In veel slaapkamers hangt tegenwoordig een combimelder, die zowel rook als koolmonoxide meet. Keurig tegen het plafond, batterij vol, lampje groen. Iedereen slaapt rustig. Toch hangt hij verkeerd. Rook stijgt op, dus voor rook is het plafond prima. Maar in een slaapkamer zonder kachel hoort een CO-melder op ademhoogte, ter hoogte van het kussen. Gaat de cv-ketel op de gang lekken, dan kan het alarm te laat komen.
Aan het apparaat ligt het dan niet, maar aan de kennis van wie het ophing. Met pentesten werkt het precies zo. Een pentest is een ingehuurde inbraak: iemand met verstand van zaken probeert binnen te komen, zodat je weet waar het lek zit. Of die persoon wist waar de melder moest hangen, merk je pas als het misgaat.
Schijnzekerheid
Vraag het maar in Hof van Twente. In mei 2020 liet de gemeente een pentest uitvoeren. In december kwamen criminelen binnen met ransomware, en de schade liep naar verluidt op tot ruim vier miljoen euro. Het forensisch onderzoek liet daarna iets pijnlijks zien. De ingang van de aanvallers viel gewoon binnen de scope van die pentest. De melder hing dus in de goede kamer, maar sloeg niet aan: de ingang was gemist, of in elk geval niet gerapporteerd. Burgemeester Ellen Nauta vatte het later samen: “Je vertrouwt op die audits en penetratietests. Maar zij gaven schijnzekerheid.”
Na afloop van een pentest ligt er een rapport. Of dat rapport deugt, kan bijna niemand aan tafel beoordelen. De leverancier weet alles, de klant bijna niets. Zo betaalt de klant soms voor een duur slaapmiddel.
En dat worden er snel meer. Door de Europese NIS2-richtlijn moeten duizenden Nederlandse organisaties aantoonbaar werk maken van hun digitale veiligheid, en bestuurders worden er persoonlijk op aangesproken. Veel van hen gaan pentests inkopen. De vraag hoe zij weten wat ze krijgen, is daarmee geen vakdiscussie meer.
Het rapport ziet het probleem
Berenschot onderzocht in opdracht van Cyberveilig Nederland, NCC-NL en de Universiteit Leiden of Nederlandse cyberprofessionals gecertificeerd moeten worden. Het rapport verscheen half oktober en is verstandig in wat het afraadt: geen generiek nationaal cybercertificaat, geen BIG-register voor hackers en geen wettelijke verplichting als startpunt.
Ook de diagnose klopt. Het echte probleem, schrijven de onderzoekers, is dat kleinere opdrachtgevers niet kunnen beoordelen wat ze krijgen. Ze waarschuwen zelfs voor schijnzekerheid. Hetzelfde woord als in Hof van Twente.
Daarna slaat het rapport toch af naar de leverancier. Een basisregistratie voor alle cyberprofessionals, certificaten per rol en een expertstatus voor wie door vakgenoten wordt goedgekeurd. De klant, die het probleem heeft, krijgt een handreiking.
Dat is alsof je voedselveiligheid regelt door alleen koksdiploma’s te controleren. De NVWA doet het anders: die kijkt in de keuken.
Inventarisatie
Het rapport lijkt eerlijk gezegd zelf een beetje op die pentest in Hof van Twente. De belangrijkste ingangen vallen keurig binnen de scope, maar staan niet in het rapport.
Een korte inventarisatie van wat ontbreekt: Frankrijk, Duitsland, DORA, de nieuwe Europese coalitie voor cybervaardigheden, het CCV-keurmerk voor pentesten dat het rapport zelf noemt maar niet bekijkt, en de klant. Verder is het compleet.
Het rapport zegt terecht dat Nederland moet aansluiten bij Europese kaders. Dan verwacht je dat het daarna in Europa gaat kijken. De vergelijking gaat echter over twee landen. Het eerste is het Verenigd Koninkrijk, dat de EU in 2020 vaarwel zei. Het tweede is Litouwen, een prima lidstaat, maar zonder persoonscertificering voor cyberprofessionals. Van de 26 andere lidstaten koos het rapport er dus één, en dan net een die weinig over het onderwerp te zeggen heeft. Dat is de buurt verkennen door één keer bij de verkeerde buren aan te bellen.
Wie wel aanbelt, vindt genoeg:
- Frankrijk. De nationale cyberdienst ANSSI kwalificeert aanbieders van beveiligingsaudits en beoordeelt daarbij ook de individuele auditors. Persoon en werk dus samen.
- Duitsland. Het BSI certificeert personen, bijvoorbeeld auditors voor de eigen beveiligingsstandaard.
- De EU zelf. DORA stelt al eisen aan wie dreigingsgestuurde pentests doet bij banken en verzekeraars. En op 30 juni 2026, ruim drie maanden voor het rapport, lanceerde de Europese Commissie de Cybersecurity Skills Coalition. Die gaat met ENISA werken aan een EU-brede attestatie van cybervaardigheden. Precies het onderwerp van het rapport, maar het rapport noemt het niet.
De coalitie is opgericht door Griekenland, Cyprus, Oostenrijk, Kroatië en Slovenië. Tsjechië en Polen kijken mee als waarnemer. Nederland staat er niet tussen, ook niet als waarnemer. Bij andere Europese digitale consortia is Nederland wel van de partij, soms zelfs als oprichter. Dat is een beetje als lid worden van de buurtvereniging, maar niet van de buurtwacht.
Het past in een patroon. Op informatiebeveiliging is Nederland in Europa vaak een opvallende afwezige. Het risico is dat we straks een eigen polderstelsel optuigen, waarna Brussel iets anders besluit en we alles opnieuw mogen doen.
Persoon én werk
Hier moet ik iets opbiechten. Ik ben ongeveer zo neutraal als een ouder over het eigen kind. Ik ben de geestelijk vader van MIAUW, de Methodiek voor informatiebeveiligingsonderzoek met auditwaarde, die ik samen met anderen (pentesters, inkopers en klanten), mocht ontwikkelen. Die methodiek zet de klant centraal.
Het idee is simpel en kijkt naar persoon én werk. De leider van het onderzoek moet aan opleidingseisen voldoen. Er is een vaste minimale set tests. Alle bevindingen gaan langs dezelfde meetlat. Het bewijs wordt meegeleverd, zodat een ander het onderzoek kan nadoen. En wie het onderzoek leidt, zet een handtekening onder het rapport. Een ingang die binnen de scope valt, kan dan niet meer stilletjes uit het rapport verdwijnen.
Die handtekening is persoonlijke borging, maar dan per opdracht. Wie tekent, staat in voor wat er staat. Accountants werken al decennia zo. De Tweede Kamer nam eind 2024 unaniem een motie aan over de kwaliteit van pentesten, en het Rijk baseert de eisen in zijn nieuwe raamovereenkomst voor pentesten op MIAUW.
Kies gerust een andere methodiek. Maar het principe, borg de werker én het werk, ontbreekt in het rapport. Het wordt niet eens als alternatief genoemd. Het is een beetje alsof je een rijbewijs verplicht stelt, maar de APK vergeet.
Drie voorstellen
- Zet de klant aan tafel. Het rapport wil het probleem eerst scherper krijgen. Vraag het dan aan wie het probleem heeft: inkopers, bestuurders, controllers, verzekeraars en toezichthouders. Niet alleen aan de aanbieders.
- Begin de pilot bij het werk. Pentesten is de logische eerste kandidaat. Stel eisen aan de onderzoeksleider, de uitvoering, het bewijs en het rapport, en laat de onderzoeker tekenen.
- Schuif aan in Brussel. Sluit aan bij de Europese coalitie, leer van Frankrijk en Duitsland, en bouw geen stelsel dat over drie jaar Europees moet worden overgedaan.
Certificering is geen doel op zich, schrijft Berenschot. Klopt. Het doel is dat klanten weten wat ze kopen. Dus ja, controleer gerust het diploma van de installateur. Maar kijk daarna ook even op welke hoogte de melder hangt.