD-pipelines. We rapporteren bevindingen met bewijs en hersteladvies waarmee je ontwikkelaars aan de slag kunnen. Stel ons gerust de vragen die we in deze gids aanraden: hoe we de scope bepalen, welke methode we volgen en hoe een rapport eruitziet.
Nog niet toe aan een pentest? Onze gratis AI-zichtbaarheid- en securityscan is een passieve controle van wat iedere bezoeker kan zien: openbare pagina’s, response-headers, certificaten en DNS-records. Het is geen pentest: we proberen niet in te loggen, scannen geen poorten en misbruiken geen kwetsbaarheden. De scan laat wel zien welke basiszaken je beter eerst op orde brengt voordat je in een diepere test investeert.
Veelgestelde vragen
Is een pentest verplicht in Nederland?
Er is geen algemene wettelijke plicht voor elk bedrijf om een pentest te laten uitvoeren. Organisaties die onder de Cyberbeveiligingswet vallen, moeten wel beleid hebben om de effectiviteit van hun beveiligingsmaatregelen te beoordelen, en het NCSC adviseert om die periodiek te testen. In de praktijk kunnen ook klanten, aanbestedingen, auditors en sectorkaders een pentest eisen.
Wat kost een pentest voor het mkb?
Aanbieders die hun prijzen publiceren, noemen in september 2026 voor een compacte pentest van een webapplicatie bedragen vanaf €2.500 (Warpnet, btw niet vermeld) en €2.960 excl. btw (DongIT). Bij beide aanbieders beginnen de pakketten voor applicaties met meerdere rollen, API’s of koppelingen rond €5.000. Een hertest kan inbegrepen zijn of apart worden gefactureerd, dus vergelijk goed wat elke offerte omvat.
Wat is het verschil tussen een pentest en een kwetsbaarhedenscan?
Een kwetsbaarhedenscan is grotendeels geautomatiseerd en zoekt breed naar bekende zwakke plekken, ontbrekende patches en zwakke configuraties. Bij een pentest probeert een tester handmatig kwetsbaarheden uit te buiten om te laten zien wat een aanvaller echt kan bereiken. Het NCSC zegt het zo: een scan werkt in de breedte, een pentest gaat de diepte in.
Hoe vaak moet je een pentest laten uitvoeren?
In de NCSC-uitleg over de Cyberbeveiligingswet staat dat je de effectiviteit van maatregelen periodiek toetst, bijvoorbeeld jaarlijks. Laat ook testen na grote wijzigingen, zoals een nieuwe applicatie, een nieuwe API of een overstap naar een ander platform. Houd tussen twee tests je kwetsbaarhedenbeheer en geautomatiseerde controles draaiende.
Kan een pentest mijn website of applicatie verstoren?
Ja, een pentest kan het geteste systeem verstoren. Daarom spreek je vooraf af of er op productie of op een acceptatieomgeving wordt getest, of tests die de dienstverlening kunnen verstoren zijn toegestaan en wanneer er getest wordt. Zorg voor recente back-ups en een bereikbare contactpersoon tijdens de testperiode.
Mag ik mijn eigen website laten hacken, en hoe zit het met mijn hostingpartij?
Je mag systemen die je bezit of beheert laten testen, mits de toestemming en scope schriftelijk zijn vastgelegd. Zonder toestemming een systeem binnendringen is computervredebreuk volgens artikel 138ab van het Wetboek van Strafrecht. Draait je website bij een hosting- of cloudpartij, controleer dan hun voorwaarden, want voor hun infrastructuur kun jij geen toestemming geven.
Moet een pentestbedrijf het CCV-keurmerk hebben?
Nee, dat is wettelijk niet verplicht. Het CCV-keurmerk Pentesten is een vrijwillig keurmerk voor bedrijven, met eisen aan de kwalificaties van testers, screening en afspraken met klanten. Sommige klanten of aanbestedingen vragen erom, dus controleer je eigen eisen en het overzicht van het CCV.
