De echte kosten van ethische hacking plannen

Eén vaste prijs voor ethisch hacken bestaat niet, en dat is geen hiaat in de markt maar een logisch gevolg van de opzet. Een geauthoriseerde test is maatwerk: de omvang bepaalt de uren, en de uren bepalen het bedrag. Toch kunt u vooraf verrassend goed inschatten wat uw situatie gaat kosten, mits u het totaal opsplitst in de onderdelen waaruit elke serieuze offerte is opgebouwd. Op deze pagina leest u hoe dat werkt: welke kostenblokken u mag verwachten, welke factoren het verschil verklaren tussen een bescheiden traject en een uitgebreid programma, waarom een verdacht laag bedrag eerder alarm is dan kans, en hoe u met een begrensd budget toch een verdedigbare opdracht neerzet. Alle cijfers in dit artikel zijn indicaties om mee te rekenen, geen aanbiedingen.

Een bedrag dat u niet kunt verklaren uit scope, uren en rapportage, is geen prijs maar een gok.

Waar een offerte uit is opgebouwd

Serieuze aanbieders sturen bij het totaalbedrag altijd een onderbouwing. Vraag er expliciet om, want een offerte die tot één getal beperkt blijft zegt weinig. In de praktijk ziet u doorgaans deze onderdelen terug:

Scope-opname en voorbereiding: een gesprek of korte verkenning om te bepalen welke systemen, versies en netwerkdelen binnen de opdracht vallen, plus de schriftelijke toestemming die daarbij hoort.
Onderzoeksfase: de testuren waarin kwetsbaarheden worden gezocht, geverifieerd en vastgelegd — handmatig waar dat meer oplevert dan een automatische scan.
Rapportage: schrijfwerk voor bevindingen, prioriteiten en reproduceerbare stappen, zó dat uw team er zonder hulp van buitenaf mee aan de slag kan.
Toelichting en advies: een doorgesprek om bevindingen te duiden en aanbevelingen te toetsen aan uw omgeving.
Verificatie of hertest: een kleinere tweede ronde na uw herstel, om te bepalen wat daadwerkelijk is opgelost.
Projectbegeleiding: planning, communicatie en afhandeling van vragen zolang het traject loopt.

Niet elke offerte bevat alle regels, en dat hoeft ook niet. Maar ziet u een totaalbedrag zonder enige onderverdeling, dan kijkt u naar iets anders dan een volwaardige opdracht — en dat mag meetellen in uw afweging.

Vijf knoppen die het bedrag bewegen

Tussen een licht traject en een volledig programma zit soms een factor tien. Die spreiding is verklaarbaar; meestal spelen de volgende vijf knoppen de hoofdrol.

Omvang van de scope

Eén webapplicatie met een beperkt aantal functies is een overzichtelijke opdracht. Zodra er meerdere applicaties, een intern netwerk, remote werkplekken of koppelingen met leveranciers bijkomen, groeien de uren vrijwel evenredig mee. Let erop dat de aanbieder de scope schriftelijk vastlegt: "we kijken naar alles" is geen scope, maar een meningsverschil in wording.

Diepte van het onderzoek

Er is verschil tussen een verkenning die de voor de hand liggende toegangspaden nakijkt en een onderzoek waarin stap voor stap wordt geprobeerd om afzonderlijke beveiligingslagen heen te komen. Meer diepgang betekent meer uren per bevinding, omdat elk gevolg wordt nagegaan: wat wordt er precies bereikbaar, welke gegevens zijn erbij betrokken en hoe realistisch is misbruik.

Op locatie of remote

Volledig remote is doorgaans het gunstigste bedrag: geen reistijd en een soepelere planning. Werk op locatie heeft zijn waarde — denk aan tests van fysieke toegang of een omgeving die intensieve afstemming vraagt — maar u betaalt die waarde in reisuren en aanwezigheid. Kies op locatie dus waar het inhoudelijk iets toevoegt, niet uit gewoonte.

Senioriteit in het team

Een test uitgevoerd door een medior-consultant onder toezicht van een senior is voordeliger dan dezelfde dagen van een specialist. Voor een standaard webapplicatie is dat vaak prima. Naarmate de omgeving complexer wordt — oudere systemen, veel koppelingen, productieprocessen die niet mogen stilstaan — wordt ervaring zichtbaar in efficiëntie en oordeelsvastheid, en betaalt zij zich terug.

Rapportvorm en spoed

Ten slotte wegen het rapport en de planning mee. Een beknopt bevindingenoverzicht kost minder schrijfuren dan een uitgebreid document met risicoduiding en reproduceerbare stappen per bevinding. En wie een test oplegt binnen een krappe deadline of midden in een incident, rekent doorgaans met een hoger tarief dan bij een rustig gepland traject.

Indicatieve orden van grootte

Exacte cijfers verschillen per aanbieder, maar de spreiding in de markt ziet er grofweg zo uit. Beschouw dit als rekengrepen, niet als aanbod:

Eén webapplicatie met beperkte scope: in Nederland meestal in de orde van enkele duizenden euro's, oplopend naarmate het aantal gebruikersrollen en koppelingen toeneemt.
Meerdere applicaties, of een traject waar ook interne systemen bij betrokken zijn: al snel richting een vijfcijferig totaal.
Een beperkte netwerkbeoordeling op steekproefbasis: merkbaar goedkoper dan een volledige doorlichting van alle segmenten en werkplekken.
Senior specialisten: vaak een uurtarief ergens tussen circa 110 en 200 euro; complete trajecten worden vaker per opdracht of per periode geprijsd.
Doorlopende samenwerking: per maand of per kwartaal een vast bedrag voor terugkerende controles, doorgaans met vaste contactpersonen en voorrang bij de planning.

Deze bandbreedtes zijn ruw en verliezen snel hun waarde zodra uw situatie bijzonderheden heeft: systeemleeftijd, strenge eisen of drukte rond een release schuiven alles op. Gebruik ze als startpunt voor een gesprek, niet als vaststaand gegeven.

Wanneer een laag bedrag juist iets verraadt

Zet twee offertes naast elkaar en het verschil valt zelden volledig te verklaren uit senioriteit of rapportomvang. Een structureel lagere prijs dan gebruikelijk heeft bijna altijd een reden, en die verdient uw aandacht:

de scope is kleiner dan u denkt, bijvoorbeeld alleen een geautomatiseerde scan;
het rapport is nauwelijks meer dan een tooluitdraai;
verificatie na herstel of afstemming met uw team ontbreekt;
contract, aansprakelijkheidsverzekering of aantoonbare kwaliteitsnormen ontbreken — en dan is de vraag wat er van 'ethisch' is overgebleven.

Eén kanttekening is minstens zo belangrijk: een tarief ver onder de markt voor een echte, geauthoriseerde test is sowieso onwaarschijnlijk. Wie 'toegang tot elk account' tegen een fractie van een serieuze offerte aanbiedt, verkoopt geen dienst maar een risico — het staat los van elk legaal traject. Is een aanbod alleen aantrekkelijk omdat het grenzen overtreedt, dan is het geen besparing maar een probleem in wording.

Hoe hertest en afronding worden afgerekend

Vraag expliciet wat er gebeurt als er bevindingen overblijven. Drie varianten komen het vaakst voor:

Begrensde verificatie inbegrepen: de aanbieder reserveert een vast aantal uren om uw herstel te bevestigen; zit u daarboven, dan bespreekt u dat opnieuw.
Aparte hertest: na uw herstel wordt een nieuwe, kleinere ronde ingepland — vaak voordeliger dan de eerste opdracht, omdat de scope tot de bevindingen beperkt blijft.
Vaste kalender: bij samenwerking die doorloopt, zit een hertest in elk kwartaal of halfjaar, en bepaalt die kalender mede het tempo waarin uw team herstelt.

Begrijpt u vooraf welke variant geldt, dan voorkomt u een discussie ná het rapport. Onthoud daarbij dat een hertest iets anders bewijst dan de eerste ronde: zij toont dat de gecorrigeerde bevindingen weggenomen zijn, niet dat uw omgeving verder vlekkeloos is. Wie meer belooft, spreekt uit boven wat vakmanschap toelaat.

Rekenvoorbeeld: een webshop met begrensd budget

Stel: een Nederlandse webshop met een handjevol medewerkers, één winkelomgeving, een koppeling met de betaaldienst en geen eigen it-afdeling. Er is een klein bedrag beschikbaar voor beveiliging. Dan loont het om de vraag te verkleinen, in plaats van te sparen op een grote opdracht die er nooit komt:

Begin bij wat het meest waard is: de winkel zelf en de afrekenfunctie. Een volledige netwerkdoorlichting is in deze situatie voorlopig luxe, geen noodzaak.
Kies een kleine, eerlijke scope: een test op de winkelomgeving en de betaalstap, met een vast aantal uren en verificatie van de belangrijkste bevindingen.
Spreek verwachtingen vooraf uit: wat wel en niet wordt onderzocht, in hoeveel tijd, en wat er in het rapport en het doorgesprek staat.

Voor zo'n afgebakende opdracht is een budget van enkele duizenden euro's in de regel realistisch, mits de scope met de begrenzing meegaat. Niet realistisch is het om de dekking van een traject over meerdere systemen te verwachten, of een aanbieder te accepteren die die dekking belooft voor een tarief dat daar niet bij past. En beter dan sparen voor 'later groot': een kleinere, eerlijke test die volgende maand start, is meer waard dan een ambitieus plan dat over een jaar nog niet begonnen is.

Zo stelt u een budget in regels op

Maak van het bedrag een lijst, net als de offerte die u zelf zou schrijven. Elk onderdeel krijgt een bedrag en een reden; dat maakt het verhaal richting bestuur, accountant of verzekeraar een stuk eenvoudiger:

Scope-opname: afbakening van systemen, perioden en toestemming.
Onderzoektijd in uren, gekoppeld aan het aantal systemen en gebruikersrollen.
Rapport en toelichting voor het team dat moet herstellen.
Reserve voor verificatie na dat herstel.
Tijd binnenshuis voor herstelwerk, eventueel aangevuld met externe hulp bij complexe bevindingen.

Houd daarbij twee soorten geld uit elkaar: wat testen kost en wat herstel kost. Hersteltijd vraagt bijna altijd meer uren dan de test zelf; reken daar vooraf ruim mee, ook in eigen personeelsuren.

Per opdracht of per periode?

Een eenmalige opdracht past bij vaste gebeurtenissen: een go-live, een nieuwe koppeling, een fusie of een audit die eraan komt. Een doorlopende afspraak is zinvoller naarmate uw omgeving vaker verandert en beveiliging onderdeel van de routine moet worden — niet een afzonderlijke actie die eens per paar jaar wordt opgepakt.

Bij langlopende afspraken geldt één vast principe: scope en toestemming worden per periode opnieuw schriftelijk bevestigd, zeker als er tussentijds systemen bijkomen. Een vast bedrag zegt immers niets over veranderingen; schrift maakt dat pas inzichtelijk.

Hoe u aanbieders vergelijkt en betrouwbaarheid inschat, is bovendien een vak apart; de gids over betrouwbare platformen gaat daar dieper op in. Voor dit verhaal is de kern simpeler: reken uw scope eerst zelf uit en bespaar waar het mag. De prijs volgt dan het plan — niet andersom.