Waarom is een eenmalige scan of pentest niet genoeg?

Omdat beide een momentopname zijn. Er worden doorlopend nieuwe kwetsbaarheden gepubliceerd (in 2025 ruim 48.000 CVE's, meer dan honderd per dag) en uw eigen omgeving verandert voortdurend: nieuwe systemen, verlopen certificaten, een collega die een dienst aanzet. Een rapport van zes maanden oud kan een organisatie beschrijven die inmiddels wezenlijk anders is.

Is vulnerability monitoring verplicht onder NIS2?

Nee, geen enkel product of dienst is bij naam verplicht. Maar de zorgplicht van NIS2 is doorlopend van aard: u moet uw risico's blijvend beheersen en dat kunnen aantonen. Periodieke, gedateerde rapportages uit monitoring zijn daarvoor een praktische en betaalbare vorm van bewijs, geen wettelijke eis op zich.

Wat is het verschil tussen vulnerability monitoring en een SIEM of EDR?

Ze kijken naar verschillende dingen. Vulnerability monitoring bewaakt uw buitenkant: welke zwakke plekken kan een aanvaller zien en misbruiken, voordat er iets gebeurt. SIEM en EDR bewaken de binnenkant: ze detecteren verdacht gedrag als er al iets gaande is. Preventie en detectie vullen elkaar aan.

Wat mag ik van goede vulnerability monitoring verwachten?

Vier dingen: ontdekking van uw volledige externe aanvalsoppervlak (inclusief vergeten systemen), periodieke detectie van kwetsbaarheden, prioritering op werkelijk risico, met exploitkans en blootstelling naast de ernstscore, en gedateerde, herleidbare rapportages die u als bewijs richting klant, auditor of toezichthouder kunt gebruiken.

Terug naar kennisbank

Wat is vulnerability monitoring, en waarom een eenmalige scan niet genoeg is

Gepubliceerd op 11 juli 2026 · Bijgewerkt op 4 augustus 2026

Veel organisaties hebben inmiddels iets gedaan: een pentest vorig jaar, een security-scan bij de vorige verbouwing van de website, een internet.nl-check met een mooie score. Het rapport zit in de la en het gevoel is: dit is geregeld. Dat gevoel is begrijpelijk, en mogelijk voorbarig. Want de vraag die telt, is of u wéét hoe u er vandaag voor staat.

Dat is precies het gat dat vulnerability monitoring vult. Dit artikel legt uit wat het is, waarom een momentopname zo snel veroudert, en wat u er als beslisser van mag eisen.

Wat is vulnerability monitoring?

Vulnerability monitoring is het doorlopend en geautomatiseerd bewaken van uw systemen op kwetsbaarheden: bekende zwakke plekken in software, configuratiefouten en diensten die onbedoeld aan het internet hangen. Bij externe monitoring gebeurt dat vanuit het perspectief van de aanvaller: alles wat van buitenaf zichtbaar is, wordt periodiek opnieuw onderzocht. Dat buitenperspectief heet ook wel extern aanvalsoppervlak of EASM.

Het verschil met een eenmalige scan zit niet in de techniek maar in de tijd. Een scan beantwoordt de vraag "hoe stond ik ervoor op die datum?" Monitoring beantwoordt de vraag die uw klant, auditor en toezichthouder werkelijk stellen: "hoe staat u er nú voor, en hoe houdt u dat bij?"

Let ook op het onderscheid met vulnerability management. Monitoring is het doorlopende signaleren van uw externe aanvalsoppervlak: de laag die opmerkt wat er verandert en wat er misgaat. Vulnerability management is het bredere proces daaromheen (ontdekken, prioriteren, herstellen, verifiëren en opnieuw beginnen) waarin monitoring de continue signaleringslaag levert. Zonder die laag draait de rest van het proces op verouderde aannames.

Waarom een momentopname zo snel veroudert

Drie klokken tikken tegelijk, en ze tikken alle drie tegen u in:

Nieuwe kwetsbaarheden. Er worden doorlopend nieuwe CVE's gepubliceerd: in 2025 ruim 48.000, meer dan honderd per dag. De software die bij uw laatste test veilig was, kan volgende week een kritieke kwetsbaarheid blijken te bevatten, zonder dat er bij u iets veranderd is.
Uw eigen infrastructuur. Organisaties veranderen continu: een nieuwe SaaS-koppeling, een testomgeving die per ongeluk publiek staat, een verlopen certificaat, een marketingbureau dat een subdomein aanmaakt. Juist die schaduw-IT die buiten het zicht van de IT-afdeling ontstaat is vaak de vindplaats van incidenten.
De aanvaller scant al continu. Geautomatiseerde scanners van kwaadwillenden onderzoeken het hele internet doorlopend. Tussen de publicatie van een kwetsbaarheid en het eerste misbruik zitten soms uren. Wie met grote tussenpozen kijkt, loopt achter op wat de tegenstander allang ziet.

De praktische consequentie: een pentestrapport of scanrapport van zes maanden oud kan een organisatie beschrijven die inmiddels wezenlijk anders is. Als bewijsstuk richting een auditor levert het dan minder overtuigend bewijs dan een actuele, periodieke rapportage, en als stuurinformatie voor uzelf geldt hetzelfde.

Wat NIS2 en uw keten hiervan vinden

De zorgplicht van NIS2 en de Cyberbeveiligingswet is doorlopend geformuleerd: risico's beheersen is een blijvende verplichting, die het bestuur goedkeurt en waarop het toeziet. Nergens staat dat u daarvoor monitoring moet kopen; geen enkele tool is verplicht. Maar aantonen dat u blijvend aan uw zorgplicht voldoet, is met een stapel gedateerde, periodieke rapportages aanzienlijk eenvoudiger dan met één rapport van anderhalf jaar oud.

Hetzelfde geldt in de keten. Wie een leveranciersvragenlijst invult met "onze externe systemen worden maandelijks gescand, bijgevoegd de rapportage van afgelopen maand" onderscheidt zich bijvoorbeeld van een concurrent die verwijst naar een verouderde pentest. Auditors zoeken herhaalbaar, gedateerd bewijs.

Daar zit ook het perspectief vanwaar wij naar dit onderwerp kijken. Exposentry is gebouwd op OpenKAT, het open-source scanplatform waar Edward Hasekamp van Hasecon als collaborator aan de upstream-repository bijdraagt. Dat kleurt onze aanpak, en die valt samen te vatten als het verschil tussen papier en meting: een ingevulde vragenlijst of een beleidsdocument is een bewering, terwijl een gedateerde meting van uw werkelijke aanvalsoppervlak bewijs is. Dat noemen we evidence-first monitoring, oftewel bewijsgedreven monitoring: meten wat er werkelijk aan het internet hangt.

Wat goede vulnerability monitoring omvat

Wie monitoring inkoopt of intern belegt, mag vier onderdelen eisen:

Ontdekking. Eerst weten wát er van u aan het internet hangt: domeinen, subdomeinen, servers, diensten. Monitoring die alleen kijkt naar de systemen die u zelf opgeeft, mist per definitie de vergeten systemen, en juist daar zit het risico.
Detectie. Periodiek, geautomatiseerd onderzoek van al die systemen op bekende kwetsbaarheden en configuratiefouten. Wekelijks of maandelijks, met een vaste cadans.
Prioritering. Niet elke bevinding verdient dezelfde spoed. Goede monitoring weegt mee of een kwetsbaarheid daadwerkelijk wordt misbruikt in de praktijk, zodat uw IT-team of leverancier de juiste dingen eerst doet. Hoe die weging werkt, leest u in EPSS en KEV uitgelegd.
Rapportage als bewijs. Gedateerde, herleidbare rapportages in taal die ook buiten de IT-afdeling begrepen wordt, bruikbaar richting directie, klant en auditor. Hoe u van een technische lijst naar bestuurlijke stuurinformatie komt, beschreven we in van CVE-lijst tot directierapportage.

Monitoring vult detectie ín uw netwerk (SIEM, EDR) en een gerichte pentest op uw kritieke applicaties aan. Het is de preventieve buitenlaag: het signaleert of de basis op orde blijft, zodat u tijdig kunt bijsturen; het herstel zelf blijft bij uw IT-team of leverancier. Wat dat kost, ziet u bij de pakketten.

Conclusie

Vulnerability monitoring zet een momentopname om in een doorlopend antwoord. Voor de bestuurder verandert daarmee de vraag die u aan uw organisatie stelt: "wanneer is er voor het laatst gekeken, wat werd er gevonden, en is dat opgelost?" Wie die drie vragen elke maand kan beantwoorden, heeft de kern van zijn zorgplicht aantoonbaar op orde.

Exposentry levert vulnerability monitoring als dienst: doorlopende scans van uw externe aanvalsoppervlak op basis van OpenKAT, met maandelijkse, forensisch onderbouwde rapportages die u direct als bewijs gebruikt. Beginnen hoeft niet groot: start met een nulmeting die inventariseert wat er van u aan het internet hangt, en laat die overgaan in een vaste maandelijkse cadans. Bekijk de pakketten of begin vandaag met een nulmeting om te zien waar u nu staat.

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.