--- title: "Pentest uitstellen: wanneer wachten verstandig is" description: "Pentest uitstellen kan verstandig zijn, bijvoorbeeld tijdens een migratie. Wanneer wachten loont, wanneer niet, en wat je in de tussentijd wel regelt." canonical: https://boemcybersecurity.nl/pentest-uitstellen/ url: https://boemcybersecurity.nl/pentest-uitstellen/ last_updated: 2026-11-11T07:15:00+00:00 lang: nl source: BOEM Cybersecurity --- # Pentest uitstellen: wanneer wachten verstandig is, en wanneer niet - 11/11/2026 - [Pentesten en ethisch hacken](https://boemcybersecurity.nl/category/pentesten/) Een pentest uitstellen is verstandig als de omgeving binnenkort ingrijpend verandert: een nieuw ERP-systeem, een cloudmigratie of een applicatie die wordt vervangen. De bevindingen zijn dan verouderd voordat je ze hebt opgelost. Maar uitstel geldt alleen voor wat verandert. De rest kun je nu testen, en een bekend lek wacht nooit. ## Kort samengevat - Pentest uitstellen loont als het geteste systeem binnen een paar maanden verdwijnt of ingrijpend verandert. - Wat niet verandert, zoals vaak de externe perimeter, kun je gewoon nu laten testen. - Een bekende kritieke kwetsbaarheid of een eis uit een norm is geen reden om te wachten. - Uitstel werkt alleen met een datum en budget in de planning; anders wordt het afstel. ## Waarom kiezen organisaties voor uitstel? In onze scopegesprekken komt het geregeld voor dat een organisatie de pentest bewust doorschuift naar het volgende jaar. De redenen lijken op elkaar: - **Een grote systeemwijziging.** Een nieuw ERP-systeem, een nieuw magazijn- of klantportaal, of een overstap naar Microsoft 365 en Azure. Testen midden in zo’n migratie levert bevindingen op over systemen die straks niet meer bestaan. - **Eerst de basis op orde.** Sommige IT-teams willen eerst zelf de infrastructuur versterken, zodat de test niet vol staat met dingen die ze al wisten. - **Een nieuwe verantwoordelijke.** Als er net een CISO of security officer is aangesteld, wil die vaak eerst inwerken en het jaarplan opstellen, met de pentest daarin. - **Een reorganisatie.** Na een overname of een directiewissel ligt de leverancierskeuze soms even stil. Dat zijn legitieme redenen. Een pentest kost geld, en wie test op een omgeving die over drie maanden anders is, betaalt voor een rapport met een korte houdbaarheid. ## Wanneer moet je een pentest juist niet uitstellen? Uitstel is een afweging, geen standaardkeuze. Er zijn situaties waarin wachten meer kost dan het oplevert. **Als er al een kritiek lek bekend is.** In vooronderzoeken die we voor een kennismaking doen, vinden we geregeld iets dat direct aandacht nodig heeft: verouderde software op een gedeelde hostingomgeving, of gelekte wachtwoorden van medewerkers. Zo’n bevinding los je meteen op. Daar hoef je geen pentest voor af te wachten, maar een migratie is ook geen reden om het te laten liggen. **Als een norm of klant een vaste cyclus eist.** Sommige normen en opdrachtgevers verwachten een jaarlijkse test. Dan kun je hooguit de scope aanpassen, niet het moment. **Als het deel dat je wilt testen niet verandert.** Een interne migratie laat de externe kant vaak ongemoeid: dezelfde IP-adressen, dezelfde webapplicaties, dezelfde inlogportalen. Dat deel kun je nu laten testen, en de interne test plan je na de oplevering. ## Pentest uitstellen of in delen plannen? Vaak is de beste keuze geen volledig uitstel, maar een gefaseerde planning. Een patroon dat we vaak zien: dit jaar de externe perimeter, volgend jaar de interne of cloudomgeving. Dat heeft drie voordelen. Het budget wordt over twee jaar verdeeld. De tweede test bouwt voort op de uitkomst van de eerste. En je laat het deel dat nu stabiel is niet onnodig ongetest. Hoe je bepaalt welk deel eerst gaat, staat in [welke pentest eerst bij een beperkt budget](https://boemcybersecurity.nl/welke-pentest-eerst-beperkt-budget/) . Wil je er een vaste lijn in, dan helpt een [meerjarig pentestplan](https://boemcybersecurity.nl/meerjarig-pentestplan-black-box-white-box/) . ## Wat regel je in de tussentijd? Wie besluit de pentest uit te stellen, kan de wachttijd nuttig gebruiken. 1. **Laat zien wat een aanvaller nu al ziet.** Een [extern vooronderzoek](https://boemcybersecurity.nl/externe-security-scan-vooronderzoek/) kijkt alleen naar wat openbaar te vinden is en kost weinig tijd. Het laat zien of er iets is dat niet kan wachten. 2. **Los de bekende punten op.** Alles wat je zelf al weet, hoeft een tester niet opnieuw te vinden. Dan gaan de testdagen naar wat je niet weet. 3. **Test het nieuwe systeem vóór het live gaat.** Een migratie is juist het moment om beveiliging mee te nemen. Hoe dat werkt, lees je bij een pentest voor livegang. 4. **Zet de datum en het budget vast.** Spreek een maand af en neem het bedrag op in de begroting voor volgend jaar. Hoe je dat bij de directie onderbouwt, staat in [budget voor een pentest](https://boemcybersecurity.nl/budget-voor-een-pentest-directie-overtuigen/) . Die laatste stap is de belangrijkste. Een pentest uitstellen zonder datum is in de praktijk vaak een pentest die er niet komt. ## Hoe plan je de test na een migratie? Plan de test niet op de dag van oplevering, maar een paar weken daarna. Dan zijn de kinderziektes eruit en test je de omgeving zoals die echt gebruikt wordt. Neem in het scopegesprek mee wat er is veranderd: nieuwe koppelingen, nieuwe leveranciers en nieuwe accounts zijn precies de plekken waar fouten ontstaan. BOEM voert pentesten uit met EHGI, het bedrijf achter de EHGN-community van 2.500+ ethische hackers, waaronder specialisten van Politie, Defensie en DIVD. Welke tester bij jouw omgeving past, en wanneer het goede moment is, bepalen we samen in het [scopegesprek](https://boemcybersecurity.nl/pentest-laten-uitvoeren/) . ## Veelgestelde vragen ### Wanneer is het verstandig om een pentest uit te stellen? Als de omgeving die je wilt testen binnen een paar maanden ingrijpend verandert, bijvoorbeeld door een nieuw ERP-systeem, een migratie naar de cloud of de vervanging van een applicatie. De bevindingen gaan dan over systemen die straks niet meer bestaan. Plan de test dan direct na de oplevering. ### Wanneer moet je een pentest juist niet uitstellen? Als er al een kritieke kwetsbaarheid bekend is, als een norm of klant een jaarlijkse test eist, of als het deel dat je wilt testen niet verandert. Een externe perimeter blijft tijdens een interne migratie vaak gewoon staan, en die kun je dus nu al laten testen. ### Wat doe je in de tussentijd als je de pentest uitstelt? Laat een extern vooronderzoek doen van wat een aanvaller nu al van buiten ziet, los de bekende problemen op, en zet de testdatum met budget in de planning voor volgend jaar. Zo is uitstel een besluit met een datum, en geen afstel. ### Kun je een pentest ook in delen plannen? Ja. Veel organisaties testen eerst de externe kant en schuiven de interne of cloudtest door naar het volgende jaar, als de nieuwe omgeving staat. Dat spreidt het budget en laat de tweede test voortbouwen op de uitkomst van de eerste. Verder lezen - [Pentest as a service of één keer per jaar: wanneer continu testen wél en niet past](https://boemcybersecurity.nl/pentest-as-a-service-of-jaarlijks/) - [Hertest na een pentest: wanneer is een kwetsbaarheid echt gedicht?](https://boemcybersecurity.nl/hertest-na-een-pentest/) [Christian Boertje](https://boemcybersecurity.nl/christian-boertje/) CEO & Founder · BOEM Cybersecurity en AVG Juristen ### Klaar om je cybersecurity écht op orde te krijgen? In een vrijblijvend kennismakingsgesprek kijken we samen wat er voor jouw organisatie nodig is, concreet en zonder verplichtingen. [Plan een kennismakingsgesprek in](https://meetings-eu1.hubspot.com/yannick-boertje) Direct naar een dienst: [NIS2 Supply Chain](https://boemcybersecurity.nl/nis2-supply-chain/) · [ISO 27001](https://boemcybersecurity.nl/iso27001-implementatie/) · [Pentest](https://boemcybersecurity.nl/pentest-laten-uitvoeren/) · [Security Partner](https://boemcybersecurity.nl/security-partner/) ## Deel dit bericht: [VorigeVorigeClickFix: de nep-CAPTCHA waarmee medewerkers zelf de aanvaller binnenlaten](https://boemcybersecurity.nl/clickfix/) [VolgendeToegangsbeheer: wie mag wat, en hoe leg je dat vastVolgende](https://boemcybersecurity.nl/toegangsbeheer-autorisatiematrix/) ## Meer nieuwtjes ### [Toegangsbeheer: wie mag wat, en hoe leg je dat vast](https://boemcybersecurity.nl/toegangsbeheer-autorisatiematrix/) 12 november 2026 ### [Pentest uitstellen: wanneer wachten verstandig is, en wanneer niet](https://boemcybersecurity.nl/pentest-uitstellen/) 11 november 2026