Negen vragen, zeven rode vlaggen en een checklist waarmee u offertes van pentestbedrijven eerlijk vergelijkt. Geschreven voor wie beslist, niet voor wie test.
Wie een pentest wil laten uitvoeren, vindt in Nederland tientallen aanbieders: van eenmanszaken tot grote consultancykantoren. De kwaliteitsverschillen zijn groot en een certificaat aan de muur zegt niet alles. Deze gids geeft u negen vragen, de rode vlaggen en een checklist om een pentestbedrijf te beoordelen. Hij werkt ook als u uiteindelijk niet voor Rootsec kiest.
Stel deze vragen in elk verkennend gesprek. Een goede uitvoerder beantwoordt ze zonder aarzelen; waar het stil valt, weet u genoeg.
Vraag naar de mensen die daadwerkelijk testen, niet naar de accountmanager. Welke certificeringen hebben zij (OSCP-niveau of hoger, aanvullend bijvoorbeeld CRTP of CRTE voor Active Directory) en hoeveel vergelijkbare omgevingen hebben zij getest? Een goed pentestbedrijf stelt zijn testers gewoon aan u voor, vóór de opdracht.
Een geautomatiseerde scan met een logo erop is geen penetratietest. Vraag welk deel van het werk handmatig gebeurt en hoe de uitvoerder omgaat met vals alarm. Vraag ook of de bevindingen daadwerkelijk zijn uitgebuit en aangetoond, of alleen gesignaleerd. Alleen bewezen kwetsbaarheden tellen.
Een offerte zonder intake is een gok, voor u en voor de uitvoerder. Een serieus bedrijf wil eerst weten wat er getest wordt (applicaties, systemen, rollen), hoe diep, en met welke voorkennis. Pas daarna hoort u een prijs. Vraag of die prijs vast is, of dat er nacalculatie volgt.
Vraag langs welke standaarden wordt getest, zoals OWASP en PTES, en welke testvorm wordt voorgesteld: blackbox, greybox of whitebox. Een goede uitvoerder legt uit waarom die keuze past bij uw doel. Met toegang en documentatie (whitebox) gaat minder tijd in verkenning zitten en komt er meer bewijs voor hetzelfde budget. Lees ook wat een pentest precies is.
Vraag een geanonimiseerd voorbeeldrapport op en lees het alsof u de ontvanger bent. Staat er een managementsamenvatting in die uw directie begrijpt? Heeft elke bevinding bewijs (stappen, screenshots), een risico-inschatting en een concreet hersteladvies? Een rapport dat alleen uit scanneroutput bestaat, herkent u aan generieke teksten en ontbrekend bewijs.
Een pentest is pas af als is gecontroleerd dat de lekken echt dicht zijn. Vraag of een hertest is inbegrepen of bij te boeken, binnen welke termijn, en of u daarna een bijgewerkt rapport krijgt. Voor een auditor of klant is dat tweede rapport vaak het document dat telt.
Laat uw systemen niet testen door de partij die ze bouwt of beheert. Niet omdat die partij onbetrouwbaar is, maar omdat een frisse blik en een onafhankelijk oordeel de waarde van de test bepalen. Dat geldt ook voor de rapportage: die moet zonder commercieel belang bij het herstel geschreven zijn.
Tijdens een test ziet de uitvoerder gevoelige informatie. Vraag naar geheimhouding, de manier waarop bevindingen en bewijs veilig worden overgedragen, en hoe lang gegevens bewaard blijven. Vraag ook hoe wordt omgegaan met risicovolle tests: die horen alleen plaats te vinden met uw expliciete toestemming, of in een testomgeving.
Test u voor NIS2, ISO 27001 of DORA, dan moet het rapport auditbestendig zijn: scope, methode, bevindingen, herstel en hertest herleidbaar vastgelegd. Vraag of de uitvoerder daar ervaring mee heeft en of het rapport aansluit op de norm. Zie onze pagina’s over een NIS2-penetratietest en een ISO 27001-penetratietest.
Herkent u één van deze signalen, vraag dan door of kijk verder:
De prijs volgt uit scope, diepgang, testvorm, hertest en rapportage-eisen. Bedrijfsgrootte zegt weinig. In wat bepaalt de kosten van een penetratietest leggen we de vijf factoren uit, zodat u offertes op dezelfde manier kunt vergelijken.
Onze pentesters testen zelf en schrijven zelf het rapport; u spreekt ze vóór de opdracht. Het werk is handmatig, langs OWASP en PTES, met certificeringen op OSCP-niveau en hoger. Scoping komt altijd vóór de prijs, en die prijs is vast. Elk rapport bevat bewijs en herstelstappen per bevinding, en een hertest hoort erbij. Wij bouwen en beheren geen systemen, dus we testen onafhankelijk. Als deelnemer aan het Anthropic Cyber Verification Program zetten we AI in om sneller te verkennen; beslissen en bewijzen blijft mensenwerk. Meer over onze penetratietest.
Twee tot drie is genoeg, mits u dezelfde scope deelt en dezelfde vragen stelt. Vergelijk niet alleen de prijs, maar vooral het aantal handmatige testdagen, het voorbeeldrapport en of de hertest is inbegrepen.
Niet altijd, maar een opvallend lage prijs betekent meestal minder handmatig testwerk of een kleinere scope dan u denkt. Vraag altijd hoe de prijs is opgebouwd. Lees ook wat de kosten van een penetratietest bepaalt.
Beoordeel vooral de certificeringen en ervaring van de testers zelf en de kwaliteit van het rapport. Een keurmerk of bedrijfscertificering kan een extra zekerheid zijn, maar vervangt die beoordeling niet.
Ja, en dat zou u ook moeten doen. Een kort gesprek met de uitvoerende tester zegt meer over de kwaliteit dan een brochure. Een goed pentestbedrijf vindt dat vanzelfsprekend.
Reken op twee tot zes weken tussen eerste contact en start, afhankelijk van scope en drukte. Compliance-deadlines (audit, certificering) zijn een goede reden om eerder te beginnen, zodat er tijd is voor herstel en hertest.
Volgende stap
Plan een gratis strategiegesprek van 30 minuten. U krijgt antwoord op elke vraag uit deze gids, duidelijkheid over scope en aanpak, en daarna een vaste prijs. Zonder verplichtingen.