Pentest uitvoeren onder NIS2 en Cbw: de complete gids voor MSPs

Een penetratietest is een geautoriseerde, gesimuleerde cyberaanval op je systemen, uitgevoerd door gecertificeerde ethical hackers die proberen je beveiliging te doorbreken op dezelfde manier als een kwaadwillende aanvaller — maar met jouw expliciete toestemming en binnen een vooraf bepaalde scope. Onder artikel 21 van de NIS2-richtlijn (EU 2022/2555) is het valideren van de effectiviteit van beveiligingsmaatregelen een expliciete verplichting voor organisaties in de supply chain van essentiële entiteiten.

Waarom een kwetsbaarheidsscan geen pentest is

De meest gemaakte fout in MSP-land: een geautomatiseerde kwetsbaarheidsscan uitvoeren, een rapport genereren, en dit als “pentest” documenteren voor NIS2-doeleinden. Dat is niet alleen onvoldoende — het is een misverstand dat bij een audit direct zichtbaar wordt.

Een kwetsbaarheidsscan identificeert bekende zwaktes automatisch op basis van een database van bekende CVEs (Common Vulnerabilities and Exposures). Het rapporteert wat er aanwezig is, niet of het daadwerkelijk misbruikt kan worden. Een pentester — een menselijke ethical hacker — combineert gevonden kwetsbaarheden, omzeilt detectie, escaleert privileges en demonstreert de werkelijke impact van een aanval. Dat tweede is wat de Nederlandse Cyberbeveiligingswet (Cbw), de implementatie van NIS2, bedoelt met “validatie van de effectiviteit van beveiligingsmaatregelen.”

Volgens het NCSC is een penetratietest de gouden standaard voor het aantonen dat beveiligingsmaatregelen ook daadwerkelijk werken onder realistische aanvalscondities. Een auditor wil niet alleen zien dat je een firewall hebt — hij wil bewijs dat die firewall ook werkt als een aanvaller er actief tegenaan gaat.

Wat auditors concreet willen zien:

• Een schriftelijk rapport van een gecertificeerde derde partij
• Documentatie van gevonden kwetsbaarheden met CVSS-score en exploitatiebewijs
• Een remediëringsplan per bevinding met eigenaar en deadline
• Een hertest die bevestigt dat gevonden kwetsbaarheden zijn opgelost
• Archivering van minimaal 3 jaar (conform bewaarplicht onder de Cbw)

Wat is een penetratietest precies?

Een penetration test, of pentest, is een methode om de beveiliging van een computersysteem, netwerk of applicatie te evalueren door een gesimuleerde aanval uit te voeren. Security professionals — ethical hackers — proberen op verschillende manieren je digitale verdediging te doorbreken. Dit gebeurt met jouw volledige toestemming en binnen een vooraf afgesproken kader, vastgelegd in een schriftelijke overeenkomst.

Het primaire doel is niet alleen het identificeren van kwetsbaarheden, maar het demonstreren van de werkelijke impact. Waar een scanner rapporteert “dit systeem heeft kwetsbaarheid CVE-2024-XXXX”, laat een pentester zien: “via deze kwetsbaarheid hebben wij volledige controle verkregen over dit systeem én zijn we doorgedrongen tot het volgende netwerksegment.” Dat verschil bepaalt of je een realistisch beeld hebt van je risico’s.

Pentesting speelt een cruciale rol in de algehele beveiligingsstrategie van een organisatie. Het is meer dan een technische controle — het is een manier om de weerbaarheid van je hele organisatie te testen vanuit het perspectief van een echte aanvaller. De inzichten die dit oplevert, zijn niet te krijgen via automatische scans.

De drie typen pentests: welke past bij jouw MSP?

Niet elke penetratietest is hetzelfde. Afhankelijk van de hoeveelheid voorkennis die de testers meekrijgen, onderscheiden we drie hoofdcategorieën. De keuze bepaalt zowel de kosten als de diepgang van de test.

Black box pentest: de externe aanvaller

Bij een black box pentest starten de testers zonder enige voorkennis over het doelwit — precies zoals een externe aanvaller zonder interne kennis te werk gaat. Ze beginnen met alleen de organisatienaam en bouwen van daaruit hun aanvalspad op: domeinen zoeken, subdomains enumereren, open poorten scannen, en informatie via OSINT-technieken verzamelen.

Deze aanpak is ideaal om te testen hoe effectief je externe verdedigingsmechanismen zijn. Het geeft een realistisch beeld van de risico’s die je loopt van onbekende aanvallers op het internet. Een black box test focust op:

• Identificatie van publiek toegankelijke systemen en informatielekken
• Kwetsbaarheden die vanaf het internet misbruikt kunnen worden
• Realistische simulatie van een externe aanval zonder voorkennis

Het nadeel is dat black box tests tijdsintensief zijn en duurder uitvallen. Testers die veel tijd kwijt zijn aan reconnaissance vinden mogelijk niet alle interne kwetsbaarheden die direct relevant zijn voor NIS2-compliance.

White box pentest: de diepgaande analyse

Een white box pentest biedt de testers volledige transparantie: netwerkdiagrammen, inloggegevens, broncode van applicaties. Deze aanpak wordt ook wel een “crystal box”-test genoemd. Het doel is niet demonstreren óf een aanvaller kan binnendringen, maar zo veel mogelijk kwetsbaarheden vinden in zo min mogelijk tijd.

White box tests zijn bijzonder effectief voor:

• Grondige analyse van broncode op programmeerfouten (SAST)
• Testen van interne beveiligingsmaatregelen vanuit een insider-perspectief
• Het blootleggen van complexe kwetsbaarheden die automatische tools missen

Voor MSPs die applicaties ontwikkelen voor klanten is een white box test van die applicaties sterk aanbevolen. De combinatie van broncode-analyse en dynamisch testen geeft de meest complete coverage.

Grey box pentest: de aanbevolen aanpak voor MSPs

De grey box pentest combineert het realisme van black box met de efficiëntie van white box. Testers krijgen beperkte informatie mee — bijvoorbeeld de inloggegevens van een standaardgebruiker — en simuleren een scenario waarbij een aanvaller al enige toegang heeft, zoals via een gephishte medewerker of een gelekt wachtwoord.

Dit type test is voor de meeste MSPs de meest kostenefficiënte keuze:

• Efficiënter dan black box omdat testers niet helemaal vanaf nul beginnen
• Realistischer dan white box omdat het een geloofwaardig aanvalsscenario nabootst
• Bijzonder relevant voor multi-tenant omgevingen: kan een klant via gecompromitteerde credentials bij andere klantdata?

Grey box tests richten zich op privilege escalation (van gewone gebruiker naar beheerder), lateral movement (van één systeem naar andere systemen), en insider threat-scenario’s — precies de risico’s die voor MSPs het meest kritiek zijn.

Vergelijkingstabel: pentest typen voor MSPs

Veelvoorkomende kwetsbaarheden die een pentest blootlegt

Een penetratietest brengt een breed scala aan kwetsbaarheden aan het licht die anders onopgemerkt zouden blijven. Inzicht in de meest voorkomende categorieën helpt je begrijpen waarom regelmatig testen essentieel is — niet alleen voor compliance, maar voor echte bescherming.

Netwerk- en infrastructuurkwetsbaarheden

Je netwerk vormt de ruggengraat van je IT-omgeving, en fouten daarin zijn voor aanvallers een open deur. Pentests op netwerkniveau gaan verder dan een standaard vulnerability scan: ze proberen gevonden zwaktes actief te misbruiken en te demonstreren hoe een aanvaller van één kwetsbaar punt naar kritieke systemen kan bewegen.

Testers controleren op open poorten, verkeerd geconfigureerde firewalls, onbeveiligde draadloze netwerken, en verouderde systemen. Ze proberen het interne netwerk te bereiken vanuit het internet en evalueren hoe gemakkelijk laterale beweging is. Veelvoorkomende bevindingen:

• Ongepatchte systemen met bekende CVEs (CVSS ≥ 7.0)
• Zwakke of standaard-wachtwoorden op routers, switches en servers
• Gebrek aan netwerksegmentatie waardoor één gecompromitteerd systeem toegang geeft tot de rest
• Verouderde protocollen zoals SMBv1, Telnet of FTP die nog actief zijn

Applicatie- en softwarefouten

Moderne organisaties zijn sterk afhankelijk van webapplicaties, en deze bevatten regelmatig kwetsbaarheden die als toegangspoort dienen. Het Open Web Application Security Project (OWASP) publiceert jaarlijks de OWASP Top 10: de meest kritieke risico’s voor webapplicaties. Pentests op applicatieniveau volgen dit framework als leidraad.

Typische bevindingen bij applicatietests:

• SQL-injectie: aanvaller manipuleert de database achter de applicatie
• Cross-Site Scripting (XSS): kwaadaardige scripts worden uitgevoerd in de browser van een gebruiker
• Onveilige authenticatie en sessiebeheer: accounts kunnen worden overgenomen
• Insecure Direct Object References (IDOR): gebruiker A kan data van gebruiker B benaderen
• Voor MSPs kritiek: onvoldoende tenant-isolatie in multi-tenant beheerplatforms

Social engineering en menselijke factoren

Technische kwetsbaarheden zijn slechts een deel van het aanvalsppad. Pentests omvatten steeds vaker ook sociale aanvallen: phishing-simulaties, telefonische fraude (vishing), en fysieke beveiligingstests. Volgens het NCSC begint meer dan 90% van alle succesvolle cyberaanvallen met een sociale aanval.

Voor MSPs is dit extra relevant: een medewerker van de helpdesk die toegang heeft tot alle klantomgevingen is een hoogwaardig doelwit voor gerichte phishing. Een pentest die dit scenario meenam, legt snel bloot of je bewustwordingstraining daadwerkelijk werkt.

Het stappenplan voor een effectieve pentest

Een effectieve penetratietest is geen willekeurige hackpoging maar een gestructureerd proces met vaste fasen. Inzicht in dit proces helpt je de juiste vragen te stellen aan een provider en de kwaliteit van het resultaat te beoordelen.

Fase 1: Planning en scopebepaling

De eerste en meest bepalende stap. In samenwerking met de provider leg je vast welke systemen in scope zijn, welke testmethode wordt gebruikt (black/white/grey box), wat de timing is, en welke noodstoppen gelden. Een heldere scope voorkomt dat kritieke productiesystemen onbedoeld worden beïnvloed.

Stel vooraf vast: welke vragen wil je beantwoord zien? Is jouw detectie sterk genoeg om een aanvaller te signaleren? Kan een gecompromitteerde klant andere klanten bereiken? Is een beheerder met remote access in staat om je volledige infrastructuur over te nemen? Die vragen bepalen de scope.

Fase 2: Reconnaissance en informatie verzamelen

Testers verzamelen informatie over het doelwit via passieve en actieve methoden. Passieve reconnaissance gebruikt openbare bronnen (WHOIS, DNS-records, LinkedIn, Shodan) om een beeld te vormen van de aanvalsoppervlakte. Actieve reconnaissance scant het netwerk direct op open poorten, actieve systemen en draaiende services.

In deze fase worden ook sociale aanvallen voorbereid als die in scope zijn: medewerkersinformatie verzameld via LinkedIn, e-mailformaten afgeleid, pretexts opgezet voor phishing-simulaties.

Fase 3: Exploitatie en aanvalsuitvoering

Met de verzamelde informatie voeren de ethical hackers de daadwerkelijke aanval uit. Ze proberen geïdentificeerde kwetsbaarheden actief te misbruiken: SQL-injecties uitvoeren, exploits inzetten voor ongepatchte systemen, phishing-e-mails sturen, inloggegevens kraken met brute force.

Na het verkrijgen van initiële toegang proberen testers privileges te escaleren (van normale gebruiker naar beheerder), zich lateraal door het netwerk te bewegen, en hun aanwezigheid te persisteren — net zoals een echte aanvaller dat zou doen. Het doel is aantonen wat de werkelijke impact van een succesvolle aanval is.

Fase 4: Rapportage en aanbevelingen

Na afloop ruimen testers alle sporen op. Vervolgens stellen ze een rapport op dat geschikt is voor zowel technisch personeel als management. Een kwalitatief goed rapport bevat:

• Samenvatting van bevindingen met risicoklassificatie (CVSS-score)
• Technische beschrijving van elke kwetsbaarheid inclusief exploitatiemethode
• Screenshots of video-opnames als bewijs van succesvolle exploitatie
• Business impact per bevinding: wat had een aanvaller kunnen doen met deze toegang?
• Prioriteitenlijst voor remediëring met concrete, uitvoerbare aanbevelingen

Fase 5: Hertest en verificatie

Een fase die in de praktijk vaak wordt overgeslagen maar essentieel is voor NIS2-compliance: de hertest. Na het doorvoeren van de aanbevolen fixes voer je een gerichte hertest uit om te bevestigen dat de kwetsbaarheden daadwerkelijk zijn opgelost. Dit verificatierapport is het bewijs dat je beveiligingsmaatregelen effectief zijn — precies wat een NIS2-auditor wil zien.

Internationale standaarden en methodologieën

Professionele pentest-providers werken volgens gestandaardiseerde methodologieën. Het kennen van deze standaarden helpt je de kwaliteit van een provider te beoordelen.

Vraag bij het selecteren van een provider altijd welke standaard ze hanteren. Een provider die OWASP en NIST SP 800-115 noemt heeft een gestructureerde aanpak. Een provider die vage eigen methodologieën beschrijft zonder verwijzing naar standaarden is een risico.

NIS2 en de Cyberbeveiligingswet: wat MSPs moeten aantonen

Artikel 21 van de NIS2-richtlijn (EU 2022/2555) verplicht organisaties tot “passende en evenredige technische en organisatorische maatregelen” om cyberrisico’s te beheren. De Nederlandse Cyberbeveiligingswet (Cbw), die naar verwachting Q2 2026 van kracht wordt, vertaalt dit naar concrete verplichtingen.

Voor MSPs als IT-dienstverleners in de supply chain van NIS2-plichtige organisaties betekent dit: klanten zijn verplicht hun leveranciers te beoordelen op beveiligingsniveau. Een gedocumenteerde pentest — door een gecertificeerde derde partij, met hertest en remediëringsplan — is het sterkste bewijsmiddel dat je kunt overleggen.

Wat een NIS2-compliant pentest-dossier bevat:

1. Scope-document ondertekend door beide partijen vóór de test
2. Rapport van gecertificeerde derde partij (OSCP, CEH of vergelijkbaar gecertificeerde testers)
3. Kwetsbaarhedenlijst met CVSS-scores en exploitatiebewijs
4. Remediëringsplan per bevinding: eigenaar, prioriteit, deadline
5. Hertest-rapport: bevestiging dat bevindingen zijn opgelost
6. Archivering: bewaar alle documenten minimaal 3 jaar

Hoe vaak moet je pentesten?

De Cbw stelt geen expliciete frequentie vast, maar de praktijknorm die auditors hanteren:

• Minimaal jaarlijks een volledige penetratietest op kritieke systemen
• Na elke significante wijziging: nieuwe cloudomgeving, nieuwe klantintegratie, major software-update
• Na een beveiligingsincident: om te valideren dat het lek is gedicht en er geen persistentie is achtergelaten
• Bij nieuwe klanten in NIS2-sectoren: voor onboarding als bewijs van je beveiligingsniveau

Voor MSPs met meerdere klantomgevingen is een gefaseerde aanpak logisch. Prioriteer systemen die toegang geven tot NIS2-plichtige klantomgevingen, en beheerplatforms die centraal staan in je dienstverlening.

Tools en technieken in de gereedschapskist van een pentester

Professionele pentesters gebruiken een breed arsenaal aan tools. Kennis hiervan helpt je de diepgang van een test te begrijpen en onderscheid te maken tussen een grondige test en een oppervlakkige scan.

Populaire tools

• Metasploit Framework: platform voor het ontwikkelen en uitvoeren van exploits — de standaard voor het aantonen van daadwerkelijke exploitatie
• Nmap: netwerkscan voor het in kaart brengen van open poorten, actieve systemen en services
• Burp Suite: essentieel voor webapplicatietests, onderschept en analyseert HTTP-verkeer
• Nessus / OpenVAS: vulnerability scanners als startpunt voor identificatie
• Wireshark: netwerkverkeersanalyse voor het onderscheppen van communicatie
• John the Ripper / Hashcat: wachtwoordkraken om zwakke of hergebruikte wachtwoorden te vinden
• BloodHound: analyseert Active Directory-configuraties en vindt aanvalspaden naar domeinbeheerder

Handmatig versus geautomatiseerd

Een effectieve pentest combineert automatische en handmatige methoden. Geautomatiseerde tools zijn uitstekend voor het snel scannen op bekende kwetsbaarheden — ze vinden het “laaghangend fruit” in korte tijd. Maar geautomatiseerde tools missen context: ze kunnen niet beoordelen of een gevonden kwetsbaarheid daadwerkelijk misbruikbaar is in jouw specifieke omgeving, en ze missen logische fouten in de bedrijfslogica van applicaties.

Handmatig testen is waar de werkelijke waarde zit. Een ervaren pentester valideert de resultaten van automatische scans, probeert complexe aanvalspaden uit die tools nooit overwegen, en ontdekt kwetsbaarheden die het gevolg zijn van de unieke combinatie van systemen in jouw omgeving. De beste aanpak:

• Geautomatiseerd: brede coverage, snel, geschikt voor bekende CVEs
• Handmatig: diepgaand, contextueel, onmisbaar voor complexe en unieke kwetsbaarheden
• Combinatie: verplicht voor een grondige en compliant pentest

De juiste pentest-provider kiezen

Het succes van een pentest hangt sterk af van de expertise van de uitvoerende partij. De juiste keuze maakt het verschil tussen een rapport dat je daadwerkelijk helpt je beveiliging te verbeteren, en een document dat alleen een compliance-vinkje geeft zonder echte waarde.

Waar je op let

Certificeringen van de testers: vraag specifiek welke personen de test uitvoeren en welke certificeringen zij hebben. Gerespecteerde certificeringen:

• OSCP (Offensive Security Certified Professional): praktisch, hands-on examen — de gouden standaard
• CEH (Certified Ethical Hacker): brede fundamentele certificering
• CREST-certificering: British Council for Registered Ethical Security Testers, erkend door NCSC
• CISSP: breder management-gericht beveiligingscertificaat

Kwaliteit van het rapport: vraag voor het tekenen van een contract om een geanonimiseerd voorbeeldrapport. Is het begrijpelijk voor management én technische teams? Zijn de aanbevelingen concreet en uitvoerbaar? Staan er CVSS-scores bij?

Methodologie: welke standaarden volgen ze? OWASP, PTES, NIST SP 800-115? Een provider die geen standaarden noemt, is een risico.

Nazorg: bieden ze ondersteuning bij het verhelpen van bevindingen? Is hertest inbegrepen of een extra kostenpost?

Wat een pentest kost

Kosten variëren sterk afhankelijk van scope, omvang en type. Als richtlijn voor MSP-omgevingen:

• Grey box netwerktest (1-3 netwerksegmenten): €3.000 – €8.000
• Webapplicatietest (1 applicatie): €4.000 – €10.000
• Volledig pentest-pakket (netwerk + applicaties + social engineering): €8.000 – €20.000
• Red team exercise (uitgebreide aanvalssimulatie): €15.000 – €50.000+

Houd rekening met hertest-kosten (vaak 20-40% van de initiële testkosten) en met de kosten van remediation — het verhelpen van gevonden kwetsbaarheden.

Veelgestelde vragen over pentests en NIS2

Hoe vaak moet je een pentest uitvoeren onder de Cyberbeveiligingswet?
De Cbw stelt geen vaste frequentie vast. De marktstandaard en wat auditors verwachten: minimaal jaarlijks voor kritieke systemen, na significante infrastructuurwijzigingen, en na beveiligingsincidenten. Organisaties in hoogrisico-sectoren voeren kwartaaltests uit op hun meest kritieke systemen.

Wat is het verschil tussen een pentest en een vulnerability assessment?
Een vulnerability assessment (of kwetsbaarheidsscan) identificeert en rapporteert bekende kwetsbaarheden op basis van een database, vaak volledig geautomatiseerd. Een penetratietest probeert die kwetsbaarheden actief te misbruiken om de werkelijke impact te demonstreren. Een pentest is een actieve aanvalssimulatie — een vulnerability assessment is een inventarisatie.

Welke informatie ontvang ik in een pentest-rapport?
Een compliant pentest-rapport bevat: een managementsamenvatting (niet-technisch), een technisch overzicht van alle bevindingen met CVSS-score, stap-voor-stap beschrijving van hoe elke kwetsbaarheid is geëxploiteerd (met bewijs), de zakelijke impact per bevinding, en concrete aanbevelingen voor remediëring met prioriteitstelling.

Moet ik mijn klanten informeren dat je hun omgeving pentesten?
Als MSP pentest je jouw eigen beheerinfrastructuur. Voor tests op klantomgevingen heb je altijd schriftelijke toestemming van de klant nodig. Zonder expliciete autorisatie is een pentest op andermans systemen illegaal — ook als je die systemen beheert.

Telt een interne pentest (door eigen medewerkers) voor NIS2?
Technisch gezien kan het, maar de meeste auditors en NIS2-toezichthouders geven de voorkeur aan een onafhankelijke derde partij. Het principe van “independent assurance” — externe validatie — geeft aanzienlijk meer geloofwaardigheid aan je compliance-dossier.

Kan mijn MSP zelf pentests aanbieden aan klanten?
Ja, maar alleen als je medewerkers beschikken over relevante certificeringen (OSCP, CEH), als je een formele methodologie hanteert, en als alle tests plaatsvinden met schriftelijke toestemming van de klant. Veel MSPs werken samen met gespecialiseerde pentesting-partners in plaats van het intern op te bouwen.

Quickscan: hoe ver staat jouw MSP met NIS2-compliance?

Weet je niet zeker of jouw organisatie al aan de NIS2-vereisten voldoet voor technische beveiligingstests? De gratis NIS2-quickscan van GRC Kompas geeft je binnen drie minuten inzicht in je gap-score op alle vier de kernverplichtingen van de NIS2-richtlijn, inclusief technische beveiligingsvalidatie.

→ Doe de gratis NIS2-quickscan

Of lees meer over de volledige NIS2-compliance aanpak voor MSPs: NIS2 compliance voor MSPs en IT-dienstverleners