Kwetsbaarheidsbeheer: het proces, de norm en hoe u het aantoonbaar op orde krijgt
Gepubliceerd op 28 juli 2026
Kwetsbaarheidsbeheer klinkt als iets voor grote organisaties met een securityteam, maar de kern is eenvoudig: weten welke zwakke plekken er in uw systemen zitten, de juiste eerst aanpakken, en dat kunnen laten zien. Wie er in het Nederlands naar zoekt, vindt vooral definities en vertaalde leverancierspagina's; hoe het proces werkt én hoe u aantoont dat het bij u werkt, blijft vaak onderbelicht. Deze pagina beschrijft beide: wat kwetsbaarheidsbeheer is, hoe de cyclus in stappen verloopt, wat ISO 27001, NEN 7510 en de Cyberbeveiligingswet ervan verwachten, en waar het verschil zit tussen zeggen dat het op orde is en het aantonen.
Wat is kwetsbaarheidsbeheer?
Kwetsbaarheidsbeheer is het doorlopende, cyclische proces waarmee een organisatie kwetsbaarheden in haar systemen ontdekt, prioriteert, herstelt en het herstel verifieert — en dat blijft herhalen. Een kwetsbaarheid is een zwakke plek waardoor een aanvaller ergens binnen kan komen of iets kan verstoren: verouderde software met een bekende fout, een verkeerd ingestelde dienst, een verlopen certificaat, een systeem dat per ongeluk aan het internet hangt.
Let op de spelling, want die verraadt de bron. Het Nationaal Cyber Security Centrum (NCSC) schrijft "kwetsbaarhedenbeheer" (meervoud), de markt en de meeste leveranciers schrijven "kwetsbaarheidsbeheer". Ze bedoelen hetzelfde. In het Engels heet het vulnerability management, de term waaronder de meeste gereedschappen op de markt komen. Wie de NCSC-publicaties leest en wie een offerte van een leverancier leest, komt dus meerdere benamingen tegen voor één proces; dat is goed om te weten als u de term ergens invoert.
Het woord "beheer" is de kern. Beheer is geen handeling maar een toestand die u onderhoudt. Dat onderscheidt kwetsbaarheidsbeheer van de losse scan waarmee het vaak wordt verward.
Kwetsbaarheidsbeheer, scan, pentest, patchmanagement en monitoring: wat is wat?
Vijf termen die door elkaar lopen, terwijl ze verschillende dingen zijn:
- Een kwetsbaarhedenscan is één stap: geautomatiseerd zoeken naar bekende kwetsbaarheden. Het levert een lijst. De scan is de detectie, niet het beheer.
- Een pentest is een gerichte, deels handmatige aanval op een specifiek systeem om te zien hoe ver iemand komt. Diepgaand, momentgebonden en duur — geschikt voor een kritieke applicatie, niet voor doorlopende dekking.
- Patchmanagement is het planmatig uitrollen van software-updates: één van de herstelroutes bínnen kwetsbaarheidsbeheer, niet het proces zelf. Kwetsbaarheidsbeheer bepaalt wát er met welke urgentie hersteld moet worden — ook waar geen patch voor bestaat, zoals configuratiefouten, verlopen certificaten en vergeten systemen.
- Vulnerability monitoring (doorlopende bewaking) is de signaleringslaag: het periodiek opnieuw meten van uw externe aanvalsoppervlak, zodat u opmerkt wat er verandert.
- Kwetsbaarheidsbeheer is het proces dat die onderdelen omvat en aanstuurt: ontdekken, detecteren (de scan), prioriteren, herstellen, verifiëren en herhalen. Monitoring levert daarin de continue signalering; de scan levert de bevindingen; het beheer maakt er opvolging van.
Nog een afbakening die vaak ontbreekt: dit stuk gaat over het externe aanvalsoppervlak — alles wat vanaf het internet zichtbaar is. Een aanvaller begint daar, en een externe meting laat precies dat zien. Het is een noodzakelijke laag, maar niet de hele discipline: interne, geauthenticeerde scans (met inloggegevens, van binnenuit) vinden een andere klasse kwetsbaarheden — ontbrekende patches op interne werkstations, verkeerde configuraties achter de voordeur. Volwaardig kwetsbaarheidsbeheer kent beide; deze pagina, en de dienst erachter, richt zich op de buitenkant, omdat dat de kant is die uw klant, auditor en aanvaller als eerste zien.
De verwarring is niet onschuldig. Wie denkt dat een scan "het kwetsbaarheidsbeheer" ís, koopt een momentopname en denkt een proces te hebben. Bij een audit op ISO 27001-beheersmaatregel 8.8 telt een scanrapport van een halfjaar oud niet als bewijs van een doorlopend proces — alleen als bewijs dat u ooit gekeken heeft.
Het proces in vijf stappen
Kwetsbaarheidsbeheer is een cyclus, geen project met een einddatum. In de kern zijn er vijf terugkerende stappen. ISO 27001-beheersmaatregel 8.8 ("beheer van technische kwetsbaarheden") beschrijft dezelfde beweging op normniveau.
1. Ontdekken. Voordat u iets kunt beheren, moet u weten wát u heeft. Voor het externe aanvalsoppervlak betekent dat: welke domeinen, subdomeinen, servers en diensten hangen er van u aan het internet? Dit heet asset discovery, het in kaart brengen van uw systemen. Juist de systemen die niemand meer op het netvlies heeft — een oude testomgeving, een subdomein dat een bureau ooit aanmaakte — zijn de plek waar het misgaat. Dit is de schaduw-IT die buiten het zicht van de IT-afdeling ontstaat. Beheer dat alleen kijkt naar de systemen die u zelf opgeeft, mist per definitie de vergeten systemen.
2. Detecteren. Op alles wat u ontdekt, zoekt u periodiek naar bekende kwetsbaarheden en configuratiefouten. Dit is de kwetsbaarhedenscan: geautomatiseerd, herhaalbaar, met een vaste cadans. Elke gevonden kwetsbaarheid heeft doorgaans een CVE — een uniek label dat wereldwijd naar dezelfde kwetsbaarheid verwijst — en een CVSS-score die de theoretische ernst uitdrukt op een schaal tot 10.
3. Prioriteren. Hier scheidt goed beheer zich van een lange lijst. In 2025 werden ruim 48.000 kwetsbaarheden (CVE's) geregistreerd (bron: de CVE-jaarcijfers), en het onderzoek achter het EPSS-model (FIRST/Cyentia) schat dat maar zo'n vijf procent daarvan ooit daadwerkelijk wordt misbruikt. De CVSS-basisscore helpt daar maar beperkt bij: die meet de ernst in het lab, niet de kans dat een kwetsbaarheid ook echt wordt uitgebuit. Voor die kans bestaan twee aanvullende signalen: EPSS, dat de wereldwijde kans op misbruik binnen dertig dagen schat, en de KEV-catalogus, een lijst van kwetsbaarheden waarvan misbruik feitelijk is waargenomen. KEV is een Amerikaanse lijst (van CISA); in Nederland vullen de beveiligingsadviezen van het NCSC dit beeld aan. Die twee zeggen iets over de dreiging in het algemeen; of het risico juist bij ú speelt, hangt daarnaast af van uw eigen blootstelling — is de kwetsbare dienst van buitenaf bereikbaar? — en van hoe bedrijfskritiek het getroffen systeem is. Goede prioritering weegt die drie samen: de exploit-signalen, uw blootstelling en het belang van het systeem, zodat het team de juiste dingen eerst doet in plaats van blind de hoogste CVSS-scores. Hoe die weging in de praktijk werkt, leest u in EPSS en KEV uitgelegd.
4. Herstellen. Elke bevinding die aandacht verdient, krijgt een eigenaar en een termijn. Patchen is de bekendste hersteloptie, maar niet de enige: een tijdelijke mitigatie of workaround, afschermen achter een firewall, een compenserende maatregel, het uitfaseren van een verouderd systeem, of — bewust en onderbouwd — het risico accepteren zijn even legitiem, mits vastgelegd. Verstandig is om termijnen aan de ernst te koppelen: een kritieke, misbruikte kwetsbaarheid vraagt om dagen, een lage om de reguliere onderhoudscyclus. Zonder eigenaar en termijn blijft een bevinding hangen, en dat is de fase waar het in de praktijk vaak misgaat.
5. Verifiëren. Verifiëren gebeurt op twee momenten. Vooraf: is de bevinding echt? Externe scans leiden versies af uit wat een dienst prijsgeeft, en dat levert soms een vals alarm op — een controle voorkomt dat u tijd steekt in een gat dat er niet is. Achteraf: is het gat werkelijk dicht? "Het is gepatcht" is een bewering; een hermeting die de bevinding niet meer aantreft, is bewijs. Daarna begint de cyclus opnieuw, want intussen zijn er nieuwe kwetsbaarheden gepubliceerd en is uw omgeving weer veranderd.
Die verificatie is waar kwetsbaarheidsbeheer overgaat in aantoonbaarheid — en dat is waar dit onderwerp raakt aan de wet.
Hoe vaak? De cadans van beheer
"Hoe vaak moet ik scannen?" is de vraag die de meeste zoekers hebben, en het antwoord volgt uit de definitie: als beheer een onderhouden toestand is, dan is één keer per jaar te weinig. Er komen dagelijks nieuwe kwetsbaarheden bij en uw omgeving verschuift continu, dus de detectie hoort met een vaste, korte cadans terug te keren. Geen enkele norm schrijft een frequentie voor; in de praktijk is voor het externe aanvalsoppervlak maandelijks een werkbaar minimum, wekelijks beter, en bij een acute, breed misbruikte kwetsbaarheid meet u gericht tussentijds. Het herstel volgt een eigen klok, gekoppeld aan de ernst (stap 4). De winst van een vaste cadans is niet alleen sneller opmerken, maar ook een reeks gedateerde metingen die samen laten zien dát het proces draait. Wie daarop wil sturen, houdt daarnaast per ernstcategorie de doorlooptijd tot herstel bij — dat ene getal vertelt directie én auditor of de cyclus werkt.
De norm: ISO 27001, NEN 7510 en de zorgplicht
Kwetsbaarheidsbeheer staat niet op zichzelf; het is een beheersmaatregel die in meerdere kaders terugkomt.
- ISO 27001:2022 benoemt het expliciet in beheersmaatregel 8.8, "beheer van technische kwetsbaarheden": organisaties moeten informatie over technische kwetsbaarheden verkrijgen, de blootstelling beoordelen en passende maatregelen nemen.
- NEN 7510, de Nederlandse norm voor informatiebeveiliging in de zorg, volgt sinds de herziening van 2024 dezelfde structuur en nummering als ISO 27001. Voor zorgaanbieders is technisch kwetsbaarheidsbeheer daarmee een concrete beheersmaatregel waarop een auditor toetst.
- NIS2 en de Cyberbeveiligingswet noemen geen norm en geen product bij naam, maar eisen wel dat u de afhandeling van kwetsbaarheden beheerst. NIS2 verankert dat niet als losse maatregel, maar bedt het in artikel 21, lid 2, onder e: "beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden". (De ketenzorgplicht is een andere maatregel, onder d.) De Cyberbeveiligingswet is per 15 augustus 2026 zonder overgangstermijn van kracht; de zorgplicht geldt dus vanaf die datum in volle omvang.
De rode draad door al die kaders is niet "koop tool X", maar "beheers dit proces en toon aan dat u het beheerst". Geen enkele norm schrijft een leverancier voor. Wat ze wél doen, is de lat leggen bij aantoonbaarheid — en daar wringt het bij veel organisaties.
Papier versus meting: het verschil tussen zeggen en aantonen
Op papier is het kwetsbaarheidsbeheer bijna overal op orde. De vraag die telt, is of u het kunt aantonen — en daar valt het beeld uiteen. De ene laat een beleidsdocument zien waarin staat dát er beheerd wordt. De andere laat een reeks gedateerde metingen zien waarin staat wát er gevonden is en dat het is opgelost.
Dat is het onderscheid tussen papier en meting, en het loopt door dit hele onderwerp. Een ingevuld beleidsdocument, een leveranciersvragenlijst met "ja, wij doen aan kwetsbaarheidsbeheer", een certificaat aan de muur — het zijn beweringen. Een auditor, een verzekeraar of een ketenpartner die serieus kijkt, wil geen bewering maar bewijs: gedateerde, herleidbare metingen die laten zien dat de cyclus draait. Dat is precies wat de verificatiestap uit het proces oplevert.
Vanuit dat perspectief kijken wij naar kwetsbaarheidsbeheer. Exposentry is gebouwd op OpenKAT, het open-source scanplatform waaraan Edward Hasekamp van Hasecon meeontwikkelt. Dat is geen keurmerk maar een werkwijze: OpenKAT meet doorlopend en legt elke bevinding vast als een dateerbaar, herleidbaar object — geen pdf-momentopname, maar een meting die u later kunt terugvinden en waarvan u de herkomst kunt aantonen. Daarmee wordt "wij beheren onze kwetsbaarheden" een controleerbare uitspraak in plaats van een intentie: niet vertrouwen op wat er zou moeten kloppen, maar meten wat er werkelijk aan het internet hangt.
Veelgemaakte fouten
De kortste weg naar goed beheer loopt langs de fouten die u vermijdt. De meest voorkomende:
- Scannen zonder herstelloop. Een lijst produceren en niet opvolgen. De scan is stap twee van vijf, geen eindpunt.
- Prioriteren op alleen de CVSS-score. Zonder EPSS en KEV besteedt u spoed aan kwetsbaarheden die niemand misbruikt, en mist u de gevaarlijke.
- Schaduw-IT buiten beeld. Alleen de systemen scannen die u zelf opgeeft. De vergeten server is nu net de vindplaats.
- Geen eigenaar en geen termijn. Bevindingen die "later" worden opgepakt, worden nooit opgepakt.
- Herstel niet verifiëren. Aannemen dat een patch werkt zonder te hermeten.
- Risico accepteren zonder het vast te leggen. Accepteren mág, maar alleen als besluit met naam en datum — anders is het gewoon negeren.
Zelf doen of uitbesteden?
Kwetsbaarheidsbeheer vraagt gereedschap, tijd en kennis van interpretatie. Heeft u die niet in huis — en veel organisaties hebben geen eigen securityteam — dan is uitbesteden een reële optie, maar niet voor het hele proces.
Goed uit te besteden: de ontdekking en detectie van het externe aanvalsoppervlak, de prioritering op werkelijk risico, en de rapportage in taal die ook buiten de IT-afdeling gelezen kan worden. Dit is repeterend, gereedschapsintensief werk waarin een gespecialiseerde dienst schaalvoordeel heeft.
Niet uit te besteden: het besluit wat u met een bevinding doet, en de eindverantwoordelijkheid voor het risico. Onder NIS2 en de Cyberbeveiligingswet ligt die verantwoordelijkheid expliciet bij het bestuur en is ze niet overdraagbaar. Een externe partij levert de meting en het bewijs; de keuze om te patchen, af te schermen of te accepteren blijft bij u.
Wat kost dat? Een eerlijke vraag zonder één antwoord: de prijs hangt af van hoeveel er van u aan het internet hangt, hoe diep en hoe vaak u meet, en of u het intern belegt (mensuren, gereedschap) of inkoopt. Ter indicatie, marktbreed: doorlopende externe monitoring kost honderden euro's per maand, een eenmalige nulmeting enkele honderden euro's. Weeg die kosten af tegen de impact van één incident of een boete onder de Cyberbeveiligingswet. Wat een doorlopende dienst concreet kost, ziet u bij de pakketten.
Conclusie
Kwetsbaarheidsbeheer is geen scan en geen product, maar een cyclus: ontdekken, detecteren, prioriteren, herstellen, verifiëren, en opnieuw. De normen — ISO 27001-beheersmaatregel 8.8, NEN 7510, en de zorgplicht onder NIS2 en de Cyberbeveiligingswet — vragen niet om een bepaald merk, maar om een proces dat draait en dat u kunt aantonen. Dat laatste, de aantoonbaarheid, is waar veel organisaties winst kunnen boeken: niet zeggen dat het op orde is, maar het met gedateerde metingen laten zien.
Exposentry levert de meet- en signaleringskant van die cyclus als dienst: doorlopende scans van uw externe aanvalsoppervlak op basis van OpenKAT, met periodieke, forensisch onderbouwde rapportages die u als onderbouwing gebruikt richting auditor, verzekeraar of ketenpartner. Begin klein met een nulmeting die inventariseert wat er van u aan het internet hangt, en laat die overgaan in een vaste cadans. Bekijk de pakketten of start met een nulmeting om te zien waar u nu staat.
Geschreven door Edward Hasekamp, oprichter van Exposentry en core-maintainer van het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.