--- title: "Pentest offertes vergelijken: zo doe je het eerlijk" description: "Pentest offertes vergelijken lukt niet op prijs. Vijf vragen die testdagen, scope en uitgangspositie zichtbaar maken, zodat je appels met appels vergelijkt." canonical: https://boemcybersecurity.nl/pentest-offertes-vergelijken/ url: https://boemcybersecurity.nl/pentest-offertes-vergelijken/ last_updated: 2026-10-31T14:08:50+00:00 lang: nl source: BOEM Cybersecurity --- # Pentest offertes vergelijken: waarom drie prijzen niet over hetzelfde werk gaan - 17/09/2026 - [Pentesten en ethisch hacken](https://boemcybersecurity.nl/category/pentesten/) Pentest offertes vergelijken op prijs werkt niet, omdat de bedragen bijna nooit over hetzelfde werk gaan. Drie offertes van €4000, €10.000 en €22.000 verschillen zelden in uurtarief, maar in testdagen, scope en uitgangspositie. Vergelijk daarom eerst die vier dingen, en leg pas daarna de bedragen naast elkaar. ## Kort samengevat - Pentest offertes vergelijken begint bij testdagen, uitgangspositie, uitsluitingen en nazorg, niet bij het uurtarief. - Stel elke aanbieder dezelfde vijf vragen; pas dan kun je pentest offertes vergelijken op bedrag. - Een kleinere scope is legitiem, zolang je zelf weet wat je wel en niet hebt laten testen. - Een offerte zonder testernaam en zonder scopegesprek is vaak een scan, geen pentest. Je vraagt drie partijen om een offerte. Er komt €4000 terug, €10.000 en €22.000. Je ziet drie keer het woord “penetratietest” en concludeert dat de goedkoopste het beste past. Begrijpelijk, en bijna altijd verkeerd. Je hebt niet drie offertes voor hetzelfde werk vergeleken; je hebt drie verschillende opdrachten naast elkaar gelegd die toevallig dezelfde naam dragen. Dit is een van de meest voorkomende situaties in scopegesprekken. Organisaties krijgen wildlopende bedragen terug en hebben geen manier om te zien waar het verschil vandaan komt. Hieronder staat wat dat verschil veroorzaakt, en welke vragen je stelt voordat je pentest offertes vergelijken überhaupt zinvol is. ## Waarom verschillen pentest offertes zo sterk in prijs? Pentestbureaus in Nederland zitten qua dagtarief dicht bij elkaar. Een offerte die de helft kost, is dus zelden half zo duur per dag. Hij bevat minder dagen, minder scope, of allebei. De vier grootste veroorzakers: - **Het aantal testdagen.** Een externe scan van één webapplicatie is anderhalve dag testen plus een halve dag rapporteren. Een gecombineerd traject met externe perimeter, phishing, cloud en intern netwerk loopt al snel naar elf tot vijftien dagen. Dat is geen duurdere pentest, dat is een andere pentest. - **Het kennisniveau vooraf.** Black-box betekent dat de tester begint met alleen je domeinnaam. Grey-box betekent een gewoon gebruikersaccount. White-box betekent broncode en documentatie. Hoe meer de tester vooraf weet, hoe minder tijd naar verkennen gaat en hoe meer naar testen. - **Wat er niet in staat.** Eén offerte test de externe IP-adressen; een andere test dezelfde adressen plus de API’s die erachter hangen. Op papier allebei “externe pentest”. In de praktijk vind je bij de eerste niet wat er in de tweede uit komt. - **Wat er na het testen gebeurt.** Een lijst met bevindingen of een rapport dat je aan je directie kunt laten zien? Zit er een hertest in? Een sessie waarin de tester zijn bevindingen toelicht aan je IT-partij? Dat scheelt dagen, en het bepaalt of je iets met het resultaat kunt. ## De vijf vragen die pentest offertes vergelijkbaar maken Stuur elke aanbieder dezelfde vijf vragen. Niet om ze te testen, maar om zelf appels met appels te kunnen vergelijken. 1. **Hoeveel dagen wordt er getest en hoeveel dagen gerapporteerd?** Uitgesplitst. Een offerte van vijf dagen waarvan er twee naar rapportage gaan, is een test van drie dagen. 2. **Vanuit welke uitgangspositie begint de tester?** Black-, grey- of white-box, en met welke toegang precies. “Vanaf een standaard gebruikersaccount op een beheerde laptop” is iets anders dan “vanaf het internet”. 3. **Wat valt er expliciet buiten scope?** Vraag door. De interessante uitsluitingen staan zelden in de samenvatting. 4. **Zit er een hertest in?** Binnen welke termijn en hoeveel dagen. 5. **Wie voert de test uit?** Een naam en een achtergrond, geen bedrijfsnaam. Het verschil tussen testers is in dit vak groter dan het verschil tussen bureaus. Met die antwoorden maak je een tabel waarin de bedragen wel iets betekenen. Vaak blijkt de duurste offerte per testdag het goedkoopst, of blijkt de goedkoopste een half zo grote scope te hebben. ## Is goedkoper altijd verkeerd? Nee. Een kleinere scope is geen zwaktebod. Als je nog nooit hebt getest, is één gerichte test op je grootste risico meer waard dan een breed traject waarvan je de uitkomsten niet verwerkt krijgt. Begin klein, leer ervan, breid uit. Wat je wel moet weten: een beperkte test geeft een beperkte uitspraak. “Wij hebben een pentest laten doen” klinkt in de directiekamer en bij een auditor hetzelfde, of dat nu anderhalve dag op één website was of vijftien dagen over je hele landschap. Zorg dat je zelf weet welke van de twee je hebt gekocht. ## Waar je op let bij de laagste offerte Er is een categorie goedkope offertes die geen pentest is, maar een kwetsbaarhedenscan met een rapport eromheen. Een geautomatiseerde scanner draait, de uitvoer wordt opgemaakt, en je krijgt zestig bevindingen waarvan de helft vals alarm is. Dat heeft waarde, maar het is een ander product tegen een andere prijs, en het vindt niet wat een mens vindt. Je herkent het aan drie dingen: - Er staat geen naam van een tester in de offerte. - Er is geen scopegesprek nodig geweest om hem op te stellen. - Het aantal bevindingen wordt als verkoopargument gebruikt. Een goede pentest levert vaak minder bevindingen op, maar bevindingen die ergens toe leiden. Pentest offertes vergelijken is uiteindelijk geen prijsvergelijking maar een scopevergelijking. Twijfel je of de offertes op je bureau over hetzelfde werk gaan? Leg ze naast elkaar met iemand die de vragen hierboven kan doorvragen. Dat is precies wat er in een [scopegesprek voor een pentest](https://boemcybersecurity.nl/pentest-laten-uitvoeren/) gebeurt. BOEM voert pentesten uit met EHGI, het bedrijf achter de EHGN-community van 2.500+ ethische hackers, waaronder specialisten van Politie, Defensie en DIVD. Welke tester bij jouw omgeving past, bepalen we in het scopegesprek. ## Veelgestelde vragen ### Waarom verschillen pentest offertes zo sterk in prijs? Bijna nooit door het uurtarief. Het verschil zit in het aantal testdagen, de uitgangspositie van de tester (black-, grey- of white-box), wat er buiten scope valt en of er een hertest en toelichting bij zitten. Drie offertes zijn meestal drie verschillende opdrachten met dezelfde naam. ### Welke vragen stel ik om pentest offertes vergelijkbaar te maken? Vraag elke aanbieder hetzelfde: hoeveel testdagen en hoeveel rapportagedagen, vanuit welke uitgangspositie de tester begint, wat er expliciet buiten scope valt, of er een hertest in zit, en wie de test uitvoert. Met die antwoorden betekenen de bedragen pas iets. ### Is de goedkoopste pentest offerte een slechte keuze? Niet per se. Een kleinere scope is legitiem als je nog nooit hebt getest. Let wel op offertes zonder testernaam en zonder scopegesprek: dat is vaak een kwetsbaarhedenscan met een rapport eromheen, geen pentest. ### Hoeveel dagen duurt een pentest gemiddeld? Een externe test van één webapplicatie is anderhalve dag testen plus een halve dag rapporteren. Een traject met externe perimeter, phishing, cloud en intern netwerk loopt op tot elf à vijftien dagen. Dat is geen duurdere pentest, maar een andere. Verder lezen - [Second opinion pentest: je IT-partner zegt dat het veilig is, wie controleert dat?](https://boemcybersecurity.nl/second-opinion-pentest-it-partner/) - [Phishingbestendige MFA: waarom je MFA aan hebben niet hetzelfde is als beschermd zijn](https://boemcybersecurity.nl/phishingbestendige-mfa/) - [Meerjarig pentestplan: van black-box naar white-box in drie jaar](https://boemcybersecurity.nl/meerjarig-pentestplan-black-box-white-box/) [Christian Boertje](https://boemcybersecurity.nl/christian-boertje/) CEO & Founder · BOEM Cybersecurity en AVG Juristen ### Klaar om je cybersecurity écht op orde te krijgen? In een vrijblijvend kennismakingsgesprek kijken we samen wat er voor jouw organisatie nodig is, concreet en zonder verplichtingen. [Plan een kennismakingsgesprek in](https://meetings-eu1.hubspot.com/yannick-boertje) Direct naar een dienst: [NIS2 Supply Chain](https://boemcybersecurity.nl/nis2-supply-chain/) · [ISO 27001](https://boemcybersecurity.nl/iso27001-implementatie/) · [Pentest](https://boemcybersecurity.nl/pentest-laten-uitvoeren/) · [Security Partner](https://boemcybersecurity.nl/security-partner/) ## Deel dit bericht: [VorigeVorigeDetectie en respons onder NIS2: hoe dit in je zorgplicht past](https://boemcybersecurity.nl/detectie-en-respons-nis2-zorgplicht/) [VolgendeTe klein voor NIS2? Waarom je grootste klant daar anders over denktVolgende](https://boemcybersecurity.nl/te-klein-voor-nis2-keteneisen-klant/) ## Meer nieuwtjes ### [Toegangsbeheer: wie mag wat, en hoe leg je dat vast](https://boemcybersecurity.nl/toegangsbeheer-autorisatiematrix/) 12 november 2026 ### [Pentest uitstellen: wanneer wachten verstandig is, en wanneer niet](https://boemcybersecurity.nl/pentest-uitstellen/) 11 november 2026