Penetratietesten en compliance: wat eisen de normen?

Inleiding: penetratietesten als compliance-eis

In een tijd waarin cyberdreigingen toenemen en regelgeving strenger wordt, zijn penetratietesten (pentests) een onmisbaar onderdeel van een solide informatiebeveiligingsstrategie. Niet alleen om kwetsbaarheden in systemen op te sporen en te verhelpen, maar ook om te voldoen aan uiteenlopende normen en wettelijke verplichtingen. In veel sectoren is een penetratietest niet slechts een best practice, maar een expliciete eis.

Dit artikel bespreekt de eisen rondom penetratietesten binnen de meest relevante normen in de Nederlandse en Europese context. Voor compliance officers en security professionals is het cruciaal om te begrijpen welke normen van toepassing zijn en hoe penetratietesten strategisch kunnen worden ingezet om zowel de beveiliging als de compliance te versterken.

1. ISO 27001: structurele toetsing van de beveiliging

Wat zegt de norm? De internationale norm ISO/IEC 27001 beschrijft eisen voor een Information Security Management System (ISMS). Hoewel ISO 27001 niet expliciet voorschrijft dat penetratietesten verplicht zijn, wordt in Annex A, controlemaatregel A.12.6.1 (technische kwetsbaarheidsbeheer) aanbevolen om systemen periodiek te toetsen op kwetsbaarheden.

Praktische interpretatie: De interpretatie van deze maatregel in praktijk betekent vaak dat organisaties jaarlijks of bij significante wijzigingen een penetratietest uitvoeren. Certificerende instanties verwachten dat technische kwetsbaarhedentests, zoals pentests, onderdeel zijn van een risicogestuurde benadering.

Implementatie:

• Frequentie: Minimaal jaarlijks of bij significante systeemwijzigingen
• Type test: Het type test (black box, grey box, white box) hangt af van de risicobeoordeling
• Documentatie: Bevindingen en herstelacties moeten worden gedocumenteerd in het ISMS

2. NEN 7510: informatiebeveiliging in de zorg

Wat zegt de norm? Voor Nederlandse zorginstellingen is NEN 7510 de norm voor informatiebeveiliging. Deze norm is gebaseerd op ISO 27001, maar toegespitst op de zorgsector. In hoofdstuk 18 wordt expliciet verwezen naar de noodzaak om beveiligingsmaatregelen regelmatig te evalueren en te testen.

Specifieke eisen: De praktijkrichtlijn NEN 7510-2 gaat verder en noemt concreet het uitvoeren van penetratietesten en kwetsbaarhedenscans. Zorgorganisaties dienen bij voorkeur jaarlijks of bij ingrijpende wijzigingen in de IT-omgeving een pentest uit te voeren.

Waarom extra belangrijk in de zorg:

• Gevoelige data: Patiëntgegevens vereisen extra bescherming
• Continuïteit: Systemen moeten altijd beschikbaar blijven voor patiëntenzorg
• Type test: Een diepgaande test (bijvoorbeeld authenticated white-box test) is vaak vereist

3. PCI DSS: strikte eisen voor betaalkaartsystemen

Wat zegt de standaard? De Payment Card Industry Data Security Standard (PCI DSS) stelt strikte eisen aan organisaties die betaalkaartgegevens verwerken. Versie 4.0 van de standaard (in werking sinds 2024) heeft specifieke test-eisen:

Verplichte testing:

• Kwetsbaarhedenscans: Kwartaalbasis, door een geaccrediteerde Approved Scanning Vendor (ASV)
• Penetratietesten: Jaarlijks én na elke significante wijziging in het netwerk of de systemen
• Scope: Zowel interne als externe systemen, met nadruk op netwerken, applicaties en segmentatiecontroles

Specifieke vereisten: Er wordt onderscheid gemaakt tussen network-layer en application-layer testing. Het is verplicht dat de pentest wordt uitgevoerd door een onafhankelijke partij met aantoonbare ervaring.

4. AVG/GDPR: risicogebaseerde aanpak vereist bewijs van maatregelen

Wat zegt de verordening? De Algemene Verordening Gegevensbescherming (AVG/GDPR) schrijft geen specifieke beveiligingsmaatregelen voor, maar verlangt wel dat organisaties passende technische en organisatorische maatregelen treffen om persoonsgegevens te beveiligen (artikel 32).

Rol van penetratietesten: In deze context kunnen penetratietesten dienen als aantoonbaar bewijs dat een organisatie passende maatregelen neemt. Zeker bij de verwerking van bijzondere categorieën gegevens of grootschalige dataverwerking kan het uitblijven van pentests worden gezien als nalatig.

Praktische toepassing: De Autoriteit Persoonsgegevens (AP) heeft in diverse onderzoeken benadrukt dat organisaties hun beveiligingsmaatregelen aantoonbaar moeten evalueren en verbeteren. Penetratietesten zijn een concrete manier om dit aan te tonen.

5. Branche-specifieke eisen: zorg, overheid en financiële sector

Zorg

Naast NEN 7510 geldt in veel zorginstellingen ook de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz), die indirect de behoefte aan technische toetsing versterkt. Zorgverzekeraars en ziekenhuisgroepen eisen vaak pentests in het kader van audits of contractvoorwaarden.

Overheid

Overheidsinstellingen dienen te voldoen aan het BIO (Baseline Informatiebeveiliging Overheid). In de BIO is penetratietesten niet verplicht, maar kwetsbaarhedenscans en testactiviteiten zijn onderdeel van de beveiligingscyclus (maatregel BEV3.3). In de praktijk worden pentests vaak jaarlijks of projectmatig ingezet, vooral bij nieuwe digitale diensten.

Financiële sector

De Nederlandsche Bank (DNB) en de Europese Centrale Bank stellen via richtlijnen zoals EBA ICT Guidelines en DORA (Digital Operational Resilience Act) expliciete eisen aan security testing. DORA introduceert zelfs verplichte "Threat Led Penetration Testing" (TLPT) voor kritieke instellingen, vergelijkbaar met TIBER-NL. Hierbij worden red team-simulaties onder gecontroleerde omstandigheden uitgevoerd.

Praktische tips voor compliance officers

Om succesvol te voldoen aan de verschillende compliance-eisen rondom penetratietesten, zijn hier concrete aanbevelingen:

1. Structurele inbedding: Voeg penetratietesten structureel toe aan je risicobeheerproces. Maak het onderdeel van je jaarlijkse ISMS-cyclus of auditplanning.
2. Documentatie: Documenteer de scope, methode en bevindingen van elke pentest zorgvuldig. Dit is essentieel bij audits en toezicht.
3. Onafhankelijkheid: Zorg voor onafhankelijke testers met erkende certificeringen (bijv. OSCP, CEH, CREST).
4. Combinatie van testen: Combineer pentests met kwetsbaarhedenscans om zowel diepgang als breedte te bereiken.
5. Management betrokkenheid: Betrek management vroegtijdig bij de resultaten en borg opvolging van bevindingen met duidelijke acties.
6. Blijf actueel: Monitor ontwikkelingen in wet- en regelgeving, zoals DORA, en pas je teststrategie tijdig aan.

Conclusie

Penetratietesten zijn niet alleen een waardevol instrument om digitale weerbaarheid te verhogen, maar ook een noodzakelijke maatregel om te voldoen aan uiteenlopende compliance-eisen. Door deze testen structureel in te bedden binnen het informatiebeveiligingsbeleid en te koppelen aan risicomanagement, versterken organisaties hun positie tegenover auditors, toezichthouders en cyberdreigingen.

Voor compliance officers geldt: wees proactief, blijf actueel en kies voor kwaliteit. Een goed uitgevoerde penetratietest levert niet alleen compliance op, maar ook daadwerkelijke verbetering van je beveiligingsposture.

Heeft u vragen over compliance-eisen voor penetratietesten in uw sector? Neem contact op met Ctrl-Altpk voor advies op maat.