In duizenden Nederlandse organisaties herhaalt zich jaarlijks hetzelfde ritueel. Een externe partij wordt ingehuurd om de beveiliging te testen. Er volgt een rapport, de bevindingen worden besproken en er wordt een plan opgesteld om de kwetsbaarheden te verhelpen. Vervolgens verdwijnt het rapport in een la, wordt het plan gedeeltelijk uitgevoerd, en voelt de organisatie zich een jaar lang veilig. Tot de volgende pentest.

Dat ritueel behoort tot de hardnekkigste gewoonten in cybersecurity, en niet omdat pentests waardeloos zouden zijn. Zij zijn juist waardevol. Het probleem is dat een jaarlijkse pentest als enige testmethode een gevoel van veiligheid creëert dat niet met de werkelijkheid overeenkomt.

De cijfers die u wakker moeten houden

Om te begrijpen waarom een pentest na zes maanden zijn waarde grotendeels heeft verloren, is inzicht nodig in de snelheid waarmee het dreigingslandschap verandert:

48.185 CVE's gepubliceerd in 2025, ruim 130 per dag
-7 dagen gemiddelde tijd tot exploit: exploitatie gaat vooraf aan de patch
31% van de datalekken begon met misbruik van een kwetsbaarheid
180+ dagen tussen twee jaarlijkse pentests zonder zicht

Het tweede cijfer verdient toelichting, want het is nieuw. Mandiant hield jarenlang bij hoeveel dagen er gemiddeld verstreken tussen de publicatie van een kwetsbaarheid en het eerste waargenomen misbruik. In 2018 bedroeg dat interval nog drieënzestig dagen. Sindsdien is het elk jaar geslonken, en volgens M-Trends 2026 is het voor 2025 uitgekomen op min zeven dagen. Exploitatie vindt gemiddeld dus plaats vóórdat er een patch beschikbaar is.

Het derde cijfer komt uit het Verizon Data Breach Investigations Report 2026. Daarin begon 31% van de onderzochte datalekken met het misbruiken van een kwetsbaarheid, tegen 20% een jaar eerder. Daarmee is die route voor het eerst in de negentienjarige geschiedenis van het rapport belangrijker geworden dan gestolen inloggegevens. Van die gevallen betrof 22% randapparatuur: firewalls, VPN-concentrators en toegangsgateways.

De optelsom is ongemakkelijk. Uw pentest van januari toetste op de kwetsbaarheden die in januari bekend waren. Alles wat in de maanden daarna is gepubliceerd, bestaat evengoed in uw omgeving, maar wordt niet getest. Het rapport meldt groen; de werkelijkheid is dat inmiddels onbekend.

Het verschil tussen compliance-pentesten en security-testen

Hiermee komen we bij de kern. Er bestaan twee wezenlijk verschillende aanleidingen voor een pentest: compliance en beveiliging. Het merendeel van de pentests in Nederland komt voort uit de eerste.

Een compliance-pentest wordt uitgevoerd omdat een norm, wet of afnemer daarom vraagt. ISO 27001, NIS2, PCI-DSS of een klantaudit: ergens is vastgelegd dat u periodiek moet testen. De scope volgt uit wat de norm voorschrijft, niet uit uw feitelijke aanvalsoppervlak. Het rapport moet aantonen dát u heeft getest, niet dat u veilig bent.

Een security-pentest wordt uitgevoerd om werkelijke kwetsbaarheden te vinden voordat een ander dat doet. De scope volgt uit uw risicoprofiel. De testers redeneren vanuit het perspectief van een aanvaller en zoeken naast bekende kwetsbaarheden ook naar logische fouten, misconfiguraties en ketenafhankelijkheden die een geautomatiseerde scanner niet aan het licht brengt.

Waaraan u het onderscheid herkent: duurt uw pentest minder dan vijf werkdagen, is de scope al jaren ongewijzigd, en bestaat het rapport overwegend uit scanneruitvoer met een managementsamenvatting ervoor, dan heeft u een compliance-pentest afgenomen. Daarmee beschikt u over een rapport, niet over inzicht in uw beveiliging.

Waarom jaarlijks testen een illusie is

Stelt u zich een pand voor met honderd ramen. Eenmaal per jaar controleert iemand of alle ramen gesloten zijn. Op de dag van de controle is dat het geval en luidt de conclusie dat alles in orde is. De dag erna wordt een raam bijgeplaatst. Een maand later begeeft een sluiting het. Drie maanden later blijft een raam per ongeluk openstaan. Niemand merkt het, want de volgende controle volgt pas over negen maanden.

Dat is wat er gebeurt bij een jaarlijkse pentest in een IT- en OT-omgeving die voortdurend verandert:

  • Nieuwe systemen worden uitgerold, veelal zonder security review
  • Software wordt bijgewerkt, soms met nieuwe kwetsbaarheden als neveneffect
  • Configuraties worden gewijzigd door beheerders, ontwikkelaars en leveranciers
  • Nieuwe applicaties worden in gebruik genomen
  • Medewerkers vertrekken zonder dat hun accounts consequent worden opgeruimd
  • Clouddiensten worden afgenomen buiten de IT-afdeling om
  • Leveranciers krijgen nieuwe vormen van toegang

Elke wijziging vormt een mogelijk nieuw aanvalspunt, en geen van deze wijzigingen wordt getoetst tot de volgende jaarlijkse test.

Wat u in plaats daarvan nodig heeft

De oplossing ligt niet in het vaker uitvoeren van dezelfde pentest. Vier middelmatige pentests per jaar leveren nauwelijks meer op dan één. Wat nodig is, is een gelaagde teststrategie die doorlopend inzicht geeft:

1. Continuous vulnerability management. Geautomatiseerde, frequente scans van uw interne en externe aanvalsoppervlak, wekelijks of dagelijks in plaats van jaarlijks. Daarmee komen nieuwe kwetsbaarheden in beeld op het moment dat zij bekend worden. Wel een kanttekening: vulnerability scanning is geen pentest. Het signaleert bekende kwetsbaarheden, maar toetst niet of zij exploiteerbaar zijn en vindt geen logische fouten. Het is een aanvulling, geen vervanging.

2. Attack surface management. Doorlopende bewaking van wat er vanaf het internet van u zichtbaar is: systemen, diensten, subdomeinen, IP-adressen en cloudresources. Vergeten testomgevingen, schaduw-IT en onbedoeld gepubliceerde diensten komen zo aan het licht voordat een ander ze aantreft.

3. Gerichte pentests op basis van verandering. Pentests behouden hun waarde, maar niet als jaarlijks terugkerende oefening met een vaste scope. Voer ze uit na een ingrijpende infrastructuurwijziging, bij de ingebruikname van een nieuwe applicatie, na een overname, of wanneer het dreigingsbeeld voor uw sector wezenlijk verandert. Laat de scope aansluiten bij uw risico's, niet bij het minimum dat de norm voorschrijft.

4. Red teaming. Waar een pentest kwetsbaarheden in systemen zoekt, beproeft een red team-oefening uw gehele verdedigingsketen: detectie, respons, communicatie en besluitvorming. Signaleert uw SOC de aanval? Handelt uw responseteam adequaat? Worden de juiste personen geïnformeerd? Deze vorm toetst techniek, processen en mensen in samenhang.

5. Vulnerability disclosure of bug bounty. Een gepubliceerd disclosurebeleid of een bug bounty-programma stelt onderzoekers in staat doorlopend bevindingen te melden, tegen een fractie van de kosten van een aanvullende pentest. Voorwaarde is wel dat u die meldingen ook kunt verwerken.

Vuistregel: uw teststrategie moet ten minste zo dynamisch zijn als het dreigingslandschap waarin u opereert. Verandert uw omgeving dagelijks terwijl u jaarlijks toetst, dan ontbreekt gedurende het overgrote deel van het jaar het zicht op uw feitelijke risico's.

Het rapport dat in de la verdwijnt

Er is een tweede probleem dat zelden wordt benoemd: de opvolging, of het gebrek daaraan. Het Verizon-rapport van 2026 bevat daarover een veelzeggend gegeven. Van de kwetsbare randapparatuur die in de onderzochte periode werd geïdentificeerd, was slechts 54% volledig verholpen, met een mediane hersteltijd van tweeëndertig dagen. Dat gaat om apparatuur die rechtstreeks vanaf het internet bereikbaar is, waar de urgentie dus het hoogst zou moeten zijn.

Wij zien dat patroon jaar op jaar bij organisaties waar wij binnenkomen: bevindingen uit het vorige pentestrapport staan onverkort in het volgende, soms met een hogere ernst omdat er in de tussentijd niets is gebeurd. Het rapport wordt besproken, er worden actiepunten geformuleerd, en vervolgens wint de dagelijkse operatie het van de verbetermaatregelen. Tot het volgende rapport.

Een pentest zonder opvolging is niet alleen een verspilde investering, maar verslechtert uw positie. U weet dan immers dat u kwetsbaar bent, heeft daar niet naar gehandeld, en moet dat bij een incident verantwoorden. Onder de Cyberbeveiligingswet is die verantwoording bovendien uitdrukkelijk aan het bestuur toebedeeld.

De pentest is niet het probleem. De aanpak wel.

Pentests vormen een wezenlijk onderdeel van een volwassen beveiligingsprogramma. Het probleem is niet het instrument, maar de wijze waarop het wordt ingezet. Een jaarlijkse pentest als enige testvorm, gedreven door compliance in plaats van risico en zonder structurele opvolging van bevindingen, kost geld zonder het beveiligingsniveau te verhogen.

De relevante vraag luidt daarom niet wanneer uw laatste pentest heeft plaatsgevonden, maar wat u vandaag over uw kwetsbaarheden weet. Berust dat antwoord uitsluitend op een rapport van zes maanden geleden, dan weet u minder dan u vermoedt.

Wij begeleiden organisaties bij de overgang van een jaarlijkse toets naar een doorlopende teststrategie: niet door meer te testen, maar door de testinspanning te richten op wat werkelijk verandert, in een combinatie van geautomatiseerde scanning, gerichte pentests en continue monitoring die past bij het risicoprofiel en het budget.