Terug naar kennisbank

Kwetsbaarheidsbeheer: het proces, de norm en hoe u het aantoonbaar op orde krijgt

Gepubliceerd op 28 juli 2026

Kwetsbaarheidsbeheer klinkt als iets voor grote organisaties met een securityteam, maar de kern is eenvoudig: weten welke zwakke plekken er in uw systemen zitten, de juiste eerst aanpakken, en dat kunnen laten zien. Wie er in het Nederlands naar zoekt, vindt vooral definities en vertaalde leverancierspagina's; hoe het proces werkt én hoe u aantoont dat het bij u werkt, blijft vaak onderbelicht. Deze pagina beschrijft beide: wat kwetsbaarheidsbeheer is, hoe de cyclus in stappen verloopt, wat ISO 27001, NEN 7510 en de Cyberbeveiligingswet ervan verwachten, en waar het verschil zit tussen zeggen dat het op orde is en het aantonen.

Wat is kwetsbaarheidsbeheer?

Kwetsbaarheidsbeheer is het doorlopende, cyclische proces waarmee een organisatie kwetsbaarheden in haar systemen ontdekt, prioriteert, herstelt en het herstel verifieert — en dat blijft herhalen. Een kwetsbaarheid is een zwakke plek waardoor een aanvaller ergens binnen kan komen of iets kan verstoren: verouderde software met een bekende fout, een verkeerd ingestelde dienst, een verlopen certificaat, een systeem dat per ongeluk aan het internet hangt.

Let op de spelling, want die verraadt de bron. Het Nationaal Cyber Security Centrum (NCSC) schrijft "kwetsbaarhedenbeheer" (meervoud), de markt en de meeste leveranciers schrijven "kwetsbaarheidsbeheer". Ze bedoelen hetzelfde. In het Engels heet het vulnerability management, de term waaronder de meeste gereedschappen op de markt komen. Wie de NCSC-publicaties leest en wie een offerte van een leverancier leest, komt dus meerdere benamingen tegen voor één proces; dat is goed om te weten als u de term ergens invoert.

Het woord "beheer" is de kern. Beheer is geen handeling maar een toestand die u onderhoudt. Dat onderscheidt kwetsbaarheidsbeheer van de losse scan waarmee het vaak wordt verward.

Kwetsbaarheidsbeheer, scan, pentest, patchmanagement en monitoring: wat is wat?

Vijf termen die door elkaar lopen, terwijl ze verschillende dingen zijn:

Nog een afbakening die vaak ontbreekt: dit stuk gaat over het externe aanvalsoppervlak — alles wat vanaf het internet zichtbaar is. Een aanvaller begint daar, en een externe meting laat precies dat zien. Het is een noodzakelijke laag, maar niet de hele discipline: interne, geauthenticeerde scans (met inloggegevens, van binnenuit) vinden een andere klasse kwetsbaarheden — ontbrekende patches op interne werkstations, verkeerde configuraties achter de voordeur. Volwaardig kwetsbaarheidsbeheer kent beide; deze pagina, en de dienst erachter, richt zich op de buitenkant, omdat dat de kant is die uw klant, auditor en aanvaller als eerste zien.

De verwarring is niet onschuldig. Wie denkt dat een scan "het kwetsbaarheidsbeheer" ís, koopt een momentopname en denkt een proces te hebben. Bij een audit op ISO 27001-beheersmaatregel 8.8 telt een scanrapport van een halfjaar oud niet als bewijs van een doorlopend proces — alleen als bewijs dat u ooit gekeken heeft.

Het proces in vijf stappen

Kwetsbaarheidsbeheer is een cyclus, geen project met een einddatum. In de kern zijn er vijf terugkerende stappen. ISO 27001-beheersmaatregel 8.8 ("beheer van technische kwetsbaarheden") beschrijft dezelfde beweging op normniveau.

1. Ontdekken. Voordat u iets kunt beheren, moet u weten wát u heeft. Voor het externe aanvalsoppervlak betekent dat: welke domeinen, subdomeinen, servers en diensten hangen er van u aan het internet? Dit heet asset discovery, het in kaart brengen van uw systemen. Juist de systemen die niemand meer op het netvlies heeft — een oude testomgeving, een subdomein dat een bureau ooit aanmaakte — zijn de plek waar het misgaat. Dit is de schaduw-IT die buiten het zicht van de IT-afdeling ontstaat. Beheer dat alleen kijkt naar de systemen die u zelf opgeeft, mist per definitie de vergeten systemen.

2. Detecteren. Op alles wat u ontdekt, zoekt u periodiek naar bekende kwetsbaarheden en configuratiefouten. Dit is de kwetsbaarhedenscan: geautomatiseerd, herhaalbaar, met een vaste cadans. Elke gevonden kwetsbaarheid heeft doorgaans een CVE — een uniek label dat wereldwijd naar dezelfde kwetsbaarheid verwijst — en een CVSS-score die de theoretische ernst uitdrukt op een schaal tot 10.

3. Prioriteren. Hier scheidt goed beheer zich van een lange lijst. In 2025 werden ruim 48.000 kwetsbaarheden (CVE's) geregistreerd (bron: de CVE-jaarcijfers), en het onderzoek achter het EPSS-model (FIRST/Cyentia) schat dat maar zo'n vijf procent daarvan ooit daadwerkelijk wordt misbruikt. De CVSS-basisscore helpt daar maar beperkt bij: die meet de ernst in het lab, niet de kans dat een kwetsbaarheid ook echt wordt uitgebuit. Voor die kans bestaan twee aanvullende signalen: EPSS, dat de wereldwijde kans op misbruik binnen dertig dagen schat, en de KEV-catalogus, een lijst van kwetsbaarheden waarvan misbruik feitelijk is waargenomen. KEV is een Amerikaanse lijst (van CISA); in Nederland vullen de beveiligingsadviezen van het NCSC dit beeld aan. Die twee zeggen iets over de dreiging in het algemeen; of het risico juist bij ú speelt, hangt daarnaast af van uw eigen blootstelling — is de kwetsbare dienst van buitenaf bereikbaar? — en van hoe bedrijfskritiek het getroffen systeem is. Goede prioritering weegt die drie samen: de exploit-signalen, uw blootstelling en het belang van het systeem, zodat het team de juiste dingen eerst doet in plaats van blind de hoogste CVSS-scores. Hoe die weging in de praktijk werkt, leest u in EPSS en KEV uitgelegd.

4. Herstellen. Elke bevinding die aandacht verdient, krijgt een eigenaar en een termijn. Patchen is de bekendste hersteloptie, maar niet de enige: een tijdelijke mitigatie of workaround, afschermen achter een firewall, een compenserende maatregel, het uitfaseren van een verouderd systeem, of — bewust en onderbouwd — het risico accepteren zijn even legitiem, mits vastgelegd. Verstandig is om termijnen aan de ernst te koppelen: een kritieke, misbruikte kwetsbaarheid vraagt om dagen, een lage om de reguliere onderhoudscyclus. Zonder eigenaar en termijn blijft een bevinding hangen, en dat is de fase waar het in de praktijk vaak misgaat.

5. Verifiëren. Verifiëren gebeurt op twee momenten. Vooraf: is de bevinding echt? Externe scans leiden versies af uit wat een dienst prijsgeeft, en dat levert soms een vals alarm op — een controle voorkomt dat u tijd steekt in een gat dat er niet is. Achteraf: is het gat werkelijk dicht? "Het is gepatcht" is een bewering; een hermeting die de bevinding niet meer aantreft, is bewijs. Daarna begint de cyclus opnieuw, want intussen zijn er nieuwe kwetsbaarheden gepubliceerd en is uw omgeving weer veranderd.

Die verificatie is waar kwetsbaarheidsbeheer overgaat in aantoonbaarheid — en dat is waar dit onderwerp raakt aan de wet.

Hoe vaak? De cadans van beheer

"Hoe vaak moet ik scannen?" is de vraag die de meeste zoekers hebben, en het antwoord volgt uit de definitie: als beheer een onderhouden toestand is, dan is één keer per jaar te weinig. Er komen dagelijks nieuwe kwetsbaarheden bij en uw omgeving verschuift continu, dus de detectie hoort met een vaste, korte cadans terug te keren. Geen enkele norm schrijft een frequentie voor; in de praktijk is voor het externe aanvalsoppervlak maandelijks een werkbaar minimum, wekelijks beter, en bij een acute, breed misbruikte kwetsbaarheid meet u gericht tussentijds. Het herstel volgt een eigen klok, gekoppeld aan de ernst (stap 4). De winst van een vaste cadans is niet alleen sneller opmerken, maar ook een reeks gedateerde metingen die samen laten zien dát het proces draait. Wie daarop wil sturen, houdt daarnaast per ernstcategorie de doorlooptijd tot herstel bij — dat ene getal vertelt directie én auditor of de cyclus werkt.

De norm: ISO 27001, NEN 7510 en de zorgplicht

Kwetsbaarheidsbeheer staat niet op zichzelf; het is een beheersmaatregel die in meerdere kaders terugkomt.

De rode draad door al die kaders is niet "koop tool X", maar "beheers dit proces en toon aan dat u het beheerst". Geen enkele norm schrijft een leverancier voor. Wat ze wél doen, is de lat leggen bij aantoonbaarheid — en daar wringt het bij veel organisaties.

Papier versus meting: het verschil tussen zeggen en aantonen

Op papier is het kwetsbaarheidsbeheer bijna overal op orde. De vraag die telt, is of u het kunt aantonen — en daar valt het beeld uiteen. De ene laat een beleidsdocument zien waarin staat dát er beheerd wordt. De andere laat een reeks gedateerde metingen zien waarin staat wát er gevonden is en dat het is opgelost.

Dat is het onderscheid tussen papier en meting, en het loopt door dit hele onderwerp. Een ingevuld beleidsdocument, een leveranciersvragenlijst met "ja, wij doen aan kwetsbaarheidsbeheer", een certificaat aan de muur — het zijn beweringen. Een auditor, een verzekeraar of een ketenpartner die serieus kijkt, wil geen bewering maar bewijs: gedateerde, herleidbare metingen die laten zien dat de cyclus draait. Dat is precies wat de verificatiestap uit het proces oplevert.

Vanuit dat perspectief kijken wij naar kwetsbaarheidsbeheer. Exposentry is gebouwd op OpenKAT, het open-source scanplatform waaraan Edward Hasekamp van Hasecon meeontwikkelt. Dat is geen keurmerk maar een werkwijze: OpenKAT meet doorlopend en legt elke bevinding vast als een dateerbaar, herleidbaar object — geen pdf-momentopname, maar een meting die u later kunt terugvinden en waarvan u de herkomst kunt aantonen. Daarmee wordt "wij beheren onze kwetsbaarheden" een controleerbare uitspraak in plaats van een intentie: niet vertrouwen op wat er zou moeten kloppen, maar meten wat er werkelijk aan het internet hangt.

Veelgemaakte fouten

De kortste weg naar goed beheer loopt langs de fouten die u vermijdt. De meest voorkomende:

Zelf doen of uitbesteden?

Kwetsbaarheidsbeheer vraagt gereedschap, tijd en kennis van interpretatie. Heeft u die niet in huis — en veel organisaties hebben geen eigen securityteam — dan is uitbesteden een reële optie, maar niet voor het hele proces.

Goed uit te besteden: de ontdekking en detectie van het externe aanvalsoppervlak, de prioritering op werkelijk risico, en de rapportage in taal die ook buiten de IT-afdeling gelezen kan worden. Dit is repeterend, gereedschapsintensief werk waarin een gespecialiseerde dienst schaalvoordeel heeft.

Niet uit te besteden: het besluit wat u met een bevinding doet, en de eindverantwoordelijkheid voor het risico. Onder NIS2 en de Cyberbeveiligingswet ligt die verantwoordelijkheid expliciet bij het bestuur en is ze niet overdraagbaar. Een externe partij levert de meting en het bewijs; de keuze om te patchen, af te schermen of te accepteren blijft bij u.

Wat kost dat? Een eerlijke vraag zonder één antwoord: de prijs hangt af van hoeveel er van u aan het internet hangt, hoe diep en hoe vaak u meet, en of u het intern belegt (mensuren, gereedschap) of inkoopt. Ter indicatie, marktbreed: doorlopende externe monitoring kost honderden euro's per maand, een eenmalige nulmeting enkele honderden euro's. Weeg die kosten af tegen de impact van één incident of een boete onder de Cyberbeveiligingswet. Wat een doorlopende dienst concreet kost, ziet u bij de pakketten.

Conclusie

Kwetsbaarheidsbeheer is geen scan en geen product, maar een cyclus: ontdekken, detecteren, prioriteren, herstellen, verifiëren, en opnieuw. De normen — ISO 27001-beheersmaatregel 8.8, NEN 7510, en de zorgplicht onder NIS2 en de Cyberbeveiligingswet — vragen niet om een bepaald merk, maar om een proces dat draait en dat u kunt aantonen. Dat laatste, de aantoonbaarheid, is waar veel organisaties winst kunnen boeken: niet zeggen dat het op orde is, maar het met gedateerde metingen laten zien.

Exposentry levert de meet- en signaleringskant van die cyclus als dienst: doorlopende scans van uw externe aanvalsoppervlak op basis van OpenKAT, met periodieke, forensisch onderbouwde rapportages die u als onderbouwing gebruikt richting auditor, verzekeraar of ketenpartner. Begin klein met een nulmeting die inventariseert wat er van u aan het internet hangt, en laat die overgaan in een vaste cadans. Bekijk de pakketten of start met een nulmeting om te zien waar u nu staat.

Geschreven door Edward Hasekamp, oprichter van Exposentry en core-maintainer van het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.