A penetration test is a paid, controlled attempt to break into your systems, by people who tell you how they did it. A clean report is good news, but it answers a narrower question than most boards assume. Four things decide what the report is worth: what was in scope and when, how much the tester knew, what happened to the findings, and whether you had a scan, a pentest or a red team. Een penetratietest is een betaalde, gecontroleerde poging om in uw systemen in te breken, door mensen die u vertellen hoe het lukte. Een schoon rapport is goed nieuws, maar het beantwoordt een smallere vraag dan de meeste directies aannemen. Vier dingen bepalen wat het rapport waard is: wat in scope was en wanneer, hoeveel de tester wist, wat er met de bevindingen gebeurde, en of u een scan, een pentest of een red team had.
A pentest has a scope: the systems the testers were allowed to attack, agreed in advance. Everything else was not tested, however important it is. The report also describes one moment. NCSC UK puts it plainly in its guidance: a test can only show that your systems were not vulnerable to known issues on the day of the test. New code goes live the week after. New flaws in software you already run are published every day.
Business impact: "we had a pentest" and "our systems were tested" are different statements. Worth asking before the report is filed: which systems were in scope, which were left out and why, and what has changed since. A clean report on a webshop says nothing about the office network, the payroll supplier or the laptop fleet.
Een pentest heeft een scope: de systemen die de testers mochten aanvallen, vooraf afgesproken. Al het andere is niet getest, hoe belangrijk ook. Het rapport beschrijft bovendien één moment. Het NCSC UK zegt het in zijn richtlijn onomwonden: een test kan alleen aantonen dat uw systemen op de dag van de test niet kwetsbaar waren voor bekende problemen. De week erna gaat nieuwe code live. Nieuwe lekken in software die u al draait, verschijnen elke dag.
Bedrijfsimpact: "we hebben een pentest gehad" en "onze systemen zijn getest" zijn twee verschillende uitspraken. Het loont om te vragen, vóór het rapport in de kast gaat: welke systemen zaten in scope, welke bleven buiten beeld en waarom, en wat is er sindsdien veranderd. Een schoon rapport over een webshop zegt niets over het kantoornetwerk, de salarisverwerker of de laptops.
Attackers do not respect your scope. AI-assisted scanning covers everything you expose, including the systems you left out of the test, within hours.Aanvallers houden zich niet aan uw scope. Met AI ondersteunde scans dekken alles wat u blootstelt, inclusief de systemen die u buiten de test hield, binnen enkele uren.
Teams ship code faster with AI assistants, so the gap between the tested version and the live version widens faster than before.Teams leveren met AI-assistenten sneller code op, dus de kloof tussen de geteste versie en de live versie groeit sneller dan voorheen.
Continuous, increasingly AI-assisted scanning of your internet-facing systems catches the ordinary flaws between pentests. It does not replace the human test.Doorlopend, steeds vaker met AI ondersteund, scannen van uw systemen aan het internet vangt de gewone lekken tussen pentests op. Het vervangt de menselijke test niet.
The colour of the box says how much the testers were given up front. In a black box test they start like an outsider: a web address and nothing else. In a grey box test they get a normal user login and some documentation, like a customer or an employee would have. In a white box test they get the source code, the architecture and administrator access. Black box feels most realistic, but a real attacker has months and the testers have days. White box finds the most per day of testing, because nothing is hidden.
Business impact: a black box test that found nothing can mean the system is sound, or that ten days were not enough to find the way in. For the systems that matter most, grey or white box gives more assurance for the same money. Worth asking: what did the testers know, how many days did they have, and did they get the logins a customer or employee would have?
De kleur van de doos zegt hoeveel de testers vooraf kregen. Bij een black box-test beginnen ze als buitenstaander: een webadres en verder niets. Bij een grey box-test krijgen ze een gewone gebruikersinlog en wat documentatie, zoals een klant of medewerker die zou hebben. Bij een white box-test krijgen ze de broncode, de architectuur en beheerderstoegang. Black box voelt het realistischst, maar een echte aanvaller heeft maanden en de testers hebben dagen. White box vindt het meest per testdag, omdat niets verborgen blijft.
Bedrijfsimpact: een black box-test die niets vond, kan betekenen dat het systeem deugt, of dat tien dagen te kort waren om de ingang te vinden. Voor de systemen die er het meest toe doen, geeft grey of white box meer zekerheid voor hetzelfde geld. Het loont om te vragen: wat wisten de testers, hoeveel dagen hadden ze, en kregen ze de inlogs die een klant of medewerker zou hebben?
Attackers are no longer black box for long. Leaked code, public documentation and AI tools that read it all give them grey-box knowledge for free.Aanvallers blijven niet lang black box. Gelekte code, openbare documentatie en AI-tools die dat allemaal lezen, geven hen gratis grey box-kennis.
A test report fed to a public AI tool for a summary hands a map of your weak spots to a third party. Keep reports inside.Een testrapport dat voor een samenvatting door een publieke AI-tool wordt gehaald, geeft een kaart van uw zwakke plekken aan een derde. Houd rapporten binnen.
Testers use AI to read code and configurations faster, so a white-box test covers more in the same days. The judgement about what matters stays human.Testers gebruiken AI om code en configuraties sneller te lezen, zodat een white box-test in dezelfde dagen meer dekt. Het oordeel over wat ertoe doet, blijft menselijk.
The value of a pentest is in what happens after it. Each finding needs an owner, a deadline that fits its severity, and either a fix or a documented decision to accept the risk, signed by someone entitled to accept it. Then a retest: the testers check that the fix works, because fixes often close the example and leave the cause. Reports that go unactioned produce the same findings next year, and testers see this often. DORA spells this out for the financial sector: Art. 24(5) requires procedures to prioritise, classify and remedy every issue a test reveals, and to validate that it is fully addressed.
Business impact: a pentest without a remediation budget and a retest is an expensive way to learn what you already suspected. Worth asking: how many findings from the last report are still open, who accepted the risk on each, and when the retest took place.
De waarde van een pentest zit in wat erna gebeurt. Elke bevinding heeft een eigenaar nodig, een termijn die bij de ernst past, en óf een oplossing óf een vastgelegd besluit om het risico te aanvaarden, ondertekend door iemand die dat mag. Daarna een hertest: de testers controleren of de oplossing werkt, want oplossingen dichten vaak het voorbeeld en laten de oorzaak staan. Rapporten waar niets mee gebeurt, leveren volgend jaar dezelfde bevindingen op, en testers zien dat vaak. DORA schrijft dit voor de financiële sector uit: art. 24 lid 5 vereist procedures om elk probleem dat een test blootlegt te prioriteren, te classificeren en te verhelpen, en om te valideren dat het volledig is opgelost.
Bedrijfsimpact: een pentest zonder herstelbudget en hertest is een dure manier om te horen wat u al vermoedde. Het loont om te vragen: hoeveel bevindingen uit het vorige rapport staan nog open, wie heeft op elk het risico aanvaard, en wanneer vond de hertest plaats.
An open finding is a known weakness with a written description. AI tooling turns a description into a working attack in hours, not weeks.Een open bevinding is een bekende zwakte met een geschreven beschrijving. AI-gereedschap maakt van een beschrijving in uren een werkende aanval, niet in weken.
AI-generated fixes close the example the tester showed and miss the cause. Without a retest, the report says "fixed" and the hole is still there.Door AI gegenereerde oplossingen dichten het voorbeeld dat de tester liet zien en missen de oorzaak. Zonder hertest zegt het rapport "opgelost" en zit het gat er nog.
Tools turn a report into tracked tickets with owners and due dates, and flag the ones that slip. The decision to accept a risk still needs a name.Tools maken van een rapport gevolgde tickets met eigenaren en deadlines, en signaleren de tickets die uitlopen. Het besluit om een risico te aanvaarden heeft nog steeds een naam nodig.
Three things get called "a pentest" and answer different questions. A vulnerability scan is software that checks everything you own against a list of known flaws, ideally every week. A penetration test is people trying to break a defined scope within a few days, including flaws no scanner knows. A red team is people trying to reach a business goal, such as the payment system, across the whole organisation over weeks, without telling your defenders. It tests whether you would notice and stop them. In the financial sector this last form has a legal name: TLPT, and DORA Art. 26 requires it at least every three years for the financial entities that supervisors designate, on live production systems and along the TIBER-EU framework of the ECB. In the Netherlands, DNB tells those entities when it is their turn.
Business impact: a scan without a pentest misses the flaws unique to you. A pentest without a red team never tests your detection and response. A red team before the basics are in place proves what you already know. Which rung you buy, and when, is your call; the ladder is the point.
Drie dingen heten "een pentest" en beantwoorden verschillende vragen. Een kwetsbaarhedenscan is software die alles wat u bezit vergelijkt met een lijst bekende lekken, het liefst elke week. Een penetratietest is mensen die binnen enkele dagen een afgebakende scope proberen te kraken, inclusief lekken die geen scanner kent. Een red team is mensen die wekenlang een bedrijfsdoel proberen te bereiken, zoals het betaalsysteem, dwars door de hele organisatie, zonder uw verdedigers te waarschuwen. Het test of u het zou merken en stoppen. In de financiële sector heeft die laatste vorm een wettelijke naam: TLPT, en DORA art. 26 vereist die minstens elke drie jaar voor de financiële instellingen die de toezichthouder aanwijst, op live productiesystemen en volgens het TIBER-EU-raamwerk van de ECB. In Nederland laat DNB die instellingen weten wanneer zij aan de beurt zijn.
Bedrijfsimpact: een scan zonder pentest mist de lekken die uniek zijn voor u. Een pentest zonder red team test uw detectie en reactie nooit. Een red team vóór de basis op orde is, bewijst wat u al weet. Welke sport u koopt, en wanneer, is uw keuze; de ladder is waar het om gaat.
Criminal groups now run the whole ladder with AI help: scan everyone, pick the weak, go deep. Your red team is the only rehearsal for that.Criminele groepen lopen nu met AI-hulp de hele ladder: iedereen scannen, de zwakken kiezen, diep gaan. Uw red team is daarvoor de enige generale repetitie.
AI-written scan reports look like pentest reports. Ask who did the work, how many days, and what they tried that no scanner would.Door AI geschreven scanrapporten lijken op pentestrapporten. Vraag wie het werk deed, hoeveel dagen, en wat zij probeerden dat geen scanner zou doen.
AI-assisted scanning and automated attack simulation make the lower rungs continuous and cheap, so human testers spend their days on what only humans find.Met AI ondersteund scannen en geautomatiseerde aanvalssimulatie maken de onderste sporten doorlopend en goedkoop, zodat menselijke testers hun dagen besteden aan wat alleen mensen vinden.
| Control | Addresses | In one line |
|---|---|---|
| Scope with the risk owners | Scope (01) | The business owners of the systems, not only IT, decide what is in scope. What is left out is written down, with the reason. |
| Test after change | Scope (01) | A new system, a big release or a new supplier triggers a test, not only the calendar. Yearly is a floor for what matters, not a ceiling. |
| Grey or white box for crown jewels | Box colour (02) | Testers get logins, documentation and, for the most important systems, the code. Days of testing go into finding, not guessing. |
| Owner and deadline per finding | Findings (03) | Every finding gets a name and a due date that fits its severity. Accepted risks carry the name of the person entitled to accept them. |
| Retest in the contract | Findings (03) | The testers verify the fixes. Agreed and priced before the test starts, so it is never the line that gets cut. |
| Weekly vulnerability scan | Ladder (04) | Automated scanning of everything you expose, every week, fills the gap between pentests. Cheap, and not a pentest. |
| Red team when the basics hold | Ladder (04) | Once scanning, patching and detection are in place, a goal-based test without warning the defenders. In finance, TLPT every three years where DORA requires it. |
| Disclosure policy + security.txt | Between tests | Outsiders find flaws too. A published CVD policy and a /.well-known/security.txt file (RFC 9116) with a contact and an expiry date tell them where to report, instead of on social media. |
| Bug bounty, optional | Between tests | Paying outsiders per valid finding. Useful once the basics hold and the disclosure policy works; before that it buys a flood of reports you cannot handle. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Scope met de risico-eigenaren | Scope (01) | De eigenaren van de systemen in de business, niet alleen IT, bepalen wat in scope zit. Wat buiten scope blijft, staat op papier, met de reden. |
| Testen na verandering | Scope (01) | Een nieuw systeem, een grote release of een nieuwe leverancier is aanleiding voor een test, niet alleen de kalender. Jaarlijks is een ondergrens voor wat ertoe doet, geen bovengrens. |
| Grey of white box voor de kroonjuwelen | Kleur van de doos (02) | Testers krijgen inlogs, documentatie en, voor de belangrijkste systemen, de code. Testdagen gaan naar vinden, niet naar raden. |
| Eigenaar en termijn per bevinding | Bevindingen (03) | Elke bevinding krijgt een naam en een termijn die bij de ernst past. Aanvaarde risico's dragen de naam van wie ze mocht aanvaarden. |
| Hertest in het contract | Bevindingen (03) | De testers controleren de oplossingen. Afgesproken en geprijsd vóór de test begint, zodat het nooit de post is die sneuvelt. |
| Wekelijkse kwetsbaarhedenscan | Ladder (04) | Automatisch scannen van alles wat u blootstelt, elke week, vult het gat tussen pentests. Goedkoop, en geen pentest. |
| Red team als de basis staat | Ladder (04) | Zodra scannen, patchen en detectie op orde zijn, een doelgerichte test zonder de verdedigers te waarschuwen. In de financiële sector elke drie jaar een TLPT waar DORA dat vereist. |
| CVD-beleid + security.txt | Tussen tests | Buitenstaanders vinden ook lekken. Een gepubliceerd CVD-beleid en een bestand /.well-known/security.txt (RFC 9116) met een contactadres en een vervaldatum vertellen hen waar ze het melden, in plaats van op sociale media. |
| Bug bounty, optioneel | Tussen tests | Buitenstaanders betalen per geldige bevinding. Nuttig zodra de basis staat en het CVD-beleid werkt; daarvoor koopt u een stroom meldingen die u niet aankunt. |
Most organisations have systems that were never in any scope, and findings from the last report that are still open. Both are the common case, not the exception.De meeste organisaties hebben systemen die nooit in een scope zaten, en bevindingen uit het vorige rapport die nog openstaan. Beide zijn de regel, niet de uitzondering.
False assurance: the board believes the organisation was tested when one system was, on one day. The breach then comes through the system nobody tested or the finding nobody fixed.Schijnzekerheid: de directie denkt dat de organisatie is getest, terwijl één systeem is getest, op één dag. De inbraak komt dan via het systeem dat niemand testte of de bevinding die niemand oploste.
Unknown flaws remain, and no test finds everything. With a scope set by risk owners, weekly scanning, retested fixes and a disclosure channel, the gaps are known and shrinking.Onbekende lekken blijven, en geen test vindt alles. Met een scope van de risico-eigenaren, wekelijks scannen, herteste oplossingen en een meldkanaal zijn de gaten bekend en krimpen ze.
The CISO owns the test programme. The business owner of each system owns its findings. If a finding has no owner, that is the finding.De CISO is eigenaar van het testprogramma. De eigenaar van elk systeem in de business is eigenaar van zijn bevindingen. Heeft een bevinding geen eigenaar, dan is dat de bevinding.
% of critical systems tested in the last 12 months · high findings still open past their deadline · % of fixes retested · days from report to last high fix.% kritieke systemen getest in de laatste 12 maanden · hoge bevindingen nog open na hun termijn · % oplossingen hertest · dagen van rapport tot laatste hoge oplossing.
“Security testing covers too little of the estate, too rarely, or its findings go unfixed, so that a known or findable weakness is exploited and the organisation believed itself tested, which can lead to a breach and a notifiable incident.”“Beveiligingstesten dekken te weinig van de omgeving, te zelden, of de bevindingen blijven onopgelost, zodat een bekende of vindbare zwakte wordt misbruikt terwijl de organisatie zich getest waande, wat kan leiden tot een inbraak en een meldplichtig incident.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 requires vulnerability handling and disclosure (Art. 21(2)(e)) and policies to assess the effectiveness of your measures (Art. 21(2)(f)), which is where testing lives. Art. 12 gives each country a coordinator for disclosure; in the Netherlands that is NCSC-NL. The Cyberbeveiligingswet has been in force since 15 August 2026. | Ask for the scope and date of their last test, the number of open high findings, and whether they publish a disclosure policy. A clean summary without a scope is not evidence. | A breach through an untested or unfixed system can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | Art. 24 requires a testing programme with independent testers, yearly tests of the systems behind critical functions, and remediation of every issue found. Art. 25 lists the tests, from scans to pentests. Art. 26 and 27 require TLPT at least every three years for designated entities, with external testers at least every third test (RTS (EU) 2025/1190). DORA has applied since 17 January 2025. | Your ICT providers behind critical functions can be pulled into your TLPT scope (Art. 26(3)). Ask for their test evidence and their willingness to take part. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Criterion CC4.1 covers ongoing and separate evaluations of controls, where penetration tests usually sit. CC7.1 covers detecting new vulnerabilities, where scanning sits. | Check whether the report says a pentest was performed, by whom, on what scope, and whether findings were remediated. A line saying "annual penetration testing" is a description, not a result. | An exploited weakness that a test had reported and nobody fixed will likely appear as an exception in the next report. |
| ISAE 3402 | The focus is financial reporting. Pentests appear only as general IT controls where they protect the financial process. | The report rarely contains test scopes or open findings. Ask for the pentest summary and the open-findings count in the contract instead. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 vraagt de omgang met en bekendmaking van kwetsbaarheden (art. 21 lid 2 onder e) en beleid om de doeltreffendheid van uw maatregelen te beoordelen (art. 21 lid 2 onder f), en daar hoort testen bij. Art. 12 geeft elk land een coördinator voor meldingen; in Nederland is dat het NCSC. De Cyberbeveiligingswet is van kracht sinds 15 augustus 2026. | Vraag naar de scope en datum van hun laatste test, het aantal open hoge bevindingen, en of zij een CVD-beleid publiceren. Een schone samenvatting zonder scope is geen bewijs. | Een inbraak via een ongetest of onopgelost systeem kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | Art. 24 vraagt een testprogramma met onafhankelijke testers, jaarlijkse tests van de systemen achter kritieke functies, en herstel van elk gevonden probleem. Art. 25 somt de tests op, van scans tot pentests. Art. 26 en 27 vereisen TLPT minstens elke drie jaar voor aangewezen instellingen, met externe testers minstens elke derde test (RTS (EU) 2025/1190). DORA geldt sinds 17 januari 2025. | Uw ICT-leveranciers achter kritieke functies kunnen in de scope van uw TLPT worden getrokken (art. 26 lid 3). Vraag naar hun testbewijs en hun bereidheid om mee te doen. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Criterium CC4.1 gaat over doorlopende en afzonderlijke evaluaties van beheersmaatregelen, waar pentests meestal onder vallen. CC7.1 gaat over het ontdekken van nieuwe kwetsbaarheden, waar scannen onder valt. | Controleer of het rapport zegt dat een pentest is uitgevoerd, door wie, op welke scope, en of bevindingen zijn verholpen. De regel "jaarlijkse penetratietest" is een beschrijving, geen resultaat. | Een misbruikte zwakte die een test had gemeld en niemand oploste, komt waarschijnlijk als afwijking in het volgende rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Pentests komen alleen voor als algemene IT-beheersmaatregelen waar ze het financiële proces beschermen. | Het rapport bevat zelden testscopes of open bevindingen. Vraag in het contract om de pentestsamenvatting en het aantal open bevindingen. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: NCSC UK penetration testing guidance (2017, reviewed Jan 2022), NIS2 Art. 12, 21 and 23, DORA Art. 3(17), 19 and 24–27, RTS (EU) 2025/1190 on TLPT (June 2025), ECB TIBER-EU (2024 update), DNB on TLPT (2025), RFC 9116 security.txt (Apr 2022), NCSC-NL CVD policy guidance (2026), NCSC-NL (Aug 2026), AICPA Trust Services Criteria CC4.1 and CC7.1 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: NCSC UK richtlijn penetratietesten (2017, herzien jan 2022), NIS2 art. 12, 21 en 23, DORA art. 3 lid 17, 19 en 24–27, RTS (EU) 2025/1190 over TLPT (juni 2025), ECB TIBER-EU (update 2024), DNB over TLPT (2025), RFC 9116 security.txt (apr 2022), NCSC CVD-beleid (2026), NCSC (aug 2026), AICPA Trust Services Criteria CC4.1 en CC7.1 (2017, aandachtspunten 2022) · oktober 2026.