De gids van Securiguide telt 52 pentest bedrijven in Nederland: 19 gespecialiseerde bureaus, 21 securitybedrijven met een eigen SOC of incident response en 12 advies- en trainingsbureaus. Welk pentest bedrijf bij je past, hangt af van wat je laat testen en waarvoor je het rapport gebruikt. Wat een pentest inhoudt, lees je op de hoofdpagina.
Achttien bedrijven voeren het CCV-keurmerk Pentesten. Peildatum van alle gegevens: 5 oktober 2026.
Door Redactie Securiguide. Laatst gecontroleerd op 5 oktober 2026.
| Pentest bedrijven in de gids | 52, verdeeld over negen provincies |
| Gespecialiseerde pentestbureaus | 19 |
| Met SOC of incident response | 21 |
| Met advies, compliance of training | 12 |
| CCV-keurmerk Pentesten | 18 bedrijven uit de gids |
| Meeste aanbieders | Zuid-Holland (18), Utrecht (12) en Noord-Holland (12) |
| Richtprijs pentest | 4.000 tot 15.000 euro exclusief btw, zie pentest kosten |
Op deze pagina: drie soorten aanbieders · overzicht van 52 bedrijven · CCV-keurmerk · per provincie · kiezen per situatie · afspraken vooraf · veelgestelde vragen
Drie soorten pentest bedrijven
Pentest bedrijven verschillen vooral in wat ze naast de test leveren. Dat bepaalt wat er na het rapport met de bevindingen gebeurt.
| Soort aanbieder | Wat je krijgt | Past bij | In de gids |
|---|---|---|---|
| Gespecialiseerd pentestbureau | Testers die het hele jaar testen, vaak met een eigen specialisme zoals webapplicaties, SAP, hardware of red teaming. | Een afgebakende test van een applicatie of netwerk, of onderzoek dat diepgang op één techniek vraagt. | 19 bedrijven |
| Securitybedrijf met SOC of incident response | Testers en een bewakingsteam bij dezelfde partij. Bevindingen uit de test gaan door naar monitoring en herstel. | Organisaties die na de test ook detectie of hulp bij een incident afnemen. | 21 bedrijven |
| Advies- of trainingsbureau met pentest | De pentest als onderdeel van een traject rond ISO 27001, NIS2, BIO of awareness. | Organisaties die het rapport als bewijs gebruiken bij een audit of certificering. | 12 bedrijven |
Indeling op basis van de diensten in de bedrijfsprofielen van Securiguide.
Daarnaast voeren de grote accountants- en advieskantoren pentests uit, volgens Matproof meestal binnen een breder aanbod rond compliance en risicomanagement. Bug bounty-platforms zoals Zerocopter werken met een netwerk van onderzoekers die doorlopend zoeken en per geldige melding betaald krijgen.
Overzicht van 52 pentest bedrijven in Nederland
De drie tabellen volgen de indeling in soorten, op alfabet. Elke naam opent het profiel met diensten, adres en contactgegevens. Het label CCV-keurmerk staat bij bedrijven die het keurmerk Pentesten voeren.
Gespecialiseerde pentestbureaus (19)
Deze bureaus leveren pentests, red teaming of verwant onderzoek als hoofddienst.
| Bedrijf | Plaats | Pentestaanbod |
|---|---|---|
| AKASEC | Den Haag | Red teaming en black teaming, met raamwerken als MITRE ATT&CK en het Advanced Red Teaming-raamwerk van De Nederlandsche Bank. |
| Cyberant | Zeewolde | Websites, webapplicaties, API's, mobiele apps en netwerken. |
| DongIT CCV-keurmerk | Leiden | Interne en externe netwerken, applicaties en code reviews. Werkt met het eigen rapportageplatform Security Reporter. |
| Hackdefense CCV-keurmerk | Leiderdorp | Pentesten, red teaming en ketenonderzoek. Werkt sinds 2026 met Cyber4Z samen als Securance Cyber. |
| Onvio CCV-keurmerk | Utrecht | Netwerken, webapplicaties, mobiele apps, API's en broncode. Voert ook DigiD-audits uit. |
| Pentesting Service | Amsterdam | Koppelt je aan een pentester uit een eigen netwerk. Webapplicaties, API's, mobiele apps, netwerken, cloud en red teaming. |
| Pentests.nl | Sassenheim | Websites, webapplicaties en bedrijfsnetwerken. Geeft daarnaast ethical hacking-trainingen. |
| Pentrox | Amsterdam | Webapplicaties, API's, mobiele apps, infrastructuur, broncode en hardware. Hertest inbegrepen, ook als abonnement. |
| Radically Open Security | Amsterdam | Handmatige tests op webapplicaties, netwerken, mobiele apps en broncode. Non-profit die de winst afdraagt aan Stichting NLnet. |
| RedTeam Security | Arnhem | Technische pentesten en red teaming met volledige aanvalssimulaties. |
| Riscure | Delft | Chips en embedded systemen, met zijkanaalanalyse en foutinjectie. Gericht op hardware. |
| Rootsec | Almere | Vulnerability assessments en penetratietesten, aangevuld met managed endpoint protection. |
| Securify CCV-keurmerk | Amsterdam | Pentesten, scenariogebaseerde tests, code review en red teaming. Test ook doorlopend mee met ontwikkelteams. |
| Security.Rocks | Utrecht | Webapplicaties, infrastructuur en SAP-landschappen. Vaste prijzen en testers met OSCP. |
| Secwatch | Almere | Interne en externe netwerken, webapplicaties en wifi. Voert ook DigiD-assessments uit. |
| ThreatLabs | Utrecht | Pentesten volgens de Penetration Testing Execution Standard en red team-opdrachten. |
| Tozetta | Utrecht | Ethisch hacken als enige dienst. Testers met OSCP en OSEP, ook via een abonnement met maandelijkse pentesturen. |
| WebSec CCV-keurmerk | Amsterdam | Webapplicaties, netwerken en infrastructuur, met per bevinding wat een aanvaller ermee bereikt. |
| Zerocopter | Groningen | Pentest, bug bounty en coordinated vulnerability disclosure via een netwerk van getoetste onderzoekers. |
Securitybedrijven met pentest en SOC of incident response (21)
Deze bedrijven testen en bewaken. De kolom Ook in huis toont welke diensten je er daarnaast afneemt.
| Bedrijf | Plaats | Pentestaanbod | Ook in huis |
|---|---|---|---|
| Access42 CCV-keurmerk | Leusden | Continuous pentesting en aanvalssimulaties op netwerken, webapplicaties, API's en cloudomgevingen. | SOC en MDR, security awareness |
| Anovum | Den Haag | Webapplicaties, infrastructuur, API's, mobiele apps en operationele techniek, volgens de OWASP-standaarden. | Incident response, advies en compliance |
| Aumatics | Zoetermeer | Pentesten, vulnerability scanning en geautomatiseerde aanvalssimulaties via Pentera. | SOC en MDR, OT-security, IT-beheer |
| Data4 | Maastricht-Airport | Penetratietesten en securityassessments die tonen of maatregelen standhouden. | SOC en MDR, incident response, security awareness |
| DeepBlue Security CCV-keurmerk | Den Haag | Netwerken, webapplicaties en interne infrastructuur. | Incident response |
| DEFION Security CCV-keurmerk | Zoetermeer | Webapplicaties, API's, mobiele apps, interne netwerken en wifi, als black, grey of white box. Voorheen Computest. | SOC en MDR, incident response, advies en compliance |
| FOX-IT CCV-keurmerk | Rijswijk | Netwerken, applicaties en infrastructuur, plus red teaming op techniek en gedrag. | SOC en MDR, incident response, OT-security |
| IntegriPro | Leeuwarden | Cyberscans, penetratietesten en mystery guest-bezoeken. | Incident response, advies en compliance, security awareness |
| ITseqr CCV-keurmerk | Moordrecht | Security scans, penetratietesten en mystery visits. | SOC en MDR |
| Motiv | IJsselstein | Assessments en penetratietesten naast managed security. | SOC en MDR |
| Neo Security | Amsterdam | Pentesten, red team-operaties, social engineering en fysieke toegangstests. | SOC en MDR, incident response, advies en compliance |
| NFIR CCV-keurmerk | Rijswijk | Infrastructuur, webapplicaties, mobiele apps, API's en OT-omgevingen. | Incident response, SOC en MDR |
| Northwave CCV-keurmerk | Utrecht | Pentesten en red teaming rond de zwaarste dreigingen voor je organisatie. | SOC en MDR, incident response, advies en compliance |
| Onyx Cybersecurity CCV-keurmerk | Amersfoort | Applicaties, cloud en infrastructuur, plus red team-tests met fysieke toegang. | SOC en MDR, advies en compliance, security awareness |
| OT Security Hub | Oldenzaal | Scans en penetratietesten op operationele techniek in de maakindustrie. | OT-security, SOC en MDR |
| Pinewood | Delft | Penetratietesten, securityaudits en kwetsbaarheidsscans. | SOC en MDR, incident response |
| REQON | Leiden | Penetratietesten, code review en vulnerability scanning. | SOC en MDR, incident response |
| Socured | Amsterdam | Cyberscans, vulnerability assessments en penetratietesten voor het mkb. | SOC en MDR, IT-beheer |
| Tesorion | Nieuwegein | Penetratietesten en aanvalssimulaties door eigen ethisch hackers. | SOC en MDR, incident response, advies en compliance |
| ThreadStone | Rotterdam | Pentesten en red teaming als vervolg op een cybersecurityscan. | SOC en MDR, security awareness |
| Ultimum | Almere | Pentesten en ethisch hacken, met een kosteloze securityscan als startpunt. | SOC en MDR, IT-beheer |
Advies- en trainingsbureaus met pentest (12)
Bij deze bedrijven staat de pentest naast advies, compliance-begeleiding, awareness of software.
| Bedrijf | Plaats | Pentestaanbod | Ook in huis |
|---|---|---|---|
| Cyber Cloud CCV-keurmerk | Bleskensgraaf | Webapplicaties, infrastructuur, cloud, mobiele apps en IoT-apparaten. | Security awareness |
| Informatiebeveiliging Nederland | Rijswijk | Applicaties en infrastructuur, aangevuld met social engineering. | Advies en compliance, security awareness |
| Networking4all CCV-keurmerk | De Meern | Penetratietesten naast certificaten en opleidingen voor ethisch hacken. | Software en platforms, security awareness |
| Parell | Arnhem | Pentesten en OSSTMM-testen, met kennis van BIO en DigiD. | Advies en compliance |
| PuraSec CCV-keurmerk | Den Haag | Web- en mobiele applicaties, infrastructuur en cloud configuration reviews. | Advies en compliance |
| Qbit | Hoofddorp | Netwerken, applicaties en eindpunten, plus DigiD-assessments. Werkt nu onder de naam Resillion. | Advies en compliance, security awareness |
| Secity | Alkmaar | Quickscans en pentesten van de hele infrastructuur, gericht op het mkb. | Advies en compliance |
| Seclinq | Breukelen | Webapplicaties, netwerken, mobiele apps en broncode, plus red teaming. Testers met OSCP en CREST. | Compliance-begeleiding, software en platforms |
| Secura CCV-keurmerk | Amsterdam | Netwerken, applicaties, OT-installaties en verbonden producten, plus red teaming. Werkt nu als Bureau Veritas Cybersecurity. | Advies en compliance, OT-security |
| SEQRIT | Diemen | Niet-destructieve tests van de infrastructuur, van buitenaf en van binnenuit. | Advies en compliance, OT-security |
| Surelock CCV-keurmerk | Woerden | Webapplicaties, servers, netwerken en hardware. Rapport bruikbaar bij een BIO-, ISAE- of ISO 27001-audit. | Security awareness |
| Vest | Naarden | Penetratietesten als terugkerend onderdeel van de pijler testing. | Advies en compliance, security awareness |
Stand 5 oktober 2026. Het label CCV-keurmerk volgt het CCV-register of de eigen opgave van het bedrijf. Een vermelding in dit overzicht is geen aanbeveling.
CCV-keurmerk Pentesten: achttien bedrijven uit de gids
Het CCV-keurmerk Pentesten is het Nederlandse keurmerk voor aanbieders van pentests. Bedrijven laten zich sinds 1 juli 2021 certificeren en sinds 1 april 2024 geldt versie 2.0 van het schema. Certificering is vrijwillig, de wet schrijft haar niet voor.
| Testers | Een praktijkcertificaat van de CCV-lijst. Het examen omvat minimaal 23 uur zelfstandig hacken in een labomgeving en een rapport dat een examinator beoordeelt. CEH en LPT gelden als instapniveau en staan er niet op. |
| Screening | Een verklaring omtrent het gedrag (VOG) van maximaal drie jaar oud. |
| Organisatie | Een aantoonbaar vastgelegde werkwijze en een klachtenprocedure. |
| Toezicht | Jaarlijks een audit op kantoor door DEKRA, DigiTrust of Kiwa. De auditor kan een pentest bijwonen. |
| Reikwijdte | Alle soorten pentests die het bedrijf aanbiedt. Een vulnerability scan valt buiten het keurmerk. |
| Hertest | Aangeraden door het CCV, geen vast onderdeel van een gecertificeerde test. |
Bron: Het CCV, veelgestelde vragen over het keurmerk Pentesten.
Deze achttien bedrijven uit de gids voeren het keurmerk: Access42, Cyber Cloud, DeepBlue Security, DEFION Security, DongIT, FOX-IT, Hackdefense, ITseqr, Networking4all, NFIR, Northwave, Onvio, Onyx Cybersecurity, PuraSec, Secura, Securify, Surelock en WebSec.
Het register van het CCV toont de actuele status van elk bedrijf, ook na een schorsing. Raadpleeg het voor je een opdracht tekent. In oktober 2026 telde het register ruim 40 vermeldingen.
Het keurmerk toetst het proces van een bureau. De technische diepgang van een test hangt af van de tester en het aantal testdagen. Vraag daarom ook bij een gecertificeerd bureau wie de test uitvoert en bekijk een voorbeeldrapport.
Pentest bedrijven per provincie
Webapplicaties, API’s en externe infrastructuur test een bureau op afstand. De vestigingsplaats telt mee bij werk op locatie: een interne netwerktest, wifi-onderzoek, een mystery guest-bezoek of hardware-onderzoek.
| Provincie | Aantal | Pentest bedrijven per plaats |
|---|---|---|
| Zuid-Holland | 18 | Bleskensgraaf: Cyber Cloud. Delft: Pinewood, Riscure. Den Haag: AKASEC, Anovum, DeepBlue Security, PuraSec. Leiden: DongIT, REQON. Leiderdorp: Hackdefense. Moordrecht: ITseqr. Rijswijk: FOX-IT, Informatiebeveiliging Nederland, NFIR. Rotterdam: ThreadStone. Sassenheim: Pentests.nl. Zoetermeer: Aumatics, DEFION Security. |
| Utrecht | 12 | Amersfoort: Onyx Cybersecurity. Breukelen: Seclinq. De Meern: Networking4all. IJsselstein: Motiv. Leusden: Access42. Nieuwegein: Tesorion. Utrecht: Northwave, Onvio, Security.Rocks, ThreatLabs, Tozetta. Woerden: Surelock. |
| Noord-Holland | 12 | Alkmaar: Secity. Amsterdam: Neo Security, Pentesting Service, Pentrox, Radically Open Security, Secura, Securify, Socured, WebSec. Diemen: SEQRIT. Hoofddorp: Qbit. Naarden: Vest. |
| Flevoland | 4 | Almere: Rootsec, Secwatch, Ultimum. Zeewolde: Cyberant. |
| Gelderland | 2 | Arnhem: Parell, RedTeam Security. |
| Limburg | 1 | Maastricht-Airport: Data4. |
| Friesland | 1 | Leeuwarden: IntegriPro. |
| Overijssel | 1 | Oldenzaal: OT Security Hub. |
| Groningen | 1 | Groningen: Zerocopter. |
Voor Drenthe, Noord-Brabant en Zeeland telt de gids nog geen pentest bedrijf. In de gids met het filter Pentest kies je zelf een provincie en zie je per bedrijf het volledige profiel.
Filter de 52 pentest bedrijven op provincie
In de gids staat per bedrijf een profiel met diensten, vestiging en contactgegevens. Het filter Pentest staat voor je klaar.
Welk pentest bedrijf past bij jouw situatie?
Begin bij het doel van de test. Bij deze zeven situaties staat het type aanbieder dat erbij hoort, met voorbeelden uit de gids.
| Situatie | Type aanbieder | Voorbeelden uit de gids | Vraag voor het offertegesprek |
|---|---|---|---|
| Eén webapplicatie of API testen | Gespecialiseerd pentestbureau | Securify, Onvio, WebSec en Cyberant | Welke tester krijg ik en welke ervaring heeft die met mijn techniek? |
| DigiD-koppeling | Bureau met DigiD-ervaring | Onvio, Secwatch, Qbit en Parell | Volgt het rapport de normen van het ICT-beveiligingsassessment voor Logius? |
| OT, productieomgeving of hardware | Bureau met OT- of hardware-specialisme | OT Security Hub, Secura, NFIR, Anovum en Riscure | Hoe test je een draaiende installatie terwijl de productie doorloopt? |
| Red teaming of TIBER | Red team-specialist | AKASEC, Northwave, FOX-IT, Securify en RedTeam Security | Welke scenario’s speel je na en hoe betrek je ons eigen securityteam? |
| Eerste test voor een mkb-bedrijf | Bureau met vaste prijzen of een scan als startpunt | Security.Rocks, Socured, Secity en Ultimum | Wat zit er in de prijs en hoort de hertest daarbij? |
| Test en daarna doorlopende bewaking | Securitybedrijf met eigen SOC | Northwave, Tesorion, Pinewood en Access42 | Hoe komen de bevindingen uit de test in de monitoring terecht? |
| Rapport als bewijs voor ISO 27001, NIS2 of BIO | Advies- of trainingsbureau met pentest | PuraSec, Surelock, Seclinq en Informatiebeveiliging Nederland | Koppel je de bevindingen aan de eisen van de norm? |
De voorbeelden volgen uit de diensten in de bedrijfsprofielen. Een vermelding is geen aanbeveling.
Leg dit vast voor de test begint
Vijf afspraken horen op papier te staan voor de eerste testdag.
- Vrijwaringsverklaring. Hierin geef je schriftelijk toestemming en leg je vast welke systemen de tester op welke momenten onderzoekt. De KVK noemt dit document de pentestwaiver.
- Toestemming van derden. Meld de test bij je hostingpartij of cloudleverancier. Zij hanteren eigen regels voor tests op hun platform.
- Wie er test. Leg de namen en certificaten van de testers vast en spreek af dat uitbesteding aan een derde jouw toestemming vraagt.
- Geheimhouding en gegevens. Spreek af hoe lang het bureau testgegevens en bevindingen bewaart en hoe het ze vernietigt.
- Hertest. Leg vast of een hertest in de prijs zit en binnen welke termijn die plaatsvindt.
Zonder schriftelijke toestemming is een pentest strafbaar
Binnendringen in een systeem zonder toestemming van de eigenaar is computervredebreuk. Teken de vrijwaringsverklaring daarom voor de eerste testdag, ook bij een kleine test. Meer hierover staat bij wanneer een pentest legaal is.
De zeven vragen voor het offertegesprek staan bij een pentestbureau kiezen. Richtprijzen per type test en de gepubliceerde tarieven van acht bureaus vind je bij pentest kosten. Welke informatie de tester vooraf krijgt, lees je bij black box, grey box en white box.
Veelgestelde vragen over pentest bedrijven
Hoeveel pentest bedrijven zijn er in Nederland?
De gids van Securiguide telt 52 bedrijven die pentests uitvoeren. Het CCV-register toont ruim 40 vermeldingen van gecertificeerde aanbieders. Het werkelijke aantal ligt hoger, omdat ook IT-dienstverleners, advieskantoren en zelfstandige testers pentests aanbieden.
Mag elk bedrijf zich pentest bedrijf noemen?
Ja. Een bedrijf heeft geen certificering nodig om pentests aan te bieden. Het CCV wijst erop dat nieuwe aanbieders starten zonder verplichte toets vooraf. Controleer daarom de testers, het keurmerk en een voorbeeldrapport.
Is het CCV-keurmerk verplicht voor een pentest bedrijf?
Het keurmerk is vrijwillig. Opdrachtgevers kunnen het als selectiecriterium gebruiken. Achttien bedrijven uit de gids voeren het keurmerk Pentesten.
Wat kost een pentest bij een pentest bedrijf?
Een pentest kost in Nederland meestal 4.000 tot 15.000 euro, exclusief btw. De prijs volgt uit het aantal testdagen maal een dagtarief van 1.000 tot 2.000 euro. Alle richtprijzen staan bij pentest kosten.
Wat is het verschil tussen een pentest bedrijf en een cybersecurity bedrijf?
Een pentest bedrijf test of een aanvaller binnenkomt. Cybersecurity bedrijf is de bredere term en dekt ook bewaking, incident response, advies en training. Van de 121 bedrijven in het overzicht van cybersecurity bedrijven voeren er 52 pentests uit.
Bronnen
- Securiguide, overzicht van cybersecurity bedrijven en de bedrijfsprofielen, stand 5 oktober 2026.
- Het CCV, Veelgestelde vragen over het keurmerk Pentesten, laatst gewijzigd op 18 maart 2025.
- Het CCV, Gekwalificeerde bedrijven voor het keurmerk Pentesten, geraadpleegd in oktober 2026.
- Het CCV, Eerste certificaat CCV-keurmerk Pentesten uitgereikt.
- KVK, Zo houdt een pentest je bedrijf veilig, bijgewerkt op 16 juli 2025.
- NFIR, Pentest: het hoe en waarom over penetratietesten, geraadpleegd op 5 oktober 2026.
- Matproof, Pentest diensten in Nederland: de juiste provider kiezen, maart 2026.