Heb je een pentest nodig?

Een opdrachtgever vraagt in een offerteaanvraag: wanneer is uw laatste pentest uitgevoerd? Of een IT-bedrijf belt en biedt er een aan. Je weet ongeveer wat het is: iemand die met toestemming probeert in te breken. Maar of jij dat nodig hebt, met vijf mensen en een webshop, weet je niet.

Dat is een goede vraag om te stellen. Een pentest kan veel opleveren, maar lang niet elk bedrijf heeft er nu al iets aan.

Wat een pentest is

Een pentest, kort voor penetratietest, is een test waarbij een beveiligingsspecialist met jouw toestemming probeert je digitale beveiliging te omzeilen. De specialist doet dat op dezelfde manier als een echte aanvaller. Daarna krijg je een verslag van wat die vond en hoe ernstig dat is.

Er zijn verschillende vormen. De tester kan vooraf niets van je bedrijf weten, zoals een aanvaller van buiten. De tester kan ook juist alle informatie krijgen, en dan grondiger zoeken. Volgens de KVK kost een kleine pentest van ongeveer een dag rond de €1.000. Een uitgebreide test kan duizenden tot tienduizenden euro's kosten en weken duren.

Een pentest is iets anders dan een beveiligingsscan. Een scan is een automatische test die bekende zwakke plekken zoekt. Die kan elke maand of zelfs doorlopend draaien. Bij een pentest zit er een mens achter die nadenkt als een aanvaller.

Wanneer het ertoe doet

Voor veel kleine bedrijven is een pentest niet de eerste stap. Hij wordt zinvol als je iets hebt wat mensen van buiten kunnen bereiken, en wat belangrijk is voor je bedrijf. Denk aan:

• Een webshop of klantportaal waar klanten inloggen of betalen.
• Een app of programma dat je laat bouwen, vooral voordat klanten het gaan gebruiken of na een grote verandering.
• Een klant, opdrachtgever of je verzekeraar die erom vraagt, bijvoorbeeld in een beveiligingsvragenlijst, een aanbesteding of bij een cyberverzekering. Dan is een pentest een prima stap, en vaak een noodzakelijke.
• Gevoelige gegevens die via internet bereikbaar zijn, zoals medische of financiële gegevens.

Werk je vooral met een standaard online pakket voor mail en bestanden, en heb je een eenvoudige website zonder inlog? Dan zit je risico meestal ergens anders. Denk aan een ontbrekende tweede inlogstap, updates die blijven liggen of een back-up die nooit is getest. Een pentest vindt dat ook, maar dan betaal je een specialist om te vertellen wat je zelf al kon weten.

Hoe wij erover denken

Eerst de basis, dan de test. Een pentest laat zien waar het lek zit. Staat de voordeur nog open, dan hoef je niemand in te huren om dat te ontdekken. Zet eerst een tweede inlogstap aan, houd je updates bij en regel een back-up die werkt. Voor het bedrag van één kleine pentest, rond de €1.000, zet je met de +Z Checkup een jaar lang je basis op orde. Dan vindt een pentest daarna ook echt iets wat je niet zelf al had kunnen weten.

Test wat ertoe doet. Een pentest heeft een afgebakend doel nodig. "Test alles" is duur en levert een dik verslag op waar je weinig mee kunt. "Test onze webshop, inclusief het inloggen van klanten" is een goede opdracht.

Weet wat je krijgt. Een tester met het keurmerk Pentesten levert een formeel verslag, opgesteld volgens de norm van dat keurmerk. Dat is precies wat een klant of verzekeraar wil zien. Voor jezelf is het vaak een lijvig, technisch document. Er zit een managementsamenvatting in, een korte samenvatting op één of twee pagina's. Voor de rest heb je iemand nodig die het vertaalt naar wat je moet doen.

Het verslag is pas het begin. Het resultaat zit in wat je daarna oplost. Spreek vooraf af wie de gevonden punten oppakt, en houd daar tijd en geld voor vrij.

Let op wat er na de test komt. Een pentest is vaak niet duur. Het verslag laat zien wat er mis is, en het oplossen kost daarna uren. Vaak biedt dezelfde partij die uren aan, en daar zit de echte rekening. Dat is niet verkeerd, maar vraag vooraf wat het oplossen ongeveer kost. En kies daarna gerust iemand anders om het op te lossen. Het verslag is van jou.

Een pentest is een momentopname. Hij zegt iets over de versie die getest is, op de dag van de test. Komt er een nieuwe versie van je software, een update van je leverancier of een nieuwe koppeling, dan is niet zeker dat daar geen nieuw lek in zit. Daarom hoort er meer bij: automatische tests en scans bij elke wijziging, en opnieuw testen na een grote verandering. Hoe dat werkt, lees je in Automatische tests.

Geen test is ook een keuze. Is je risico klein, dan is het prima om geen pentest te doen. Schrijf wel op waarom niet. Dan kun je het uitleggen als een klant ernaar vraagt.

Of je een pentest laat doen, bepaal jij. Wat mij betreft hangt het af van wat je online hebt staan, en wat er gebeurt als dat misgaat.

Vragen om jezelf te stellen

Wat je zelf kunt doen, op hoofdlijnen

• Maak de basis af. Tweede inlogstap, updates en een back-up. Dat regel je voordat je iemand laat testen.
• Vraag wat er al getest wordt. Vraag je IT-leverancier of webbouwer of er al een beveiligingsscan draait, en of de bouwer het eigen werk test.
• Kies een erkende tester. Het CCV (Centrum voor Criminaliteitspreventie en Veiligheid) heeft een keurmerk Pentesten. Volgens het CCV staat dat keurmerk garant voor de betrouwbaarheid van de aanbieder en van de pentest die hij levert.
• Leg de afspraken vast. Spreek op papier af wat er getest wordt, wanneer, en wie je belt als er iets misgaat. De KVK noemt die schriftelijke toestemming een pentestwaiver.
• Kies een rustig moment. Volgens het NCSC kan een test soms veel van je systemen vragen. Plan hem dus niet in je drukste week.

Voor het kiezen van een test en een aanbieder verwijst het NCSC naar de Buyers guide Securitytesten van Cyberveilig Nederland.

Waar wij bij helpen

We doen zelf geen pentests en verkopen ze ook niet. Daardoor kunnen we onbevangen met je kijken of je er een nodig hebt, en zo ja, wat er getest moet worden.

In de +Z Checkup zie je hoe de basis van je beveiliging ervoor staat en wat je online hebt staan. Jouw IT-plan laat zien welke stap het meeste oplevert. Is dat een pentest, dan weet je wat je moet vragen. Is het iets eenvoudigers, dan houd je dat geld in je zak. Wil je de opdracht of het verslag met iemand doornemen? Dan past Checkup met raadgever.

Veelgestelde vragen

Bronnen
NCSC, Testen van je beveiliging: wat een pentest en een beveiligingsscan zijn, voorbereiding, technische capaciteit, verwijzing naar de Buyers guide Securitytesten van Cyberveilig Nederland.
KVK, Zo houdt een pentest je bedrijf veilig: vormen van pentesten, kosten (kleine test rond €1.000), regelmatig opnieuw testen (bijvoorbeeld jaarlijks), pentestwaiver.
CCV, Keurmerk Pentesten biedt houvast bij cyberweerbaarheid: wat het keurmerk borgt.

Bijgewerkt op 10 november 2026. Feiten en bronnen nagekeken op die datum.