Wat kost een penetratietest?
De korte versie: bij Resync betaalt u een vaste prijs op basis van scope. U weet vooraf exact wat u krijgt en wat het kost. Geen uurtje-factuurtje, geen meerwerkbrieven, geen verrassingen achteraf. Een eerste indicatie ontvangt u doorgaans binnen één werkdag na een kort intakegesprek.
Waarom geen uurtarief
Een pentest op uurbasis lijkt flexibel, maar dat is een illusie. U weet niet vooraf hoeveel uren u gaat afnemen, en u betaalt voor opzoekwerk dat strikt genomen niet bij úw applicatie hoort. Bovendien creëert het een ongezonde prikkel: de tester verdient meer naarmate hij langer bezig is, niet naarmate hij sneller of grondiger werkt.
Bij een vaste prijs ligt de scope vast. Wat eronder valt, wordt getest, diepgaand, zonder klok. Loopt de test om wat voor reden ook uit, dan blijft de prijs hetzelfde. Loopt het juist sneller, ook dan blijft de prijs hetzelfde. U koopt een resultaat, niet een aantal uren.
Welke factoren bepalen de prijs
- Aantal endpoints en subsystemen. Een MVP met vijf endpoints is sneller te testen dan een platform met honderden.
- Type test. Web applicatie, API, mobiele app, infrastructuur, elk vraagt een andere aanpak.
- Aantal rollen. Elke rol is een aparte autorisatieboom die separaat getest moet worden.
- Complexiteit van authenticatie en autorisatie. SSO met meerdere identity providers vraagt meer dan een username/wachtwoord-flow.
- Compliance-context. NIS2, NEN 7510, ISO 27001 of SOC 2 bepalen welke aanvullende eisen aan de rapportage worden gesteld. Test u voor een audit? Zie SOC 2 of ISO 27001.
Niet de duur in uren is dus de doorslaggevende factor, maar wat er getest moet worden.
Welke test past bij u?
| Dienst | Wat het is | Prijs (excl. btw) | Testtijd | Boeken |
|---|---|---|---|---|
| Aanvalsoppervlak-scan | Welke domeinen en subdomeinen staan op uw naam? Inventarisatie, geen pentest. Wordt verrekend bij een vervolgpentest. | €1.000 | 1 dag | Contactformulier |
| Security Quick Scan | Eén dag handmatig pentesten van uw belangrijkste applicatie | €1.000 | 1 testdag | Gratis intake |
| Launch Check | Korte pentest met vaste scope voor kleine, met AI gebouwde apps vóór livegang | €1.099 | Vaste scope | Direct online |
| Meerdaagse penetratietest | Compact · Standaard · Volledig | vanaf €2.500 · €4.500 · €7.500 | ca. 2–3 · 4–5 · 6+ testdagen | Gratis intake |
De drie scope-categorieën
Ik werk met drie scope-categorieën. Ze geven richting voor uw planning en budget; de exacte prijs hoort u na de intake.
| Scope | Typische context | Doorlooptijd | Vanaf |
|---|---|---|---|
| Compact | Eén webapplicatie of API met beperkte rollen en endpoints, bijvoorbeeld een MVP, intern dashboard of klein klantenportaal. | 1–2 weken | v.a. €2.500 |
| Standaard | SaaS-product, gemeentelijk portaal of zorgapplicatie met meerdere rollen, API-koppelingen en authenticatieflows. | 2–3 weken | v.a. €4.500 |
| Volledig | Complex platform met meerdere applicaties, infrastructuur, externe ketens of multi-tenant architectuur. | 3–5 weken | v.a. €7.500 |
Intake, scoping, de handmatige test, het technische rapport, de managementsamenvatting, prioritering naar impact en uitbuitbaarheid, en de hertest na patching. Alles inclusief, geen los gefactureerde meerwerkposten, geen verborgen kosten.
Goedkoper betekent bij Resync korter, niet slechter
Een grondige handmatige pentest van een applicatie met meerdere rollen kost doorgaans vier tot vijf testdagen. Dat komt neer op zo'n €5.000 tot €6.000, in lijn met wat serieuze aanbieders in Nederland vragen. Die test bied ik ook aan, en voor veel organisaties is dat de juiste keuze.
Niet iedereen heeft dat budget. Dan verlaag ik niet de kwaliteit, maar de testtijd: een Compact-pentest vanaf €2.500, of een Security Quick Scan van één dag voor €1.000. Elke testdag is hetzelfde werk: handmatig, door mij, met hetzelfde rapportformat, een digitaal ondertekend rapport en een hertest. Wat verandert, is de dekking. In een kortere test richt ik me op wat het meeste risico draagt: inloggen en sessies, autorisatie tussen gebruikers en rollen, en de functies die met gevoelige gegevens of betalingen werken. In het rapport staat precies wat wel en niet getest is.
Wat ik u afraad: een pentester betalen om een scanner te draaien. Geautomatiseerde scanners zoals OWASP ZAP zijn gratis en kunt u prima zelf gebruiken. Mijn tijd is het meest waard op wat een scanner niet vindt: logicafouten, kapotte autorisatie en ketens van kleine zwakheden.
Het risico zit dus niet in een lage prijs, maar in scanner-output die als pentest wordt verkocht. Vraag elke aanbieder: hoeveel testdagen handwerk zitten erin, en wie doet dat werk?
Wat u krijgt vóór u iets betaalt
- Een vrijblijvend intakegesprek (gratis en geheel vrijblijvend)
- Een schriftelijke scopebepaling en doelstellingen
- Een offerte met vaste prijs, met daarin precies wat erbij zit
- Een planning tot en met de hertest
Pas als u akkoord geeft op offerte en planning, start het project. Tot dat moment kost het u niets behalve een intakegesprek van 30 minuten.
Zoekt u geen eenmalige test, maar iemand die blijft meekijken? Als vaste security-adviseur begin ik met een security-roadmap van €1.500. Daarna betaalt u een vaste prijs per maand: €950 voor advies, of €1.800 met elke maand ook een dag testen of advies op locatie.
Hoe vraag ik een prijs aan?
De snelste route is een korte intake. U stuurt via het contactformulier wat u getest wilt hebben en welke deadline u in gedachten heeft. Doorgaans heeft u binnen één werkdag een eerste reactie. Voor de volledige uitleg van het proces verwijs ik u naar de pagina penetratietest laten uitvoeren.
Veelgestelde vragen
Werkt Resync met vaste prijzen of op uurbasis?
Vaste prijzen op basis van scope. U weet vóór de start exact wat u betaalt. Geen uurtje-factuurtje, geen meerwerkbrieven achteraf. Verandert de scope tijdens het traject, dan stemmen we eerst af voordat er iets verandert in de offerte.
Wat zit er bij de prijs in?
Intake, scoping, de handmatige test, het technische rapport, de managementsamenvatting, prioritering naar impact en uitbuitbaarheid, en de hertest na patching. Alles inclusief — geen los gefactureerde meerwerkposten.
Welke factoren bepalen de prijs?
Het aantal endpoints of subsystemen, het type test (web, API, infrastructuur), het aantal rollen, de complexiteit van authenticatie- en autorisatieflows, en eventuele compliance-context (NIS2, NEN 7510, ISO 27001). Niet de duur in uren, maar wat er getest moet worden.
Hoe snel weet ik wat een test gaat kosten?
Doorgaans binnen één werkdag na een kort intakegesprek. Een eerste indicatie is gratis en zonder verplichtingen.
Vraag uw vaste prijs aan
Stuur uw scope: u krijgt binnen één werkdag reactie, en binnen één werkdag na de intake een offerte met vaste prijs. Geen verplichtingen, geen verkooppraatje.
Vraag uw vaste prijs aan →