Wat kost een kwetsbaarhedenscan, en wat kost een pentest?
Gepubliceerd op 28 oktober 2026
Een kwetsbaarhedenscan kost van niets tot enkele honderden euro's per maand, een pentest meestal €3.000 tot €15.000 per keer. Die bedragen zeggen weinig zolang u niet weet wat u ervoor krijgt, en veel aanbieders publiceren geen prijs. Dit overzicht zet de openbare prijzen naast elkaar, per soort dienst, zoals ze op 28 oktober 2026 op de sites van de aanbieders stonden. Exposentry verkoopt zelf scans; de eigen prijzen staan verderop apart en tellen niet mee in de bandbreedtes.
In het kort
- Een externe scan die u zelf bedient, kost bij Nederlandse aanbieders €29 tot €399 per maand, vaak met een gratis versie. Laat u specialisten de bevindingen prioriteren, dan kost dat bij de aanbieders in dit overzicht €295 tot €750 per maand.
- Een pentest wordt per testdag geprijsd, meestal €1.000 tot €2.000 per dag. Eén webapplicatie testen kost doorgaans €3.000 tot €15.000.
- De prijs hangt af van wat er gemeten wordt, hoe vaak, hoeveel mensenwerk erbij zit en wat u als bewijs terugkrijgt.
Waarom de prijzen zo ver uiteenlopen
Vier dingen bepalen de prijs. Het eerste is wat er gemeten wordt. Een externe scan bekijkt wat van uw organisatie aan het internet hangt: websites, mailservers, toegangen tot uw systemen die vanaf internet bereikbaar zijn (open poorten) en het beveiligingscertificaat van uw website. Een interne scan kijkt binnen uw netwerk en heeft daarvoor een apparaat of software op uw locatie nodig.
Het tweede is hoe vaak. Een eenmalige meting geeft het beeld van één dag. Een doorlopende scan houdt dat beeld actueel, en daarvoor betaalt u per maand.
Het derde is mensenwerk. Software is goedkoop te herhalen, een specialist kost per uur. Zodra iemand bevindingen controleert, prioriteert of met u bespreekt, stijgt de prijs. Bij elke scanner zonder menselijke controle moet iemand bij u de meldingen beoordelen, en dat kost ook uren.
Het vierde is wat u terugkrijgt: een lijst in een dashboard, een pdf, of een gedateerd rapport waarvan een klant of auditor achteraf kan controleren dat het niet is aangepast. Een ingevulde vragenlijst legt vast wat u verklaart; een meetrapport legt vast wat de meting die dag aan uw buitenkant aantrof. Dat is het verschil tussen papier en meting.
Wat kost een kwetsbaarhedenscan?
Elke bandbreedte hieronder is gebaseerd op prijzen die op 28 oktober 2026 op de sites van de aanbieders zijn nagekeken. Excl. btw staat er alleen bij waar de bron dat zegt.
| Soort dienst | Wat u krijgt | Prijs zoals gepubliceerd | Gebaseerd op |
|---|---|---|---|
| Gratis tests | Een meting van uw website, mail of domein, eenmalig of in een beperkte gratis versie | €0 | internet.nl, de tools van het NCSC, de gratis versie van vier scanners en de ketenscan van 1338.nl |
| Gratis vragenlijsten | Een zelfevaluatie: u beantwoordt vragen, er wordt niets gemeten | €0 | Lupasafe, Samen Digitaal Veilig |
| Eenmalige scan met rapport | Eén meting met een rapport en adviezen | ongeveer €300 tot €2.000 | 3 bronnen |
| Externe scan, zelf bedienen | Doorlopende scan van uw domeinen, resultaten in een dashboard of pdf | €29 tot €399 per maand bij Nederlandse aanbieders; internationaal tot €434; grote pakketten vanaf €499 | 2 Nederlandse en 2 buitenlandse aanbieders |
| Interne netwerkscan met apparaat | Scan van de systemen binnen uw netwerk, met een kastje of software op locatie | €89 per maand (één scan per jaar) tot €199 (elk kwartaal); met maandelijkse interne én externe scan vanaf €350 | 2 aanbieders |
| Beheerde doorlopende scan | Scan plus specialisten die bevindingen prioriteren en een maandrapport maken | €195 per maand voor de scan alleen; met maandrapport en prioritering door ethical hackers €295 tot €495, voor één domein (1 aanbieder); pakketten tot vijf gebruikers met compliance-ondersteuning vanaf €350, met bewustwordingstraining €750 (1 aanbieder) | 2 aanbieders |
| NIS2-pakket per gebruiker | Platform met zelfevaluatie, scans en rapportage, betaald per medewerker | €6,80 tot €9,20 per gebruiker per maand excl. btw (tot 100 gebruikers) | 1 aanbieder |
| Certificaatroute | Certificaatregistratie voor NIS2 Supply Chain en training ter voorbereiding op de audit; een scan wordt niet genoemd | €1.450 tot €9.800 per jaar, afhankelijk van uw omvang; leden van een partnervereniging betalen de helft | 1 aanbieder |
De meeste scanners die u zelf bedient, hebben een gratis versie, beperkt tot één domein of een paar systemen. Of u per domein, per systeem, per IP-adres of per gebruiker betaalt, kan bij meerdere domeinen flink schelen. Vraag ook of subdomeinen die de scanner zelf vindt, zoals shop.uwbedrijf.nl, extra kosten.
Wat kost een pentest? Prijs per test en per dag
Bij een pentest probeert een specialist, met uw schriftelijke toestemming, actief bij u binnen te dringen. Vooraf spreekt u de scope af: welke systemen er getest worden en hoe diep. Een pentest duurt een afgesproken aantal dagen (het NCSC spreekt van een activiteit met een vaste tijdsduur), en aanbieders rekenen per testdag.
| Soort pentest | Gebruikelijke prijs | Gebaseerd op |
|---|---|---|
| Dagtarief | €1.000 tot €2.000 per dag (€125 tot €250 per uur); uitschieters van €849 tot €2.500 per dag | 4 aanbieders en een marktonderzoek |
| Kleine test van één dag | rond €1.000 | KVK |
| Eén webapplicatie | €3.000 tot €15.000, meestal 3 tot 10 testdagen; uitschieters tot €20.000 en meer | 6 bronnen |
| Uw buitenkant (externe infrastructuur) | €2.500 tot €8.000 | 1 aanbieder en 1 secundaire bron |
| Uw interne netwerk | €4.500 tot €15.000 | 3 aanbieders |
| Red team, een aanval over langere tijd en langs meerdere wegen | €20.000 tot €50.000 en meer | 1 bron |
De KVK noemt voor een kleine pentest rond €1.000 en één dag werk. Wees voorzichtig met aanbiedingen daaronder. Een handmatige pentest voor enkele honderden euro's bestaat vrijwel niet. Het Centrum voor Criminaliteitspreventie en Veiligheid (CCV), dat het keurmerk Pentesten beheert, noemt een test die grotendeels geautomatiseerd is een kwetsbaarhedenscan (vulnerability scan). Voor zo'n bedrag krijgt u in de praktijk een geautomatiseerde scan.
Wat de prijs van een pentest bepaalt
Vooral de scope drijft de prijs op. Het NCSC waarschuwt dat een te brede of vage scope een test te duur maakt of te weinig diepgang geeft, en raadt aan offertes niet alleen op prijs te vergelijken. Bij een webapplicatie telt het aantal gebruikersrollen mee, zoals klant, medewerker en beheerder: elke rol met eigen rechten moet apart getest worden.
Daarnaast telt de testmethode. Bij een black-box-test krijgt de tester vooraf niets en zoekt hij alles zelf uit, zoals een aanvaller van buiten. Bij een grey-box-test krijgt hij een gebruikersaccount, bij een white-box-test ook documentatie of broncode. Volgens het NCSC kost een black-box-test meer tijd en geld.
Verder verschillen aanbieders in kwalificaties, zoals het CCV-keurmerk voor de aanbieder of een internationaal erkend pentestcertificaat (OSCP) voor de tester, in de vraag of een hertest na herstel in de prijs zit, en in de toeslag als het snel moet. Vraag ook om een geanonimiseerd voorbeeldrapport, want het rapport houdt u na afloop over.
Hoe lang het duurt, en hoe vaak
Er zijn aanbieders die binnen twee weken starten. De test zelf duurt meestal 3 tot 10 werkdagen, en het rapport volgt daarna binnen enkele werkdagen. Een marktonderzoek rekent van intake tot rapport op twee tot vier weken. Het NCSC noemt geen vaste termijn voor herhaling: test regelmatig, bij nieuwe systemen en na veranderingen in uw IT-omgeving.
Een pentest kan ook als abonnement: de aanbieder test dan doorlopend of op vaste momenten. Bij de twee aanbieders in dit overzicht kost dat vanaf €1.250 per maand, of vanaf €299 per maand als een AI-systeem het testwerk doet. Die laatste aanbieder schrijft zelf dat dit een handmatige pentest niet vervangt.
Het advies van Exposentry, als vuistregel: begin met een gratis test. Hangt er meer dan een website en mail van u aan internet, dan is een doorlopende externe scan een redelijke volgende stap; dat kan ook een goedkope scanner die u zelf bedient. Een pentest komt erbij zodra u een eigen webapplicatie of klantportaal met inlog hebt, gevoelige gegevens verwerkt, of een klant of auditor erom vraagt. Meer daarover staat in pentest of kwetsbaarhedenscan.
Bijkomende kosten, verzekeraars en subsidie
Bovenop de offerte komen de uren van uw eigen IT-beheerder voor de afbakening en begeleiding, het herstelwerk na de bevindingen en eventueel een hertest.
Verzekeraars kunnen een pentest als voorwaarde stellen voor een cyberverzekering, en willen dan dat die test van goede kwaliteit is. Volgens het CCV, dat het keurmerk beheert, vroegen in 2022 steeds meer verzekeraars om een tester met het keurmerk. Er zijn verzekeraars die korting geven als u hun eigen preventiedienst afneemt; NN geeft bijvoorbeeld 10% korting op de cyberverzekering in combinatie met zijn preventiepakket.
Een landelijke subsidie voor een pentest of kwetsbaarhedenscan is per oktober 2026 niet te vinden. De regeling Mijn Cyberweerbare Zaak (50% van de kosten, maximaal €1.250, aanvragen tot en met 30 november 2026) vergoedt alleen acht soorten maatregelen; een pentest of scan staat daar niet tussen, en maatregelen voor websites zijn bovendien uitgesloten. Provincies hebben soms een adviesvoucher. Drenthe vergoedt bijvoorbeeld de helft van een adviestraject, tot maximaal €3.000 subsidie, voor bedrijven in de provincie; de regeling noemt cybersecurity, al staat een pentest er niet bij naam in.
Wat kost NIS2-monitoring?
De Cyberbeveiligingswet vraagt passende maatregelen tegen de risico's voor uw organisatie, en dat u kunt aantonen dat u ze neemt. Welke maatregelen dat zijn, staat per artikel toegelicht op de pagina over de Cyberbeveiligingswet. Met welke middelen u het aantoont, laat de wet grotendeels aan u.
De Europese uitvoeringsverordening 2024/2690 noemt beveiligingstests, en waar passend kwetsbaarheidsscans, uitdrukkelijk voor onder meer aanbieders van clouddiensten, datacenters, beheerde IT-diensten en DNS-diensten. Wat NIS2-monitoring kost, hangt af van wat een dienst meet en wat hij aan bewijs oplevert: alleen uw buitenkant of ook uw interne netwerk, hoe vaak er gemeten wordt, of er een gedateerd rapport uit komt en of iemand de uitkomst met u doorneemt. Een certificaat laat zien hoe u uw beveiliging hebt ingericht, een meting wat zij op een bepaalde dag aan uw buitenkant aantrof; de twee vullen elkaar aan.
Waar Exposentry in dit overzicht staat
| Pakket | Prijs excl. btw | Wat er in zit |
|---|---|---|
| Nulmeting | €495 eenmalig | Eén domein, een verzegeld rapport, een half uur bespreking met een specialist; loopt twee maanden, daarna kiest u zelf of u doorgaat |
| Ketenpartner | €249 per maand | Tot 10 domeinen, doorlopende verkenning van wat u aan internet hangt (poorten, certificaten, webservers), elke maand een automatisch opgesteld en verzegeld rapport, e-mailsupport, en per domein, met uw toestemming, ook actieve tests op bekende kwetsbaarheden (niveau 3) |
| NIS2 Monitoring | €495 per maand | Als Ketenpartner, plus uitgebreide actieve tests op bekende kwetsbaarheden en elk kwartaal persoonlijke duiding door een specialist |
| NIS2 + Keten | €795 per maand | Als NIS2 Monitoring, plus 10 leveranciers waarvan de buitenkant via openbare bronnen wordt gevolgd, en vier consultanturen per kwartaal |
Bij jaarbetaling krijgt u twee maanden gratis. Stapt u binnen 60 dagen na de Nulmeting over op een jaarabonnement, dan wordt de Nulmeting volledig verrekend.
Zo verhouden de pakketten zich tot de markt. De Nulmeting valt binnen de bandbreedte van de eenmalige scans. Ketenpartner is voor tien domeinen duurder dan de Nederlandse scanners die u zelf bedient: daar betaalt u voor tien of meer domeinen €79 tot €99 per maand. NIS2 Monitoring kost evenveel als de duurste beheerde scan voor één domein in het overzicht, en dekt tot tien domeinen. Bij die beheerde scan worden bevindingen gevalideerd met exploitscripts, prioriteren ethical hackers ze elke maand en wordt ook het interne netwerk gemeten; bij Exposentry is er elk kwartaal duiding en wordt alleen uw buitenkant gemeten. NIS2 + Keten ligt boven de hoogste vaste maandbedragen in de scantabel.
Het rapport wordt door Exposentry digitaal verzegeld, met een tijdstempel van een onafhankelijke dienst, zodat een klant of auditor kan controleren dat het sinds het verzegelen niet is gewijzigd. In de NIS2-pakketten neemt een specialist de uitkomst elk kwartaal met u door. De uitgebreide tests starten daar pas nadat u op twee manieren hebt aangetoond dat het domein van u is: met een regel in uw DNS-instellingen en met een bestand op uw website. U betaalt voor de domeinen die u aanmeldt; subdomeinen die de scan daarachter vindt, kosten niets extra.
Exposentry meet alleen uw buitenkant. Voor uw interne netwerk of een handmatige test hebt u een interne scan of een pentest nodig, zoals hierboven beschreven. De meting komt van OpenKAT, de beveiligingsscanner met open broncode die binnen de Nederlandse overheid is ontwikkeld en sinds 2026 door Stichting LibreKAT wordt onderhouden. OpenKAT kunt u ook zelf gratis installeren; het NCSC noemt het op zijn toolspagina. Bij Exposentry betaalt u voor de hosting, het beheer, het rapport en in de NIS2-pakketten de duiding.
Hebt u alleen voor uzelf een overzicht nodig, dan is een gratis test of een goedkope scanner die u zelf bedient een redelijke keuze. Moet u het resultaat aan een klant of toezichthouder laten zien, dan weegt het bewijs zwaarder. U kunt beginnen met de gratis check van uw mailbeveiliging (DMARC), van het certificaat van uw website (SSL) of met de securityscan. Wat de externe scan van Exposentry meet en wat er in het rapport staat, leest u op de pagina kwetsbaarhedenscan; de pakketten staan op de prijspagina.
Zo vergelijkt u offertes
| Vraag | Waarom het telt |
|---|---|
| Wat valt binnen de scope, als lijst van domeinen, IP-adressen, gebruikersrollen en koppelingen met andere systemen? | Een vage scope maakt een test duur of oppervlakkig |
| Hoeveel testdagen of uren, en is het een vaste prijs of nacalculatie? | Een dagtarief zegt pas iets met het aantal dagen erbij |
| Welke testmethode: black, grey of white box? | Bepaalt hoeveel tijd naar verkennen gaat |
| Wie test, met welke kwalificatie, en worden er onderaannemers ingezet? | Het CCV-keurmerk en certificeringen zeggen iets over de kwaliteit |
| Wat staat er in het rapport? | Een managementsamenvatting, ernst per bevinding en stappen die uw beheerder kan naspelen |
| Zit een hertest in de prijs? | Laat zien dat wat u herstelde ook dicht is |
| Wanneer wordt er getest, en welke systemen blijven erbuiten? | Een test op uw live systemen of buiten kantoortijd kan meer kosten |
| Wie tekent de vrijwaring (de schriftelijke toestemming voor de test), geeft uw hostingpartij toestemming, en is de aanbieder verzekerd voor schade tijdens de test? | U geeft toestemming om uw systemen aan te vallen; leg vast wie waarvoor instaat |
| Wat telt bij een scan als één eenheid, en wie beoordeelt de meldingen? | De rekeneenheid en het uitzoekwerk bepalen wat u werkelijk kwijt bent |
Let ook op de btw: veel aanbieders vermelden niet of hun prijs inclusief of exclusief btw is. Hoe u bij een rapport controleert of het achteraf is aangepast, leest u in een Exposentry-rapport verifiëren.
Verdieping: de bronnen achter de bandbreedtes
Alle prijzen zijn op 28 oktober 2026 opgevraagd op de sites van de aanbieders en bronnen. De meeste pentestbedragen komen van partijen die zelf pentests verkopen; de KVK en het NCSC zijn de enige neutrale bronnen, en het NCSC noemt geen bedragen.
- Scans: zelf bedienen bij Fortivox Security, Exposure Watch, Pentest-Tools.com en Intruder. Intern bij kwetsbaarheidsscan.nl en Promax. Beheerd bij Tozetta en SecuroNova. Eenmalig bij SecuroNova (€450), Mijn Bedrijf Online (vanaf €299 per host) en Secure Audit. Per gebruiker en gratis vragenlijst bij Lupasafe. Certificaatroute bij Samen Digitaal Veilig, gratis vragenlijst bij de NIS2 Cyber Score. Gratis tests: internet.nl, de tools van het NCSC, de gratis versies van de vier scanners voor zelfbediening hierboven en de ketenscan van 1338.nl, dat zichzelf een inventarisatie noemt en geen kwetsbaarhedenscan.
- Pentests: Tozetta, Warpnet, Surelock, Budget Security, Secure Audit, Q-Cyber, Sectricity, EHGI, het marktonderzoek van IBgids (EHGI en IBgids publiceren dezelfde tabel en tellen als één bron) en de Duitse leverancier van compliancesoftware Matproof als secundaire bron. Pentest als abonnement: Warpnet en, met een AI-systeem, Securitytest.nl.
Exposentry telt niet mee in de bandbreedtes. De eigen prijzen staan in de tabel hierboven.
Veelgestelde vragen
Wat kost een kwetsbaarhedenscan? Een eenmalige scan met rapport kost ongeveer €300 tot €2.000. Een externe scan die u zelf bedient, kost bij Nederlandse aanbieders €29 tot €399 per maand, vaak met een gratis versie. Een interne netwerkscan met een apparaat in uw netwerk begint rond €89 per maand. Laat u specialisten de bevindingen prioriteren, dan kost dat bij de aanbieders in dit overzicht €295 tot €750 per maand. Peildatum 28 oktober 2026.
Wat kost een pentest? Een pentest wordt per testdag geprijsd. Het gangbare dagtarief ligt tussen €1.000 en €2.000. Een pentest van één webapplicatie kost doorgaans €3.000 tot €15.000, een test van uw interne netwerk €4.500 tot €15.000. Voor enkele honderden euro's krijgt u in de praktijk een geautomatiseerde scan.
Hoe lang duurt een pentest? De test zelf duurt meestal 3 tot 10 werkdagen. Een marktonderzoek rekent van intake tot rapport op twee tot vier weken; wanneer u kunt starten, verschilt per aanbieder.
Is een hertest inbegrepen? Bij sommige aanbieders wel, bij andere niet. Vraag het voordat u tekent: een hertest laat zien dat wat u herstelde ook echt dicht is.
Vergoedt een verzekeraar of subsidie de kosten? Een landelijke subsidie voor een pentest of kwetsbaarhedenscan is per oktober 2026 niet te vinden. De regeling Mijn Cyberweerbare Zaak vergoedt alleen acht soorten maatregelen, en een pentest of scan staat daar niet tussen. Verzekeraars kunnen een pentest als voorwaarde stellen. Er zijn verzekeraars die korting geven als u hun eigen preventiedienst afneemt.
Wat kost NIS2-monitoring bij Exposentry? Een eenmalige Nulmeting kost €495. Ketenpartner kost €249 per maand, NIS2 Monitoring €495 per maand en NIS2 + Keten €795 per maand, alle bedragen excl. btw. Bij jaarbetaling krijgt u twee maanden gratis. Wat er per pakket in zit, staat op de prijspagina.
Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.