Een offerte voor een pentest kan uiteenlopen van enkele duizenden euro’s tot een veelvoud daarvan. Dat maakt pentest kosten voor veel mkb-bedrijven lastig te beoordelen. Het verschil zit zelden alleen in het aantal uren. Een pentest is waardevol wanneer hij blootlegt waar uw bedrijfsvoering daadwerkelijk kwetsbaar is – en wanneer de uitkomst leidt tot gerichte verbeteringen, niet tot een rapport dat in een digitale la verdwijnt.
Voor directie en operationeel verantwoordelijken is daarom niet alleen de vraag: wat kost een pentest? De betere vraag is: welke risico’s willen we toetsen, hoe diep moet het onderzoek gaan en wat hebben we nodig om de uitkomsten structureel op te lossen?
Wat kost een pentest gemiddeld?
De prijs van een pentest hangt sterk af van de omvang en complexiteit van uw IT-omgeving. Voor een afgebakende externe scan of een kleine webapplicatie begint een serieuze handmatige test vaak rond de € 2.500 tot € 5.000. Voor een uitgebreider onderzoek van meerdere applicaties, een intern netwerk, Microsoft 365-omgeving of cloudomgeving liggen de kosten eerder tussen € 5.000 en € 15.000.
Bij complexe omgevingen, organisaties met meerdere vestigingen of bedrijfskritische applicaties kan een pentest meer kosten. Dat is niet automatisch een teken dat de offerte te hoog is. De benodigde tijd neemt toe wanneer systemen onderling gekoppeld zijn, rechtenstructuren ingewikkeld zijn of wanneer testen zorgvuldig moet gebeuren zonder de dagelijkse operatie te verstoren.
Een lage prijs verdient juist extra vragen. Een geautomatiseerde kwetsbaarheidsscan is nuttig als basiscontrole, maar is geen volledige pentest. Scantools vinden bekende technische zwakke plekken. Een pentester onderzoekt vervolgens of kwetsbaarheden echt misbruikt kunnen worden, welke gegevens of systemen bereikbaar zijn en hoe ver een aanvaller zou kunnen komen.
Welke factoren bepalen de pentest kosten?
Een goede offerte maakt duidelijk wat er wordt getest, hoe dat gebeurt en wat u na afloop ontvangt. Deze vier factoren hebben doorgaans de grootste invloed op de investering:
- De scope van het onderzoek. Eén website, een klantportaal, een volledig intern netwerk of een hybride cloudomgeving vragen elk om een andere aanpak. Ook het aantal IP-adressen, servers, werkplekken en applicaties telt mee.
- Het type test. Bij een black-box-pentest krijgt de tester vrijwel geen voorkennis, zoals een externe aanvaller. Bij een grey-box- of white-box-pentest zijn accountgegevens, documentatie of broncode beschikbaar. Meer informatie kan het onderzoek efficiënter maken, maar maakt een diepere test vaak ook mogelijk.
- De complexiteit van uw omgeving. Denk aan maatwerksoftware, koppelingen met leveranciers, oude systemen, meerdere identiteitsplatforms en verschillende beheerpartijen. Hoe meer afhankelijkheden, hoe meer afstemming en onderzoek nodig zijn.
- De gewenste rapportage en opvolging. Een technisch rapport alleen is niet altijd voldoende. Veel organisaties hebben ook behoefte aan een managementsamenvatting, duidelijke prioriteiten, een herstelplan en een hertest na het oplossen van bevindingen.
Ook de testperiode speelt mee. Een onderzoek buiten kantooruren kan nodig zijn voor systemen die niet verstoord mogen worden. Dat vraagt om extra planning. Andersom kan een goed voorbereide test, met actuele netwerkoverzichten en duidelijke contactpersonen, onnodige kosten voorkomen.
Externe, interne en applicatiegerichte testen
Een externe pentest laat zien wat een aanvaller vanaf internet kan bereiken. Denk aan een verkeerd geconfigureerde firewall, een kwetsbare VPN, verouderde software of een publiek toegankelijk beheerpaneel. Dit is vaak een logisch vertrekpunt, zeker als medewerkers op afstand werken of klanten online diensten gebruiken.
Een interne pentest onderzoekt wat er gebeurt als iemand al toegang heeft tot het netwerk. Bijvoorbeeld via phishing, een verloren laptop, een besmette werkplek of een gastnetwerk dat onvoldoende is gescheiden. Voor mkb-organisaties is dit relevant omdat aanvallers vaak niet in één stap binnenkomen, maar zich na een eerste toegang verder door de organisatie bewegen.
Bij een applicatiepentest staat één webapplicatie, portaal of API centraal. De kosten worden onder meer bepaald door het aantal functies, gebruikersrollen en koppelingen. Een inlogpagina testen is iets anders dan een portaal waarin klanten documenten uploaden, medewerkers financiële gegevens verwerken en systemen automatisch gegevens uitwisselen.
Waar betaalt u precies voor?
Bij een professionele pentest betaalt u niet alleen voor het uitvoeren van technische controles. De kern is menselijk onderzoek: hypotheses vormen, afwijkingen beoordelen, aanvalspaden combineren en de impact voor uw organisatie vaststellen. Een ervaren tester onderscheidt een theoretische melding van een fout waarmee een aanvaller daadwerkelijk klantgegevens kan benaderen of beheerrechten kan verkrijgen.
Daarnaast hoort rapportage bij de dienstverlening. Een bruikbaar rapport vertaalt technische bevindingen naar risico’s voor de bedrijfsvoering. Welke kwetsbaarheid moet direct worden opgelost? Welke verbetering kan in een gepland onderhoudsmoment? Welke maatregelen vragen om besluitvorming van directie of proceseigenaren?
Een hertest is vaak een verstandige aanvulling. Daarmee controleert u of kritieke bevindingen daadwerkelijk zijn verholpen en of de oplossing geen nieuw probleem veroorzaakt. Vraag vooraf of dit onderdeel is van de prijs of apart wordt aangeboden.
Hoe voorkomt u dat u op de verkeerde test bespaart?
Wie alleen offertes vergelijkt op totaalbedrag, vergelijkt al snel appels met peren. Vraag daarom altijd hoeveel tijd is gereserveerd voor handmatig testen, welke onderdelen expliciet binnen en buiten scope vallen en of kwetsbaarheden worden gevalideerd. Een rapport met honderd onbevestigde scanmeldingen levert uw IT-team vooral extra werk op.
Let ook op de aanpak rond veiligheid en communicatie. Een pentest moet worden uitgevoerd volgens heldere spelregels: welke systemen mogen worden getest, welke technieken zijn toegestaan, wie is bereikbaar bij onverwachte effecten en hoe wordt met aangetroffen data omgegaan? Zeker bij productieomgevingen is die voorbereiding geen formaliteit, maar een voorwaarde voor continuïteit.
Kies bovendien voor een leverancier die de bevindingen kan toelichten aan zowel technisch beheer als management. De beste pentest geeft niet alleen antwoord op de vraag waar een kwetsbaarheid zit, maar ook op de vraag wat een passende oplossing is binnen uw budget, planning en bestaande IT-landschap.
Pentest kosten versus de kosten van een incident
Een pentest is geen garantie dat er nooit een beveiligingsincident plaatsvindt. Nieuwe kwetsbaarheden, gewijzigde configuraties en menselijk gedrag blijven risico’s creëren. Wel geeft een pentest een realistisch beeld van zwakke plekken die op dit moment misbruikt kunnen worden.
De afweging gaat daarom verder dan de prijs van de test. Een geslaagde aanval kan leiden tot productiviteitsverlies, herstelkosten, reputatieschade, stilstaande processen en mogelijk meld- of contractuele verplichtingen. Vooral organisaties zonder eigen securityspecialisten hebben baat bij een duidelijke prioritering: eerst de risico’s aanpakken die de grootste bedrijfsimpact hebben.
Een jaarlijkse pentest is voor veel organisaties een passend ritme, aangevuld met scans en regulier patch- en configuratiebeheer. Bij grote wijzigingen is een extra test verstandig. Denk aan een nieuwe klantapplicatie, een cloudmigratie, een nieuwe VPN-oplossing, een belangrijke koppeling of een verandering in toegangsrechten.
Zo maakt u de investering voorspelbaar
Begin met het doel, niet met een willekeurig aantal testdagen. Wilt u aantonen hoe weerbaar uw externe toegang is? Wilt u zeker weten dat een nieuw portaal veilig live kan? Of wilt u inzicht in de gevolgen van een gecompromitteerd gebruikersaccount? Een concreet doel helpt om de scope scherp te houden en maakt offertes beter vergelijkbaar.
Breng vervolgens de omgeving in kaart: relevante systemen, eigenaren, kritieke processen, beschikbare testaccounts en momenten waarop testen mogelijk is. Dit bespaart tijd tijdens de uitvoering en verkleint de kans dat belangrijke onderdelen buiten beeld blijven. Plan ten slotte direct ruimte voor herstelwerk in. Een pentest zonder budget of capaciteit om bevindingen op te lossen is vooral een meetmoment.
Bij Nexer bekijken we security daarom altijd in samenhang met beheer, werkplekken, identiteit, netwerk en cloud. Niet iedere organisatie heeft dezelfde test nodig, maar iedere organisatie heeft wel baat bij helder inzicht in risico’s en een haalbaar plan om die te verkleinen. Een goede pentest begint met de juiste vragen – en eindigt pas wanneer u weet welke stap uw continuïteit morgen sterker maakt.
