Gids
Audit, kwetsbaarheidsscan of penetratietest: wat bestelt u?
Een geautomatiseerde scan somt waarschijnlijke lekken op, een audit rangschikt ze en zegt wat u moet verhelpen, een penetratietest bewijst wat een aanvaller ermee zou kunnen doen. Hier vindt u de definities van het ANSSI, wat een rapport moet bevatten, en wat de AVG en ISO 27001 echt opleggen.
Bijgewerkt op 18 oktober 2026 · De cijfers hebben een bron onderaan de pagina; de beoordelingen zijn die van IT CyberWall.
Drie diensten die vaak worden verward
| Dienst | Wat ze doet | Wat u ontvangt |
|---|---|---|
| Kwetsbaarheidsscan | Een tool ondervraagt automatisch uw machines en vergelijkt wat hij ziet met een database van bekende lekken. | Een lijst van waarschijnlijke lekken, vaak lang, die moet worden gesorteerd. |
| Beveiligingsaudit | Auditors onderzoeken uw architectuur, uw configuraties, uw code of uw organisatie. | Een rapport dat de lekken rangschikt en zegt wat u eerst moet verhelpen. |
| Penetratietest | Auditors kruipen in de huid van een aanvaller en controleren of een lek echt kan worden misbruikt, en met welke impact[1]. | Het bewijs van wat een aanvaller zou kunnen doen, stap voor stap. |
De vijf soorten audit volgens het ANSSI
Het referentiekader voor gekwalificeerde auditaanbieders (PASSI) onderscheidt vijf activiteiten[1]:
- Architectuuraudit: de keuze en de plaatsing van de apparatuur, de verbindingen met internet en met netwerken van derden.
- Configuratieaudit: de instellingen van netwerkapparatuur, systemen, applicaties en beveiligingsproducten.
- Broncode-audit: de lekken in de code van een applicatie.
- Penetratietest: het misbruiken van lekken in reële aanvalsomstandigheden.
- Organisatorische en fysieke audit: het bestuur, de procedures, de beveiliging van de gebouwen.
Wat het rapport moet bevatten
Het PASSI-referentiekader legt de inhoud van een auditrapport vast[1]. Het is een goede maatstaf om elk rapport te beoordelen:
- een samenvatting die begrijpelijk is voor niet-experts: context, scope, kritieke lekken en beoordeling van het beveiligingsniveau;
- een tabel van de kwetsbaarheden, gerangschikt naar impact en naar hoe gemakkelijk ze te misbruiken zijn;
- aanbevelingen die aan elk lek zijn gekoppeld, gerangschikt naar kritikaliteit en kosten;
- voor een penetratietest: het verloop van de test en de gebruikte methode;
- de beperkingen: wat niet kon worden gedekt, en de fasen die met automatische tools zijn uitgevoerd.
Een rapport dat alleen de uitvoer van een tool is, zonder samenvatting of prioriteiten, helpt u niet om te beslissen.
Wat de wet oplegt, en wat niet
- De AVG vraagt voor verwerkingen van persoonsgegevens « een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de maatregelen » ter beveiliging (artikel 32), met een niveau dat aan het risico is aangepast[2]. Ze legt niet uitdrukkelijk een audit of een penetratietest op: het is aan u om een evenredige procedure te kiezen.
- De norm ISO/IEC 27001 is een vrijwillige norm: een bedrijf beslist zelf of het zich laat certificeren[3]. Ze is geen wettelijke verplichting, ook al kan een klant ze contractueel eisen.
- Een PASSI-kwalificatie is alleen verplicht wanneer een tekst of een contract dat eist. U kunt ze controleren op de site van het ANSSI.
Altijd een schriftelijke toestemming
Bij een penetratietest worden systemen aangevallen: dat gebeurt alleen met de schriftelijke toestemming van hun eigenaar. Het PASSI-referentiekader voorziet in een overeenkomst die vóór de audit wordt ondertekend en, voor een penetratietest, in een toestemmingsformulier dat wordt ondertekend door de opdrachtgever, de geaudite partij en de betrokken derden (bijvoorbeeld uw hostingprovider), met de doelen, de data en de tijdstippen[1].
Wat bestelt u?
| Uw situatie | Wat past |
|---|---|
| U weet niet waar u staat | Een architectuur- en configuratieaudit, met een samenvatting voor de directie. |
| U wilt de evolutie in de tijd volgen | Een regelmatige scan, als aanvulling op een audit, nooit in de plaats ervan. |
| Een site of applicatie die op internet bereikbaar is | Een penetratietest op die scope. |
| Een klant of aanbesteding eist een bewijs | Lees de eis: een PASSI-kwalificatie, een ISO 27001-certificering of een eenvoudig auditrapport zijn niet hetzelfde. |
Onze audits worden beschreven op de pagina Beveiligingsaudit.
Weet u niet wat u moet bestellen?
Beschrijf uw context en wat er van u wordt gevraagd: wij zeggen u welk type audit past.
Bronnen
Bronnen geraadpleegd op 18 oktober 2026. De tarieven van de leveranciers zijn vermeld excl. btw, in de valuta en de regio van de gepubliceerde prijslijst, en kunnen veranderen: controleer altijd de officiële pagina voordat u beslist.
- ANSSI – Prestataires d’audit de la sécurité des systèmes d’information (PASSI), référentiel d’exigences v2.1-a (1 september 2023) — cyber.gouv.fr/sites/default/files/document/R%C3%A9f%C3%A9rentiel%20PASSI%20%E2%80%93%20version%202.1-a%20%E2%80%93%20sans%20marque%20de%20r%C3%A9vision.pdf
- CNIL – Règlement européen sur la protection des données, chapitre 4 (artikel 32) — www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- ISO – ISO/IEC 27001, Information security management systems — www.iso.org/isoiec-27001-information-security.html