1 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Penetratietest bij due diligence: wat koper, verkoper en investeerder moeten testen voordat de overname sluit
Financiële, juridische en commerciële due diligence zijn standaard bij elke overname. Cyber due diligence is nog te vaak een vragenlijst. Een penetratietest vervangt de uitspraken van de doelonderneming over haar beveiliging door bewijs, binnen de twee tot drie weken die een bevestigende fase toelaat. Deze gids legt uit wie de test laat uitvoeren, waar hij in de tijdlijn van de deal past, wat realistisch te testen is en hoe u bevindingen vertaalt naar prijs, garanties en het 100-dagenplan.
Waarom een penetratietest in cyber due diligence hoort
Wie een bedrijf overneemt, neemt zijn systemen over, zijn data, zijn technische schuld en elke indringer die al binnen is. Technische due diligence dekt doorgaans architectuur, schaalbaarheid, licenties en afhankelijkheid van sleutelpersonen. Cyber due diligence, waar die al bestaat, rust vaak op een vragenlijst die door de IT-verantwoordelijke van de doelonderneming is ingevuld en een stapel beleidsdocumenten. Beide beschrijven intenties. Een penetratietest bij overname beschrijft de werkelijkheid: of het klantportaal vanaf internet kan worden overgenomen, of de cloudomgeving data lekt, of het interne netwerk valt na één gecompromitteerde laptop, en of er aanwijzingen zijn dat iemand dit al heeft gedaan.
De redenen waarom dit telt, zijn sinds 2018 harder geworden. Onder de AVG is een datalek dat na closing wordt ontdekt het datalek van de koper: binnen 72 uur te melden (artikel 33) en met een boete voor de koper (artikel 83). De overname van Starwood door Marriott is het schoolvoorbeeld: een inbraak die vóór de deal begon, werd twee jaar na closing ontdekt, en de Britse toezichthouder ICO legde de koper in 2020 een boete op. Bij de overname van Yahoo door Verizon leidden datalekken die tijdens het proces bekend werden tot een heronderhandelde prijs en gedeelde aansprakelijkheid. Onder NIS2 maakt artikel 20 het bestuur verantwoordelijk voor de risicobeheersmaatregelen van de entiteit die het nu bezit, en artikel 21(2)(d) breidt dat uit naar de toeleveringsketen die de doelonderneming meebrengt. Verzekeraars van garanties en vrijwaringen (W&I-verzekering) sluiten cyberschade steeds vaker uit als er geen technische due diligence is uitgevoerd.
Een penetratietest voor due diligence is daarom een andere opdracht dan een jaarlijkse compliancetest. Hij is korter, gerichter, wordt gelezen door juristen en investeringscomités in plaats van engineers, en de bevindingen worden uitgedrukt in dealtermen. De methode is dezelfde: een handmatige test door gecertificeerde testers volgens PTES en NIST SP 800-115. De scope, het publiek en de rapportage verschillen.
Drie invalshoeken: koper, verkoper en investeerder
Wie de test laat uitvoeren, bepaalt waarvoor hij dient, welke toegang er is en hoe het rapport wordt gebruikt.
Due diligence aan koperszijde
De koper bevestigt wat hij koopt voordat de prijs en de koopovereenkomst vastliggen. De test richt zich op de systemen die de dealthese dragen: het product, de klantdata, de cloudomgeving, de koppelingen. Bevindingen voeden de waardering, de garanties en vrijwaringen, de opschortende voorwaarden en het integratieplan. Toegang wordt via de verkoper onderhandeld en blijft vaak beperkt tot extern testen plus een afgebakend intern deel.
Vendor due diligence (verkoperszijde)
De verkoper laat vóór de start van het proces testen, zodat bevindingen zijn opgelost, of ten minste bekend en geprijsd, voordat een koper ze ontdekt. Een recent, onafhankelijk rapport met hertestbewijs in de dataroom haalt een onderhandelingsargument bij de koper weg en verkort de bevestigende fase. Verkopers die dit overslaan, geven de koper het verhaal over beveiliging in handen op het moment dat de prijs wordt besproken.
Investeerder en private equity
Een fonds test bij instap om de nulmeting en het 100-dagenplan te bepalen, over de portefeuille heen om bedrijven langs één maatstaf te vergelijken, voordat een bolt-on in een platformbedrijf wordt opgenomen, en vóór exit zodat het vendor-rapport schoon is. De test is ook governance-bewijs richting limited partners en verzekeraars dat cyberrisico op portefeuilleniveau wordt beheerst.
Timing: waar de test in de deal past
Een deal verloopt in fasen, elk met een ander toegangsniveau en een ander gebruik van de bevindingen. Plan de test op de fase, niet andersom.
1. Intentieverklaring en exclusiviteit
Zodra de intentieverklaring (LOI) is getekend en exclusiviteit is verleend, heeft de koper de positie om technische toegang te vragen. Kies nu de testpartij en stel de scope op, zodat de test op de eerste dag van de bevestigende due diligence begint in plaats van halverwege. Vóór de LOI is alleen passieve verkenning op openbare informatie passend, en ook die hoort met de juridisch adviseur te worden afgestemd.
2. Bevestigende due diligence
Het venster waarin de test loopt: meestal twee tot zes weken voor het hele onderzoek, waarvan de penetratietest twee tot drie weken inneemt. Toegang wordt door de doelonderneming verleend onder een driepartijenautorisatie (koper geeft opdracht, doelonderneming autoriseert, tester voert uit) met de geheimhoudingsovereenkomst uitgebreid tot de tester. Het testen wordt gepland rond de bedrijfsvoering en de medewerkers horen zo weinig als het proces toelaat.
3. Onderhandeling over de koopovereenkomst: garanties, vrijwaringen en disclosure
Bevindingen komen binnen terwijl de koopovereenkomst (SPA) wordt opgesteld. Bekende kwetsbaarheden die de verkoper in de disclosure letter meldt, vallen doorgaans buiten de algemene garanties, dus een rapport in de dataroom snijdt aan twee kanten: het informeert de koper en beschermt de verkoper. De adviseur van de koper zet materiële bevindingen om in specifieke vrijwaringen, herstelverplichtingen met deadlines, een opschortende voorwaarde bij een ernstige bevinding, of een inhouding tot de hertest schoon is.
4. Van ondertekening tot levering
Kritieke bevindingen worden door de verkoper hersteld volgens de afgesproken verplichtingen, en een hertest bevestigt dat. Waar fusiecontrole van toepassing is, blijft informatie-uitwisseling tussen partijen beperkt; de resultaten lopen via het clean team, niet naar operationele medewerkers aan beide kanten.
5. Het 100-dagenplan en de integratie
Na closing worden de resterende bevindingen de eerste securitywerkstroom van het integratieplan. Het risicovolste moment is de identiteitsintegratie: het koppelen van directories, single sign-on en netwerken maakt van een zwakte in het overgenomen bedrijf een zwakte bij de koper. Een volledige interne test van de gecombineerde omgeving hoort aan het einde van de 100 dagen.
Wat realistisch te testen is in twee tot drie weken
Een due diligence-test wordt gescopet op beslissingen, niet op volledigheid. Deze onderdelen worden gekozen omdat zij de deal bewegen, en de meeste kunnen parallel lopen.
| Onderdeel | Benodigde toegang | Indicatieve inspanning | Wat het dealteam ervan leert |
|---|---|---|---|
| Extern aanvalsoppervlak en perimetertest | Een lijst met domeinen en IP-reeksen; de tester ontdekt de rest | 3 tot 5 dagen | Wat een aanvaller vandaag ziet: blootgestelde diensten, vergeten systemen, uitgelekte inloggegevens, de waarschijnlijke route van buiten |
| Kernapplicatie (grey box) | Testaccounts in twee of drie rollen, een staging- of productieomgeving | 4 tot 6 dagen | Of het product dat de waardering draagt te compromitteren is, of klanten elkaars data kunnen zien, hoe volwassen de engineering is |
| Cloudconfiguratiereview | Alleen-lezen auditortoegang tot de belangrijkste cloudaccounts | 2 tot 4 dagen | Hygiëne van identiteit en toegang, blootstelling van opslag, logging, scheiding; een snelle graadmeter voor operationele volwassenheid |
| Intern netwerk en Active Directory, assumed breach | Een standaard gebruikersaccount en netwerktoegang, als de verkoper het toestaat | 3 tot 5 dagen | Hoe ver één gecompromitteerde laptop komt: domeinovername binnen uren is een ander bedrijf dan een dat het indamt |
| Review van compromitteringsindicatoren | Logs, endpointtelemetrie en identiteitsaudittrails | 2 tot 3 dagen | Of de doelonderneming al is binnengedrongen; de ene bevinding die een deal het meest verandert |
| Review van eerdere rapporten en herstelbewijs | De dataroom | 1 tot 2 dagen | Of eerdere bevindingen zijn opgelost of jaren zijn meegesleept, en of de testhistorie echt was |
Het rapport lezen voor dealimpact: CVSS is geen dealrisico
Een ernstscore vertelt engineers wat zij eerst moeten oplossen. Hij vertelt een investeringscomité niet wat de bevinding voor de transactie betekent. Vertaal elke materiële bevinding met vijf vragen.
1. Blootstelling en uitbuitbaarheid
Is de zwakte vanaf internet bereikbaar zonder inloggegevens, of is er een insider voor nodig? Een medium-bevinding op het publieke klantportaal weegt meestal zwaarder dan een kritieke op een geïsoleerde interne testserver. Het rapport moet het realistische aanvalspad beschrijven, niet alleen de score.
2. Data en toezichtrechtelijke gevolgen
Wat zit achter de bevinding: volumes persoonsgegevens, bijzondere categorieën, betaalgegevens, bedrijfsgeheimen, contractueel beloofde vertrouwelijkheid? Dat bepaalt de AVG-blootstelling onder artikel 33, 34 en 83, sectorverplichtingen zoals PCI DSS of DORA, en de contractuele aansprakelijkheden die de koper erft.
3. Losse bevinding of systematisch patroon
Eén injectiefout is een bug. Dezelfde klasse fouten in elke module, standaardwachtwoorden op infrastructuur en nergens logging is een cultuur. Het eerste is een regel in het herstelplan; het tweede is een engineeringprogramma en een vraag over het team dat u koopt.
4. Herstelinspanning tegenover de deal
Is het in dagen te verhelpen door het huidige team, of vergt het de herbouw van een platform op een niet meer ondersteund framework? Vraag de tester om de inspanning in woorden: patch, configuratiewijziging, herontwerp, vervanging. Die inspanning, niet de score, rechtvaardigt een prijsaanpassing, een specifieke vrijwaring of een inhouding.
5. Aanwijzingen van bestaande compromittering
Sporen van een actieve of eerdere inbraak verplaatsen het gesprek van kwetsbaarheid naar incident. Zij activeren meldplichten, vragen over juridisch privilege en een incident-response-opdracht, en kunnen een proces terecht pauzeren. Dit is de ene categorie waarbij de koper vóór ondertekening op een volledig onderzoek moet aandringen.
Rode vlaggen in cyber due diligence
Afzonderlijk is elk punt een vraag voor de managementpresentatie. Samen beschrijven zij een doelonderneming waarvan de beveiligingsclaims niet zonder test mogen worden vertrouwd.
- Geen penetratietest in de afgelopen 12 tot 18 maanden, of een test waarvan de scope het product dat de waardering draagt uitsloot
- Een rapport zonder hertestbewijs, of dezelfde bevindingen die jaar na jaar terugkeren
- Een rapport opgesteld door de eigen IT-leverancier of managed-servicepartner van de doelonderneming, die commercieel belang heeft bij een schoon resultaat
- Een geautomatiseerde kwetsbaarheidsscan die als penetratietest wordt gepresenteerd
- Beveiliging die van niemand in het bijzonder is: geen verantwoordelijke bij naam, geen eigen begrotingspost, geen rapportage aan het bestuur
- Gedeelde beheerdersaccounts, geen multifactorauthenticatie op externe toegang of cloudconsoles, niet meer ondersteunde systemen in productie
- Klantcontracten die certificeringen, testfrequenties of meldtermijnen beloven die de doelonderneming niet kan aantonen
- Een dataroom met beleid en certificaten, maar zonder logs, zonder incidentenregister en zonder bewijs dat maatregelen werken
Vertrouwelijkheid: dataroom, clean team, NDA en reliance
Een penetratietest levert het gevoeligste document in de dataroom op: een geverifieerde lijst van manieren om bij het bedrijf binnen te komen. De tester is rechtstreeks gebonden aan de geheimhoudingsovereenkomst van de deal, niet alleen via de koper. Het rapport staat in een afgeschermde map van de virtuele dataroom, voorzien van watermerk, met toegang beperkt tot het clean team: de dealverantwoordelijke, de advocaten, de security lead van de koper en de CISO of diens equivalent bij de doelonderneming. Operationele medewerkers aan beide kanten zien het pas na closing. Zijn partijen concurrenten, dan beperken de regels voor fusiecontrole welke commercieel gevoelige informatie vóór goedkeuring mag worden gedeeld, en de clean-teamstructuur houdt de test binnen die regels.
Over reliance: een rapport is gericht aan de partij die de opdracht gaf. Een koper die het rapport van de verkoper leest, mag er niet van uitgaan dat hij er juridisch op kan vertrouwen; vraag een reliance letter van de tester, of behandel het rapport als landkaart en voer de delen die ertoe doen opnieuw uit. Verkopers die een vendor-rapport laten maken, vragen vooraf of reliance kan worden uitgebreid naar een toekomstige koper. Ruw bewijs, inloggegevens die tijdens de test zijn waargenomen en exploitdetails blijven bij de tester en worden volgens een afgesproken schema vernietigd na afloop van het proces.
Garanties, vrijwaringen en de hertest na closing
De bevindingen landen op drie plekken in de koopovereenkomst. Algemene garanties verklaren dat de doelonderneming voldoet aan het gegevensbeschermingsrecht, geen beveiligingsincidenten heeft gehad en alle bekende kwetsbaarheden heeft gemeld; het rapport toetst of die verklaringen waar zijn voordat u erop vertrouwt. Specifieke vrijwaringen dekken de materiële bevindingen die de test wel heeft blootgelegd, zodat de kosten van een inbraak via een bekende zwakte voor een afgesproken periode bij de verkoper liggen. Verplichtingen en opschortende voorwaarden eisen herstel van kritieke bevindingen vóór closing, met een hertest als acceptatiecriterium. Ook W&I-verzekeraars lezen het rapport; een onafhankelijke test met hertestbewijs maakt vaak het verschil tussen cyber dat gedekt is en cyber dat is uitgesloten.
De hertest is even belangrijk als de test. Herstel dat tijdens een verkoopproces wordt geclaimd, is herstel onder tijdsdruk. Een verificatiehertest bevestigt dat elke kritieke en hoge bevinding is gesloten, dat de oplossing geen nieuwe zwakte heeft geïntroduceerd en dat de compenserende maatregelen uit de disclosure letter bestaan. Na de integratie van identiteit en netwerk is een volledige interne test van de gecombineerde omgeving de eerste securitymijlpaal die de koper zelf moet bezitten.
Hoe HackersHub dealteams ondersteunt
HackersHub voert al meer dan tien jaar offensief beveiligingswerk uit vanuit Amsterdam, voor kopers, verkopers en investeerders. Due diligence-opdrachten worden geleid door Michael van Mameren en bemand door testers die allen minimaal OSCP hebben, met OSWE- en CREST-gecertificeerde leden in het team. Wij scopen op de deal: extern aanvalsoppervlak, kernapplicatie, cloudomgeving en, waar toegang wordt verleend, het interne netwerk, parallel binnen het bevestigende venster, onder de NDA van de deal en binnen de clean-teamstructuur die uw adviseurs bepalen. Wilt u na closing de gecombineerde omgeving laten toetsen, dan kunt u die penetratietest laten uitvoeren als vervolg op dezelfde scope.
Het rapport is geschreven voor twee lezers. Het investeringscomité ontvangt een managementsamenvatting die elke materiële bevinding uitdrukt in blootstelling, datagevolg, herstelinspanning en aanbevolen dealmechanisme. Engineers ontvangen de CVSS-gescoorde bevindingen met bewijs, het aanvalsverslag en geprioriteerd herstel. Een verificatiehertest van bevindingen vanaf medium binnen 90 dagen is inbegrepen, wat doorgaans de periode van signing tot closing dekt. Onze klanten beoordelen ons met 4,9/5 over 127 reviews.
Veelgestelde vragen
Gerelateerde gidsen en diensten
Over enkele weken tekenen en nog altijd vertrouwen op een vragenlijst?
Wij scopen een due diligence-penetratietest op het bevestigende venster, rapporteren in dealtermen voor het investeringscomité en in detail voor de engineers, en nemen de hertest vóór closing mee. Praat met een expert.