Publicatiedatum: 18 juni 2026
Geschatte leestijd: 2 minuten
Een kwetsbaarheidsscan en een pentest hebben hetzelfde doel: kwetsbaarheden in je IT-omgeving vinden voordat een aanvaller dat doet. De manier waarop, en de diepte van het onderzoek, verschillen sterk. ISO 27001, NIS2 en grote klanten verwachten dat je je informatiebeveiliging aantoonbaar test, en vragen daarbij vaak om een van beide.
In deze blog leggen we uit wat een kwetsbaarheidsscan en een pentest zijn, waar de verschillen zitten en in welke situatie welke past.
Wil je weten welke test bij jouw situatie past? Bekijk onze aanpak van security scans en pentesting.
Een kwetsbaarheidsscan is een geautomatiseerd onderzoek naar bekende kwetsbaarheden in je netwerk, servers en applicaties. De scan controleert op verouderde software, ontbrekende patches, zwakke instellingen en open poorten. Het resultaat is een rapport met gevonden kwetsbaarheden, geprioriteerd op urgentie.
Een scan brengt bekende kwetsbaarheden snel in kaart. Wat een scan doorgaans buiten beschouwing laat: of een kwetsbaarheid in jouw specifieke omgeving daadwerkelijk uitgebuit kan worden.
Een pentest, voluit penetratietest, is een handmatig onderzoek waarbij een ethisch hacker probeert in te breken in je systemen. Een pentest start meestal met een geautomatiseerde scan om de omgeving in kaart te brengen. Daarna gaat de pentester handmatig verder, met dezelfde technieken als een echte aanvaller, en combineert kwetsbaarheden om dieper te komen.
Een pentest test ook de bedrijfslogica van je applicatie. Een voorbeeld: kun je tien bioscoopkaartjes kopen voor de prijs van één doordat er een rekenfout in de bestelflow zit? Dat soort fouten vang je in een pentest. Het resultaat is een rapport met concrete aanvalsroutes en wat ermee mogelijk was.
Bij Westbroek IT Security voeren wij pentests uit met een CPENT-gecertificeerde specialist. Meer lezen over wanneer een pentest aan de orde is? Lees onze blog over wanneer je een pentest nodig hebt als MKB-bedrijf.
Een paar concrete situaties die we vaak tegenkomen:
Een kwetsbaarheidsscan voer je idealiter elk kwartaal uit. Bij actieve ontwikkeling of een complexe IT-omgeving is maandelijks of zelfs continu testen logischer. Bij actieve softwareontwikkeling kun je een scan meedraaien in je ontwikkelcyclus, zodat elke code-wijziging automatisch wordt gecontroleerd. Een pentest plan je minimaal eenmaal per jaar, en daarnaast na elke grote wijziging in je infrastructuur of applicaties.
In de praktijk werken scan en pentest het sterkst samen. De scan zorgt voor doorlopende hygiëne en signaleert ontbrekende patches en zwakke instellingen. De pentest valideert of die basis ook standhoudt onder een gerichte aanval. Resultaten uit recente scans helpen om een pentest gerichter in te zetten.
Een kwetsbaarheidsscan is geautomatiseerd en geeft een breed overzicht van bekende kwetsbaarheden. Een pentest is handmatig werk door een ethisch hacker die kwetsbaarheden ook daadwerkelijk probeert uit te buiten. Een scan is breder en sneller, een pentest gaat dieper en is realistischer.
Dat hangt af van je situatie. Voor een eerste beeld of doorlopende monitoring is een kwetsbaarheidsscan logisch. Voor een aantoonbare check op aanvalsroutes, of als een klant of audit daarom vraagt, is een pentest nodig. Veel MKB-bedrijven combineren beide.
Dat hangt af van de omvang van je IT-omgeving en de frequentie van de scans. Een eenmalige scan op een afgebakend deel is doorgaans een paar honderd tot enkele duizenden euro’s. Doorlopende scans worden vaak in een abonnement aangeboden.
Minimaal elk kwartaal. Bij actieve softwareontwikkeling, regelmatige updates of een complexe IT-omgeving is een maandelijkse of continue scan beter. Bij actieve softwareontwikkeling kun je een scan meedraaien in je ontwikkelcyclus, zodat elke code-wijziging direct gecontroleerd wordt. Voer altijd een extra scan uit na een grote wijziging.
Een kwetsbaarheidsscan alleen is doorgaans onvoldoende. ISO 27001 en NIS2 verwachten dat je je beveiligingsmaatregelen regelmatig en aantoonbaar test. In de praktijk betekent dit een combinatie van doorlopende scans en een jaarlijkse pentest.
Wij denken graag mee. In een persoonlijk kennismakingsgesprek kijken we naar je IT-omgeving, je doelen en de verplichtingen vanuit klanten of certificering. Je krijgt een eerlijk beeld van welke combinatie van scan en pentest past bij jouw bedrijf.
Ontvang elke maand één concreet inzicht dat speelt op het gebied van informatiebeveiliging binnen het MKB.
Je gegevens gebruiken we alleen voor de nieuwsbrief. Uitschrijven kan altijd.
