Pentest kosten Nederland 2026: gepubliceerde prijzen en dagtarieven, met bron

De meeste Nederlandse pentestbureaus zetten geen prijs op hun site. U vult een formulier in, voert een gesprek en wacht op een offerte. Begroten wordt daardoor lastig en vergelijken bijna onmogelijk.

Deze pagina zet de bedragen op een rij die al openbaar zijn. Elk bedrag hieronder heeft een link naar de pagina waar het vandaan komt en de datum waarop die pagina is gecontroleerd. Niets hier is een schatting van ons. Waar de markt niets publiceert, zeggen wij dat.

Bedragen gecontroleerd op 19 augustus 2026. Alle bedragen zijn exclusief btw, tenzij de bron iets anders zegt.

De Nederlandse markt kent twee prijsmodellen

Dat verklaart waarom twee offertes voor hetzelfde werk een factor drie kunnen schelen.

Het eerste model is het vaste pakket. De aanbieder bakent de scope af op een aantal IP-adressen en domeinen en hangt daar één bedrag aan. U weet vooraf wat u betaalt.

Het tweede model rekent per dag. Het dagtarief maal het aantal testdagen plus de rapportagedagen bepaalt de prijs. Dat model schaalt met de scope, maar u weet het eindbedrag pas na de scoping.

Vraag altijd welk model de aanbieder hanteert. Vergelijk nooit twee bedragen zonder de scope en het aantal testdagen ernaast te leggen.

Gepubliceerde pakketprijzen

Tien Nederlandse aanbieders zetten een bedrag op hun site. Dit zijn hun eigen prijzen, geen marktgemiddelde.

Wat de tabel laat zien. De laagste gepubliceerde instap is €1.480 excl. btw. De hoogste vaste pakketprijs is €8.500. Eén aanbieder noemt €20.000 als bovengrens voor een grote webapplicatie.

Let op de scope-grenzen. Tozetta koppelt zijn vier pakketten aan maximaal 4, 8, 16 en 32 IP-adressen en 1, 1, 3 en 5 domeinen. Dat is de duidelijkste scope-definitie die wij in de Nederlandse markt vonden. Tozetta noemt de eigen tabel wel uitdrukkelijk een indicatie.

CyberScore is de enige aanbieder die expliciet schrijft dat er geen nacalculatie volgt: "Vooraf afgesproken scope, geen nacalculatie."

Gepubliceerde dag- en uurtarieven

Dit is het getal dat u als eerste moet vragen.

Tussen €849 en €2.500 per dag zit bijna een factor drie. Reken zelf mee: vijf dagen tegen €1.500 is €7.500, en dat verklaart waarom de prijsindicaties per testsoort hoger uitvallen dan de pakketprijzen hierboven.

Budget Security rekent zijn eigen voorbeeld voor: twee dagen voor een kleine webapplicatie komt uit op €1.698, een SOC 2-scope van vier tot zes dagen op €3.396 tot €5.094.

Een kanttekening bij Budget Security. De aanbieder voert een Nederlandstalige pagina, maar wij vonden op de opgehaalde pagina's geen KvK-nummer en geen Nederlands adres. Lees dat bedrag dus als een Nederlandstalig aanbod, niet als bewijs van een Nederlandse vestiging.

Gepubliceerde prijsindicaties per soort test

Deze bedragen komen uit gedateerde prijsartikelen van aanbieders, niet uit prijslijsten waar zij op verkopen. Ze gaan uit van meer testdagen en liggen daarom hoger.

EHGI zet er zelf bij: "Bovenstaande bedragen zijn exclusief BTW en indicatief."

Securitytest.nl splitst verder uit: een kleine applicatie kost vaak €2.500 tot €5.000, een uitgebreidere webapplicatie, API of klantportaal €5.000 tot €10.000.

Doorlopend testen: twee Nederlandse abonnementsprijzen

Slechts twee Nederlandse aanbieders publiceren een maandbedrag.

• CyberScore publiceert een security-abonnement vanaf €499 per maand, met periodieke hertests.
• Warpnet publiceert Pentesting as a Service vanaf €1.250 per maand, voor organisaties die doorlopend willen testen.

Verder publiceert geen van de gecontroleerde Nederlandse aanbieders een abonnementsprijs.

Wat de prijs omhoog drijft

Vier factoren, in deze volgorde.

1. De scope. Tel de applicaties, de API-endpoints, de IP-adressen en de domeinen. Bij dezelfde aanbieder kost een statische site €3.495 en een complex landschap met 32 IP-adressen €6.995.
2. Het aantal dagen. Vrijwel elke aanbieder die niet met pakketten werkt, rekent per dag. De scope bepaalt de dagen, de dagen bepalen de prijs.
3. De diepte. Een ongeauthenticeerde black-box-test is goedkoper. Een geauthenticeerde test achter een login, in meerdere rollen, vindt meer en kost meer. Tozetta zet dat verschil op €3.495 tegenover €5.495.
4. De hertest. Twee aanbieders geven die gratis mee. De overige gecontroleerde aanbieders publiceren er geen bedrag voor. Vraag dit voordat u tekent.

Wat kost een pentest voor een DigiD-aansluiting?

Drie aanbieders koppelen hier een gepubliceerd bedrag aan.

• nSEC/Resilience noemt een advanced-pakket vanaf €3.849 dat een DigiD-assessment omvat.
• Web Security Scan noemt een Extensive Pentest vanaf €7.200 excl. btw en verwijst uitdrukkelijk naar "DigiD-assessments volgens Logius normenkader v4.0".
• Anderis IT Security noemt bij zijn geavanceerde pakket vanaf €3.500 een DigiD-koppeling.

Let op het onderscheid. Een pentest is de technische test. Het DigiD-assessment zelf moet door een RE-auditor worden uitgevoerd. Dat zijn twee aankopen.

Geen Nederlandse overheidsinstantie publiceert een prijsstatistiek

Dit is belangrijk, want er wordt veel geciteerd wat niet bestaat.

Het ministerie van BZK publiceert de Keuzekaart securitytesten Rijksoverheid. Die kaart rangschikt testsoorten naar tijdsbesteding, niet naar prijs. Letterlijk: "Tijdsbesteding voor het uitvoeren van de test. De benodigde tijd geeft een grove indicatie van de investering (€)." In het hele document staat geen enkel eurobedrag.

De expertblog van NCSC-NL over penetratietesten noemt evenmin een prijs.

Wie een officieel Nederlands gemiddelde citeert, heeft dat niet van een officiële bron.

Wat wij niet konden bronnen

Wij noemen de gaten, want een prijsgids die ze verzwijgt is niet eerlijk.

• De grote Nederlandse namen publiceren niets. Wij controleerden Secura (nu Bureau Veritas Cybersecurity), Computest, Northwave, Zerocopter, Hunt & Hackett, Radically Open Security, Tesorion, ON2IT en Fox-IT. Geen van deze publiceert een eurobedrag voor een pentest.
• Guardian360 publiceert bewust geen prijs. Op de eigen prijspagina staat: "Geprijsd op waarde. Geoffreerd door je partner." Er staat geen enkel bedrag.
• Geen enkele Nederlandse aanbieder publiceert een losse prijs voor een mobiele-app-pentest, een OT-omgeving of een red-team-opdracht. Alleen indicaties in prijsartikelen.
• Geen enkele Nederlandse aanbieder publiceert een hertestprijs. Twee zeggen dat de hertest gratis is. De rest zwijgt.
• De CCV-keurmerkpagina voor pentesten blokkeerde ons. Het CCV gaf een HTTP 403 terug. Wij zeggen daarom niet wat op die pagina staat.
• Wij hebben niets omgerekend. Wij vonden een aanbieder met een euro-prijslijst die als bedrijfsadres Chisinau in Moldavië opgeeft. Dat is geen Nederlandse marktprijs en die cijfers staan daarom niet in dit artikel.

Waar Matproof Sentinel past, en waar niet

Matproof Sentinel is een AI-platform voor penetratietesten. De prijzen zijn openbaar, in euro's, zonder verkoopgesprek: €149 per losse run, €299 per maand, €1.490 per maand en Custom voor enterprise. Zie prijzen.

Sentinel draait tien gespecialiseerde agents in fasen. Recon brengt de aanvalsoppervlakte in kaart met nmap, amass en httpx. De Web-, API-, Infra-, Cloud- en Mobile-agents draaien parallel met nuclei, sqlmap, OWASP ZAP, testssl.sh, Prowler en MobSF. Source-code- en supply-chain-agents lezen uw repositories met Semgrep, Gitleaks en Trivy. Daarna draait een ValidatorAgent elke bevinding opnieuw en stempelt die VALIDATED, UNVERIFIED of FALSE_POSITIVE. De methode staat openbaar op docs.matproof.com.

Wees duidelijk over wat Sentinel niet is.

• Er is geen menselijke pentester. Elke bevinding komt van een AI-agent en wordt door een andere AI-agent gecontroleerd.
• Matproof heeft geen CREST-lidmaatschap, geen OSCP-gecertificeerde testers en geen CCV-keurmerk voor pentesten.
• Sentinel doet geen social engineering, geen phishing-assessment en geen fysieke toegangstest.
• Sentinel doet geen zero-day-onderzoek en geen red team op maat.
• Sentinel kan geen DigiD-assessment afgeven. Dat is werk voor een RE-auditor.

Koop Sentinel dus niet als uw klantcontract, uw aanbesteding of een programma als TIBER-NL een geaccrediteerd bureau noemt. Huur dan een Nederlands bureau in. Dat is de juiste keuze en wij zeggen dat gewoon.

Koop Sentinel wel als u vaak uitrolt, als u actueel bewijs nodig hebt tussen jaarlijkse tests door, en als uw auditor wil zien dat er het hele jaar getest is in plaats van één keer.

De meeste volwassen teams doen beide. Eén opdracht per jaar bij een bureau voor de handtekening. Doorlopend geautomatiseerd testen daartussen voor het bewijs.

Veelgestelde vragen

Wat kost een pentest in Nederland?
Gepubliceerde pakketten beginnen bij €1.480 excl. btw. Een webapplicatie-pentest kost €3.495 in een pakket, of €3.200 tot €8.500 bij een aanbieder met drie niveaus. Een vaste prijs voor een volledige pentest begint bij €3.999 excl. btw. Prijsindicaties op dagbasis liggen hoger: €6.000 tot €12.000 voor een webapplicatie.

Wat is het dagtarief van een pentester in Nederland?
Gepubliceerd zijn €849 per dag bij één aanbieder, €1.500 tot €2.500 per dag als marktuitspraak, en een uurtarief van €125 tot €200. Geen van deze is een onafhankelijk onderzoek.

Is een pentest van €1.500 net zo goed als een van €8.000?
Nee, maar dat is de verkeerde vraag. Het verschil zit in de scope en het aantal testdagen. Een Basic Scan van €1.480 met een doorlooptijd van een week dekt minder dan een Plus Pentest van €8.500. Vergelijk de scope, niet het bedrag.

Is de hertest inbegrepen?
Bij twee Nederlandse aanbieders wel, en zij zeggen dat expliciet. De overige gecontroleerde aanbieders publiceren geen hertestprijs. Vraag het schriftelijk na.

Bestaat er een officiële Nederlandse prijsstatistiek?
Nee. De Keuzekaart securitytesten Rijksoverheid rangschikt naar tijdsbesteding en noemt geen enkel bedrag. NCSC-NL publiceert geen prijs.

Verder lezen

• Pentest kosten, alle bronnen op één pagina
• Pentest aanbieders in Nederland kiezen
• Pentest diensten in Nederland
• Penetratietest overzicht

Klaar om hier iets mee te doen? Matproof draait doorlopende AI-penetratietesten met openbare prijzen. Plan een demo.