Red teaming is een aanvalssimulatie waarbij ethische hackers één afgesproken doel proberen te bereiken, buiten medeweten van je securityteam. Een pentest zoekt zoveel mogelijk kwetsbaarheden binnen een afgebakende scope. Red teaming meet of je organisatie een gerichte aanval opmerkt en stopt.
TIBER is het raamwerk van De Nederlandsche Bank voor red teaming op basis van actuele dreigingsinformatie. Sinds januari 2025 schrijft DORA zo’n test elke drie jaar voor bij aangewezen financiële instellingen.
Door Redactie Securiguide. Laatst gecontroleerd op 5 oktober 2026.
| Doel | Eén afgesproken doel bereiken, zoals toegang tot het betaalsysteem of tot klantgegevens |
| Wat het meet | Preventie, detectie en respons van mensen, processen en techniek |
| Wie ervan weet | Een klein control team. Het securityteam krijgt geen vooraankondiging |
| Duur | Weken tot maanden. Bij een verplichte TLPT minimaal twaalf weken actieve testfase |
| Kosten | 20.000 tot 50.000 euro of meer. Een TIBER-test 100.000 tot 300.000 euro |
| Raamwerken | TIBER, TLPT, ART en ZORRO |
| Verplicht voor | Financiële instellingen die DNB of de AFM aanwijst, minstens elke drie jaar |
Bedragen exclusief btw, volgens IBgids (augustus 2026) en Matproof (maart 2026).
Op deze pagina: red teaming of pentest · red, blue en purple team · verloop in vijf stappen · TIBER en TLPT · vier raamwerken · kosten · welke test wanneer · bureaus · veelgestelde vragen
Red teaming of pentest: het verschil
Een pentest en een red team-test beantwoorden elk een andere vraag. De tabel zet ze op zeven punten naast elkaar.
| Kenmerk | Pentest | Red teaming |
|---|---|---|
| Vraag | Welke kwetsbaarheden zitten er in deze scope? | Merkt en stopt de organisatie een gerichte aanval? |
| Scope | Afgebakend: een applicatie, netwerk of omgeving | De hele organisatie: mensen, processen en techniek |
| Securityteam | Weet dat de test loopt | Krijgt geen vooraankondiging. Een klein control team stuurt de test |
| Werkwijze | Zoveel mogelijk bevindingen in de beschikbare testdagen | Eén route naar het doel, zo onopvallend mogelijk |
| Duur | 3 tot 10 testdagen | Weken tot maanden |
| Uitkomst | Bevindingen met risicoscore en hersteladvies | Tijdlijn van de aanval, met per stap wat het securityteam zag |
| Richtprijs | 4.000 tot 15.000 euro | 20.000 tot 50.000 euro of meer |
Richtprijzen exclusief btw, volgens IBgids (augustus 2026) en Matproof (maart 2026).
Een red team kiest de route met de kleinste kans op ontdekking en laat andere kwetsbaarheden liggen. Het rapport beschrijft die ene route. Een volledig overzicht van je zwakke plekken komt uit de pentest. Doorlopende meldingen van buitenaf regel je met bug bounty en responsible disclosure.
De meeste red team-tests beginnen zonder voorkennis, de testvorm die black box heet. De testers verzamelen eerst openbare informatie over je organisatie, een werkwijze die OSINT heet. Daarna zoeken ze een ingang via techniek, via medewerkers of via het gebouw.
Assumed breach: de test begint na de inbraak
Bij een assumed breach-scenario krijgt het red team vooraf toegang, bijvoorbeeld de laptop en het account van een nieuwe medewerker. De testtijd gaat dan naar wat een aanvaller na binnenkomst kan: rechten uitbreiden, door het netwerk bewegen en het doel bereiken. Deze vorm vraagt minder testdagen en past bij een eerste red team-test.
Red team, blue team, purple team en control team
De kleuren staan voor rollen in de test. De term red team komt uit militaire oefeningen, waarin het rode team de tegenstander speelt.
| Team | Rol in de test | Wie |
|---|---|---|
| Red team | Voert de aanval uit met de technieken van echte aanvallers | Ethische hackers van een extern bureau. Grote organisaties hebben ook een eigen red team |
| Blue team | Verdedigt: merkt de aanval op, onderzoekt meldingen en grijpt in. Krijgt geen vooraankondiging | Analisten van het SOC, beheerders en het team voor incident response |
| Control team | Weet als enige groep in de organisatie van de test. Stuurt de test, bewaakt de risico’s en kan de test stilleggen. Ook white team genoemd | Een kleine groep, bijvoorbeeld de CISO en een testmanager |
| Purple team | Een werkvorm waarin red team en blue team de aanval samen stap voor stap nalopen en de detectie opnieuw testen | Leden van beide teams |
| Threat intelligence provider | Onderzoekt welke aanvallers je organisatie als doelwit zien en welke technieken zij gebruiken | Een gespecialiseerd bureau |
| Gold team | Crisisoefening voor bestuur en directie, met het nagespeelde aanvalsscenario als uitgangspunt | Het crisisteam van de organisatie |
Rollen volgens het TIBER-EU-raamwerk van de ECB en de ART-documenten van DNB.
Purple teaming bestaat ook als losse opdracht. Het red team voert dan openlijk één techniek tegelijk uit en het blue team controleert direct of de detectie afgaat. Die vorm past bij organisaties die hun detectieregels gericht aanscherpen.
Hoe verloopt een red team-test? Vijf stappen
Een red team-test duurt weken tot maanden. Het grootste deel van die tijd werkt het red team langzaam en onopvallend, zoals een aanvaller die buiten beeld wil blijven.
- Doel en spelregels. Het control team legt het doel vast, bijvoorbeeld een betaling klaarzetten in het financiële systeem of klantgegevens bereiken. Daarbij horen de systemen die buiten de test blijven, een noodprocedure en schriftelijke toestemming van de directie.
- Dreigingsanalyse. Een threat intelligence-specialist brengt in kaart welke aanvallers jouw sector treffen en hoe zij werken. Daaruit volgen één tot drie scenario’s, beschreven in de tactieken en technieken van MITRE ATT&CK.
- Aanval. Het red team zoekt een eerste ingang via phishing, een kwetsbaar systeem aan internet of fysieke toegang tot het pand. Daarna breidt het zijn rechten uit, beweegt het door het netwerk en werkt het naar het doel toe. Het control team krijgt tussentijds bericht over de voortgang.
- Replay en purple teaming. Na de aanval hoort het blue team van de test. Beide teams lopen de tijdlijn samen na: welke stap gaf een melding, welke melding bleef liggen en waar ontbrak logging.
- Rapport en herstelplan. Het rapport beschrijft de aanvalsroute per stap, met wat het blue team zag en wat er ontbrak. Het herstelplan bevat acties voor techniek, processen en mensen.
Drie voorwaarden voor een bruikbare red team-test
- Werkende monitoring. DNB noemt een security operations center noodzakelijk om een aanval te kunnen detecteren. Zonder SOC of logging valt er weinig te meten.
- Een recente pentest. Staan bekende kwetsbaarheden nog open, dan vindt het red team wat een pentest in minder dagen vindt.
- Schriftelijke toestemming van de directie. Zonder toestemming is binnendringen strafbaar als computervredebreuk. Meer daarover staat bij is pentesten legaal.
TIBER: red teaming volgens het raamwerk van DNB en de ECB
TIBER staat voor Threat Intelligence Based Ethical Red teaming. De Nederlandsche Bank ontwikkelde TIBER-NL in 2016 om aanvallen op financiële instellingen gecontroleerd na te bootsen. De Europese Centrale Bank publiceerde in mei 2018 TIBER-EU, gebaseerd op de Nederlandse aanpak. Volgens de ECB hebben 21 Europese landen het raamwerk ingevoerd.
Een TIBER-test verschilt op drie punten van een reguliere red team-test:
- Dreigingsinformatie op maat. TCT-DNB, het testteam van DNB, levert het Generic Threat Landscape met de dreigingen en actoren in de financiële sector. Een gespecialiseerd bureau werkt dat uit tot een dreigingsrapport voor jouw instelling.
- Test op productiesystemen. De scenario’s draaien op de systemen waarmee de instelling dagelijks werkt. Mensen, processen en IT-infrastructuur kunnen doelwit zijn.
- Begeleiding door de toezichthouder. Een testmanager van TCT-DNB bewaakt dat de test het raamwerk volgt. De uitkomst is een overzicht van sterke en zwakke punten, zonder het oordeel geslaagd of gezakt.
Drie fasen van een TIBER-test
Het TIBER-EU-raamwerk verdeelt de test in een voorbereiding, een testfase en een afronding.
| Fase | Wat er gebeurt | Wat het oplevert |
|---|---|---|
| Voorbereiding | De instelling brengt haar kritieke functies in kaart, legt de scope vast en koopt een threat intelligence-bureau en een red team in | Scope Specification Document en contracten met de bureaus |
| Testfase | Het threat intelligence-bureau schrijft het dreigingsrapport. Het red team voert de scenario’s uit op de productiesystemen | Targeted Threat Intelligence Report en Red Team Test Plan |
| Afronding | Red team en blue team spelen de aanval na, doen een purple team-oefening en stellen een herstelplan op | Red Team Test Report, Blue Team Test Report, Test Summary Report en Remediation Plan |
Documenten volgens het TIBER-EU-raamwerk van de ECB, versie 2025.
TLPT: verplicht testen onder DORA
De Europese verordening DORA geldt sinds 17 januari 2025 voor de financiële sector. Artikel 26 verplicht aangewezen instellingen om minstens elke drie jaar een threat-led penetration test (TLPT) uit te voeren. In Nederland wijzen DNB en de AFM die instellingen aan. Wie onder de verplichting valt, krijgt daarover een brief.
Een TLPT volgt het TIBER-EU-raamwerk, met vaste eisen uit de technische reguleringsnormen bij DORA:
- de actieve testfase van het red team duurt minimaal twaalf weken;
- het red team levert zijn rapport binnen vier weken na die fase;
- purple teaming is een verplicht onderdeel van de afronding;
- het threat intelligence-bureau is altijd een externe partij;
- een instelling met een eigen red team schakelt bij elke derde test externe testers in.
Na een test die aan de eisen voldoet, geeft TCT-DNB een attestatie af. Daarmee toont de instelling aan dat de test volgens de regels is uitgevoerd.
TIBER, TLPT, ART en ZORRO naast elkaar
Nederland kent vier raamwerken voor red teaming onder begeleiding. Ze verschillen in doelgroep, omvang en de vraag of de test verplicht is.
| Raamwerk | Voor wie | Verplicht | Opzet | Begeleiding |
|---|---|---|---|---|
| TLPT | Financiële instellingen die DNB of de AFM aanwijst | Ja, minstens elke drie jaar | Vast proces volgens TIBER-EU, met minimaal twaalf weken actieve testfase en verplichte purple teaming | TCT-DNB, met een attestatie na afloop |
| TIBER | Grote banken, betaalinstellingen, pensioenuitvoerders en verzekeraars. Ook bruikbaar in zorg, telecom en energie | Vrijwillig | Volledige test volgens TIBER-EU, uit te breiden met gold teaming | TCT-DNB |
| ART | Kleinere en grote financiële instellingen, en andere vitale sectoren | Vrijwillig | Modulair. Omvang en frequentie kies je zelf, bijvoorbeeld jaarlijks één scenario | TCT-DNB, tegen een kostendekkend tarief |
| ZORRO | Zorginstellingen | Vrijwillig | Red teaming op basis van dreigingsinformatie over de zorg | Testmanager van Z-CERT |
Bronnen: De Nederlandsche Bank en Z-CERT, geraadpleegd op 5 oktober 2026.
ART staat voor Advanced Red Teaming. DNB lanceerde het raamwerk in april 2024 voor instellingen die al stappen hebben gezet in hun beveiliging en nog niet toe zijn aan een TIBER- of TLPT-test. Wie jaarlijks één scenario doorloopt, bereikt volgens DNB na drie jaar dezelfde testomvang als met één TIBER-test.
DNB noemt een ART-test een passende invulling van het periodiek testen dat DORA en NIS2 veronderstellen. ZORRO staat voor Zorg Redteaming Resilience Oefeningen. Het Antoni van Leeuwenhoek ziekenhuis voerde in 2021 de eerste ZORRO-test uit.
Organisaties buiten deze sectoren geven een bureau rechtstreeks opdracht, zonder toezichthouder. De raamwerken van DNB zijn openbaar en dienen dan als leidraad voor de opzet.
Vind een bureau voor red teaming
Het overzicht van Securiguide toont 52 Nederlandse bureaus die pentests uitvoeren. Dertien daarvan noemen red teaming in hun aanbod.
Wat kost red teaming?
Red teaming kost 20.000 tot 50.000 euro of meer, exclusief btw. Bureaus rekenen 10 tot 20 testdagen of meer, verspreid over weken. Een TIBER-test voor een financiële instelling kost volgens Matproof 100.000 tot 300.000 euro en duurt drie tot acht maanden.
| Type test | Doorlooptijd | Richtprijs |
|---|---|---|
| Pentest | 3 tot 10 testdagen | 4.000 tot 15.000 euro |
| Red teaming | 10 tot 20 testdagen of meer | 20.000 tot 50.000 euro of meer |
| TIBER-test | 3 tot 8 maanden | 100.000 tot 300.000 euro |
Richtprijzen exclusief btw, uit openbaar gepubliceerde tarieven verzameld door IBgids (augustus 2026) en Matproof (maart 2026).
Vier onderdelen bepalen waar een offerte binnen die bandbreedte uitkomt:
- Aantal scenario’s. Elk scenario is een eigen aanvalsroute met eigen testdagen. Een TLPT telt er minimaal drie.
- Dreigingsanalyse. Bij TIBER en TLPT schrijft een apart bureau het dreigingsrapport. Bij een reguliere red team-test zit de analyse meestal in de opdracht van het red team.
- Fysieke toegang en social engineering. Een test waarin iemand het pand binnenloopt of medewerkers belt, vraagt extra voorbereiding en juridische afspraken.
- Begeleiding door DNB. Bij ART rekent DNB een kostendekkend tarief voor het dreigingslandschap en de testmanager. Dat bedrag staat los van de rekening van het bureau.
Reken ook op uren van je eigen mensen. Het control team begeleidt de test wekenlang en het blue team besteedt daarna tijd aan de replay en het herstelplan. De prijzen van reguliere tests staan bij pentest kosten.
Red teaming of pentest: welke test past bij welke situatie?
De keuze volgt uit wat je wilt weten en uit hoe ver je detectie is.
| Situatie | Test | Waarom |
|---|---|---|
| Nieuwe applicatie of website voor livegang | Pentest | Je wilt alle kwetsbaarheden in één afgebakend systeem kennen |
| Eerste securitytest, zonder monitoring | Pentest, aangevuld met een vulnerability scan | Red teaming meet detectie. Zonder monitoring valt er weinig te meten |
| SOC ingericht en de vraag of het een aanval opmerkt | Red teaming | De test toont per stap wat het blue team zag |
| Detectieregels gericht verbeteren | Purple teaming | Red team en blue team testen samen, met directe terugkoppeling |
| Beperkt budget en de vraag wat een aanvaller na binnenkomst kan | Assumed breach | De testdagen gaan naar het interne netwerk |
| Financiële instelling met een aanwijzing van DNB of de AFM | TLPT | Verplicht onder DORA, minstens elke drie jaar |
| Kleinere financiële instelling of zorginstelling | ART of ZORRO | Modulaire test met begeleiding van DNB of Z-CERT |
| Bestuur wil besluitvorming tijdens een aanval oefenen | Gold teaming | Crisisoefening op basis van het nagespeelde scenario |
Dertien bureaus in de gids met red teaming
Deze dertien bedrijven uit de gids van Securiguide noemen red teaming in hun aanbod. Elke naam opent het profiel met diensten en contactgegevens.
| Bedrijf | Plaats | Aanbod volgens het profiel |
|---|---|---|
| AKASEC | Den Haag | Red teaming en black teaming, met raamwerken als MITRE ATT&CK en het Advanced Red Teaming-raamwerk van DNB |
| FOX-IT | Rijswijk | Red teaming op techniek en gedrag, naast pentests van netwerken en applicaties |
| Hackdefense | Leiderdorp | Pentesten, red teaming en ketenonderzoek |
| Neo Security | Amsterdam | Red team-operaties, social engineering en fysieke toegangstests |
| Northwave | Utrecht | Pentesten en red teaming rond de zwaarste dreigingen voor je organisatie |
| Onyx Cybersecurity | Amersfoort | Red team-tests met fysieke toegang, naast tests van applicaties, cloud en infrastructuur |
| Pentesting Service | Amsterdam | Koppelt je aan een tester uit een eigen netwerk, ook voor red teaming |
| RedTeam Security | Arnhem | Technische pentesten en red teaming met volledige aanvalssimulaties |
| Seclinq | Breukelen | Red teaming naast tests van webapplicaties, netwerken en broncode. Testers met OSCP en CREST |
| Secura | Amsterdam | Red teaming naast tests van netwerken, applicaties en OT-installaties. Werkt nu als Bureau Veritas Cybersecurity |
| Securify | Amsterdam | Pentesten, scenariogebaseerde tests, code review en red teaming |
| ThreadStone | Rotterdam | Pentesten en red teaming als vervolg op een cybersecurityscan |
| ThreatLabs | Utrecht | Pentesten volgens de Penetration Testing Execution Standard en red team-opdrachten |
Aanbod volgens de bedrijfsprofielen van Securiguide, op alfabet. Een vermelding in deze tabel is geen aanbeveling.
Vraag bij een TIBER- of TLPT-opdracht of het bureau voldoet aan de eisen uit de TIBER-EU Guidance for Service Provider Procurement van de ECB. Voor andere red team-tests helpen de vragen voor het offertegesprek bij pentest bedrijven.
Veelgestelde vragen over red teaming en TIBER
Wat betekent TIBER?
TIBER staat voor Threat Intelligence Based Ethical Red teaming: ethisch hacken op basis van dreigingsinformatie. TIBER-NL is het Nederlandse raamwerk van DNB uit 2016, TIBER-EU de Europese versie van de ECB uit 2018.
Is red teaming verplicht?
Voor financiële instellingen die DNB of de AFM aanwijst wel: DORA schrijft minstens elke drie jaar een TLPT voor. Voor andere organisaties is red teaming een eigen keuze. De Cyberbeveiligingswet vraagt dat je de werking van je maatregelen periodiek beoordeelt. Een pentest of red team-test is een manier om dat aan te tonen.
Hoe lang duurt een red team-test?
Een red team-test duurt weken tot maanden, afhankelijk van het aantal scenario’s. Bij een TLPT duurt de actieve testfase minimaal twaalf weken. Matproof noemt voor een volledige TIBER-test drie tot acht maanden.
Wat is het verschil tussen een red team en een blue team?
Het red team valt aan en het blue team verdedigt. Bij red teaming krijgt het blue team geen vooraankondiging, zodat de test laat zien hoe de verdediging op een echte aanval reageert. Bij purple teaming werken beide teams samen.
Kan een red team-test systemen verstoren?
De test draait op productiesystemen, dus dat risico bestaat. Het control team bewaakt het: het kent elke stap vooraf, houdt een noodprocedure achter de hand en kan de test stilleggen. Leg vooraf vast welke systemen buiten de test blijven.
Is red teaming iets voor het mkb?
Voor de meeste mkb-bedrijven levert een pentest meer op per euro. Red teaming wordt zinvol zodra je monitoring hebt ingericht en wilt weten of die werkt. Een assumed breach-test of een purple team-sessie is dan een compact begin. Een overzicht van bureaus staat bij pentest bedrijven.
Bronnen
- De Nederlandsche Bank, Threat Intelligence Based Ethical Red teaming (TIBER). Geraadpleegd op 5 oktober 2026.
- De Nederlandsche Bank, Threat Led Penetration Testing (TLPT). Geraadpleegd op 5 oktober 2026.
- De Nederlandsche Bank, Advanced Red Teaming (ART), met het ART-raamwerk van maart 2026. Geraadpleegd op 5 oktober 2026.
- De Nederlandsche Bank, DNB lanceert ART, april 2024, en Uw organisatie voorbereiden op een cyberaanval met een ART-test.
- Europese Centrale Bank, What is TIBER-EU? en het TIBER-EU-raamwerk, versie 2025. Geraadpleegd op 5 oktober 2026.
- Europese Unie, Verordening (EU) 2022/2554 (DORA), artikel 26.
- EBA, EIOPA en ESMA, Final report on the RTS on threat-led penetration testing, juli 2024. Vastgesteld als Gedelegeerde Verordening (EU) 2025/1190.
- AFM, Getting ready for DORA: Testing of the digital operational resilience, 2024.
- Z-CERT, ZORRO en Eerste red teaming oefening Antoni van Leeuwenhoek ziekenhuis en Z-CERT. Geraadpleegd op 5 oktober 2026.
- MITRE, ATT&CK. Geraadpleegd op 5 oktober 2026.
- IBgids, Wat kost een penetratietest? Prijzen en doorlooptijd, 9 augustus 2026.
- Matproof, Penetratietest kosten in Nederland, 9 maart 2026.