Wat is een pentest? Complete gids voor organisaties in 2026

Wat is een pentest?

Een pentest, voluit penetratietest, is een gestructureerd security-onderzoek waarbij ethische hackers proberen in te breken in de systemen, netwerken of applicaties van een organisatie. In tegenstelling tot geautomatiseerde scans combineert een pentest tooling met handmatig onderzoek en creativiteit van de tester. Het resultaat is een rapport met gevonden kwetsbaarheden, de mogelijke impact en concrete aanbevelingen om de beveiliging te verbeteren.

Een pentest is geen theoretische oefening. De tester probeert daadwerkelijk toegang te krijgen tot gevoelige data, systemen over te nemen of beveiligingsmaatregelen te omzeilen. Daarmee geeft een pentest een realistisch beeld van hoe weerbaar een organisatie is tegen echte aanvallen.

Volgens het Verizon Data Breach Investigations Report 2024 begon 68% van alle datalekken met een menselijke fout of een technische kwetsbaarheid die met een pentest gevonden had kunnen worden.

Typen pentests

Er zijn verschillende typen pentests, elk gericht op een ander deel van het aanvalsoppervlak:

• Externe pentest: test de systemen die bereikbaar zijn vanaf het internet, zoals websites, VPN-portalen en e-mailservers. Dit simuleert een aanvaller zonder voorkennis van het interne netwerk.
• Interne pentest: simuleert een aanvaller die al toegang heeft tot het interne netwerk, bijvoorbeeld via een gecompromitteerd werkstation of een kwaadwillende medewerker.
• Web applicatie pentest: richt zich specifiek op webapplicaties en API's. Test op kwetsbaarheden zoals SQL-injectie, cross-site scripting (XSS) en gebroken authenticatie.
• Cloud security assessment: onderzoekt de configuratie en beveiliging van cloudomgevingen (AWS, Azure, Google Cloud). Misconfiguraties zijn de nummer 1 oorzaak van cloudlekken.
• OT-pentest: test operationele technologie in industriele omgevingen, zoals SCADA-systemen en PLC's. Essentieel voor productie en kritieke infrastructuur.
• Red teaming: de meest uitgebreide vorm. Een red team simuleert een geavanceerde aanval over langere tijd, inclusief social engineering, fysieke toegang en technische exploitatie. Het doel is de volledige detectie- en responscapaciteit van de organisatie te testen.

Wanneer heb je een pentest nodig?

Een pentest is geen eenmalige actie maar een terugkerend onderdeel van je security-strategie. Specifieke momenten waarop een pentest essentieel is:

• Voor de livegang van een nieuwe applicatie of platform
• Na grote wijzigingen in je infrastructuur of code
• Als onderdeel van NIS2-, DORA- of ISO 27001-compliance
• Na een fusie, overname of migratie naar de cloud
• Jaarlijks als baseline-meting van je beveiligingsniveau
• Wanneer klanten of verzekeraars erom vragen

Het NCSC adviseert Nederlandse organisaties om minimaal jaarlijks een pentest te laten uitvoeren op kritieke systemen.

Pentest vs vulnerability scan vs red teaming

Deze termen worden vaak door elkaar gebruikt, maar er zijn wezenlijke verschillen:

Wat kost een pentest?

De kosten van een pentest variëren sterk, afhankelijk van scope, complexiteit en type:

• Externe pentest: vanaf €5.000
• Web applicatie pentest: €8.000 - €25.000
• Interne pentest: €10.000 - €30.000
• Cloud security assessment: €10.000 - €35.000
• Red teaming: €30.000 - €150.000+

Ter vergelijking: de gemiddelde kosten van een datalek in 2024 waren €4,4 miljoen wereldwijd (IBM Cost of a Data Breach Report 2024). Een pentest is een fractie van die kosten.

Doorlooptijd van een pentest

De doorlooptijd hangt af van het type en de scope:

• Voorbereiding: 1-2 weken (scopebepaling, contracten, toegangen)
• Uitvoering: 1-4 weken actief testen
• Rapportage: 1-2 weken na afronding
• Hertest: optioneel, 2-4 weken na de fixes

Van intake tot eindrapport duurt een gemiddelde pentest 4 tot 8 weken. Plan dit ruim in, zeker als je het nodig hebt voor een audit of certificering.

Certificeringen van pentesters

De kwaliteit van een pentest staat of valt met de expertise van de testers. Belangrijke certificeringen waar je op kunt letten:

• OSCP (Offensive Security Certified Professional): de industriestandaard voor technische pentesters. Hands-on examen van 24 uur.
• OSWE (Offensive Security Web Expert): gespecialiseerd in webapplicatie-security.
• CREST: internationaal erkend keurmerk voor pentest-bedrijven en individuele testers.
• GPEN / GWAPT (GIAC): pentest-certificeringen van het SANS Institute.
• CEH (Certified Ethical Hacker): breed erkend, maar minder technisch diepgaand dan OSCP.

DEFION Security beschikt over testers met OSCP, OSWE, CREST en diverse GIAC-certificeringen. Vraag altijd naar de kwalificaties van het team dat de pentest uitvoert.

Veelgestelde vragen over pentests

Is een pentest verplicht in Nederland?

Niet direct, maar NIS2 (Cyberbeveiligingswet) vereist dat organisaties "passende technische maatregelen" nemen, waaronder het testen van beveiliging. DORA verplicht penetratietesten expliciet voor financiele instellingen. Daarnaast vragen steeds meer verzekeraars en klanten om jaarlijkse pentesten.

Wat is het verschil tussen black-box, grey-box en white-box?

Bij een black-box pentest heeft de tester geen voorkennis. Bij grey-box krijgt de tester beperkte informatie, zoals inloggegevens. Bij white-box heeft de tester volledige toegang tot broncode en architectuurdocumentatie. Grey-box is het meest voorkomend omdat het de beste balans biedt tussen realisme en diepgang.

Kan een pentest schade veroorzaken aan mijn systemen?

Professionele pentesters werken volgens strikte regels (Rules of Engagement) en vermijden destructieve acties. Het risico op downtime is minimaal. Wel wordt altijd afgestemd welke systemen getest mogen worden en binnen welke tijdsvensters.

Hoe vaak moet je een pentest laten doen?

Minimaal jaarlijks voor kritieke systemen. Bij agile-ontwikkeling of frequente releases is het aan te raden om bij elke grote release een pentest of security review in te plannen. Continuous pentesting wordt steeds populairder bij organisaties met een hoog releasetempo.

Wat staat er in een pentest-rapport?

Een goed pentest-rapport bevat een management summary, de methodologie, alle gevonden kwetsbaarheden met risicoclassificatie (CVSS), bewijs (screenshots, logs), en concrete aanbevelingen voor herstel. Het rapport is zowel leesbaar voor management als bruikbaar voor het technische team.

Wat is het verschil tussen een pentest en een audit?

Een audit toetst aan een normenkader (zoals ISO 27001) en kijkt naar beleid, processen en documentatie. Een pentest is een technische test die daadwerkelijk probeert kwetsbaarheden te exploiteren. Ze vullen elkaar aan: de audit checkt of het beveiligingsbeleid klopt, de pentest checkt of de techniek klopt.