Er is geen vaste wet die zegt wanneer je een pentest moet laten uitvoeren. Maar er zijn wel momenten waarop een pentest veel oplevert: wanneer je wilt weten of je beveiliging ook in de praktijk klopt.
Een pentest simuleert hoe een aanvaller probeert binnen te komen in je systemen. We zoeken naar zwakke plekken, onderzoeken welke impact die kunnen hebben en rapporteren wat we vinden. Dat doen we zorgvuldig, binnen duidelijke afspraken en met als doel je omgeving niet te verstoren. Tegelijkertijd vraagt technisch testen altijd om een realistische afbakening en goede voorbereiding.
Een pentest helpt om beveiliging uit de sfeer van gevoel en beleid te halen. Je ziet wat een aanvaller in de praktijk kan proberen, waar de echte impact zit en welke vervolgstappen logisch zijn. Hieronder schetsen we acht situaties waarin een pentest een goed idee kan zijn.
1. Voordat een nieuwe applicatie of website live gaat
Een nieuwe applicatie of website is een nieuwe ingang naar je systemen. Hoe zorgvuldig de ontwikkeling ook is verlopen, een securityprofessional kijkt anders naar software dan een ontwikkelaar. Als gebruikers kunnen inloggen, data wordt opgeslagen en koppelingen doen wat ze moeten doen, betekent dat nog niet automatisch dat het systeem ook veilig is.
Bij een nieuwe applicatie testen we vaak volgens een grey-box-aanpak. Daarbij krijgt de ethisch hacker accounts met verschillende rechtenniveaus. Zo wordt zichtbaar wat een gewone gebruiker, beheerder of gebruiker met beperkte rechten in de praktijk kan zien en doen. Juist autorisatiefouten, onveilige sessies, verkeerd ingerichte API’s en toegang tot gegevens die niet zichtbaar hadden mogen zijn, komen vaak pas aan het licht als je een applicatie ook van binnenuit test.
Vinden we tijdens de test een kritieke kwetsbaarheid, dan melden we die direct bij je. Zo kan je ontwikkelaar of IT-partner ermee aan de slag voordat de livegang in gevaar komt. De rest van de bevindingen volgt in een helder rapport, met uitleg over de impact en concrete verbeterpunten.
2. Je hebt net een cloudmigratie achter de rug
Als je workloads, bestanden of applicaties naar Microsoft 365, Azure of een andere cloudomgeving hebt verplaatst, is zo’n nieuwe omgeving gevoelig voor verkeerde instellingen. In de cloud draait immers veel om accounts, rechten, deelpermissies en toegangsbeleid. Een omgeving kan technisch goed functioneren, terwijl data breder toegankelijk is dan bedoeld.
Een pentest of gericht securityonderzoek helpt om te kijken wat er werkelijk mogelijk is. Kunnen gebruikers bij informatie die niet voor hen bedoeld is? Zijn gastaccounts nog logisch? Werkt MFA zoals verwacht? Zijn Conditional Access-regels scherp genoeg ingericht? Als je plan niet overeenkomt met de veiligheid van je omgeving in de praktijk, toont een pentest dit aan. Daarmee ontdekken we of we daadwerkelijk bij data komen die niet voor die gebruiker bedoeld is. Het verschil tussen een instelling die goed lijkt en een omgeving die ook echt dichtzit, dat is precies waar we naar zoeken.
3. Je hebt net een incident gehad
Soms is er geen groot project, maar wel een aanleiding om opnieuw naar je beveiliging te kijken. Bijvoorbeeld nadat er op een phishingmail is geklikt, een onbekende login is gezien of een leverancier een securityrisico meldt. Ook een onverklaarbare portscan of het gevoel dat er iets niet klopt, kan reden zijn om je omgeving opnieuw kritisch te laten beoordelen.
Een pentest is geen incident response-onderzoek. Als er een vermoeden is van een actief incident, moet je eerst vaststellen wat er is gebeurd, welke systemen zijn geraakt en welke maatregelen direct nodig zijn. Dat vraagt om een gerichte incidentaanpak.
Is de acute situatie onder controle, dan kan een pentest wel een logische vervolgstap zijn. De test helpt om te onderzoeken welke technische zwakke plekken er nog zijn, welke aanvalsroutes mogelijk aandacht verdienen en waar je beveiliging structureel sterker kan. Niet om terug te zoeken naar één schuldige of de oorzaak van een specifiek incident vast te stellen, maar om lessen om te zetten in concrete verbeteringen.
4. Een klant of opdrachtgever vraagt om aantoonbare beveiliging
Steeds meer organisaties vragen bij een aanbesteding of partnerschap naar aantoonbare beveiliging. Een recent pentestrapport geeft antwoord op die vraag. Een algemene uitspraak als “we hebben MFA” of “onze IT-partner regelt dat” is dan niet genoeg.
Een pentest laat zien dat je niet alleen de nodige securitymaatregelen hebt genomen, maar dat je ook hebt laten toetsen of die maatregelen in de praktijk werken. Een helder pentestrapport maakt gesprekken met klanten, ketenpartners en auditors vaak makkelijker en duidelijker.
5. Je wilt voldoen aan NIS2 / de Cyberbeveiligingswet
Wet- en regelgeving als de nieuwe NIS2-richtlijn (in Nederland uitgewerkt als de Cyberbeveiligingswet) vraagt niet altijd letterlijk om een pentest, maar wel om passende beveiligingsmaatregelen, risicobeheersing en aantoonbare zorgvuldigheid. Dat betekent dus dat je niet alleen maatregelen neemt, maar ook kunt demonstreren dat ze werken.
Een pentest kan helpen om invulling te geven aan die verplichting en om te onderbouwen dat technische maatregelen in de praktijk worden getoetst. In een pentestrapport wordt beschreven wat er is getest, wat er is gevonden en wat de impact hiervan is. Wat er qua verbeteringen is doorgevoerd of staat gepland wordt vervolgens vastgelegd in een hertestrapport. Zo’n praktijkgerichte onderbouwing komt van pas bij een audit of bij toezichthouders die vragen stellen.
6. Wanneer een leverancier toegang tot je organisatie krijgt
Het kan zijn dat SaaS-leveranciers, IT-partners of andere externe partijen toegang tot systemen, data of beheeromgevingen nodig hebben. Bijvoorbeeld voor de werking van hun diensten of omdat je een deel van je IT uitbesteedt. Bedenk je wel dat elke externe toegang ook het aanvalsoppervlak vergroot. Dat is geen theoretisch risico: in het Verizon Data Breach Investigations Report 2025 was bij 30% van de onderzochte datalekken een derde partij betrokken. Dat aandeel verdubbelde ten opzichte van het jaar ervoor. Het NCSC wijst er bovendien op dat je afhankelijk blijft van de digitale weerbaarheid van leveranciers, ook wanneer je eigen beveiliging goed is ingericht.
Niet vanuit wantrouwen, maar vanuit verantwoordelijkheid is een pentest op zo’n moment logisch. Je wilt weten waar de grens ligt, welke rechten echt nodig zijn en wat er kan gebeuren als een account, koppeling of integratie wordt misbruikt.
7. Het is meer dan een jaar geleden
Een pentest is altijd een momentopname. Er bestaat geen (wettelijke) houdbaarheidsdatum voor pentests, maar in twaalf maanden kan er in een IT-omgeving veel veranderen. Denk aan nieuwe applicaties en koppelingen, maar ook aan gewijzigde rechten, kwetsbaarheden in nieuwe softwareversies en gewijzigde instellingen die invloed hebben op IT-beveiliging.
Jaarlijks testen is voor veel organisaties een praktisch ritme om actueel inzicht te houden. Jaarlijks testen is in de praktijk een gangbaar ritme. Bij ISO 27001, NIS2 en aanbestedingen wordt vaak naar een rapport van maximaal twaalf maanden oud gevraagd. Zie het als de APK van een auto: dat je auto vorig jaar door de keuring kwam, garandeert niet dat de remmen nu nog steeds goed werken. Jaarlijks testen is voor veel organisaties een praktisch ritme om actueel inzicht te houden.
8. Je wilt gewoon weten hoe je er nu voor staat
Soms is er geen concrete aanleiding nodig. Je hebt je systemen ingericht, maatregelen genomen en je medewerkers getraind. Maar er is geen onafhankelijke toetsing geweest of wat je hebt uitgevoerd ook securitytechnisch werkelijk klopt. Is je gevoel van veiligheid wel terecht?
Een pentest geeft je een ongekleurd beeld van hoe je security ervoor staat. Hiermee test je op algemene cybersecurityrisico’s en krijg je een onafhankelijke indicatie van de weerbaarheid van je ICT. Juist organisaties die denken dat hun beveiliging goed geregeld is, hebben vaak het meeste baat bij die bevestiging, of de bijstelling die eruit volgt.
Welk moment past bij jouw organisatie?
Herken je een of meer van deze momenten, of wil je gewoon weten hoe je er nu voor staat? Cybernext helpt je om risico’s, mogelijke impact en logische vervolgstappen inzichtelijk te maken.
Wil je sparren over de juiste aanpak voor jouw omgeving? Neem gerust en vrijblijvend contact met ons op.
