Kostnad för penetrationstest 2026: priser för B2B

Frågan är sällan längre om ett penetrationstest behövs. Den är vad ett test som faktiskt hittar brister kostar — och varför två offerter för samma system kan skilja sig med en faktor tre. Kostnaden för penetrationstest blandas ofta ihop med priset på en automatisk skanner, trots att skillnaden i resultat är betydligt större än skillnaden i faktura.

Här går vi igenom typiska prisnivåer, vad som faktiskt driver summan och hur du jämför leverantörer så att beslutet håller för både revisor och inköpsavdelning.

Marknadsläget 2026: realistiska prisnivåer

Priset styrs av tre saker: vad som testas, hur djupt och hur erfaren teamet är. Tabellen visar typiska intervall för projekt med fast pris, inte löpande timdebitering.

Testtyp	Typisk omfattning	Intervall (EUR)	Intervall (USD)
Webbapplikation, enkel tjänst	Broschyrwebb, formulär, ingen inloggning	3 500 – 7 500 EUR	4 000 – 8 000 USD
Medelstor SaaS	Flera roller, API:er, betalflöden	11 000 – 23 000 EUR	12 000 – 25 000 USD
Enterpriseplattform	Komplex logik, mikrotjänster, 50+ roller	32 000 – 75 000 EUR	35 000 – 80 000 USD
Extern infrastruktur	Brandväggar, VPN, publika servrar	4 500 – 14 000 EUR	5 000 – 15 000 USD
Internt nät och Active Directory	Simulerad angripare innanför perimetern	9 000 – 46 000 EUR	10 000 – 50 000 USD
Red team	Människor, processer och teknik i ett scenario	46 000 – 185 000 EUR	50 000 – 200 000 USD
Retest efter åtgärder	Verifiering av att brister är stängda	15 – 30% av testkostnaden	15 – 30% av testkostnaden

Alla belopp är ungefärliga marknadsintervall för 2026 och utgör varken offert eller prisgaranti. Samma omfattning prissätts olika i EUR och USD beroende på växelkurs, teamets placering och vilken valuta leverantören fakturerar i.

Det som driver priset: sex parametrar du styr

Merparten av gapet mellan två offerter handlar om omfattning, inte om dagspris. Bestäm dessa punkter innan du pratar siffror — först då blir offerterna jämförbara.

Antal applikationer och miljöer. Varje separat applikation, API, kodförråd eller molnkonto multiplicerar timmarna. Ett IP-intervall och fem miljöer är inte samma jobb, även om koden är identisk.
Roller och behörighetsnivåer. Test som anonym besökare, som vanlig kund och som administratör är i praktiken tre genomgångar. Fler roller ger fler kombinationer, och det är i kombinationerna logikfelen gömmer sig.
Testfönster. Natt- och helgarbete, ändringsfrysningar och belastningsbegränsningar i produktion förlänger kalendertiden, och kalendertid faktureras.
Rapportens djup. En lista med fynd tar timmar. Ett dokument med affärspåverkan, reproducerbara steg och rekommendationer för din stack tar dagar.
Retestvillkor. En runda ingår normalt. Ett bredare retest kostar mer men tar bort diskussionen om vem som betalar när åtgärderna blir försenade.
Teamets senioritet. Ett projekt som leds av en junior med seniorgranskning är billigare än ett seniorlett uppdrag, och skillnaden syns tydligast i kedjade attacker och logikfynd. Nivåerna beskrivs närmare i vår artikel om CEH kontra penetrationstestare.

Tumregel: ett väl avgränsat projekt för en medelstor applikation landar oftast i femsiffrigt intervall, och varje extra miljö, roll och retestrunda flyttar summan. En offert som hoppar över de här parametrarna är en platshållare, inte en budget.

Black box, white box och gray box

Black box innebär att testaren inte vet något om systemet och lägger timmar på kartläggning som dokumentation hade klarat på en kvart. Det är det mest realistiska scenariot för en extern angripare, men också det dyraste per effektiv analystimme.

White box ger testaren dokumentation, arkitekturdiagram och ofta källkod. Teamet hittar verkliga svagheter snabbare, så samma budget ger normalt fler fynd. Nackdelen är lägre realism: testet svarar inte på hur svårt det är att ta sig in utifrån.

Gray box är kompromissen som ger bäst avkastning i de flesta B2B-projekt: testarna får testkonton och begränsad kontext, men inte full källkod. De sparar tid utan att tappa angriparens perspektiv.

Regelefterlevnad som inköpsdrivkraft: ISO 27001, SOC 2, PCI DSS, NIS2

I många upphandlingar är testet inte ett tillval utan ett villkor för avtalet. Det är värt att veta vad respektive granskning förväntar sig, eftersom förväntningarna blir både omfattning och pris.

ISO 27001. Säkerhetstestning ingår i de tekniska kontrollerna och riskbedömningen. Revisorn tittar på repeterbarhet, metodik och om resultaten förts in i riskregistret.
SOC 2 Type II. En oberoende testrapport är standardbeviset mot enterprisekunder. Revisorer vill se metodik, inte en export från ett verktyg.
PCI DSS. Krav på segmenteringstest och test efter väsentliga förändringar i kortmiljön. Snävare omfattning, men dokumentationen måste hålla.
NIS2. Nationella genomföranden lägger riskhanteringskrav på viktiga och särskilt viktiga verksamheter, och testning lyfts ofta fram som en kontrollåtgärd. Köpare begär i allt högre grad testbevis även från leverantörer.

Slutsatsen är enkel: revisorn betalar inte för testet, utan för beviset. En rapport byggd på en erkänd metodik (OWASP WSTG, PTES, MITRE ATT&CK) och signerad av kvalificerade testare är värd mer än ett billigare test utan dokumentation.

Omfattning och rules of engagement

Ändringsordrar är oftast en scopingmiss, inte ett knep från leverantören. Ett avtal som håller innehåller sju punkter:

Tillgångsinventering. Namngivna domäner, IP-intervall, kodförråd, molnkonton och API-endpoints, plus allt som uttryckligen undantas.
Åtkomst och kontouppgifter. Vilka konton testarna får, hur de skapas och vem som äger dem under uppdraget.
Rules of engagement. Tillåtna tekniker, förbjudna åtgärder (destruktiva payloads, gränser för social engineering, tredjepartssystem), belastningsgränser och testfönster.
Auktorisation och eskalering. Skriftligt godkännande från tillgångsägaren, namngiven teknisk kontakt och en rutin för omedelbart stopp.
Leverabler och format. Rapportstruktur, allvarlighetsmodell och om genomgång samt ledningssammanfattning ingår.
Retestklausul. Antal rundor som ingår, inom vilken tid de ska användas och hur stängning verifieras.
Datahantering. Hur bevis och kontouppgifter lagras, maskas, sparas och förstörs.

Tiger offerten om punkt två till sju blir tystnaden en fakturarad senare. Juridisk grund och skriftlig auktorisation är ett krav för varje uppdrag — mer i artikeln om juridiska krav före ett test.

Rapport, bevis och retest

En allvarlighetsetikett utan bevis är en åsikt. Jämför offerter genom att kräva att ett provkapitel innehåller exakta reproducerbara steg, vilken komponent som träffas (ned till endpoint eller parameter), åtskild observerad påverkan och tänkbart värsta scenario, maskade bevis i form av skärmdumpar, request/response eller loggar, rekommendationer för din stack samt reteststatus för varje tidigare fynd.

Saknas de två första delarna ligger rapporten närmare skannerutdata än ett test. Saknas avgränsningarna överskattar rapporten tyst sin täckning — det farligaste felet, eftersom det först upptäcks vid nästa revision.

Så jämför du två offerter

Ett medelstort SaaS: tre roller, en publik applikation, ett API, två molnmiljöer och revision om fyra månader. Två offerter kommer in.

Post	Leverantör A (lägre pris)	Leverantör B (högre pris)
Bastest	en genomgång, endast anonym åtkomst	tre autentiserade roller
Retest	ingår inte	en runda ingår
Rapport	automatisk, minimal granskning	manuell, granskad, med sammanfattning
Testfönster	fast tvådagarsfönster	anpassat till er ändringsfrysning

Den billigare offerten är inte ohederlig — den beskriver bara ett annat jobb. Normalisera post för post, lägg till timmar för åtgärder och retest och jämför först därefter summorna. Ett alternativ till fastprisprojektet är ett bug bounty-program, men det har rörliga utbetalningar och ersätter inte det bevis en revisor kräver.

Röda flaggor: "pentest" för 5 000 kronor

Erbjudanden i den prisklassen är i praktiken en automatisk skanner med ny etikett: ingen test av affärslogik, många falska träffar och ingen hjälp med prioritering. En sådan rapport är sämre än ingen rapport, eftersom den ger en illusion av täckning.

Exempel: budget för första omgången

Ett tjänsteföretag med 60 anställda: kundportal, B2B-butik, 25 IP-adresser, Microsoft 365 och ett nät med Active Directory. Första omgången 2026 landar runt 4 000–7 000 EUR för extern infrastruktur, 7 000–11 000 EUR för portal och butik, 3 000–5 000 EUR för molngranskning och 1 500–3 000 EUR för retest — cirka 15 500–26 000 EUR totalt.

Sammanfattning

Budgetera för effekt, inte för en kryssruta: lås omfattningen, få retestet inskrivet, granska metodiken och jämför offerter post för post. Kontakta Cyberlord för en offert anpassad till antal applikationer, roller och revisionens datum — med tydlig omfattning och retestvillkor.