Pentest vs vulnerability scan

Een vulnerability scan en een pentest worden vaak door elkaar gehaald. Het verschil zit in de aanpak. Een vulnerability scan is een geautomatiseerde controle die bekende zwakke plekken opspoort en rapporteert. Een pentest gaat verder: een ethische hacker probeert die zwakke plekken handmatig uit te buiten, om te laten zien hoe ver een aanvaller komt en welke schade dat oplevert. Kort gezegd: een scan vertelt je wát er zwak is, een pentest laat zien wát er kan gebeuren.

Wie zich oriënteert op security testing krijgt al snel met beide termen te maken. Dat levert een praktische vraag op: waar zit het verschil precies, wat kost het, en welke van de twee past bij jouw situatie? Op deze pagina zetten we vulnerability scanning en penetration testing naast elkaar, met een heldere vergelijkingstabel, een prijsindicatie, de rol per compliance-norm, en een keuzehulp per scenario. Zo bepaal je zelf welke aanpak je verder helpt.

Wat is een vulnerability scan?

Een vulnerability scan (kwetsbaarhedenscan) is een geautomatiseerde controle. Een tool vergelijkt je systemen, netwerken en applicaties met een database van bekende kwetsbaarheden. Denk aan verouderde software, ontbrekende patches, zwakke configuraties en open poorten. De scanner werkt snel en kan herhaald draaien, bijvoorbeeld wekelijks, maandelijks of na elke wijziging.

Het resultaat is een rapport met een lijst van gevonden zwakke plekken, vaak ingedeeld op risiconiveau (hoog, midden, laag) en voorzien van een CVSS-score. Daarmee zie je in grote lijnen waar de meeste aandacht naartoe moet. De scan signaleert, de vervolgactie ligt bij jou of je IT-team: verifiëren, patchen, opnieuw scannen.

Een scan beantwoordt één vraag: welke bekende kwetsbaarheden zijn aanwezig? Wat de scan je niet vertelt, is of die kwetsbaarheid in jouw omgeving daadwerkelijk te misbruiken valt. Daarover later meer.

Wat is een pentest?

Een pentest (penetratietest) is een gesimuleerde cyberaanval, uitgevoerd door een ethische hacker. Waar een scan signaleert, gaat een pentester actief aan de slag: handmatig onderzoeken, zwakke plekken uitbuiten en kijken hoe diep een aanvaller in je omgeving komt. Tooling speelt een rol, het zwaartepunt ligt bij de mens die als een aanvaller denkt.

De pentester werkt binnen een vooraf afgesproken scope en volgens vaste afspraken (Rules of Engagement), zonder destructieve acties. Het rapport bevat de gevonden kwetsbaarheden, bewijs (screenshots, logs), het volledige aanvalspad en concreet herstelpadvies, leesbaar voor zowel management als het technische team.

Een pentest beantwoordt een andere vraag: kan dit in de praktijk worden misbruikt, en wat zijn de gevolgen? Daarmee toont een pentest niet alleen waar de zwakke plekken zitten, ook hoe ze samen een echte aanval mogelijk maken.

Pentest vs vulnerability scan: de verschillen in één overzicht

De onderstaande tabel zet beide methodes naast elkaar op de punten die er bij een keuze toe doen.

Wat een vulnerability scan niet ziet

Een scan is sterk in breedte en snelheid. Op een aantal vlakken loopt die tegen grenzen aan, en juist daar zit de meerwaarde van een pentest. Dit zijn de zwakke plekken die een geautomatiseerde scan structureel over het hoofd ziet:

• Logische fouten in je applicatie. Een scanner kent de bedoeling van je software niet. Een prijsmanipulatie in een bestelproces, een ontbrekende controle op rechten, een stap die je kunt overslaan: dat soort businesslogica-fouten vraagt menselijk inzicht.
• Aanvalsketens. Drie zwakke plekken met los een laag risico vormen samen soms een aanvalspad naar gevoelige data. Een pentester legt die keten bloot, een scan ziet drie losse items.
• Toegangsrechten en autorisatie. Kan gebruiker A bij de gegevens van gebruiker B? Kan een gewone account rechten ophogen tot beheerder? Dat blootleggen vraagt actief testen.
• Mens en proces. Een vergeten account van een oud-medewerker, een zwak uitdiensttredingsproces, gevoeligheid voor phishing: zwakke plekken in mensen en processen vallen buiten het bereik van een scan.
• Onbekende kwetsbaarheden. Een scan herkent patronen die al bekend zijn. Een afwijkende of nieuwe zwakke plek valt buiten de database en blijft daardoor onzichtbaar.

False positives: waarom een scan ruis geeft

Een vulnerability scan meldt geregeld kwetsbaarheden die in jouw situatie geen risico vormen. Dat heet een false positive. Een voorbeeld: een scanner ziet een verouderde versie van een softwarebibliotheek en zet die op rood. Gebruik je de kwetsbare functie binnen die bibliotheek helemaal niet, dan is er in de praktijk geen risico.

Het gevolg is dat je IT-team tijd kwijt is aan het natrekken van meldingen die nergens op uitlopen. Een pentester verifieert vooraf of een gevonden zwakke plek in jouw omgeving daadwerkelijk te misbruiken valt, en filtert die ruis er dus uit. Wat overblijft, is een lijst waarop je direct kunt handelen.

Wat kost een pentest vergeleken met een vulnerability scan?

De kosten verschillen sterk, en dat is logisch: het ene is geautomatiseerd, het andere is mensenwerk. De onderstaande bedragen zijn richtindicaties. De exacte prijs hangt af van de scope.

Een lage prijs hoeft niet verkeerd te zijn. Past een kleine scope bij jouw situatie, dan past een kleine test daar prima bij. Het draait om helderheid vooraf: wat zit er in de scope, en wat krijg je in het rapport? Een transparante offerte voorkomt verrassingen. Vraag een offerte op maat aan voor een indicatie die past bij jouw scope.

Pentest of vulnerability scan: wat heb jij nodig?

De keuze hangt af van je doel, je risico en de fase waarin je zit. Deze keuzehulp helpt je op weg.

Kies (eerst) voor een vulnerability scan als:

• je doorlopend zicht wilt op bekende zwakke plekken in je omgeving;
• je systemen vaak wijzigen en je snel wilt zien of er nieuwe gaten ontstaan;
• je het laaghangend fruit voor aanvallers wilt wegnemen voordat je dieper test;
• je budget beperkt is en je een basisniveau aan security-hygiëne wilt borgen;
• een norm doorlopende of periodieke scans vraagt, zoals bij PCI-DSS.

Kies voor een pentest als:

• je werkt met gevoelige data, zoals betaal-, gezondheids- of persoonsgegevens;
• je applicatie klantgericht is of een grote schadepost zou vormen bij misbruik;
• je voor een grote release of livegang zekerheid wilt over de beveiliging;
• een norm of klant expliciet om een pentest vraagt, zoals bij DORA;
• je aan klanten of partners wilt aantonen dat je beveiliging op orde is.

Compliance: welke norm vraagt wat?

Veel organisaties starten met security testing vanuit een norm of wettelijke eis. Per kader verschilt of het om scannen, pentesten of beide gaat. De onderstaande tabel geeft de hoofdlijn.

Een kanttekening over de Nederlandse situatie. De Cyberbeveiligingswet, de nationale uitwerking van de Europese NIS2-richtlijn, is op 15 april 2026 aangenomen door de Tweede Kamer en ligt ter behandeling bij de Eerste Kamer. De wet treedt naar verwachting in 2026 in werking, de exacte datum staat nog niet vast. Wacht je daarop, dan loop je achter: toezichthouders verwachten dat organisaties nu al aantoonbaar werken aan hun cyberweerbaarheid. Een scan en een pentest leveren beide bewijs van die inspanning.

De sterkste aanpak: scan én pentest naast elkaar

De vraag is meestal niet “scan of pentest”, het is “wanneer zet ik wat in”. Beide methodes vullen elkaar aan. Een scan houdt je doorlopend scherp op bekende risico’s, een pentest geeft periodiek diepgang en bewijs. Samen leveren ze een vollediger beeld dan elk apart.

Een praktische ritmiek ziet er zo uit:

• Doorlopend of maandelijks: een vulnerability scan om nieuwe en herstelde zwakke plekken in beeld te houden.
• Na elke grote wijziging of release: een gerichte scan, eventueel gevolgd door een korte test op de aangepaste onderdelen.
• Eén tot twee keer per jaar: een pentest om diepgaand te toetsen hoe ver een aanvaller komt.
• Na het herstel: een hertest om te bevestigen dat de gevonden zwakke plekken daadwerkelijk gedicht zijn.

De scan voedt de pentest: bevindingen uit je scans wijzen de pentester naar de interessante aanvalsvectoren. Andersom valideert de pentest je scans: wat de scan rood kleurt, bevestigt of weerlegt de pentester in de praktijk. Zo besteed je je budget aan de risico’s die er echt toe doen.

Veelgestelde vragen

Samengevat: een vulnerability scan houdt je doorlopend en betaalbaar op de hoogte van bekende zwakke plekken. Een pentest laat diepgaand zien hoe ver een aanvaller komt en wat dat voor je organisatie betekent. Voor het volledige beeld zet je beide naast elkaar, ieder voor het doel waar het sterk in is.