Zijn Amerikaanse banken verplicht een pentest te laten uitvoeren?

In de praktijk wel. De Interagency Guidelines, het FFIEC-handboek en de NCUA-regels verwachten dat banken en credit unions kernmaatregelen onafhankelijk en regelmatig testen, en examiners lezen dat als minimaal een jaarlijkse penetratietest van internet-facing en betaalsystemen. Niet-bancaire instellingen onder de FTC Safeguards Rule en vergunninghouders in New York onder 23 NYCRR 500.5 hebben een expliciete jaarlijkse verplichting.

Hoe vaak moet een bank een penetratietest uitvoeren?

Minimaal jaarlijks voor systemen die geld verplaatsen of klantgegevens bewaren, en opnieuw na een materiële wijziging zoals een kernconversie, een nieuw platform voor digitaal bankieren of een fusie. Systemen in lagere tiers kunnen in een tweejaarlijkse cyclus roteren als de risicobeoordeling dat ondersteunt.

Wat is het verschil tussen een bankpentest en een kwetsbaarheidsscan?

Een kwetsbaarheidsscan is geautomatiseerd en somt bekende zwakheden op; een penetratietest is een handmatige, doelgerichte poging om klantgegevens of betaalfuncties te bereiken door zwakheden aaneen te rijgen. Examiners en de FTC Safeguards Rule behandelen ze als afzonderlijke verplichtingen: scans elk half jaar, een penetratietest elk jaar.

Telt de penetratietest van onze kernprocessor voor ons mee?

Alleen voor de omgeving van de processor. Uw kant van de koppeling, de beheertoegang, de bestandsoverdrachten, uw configuratie van digitaal bankieren en uw interne netwerk blijven uw eigen verantwoordelijkheid. Examiners verwachten het SOC-rapport van de processor én uw eigen test van wat u beheert.

Wat moet een credit union testen als zij op een gedeelde kern draait?

Haar koppelingen met de kern, haar beheer- en serviceaccounts, haar platformen voor digitaal bankieren en kaarten, haar identiteitslaag in Microsoft 365 en Active Directory, haar kantoor- en externe toegang, en de toegang van haar managed service provider. De NCUA ISE verwacht voor elk daarvan bewijs, en 748.1(c) vereist melding binnen 72 uur als een ervan faalt.

Dekt één penetratietest GLBA, NYDFS Part 500, PCI DSS en SWIFT CSP?

Ja, als de scopeverklaring elk regime benoemt en de systemen omvat waar elk regime om geeft: de cardholder data environment voor PCI DSS, de secure zone voor SWIFT, zowel interne als externe componenten voor Part 500. Wij schrijven het rapport zo dat elk team zijn eigen deel kan archiveren.

2 november 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)

Pentest voor Banken en Credit Unions: Wat Examiners Verwachten, Wat U Test en Hoe U de Scope Bepaalt

Een pentest voor een bank wordt twee keer beoordeeld: door de aanvaller die hij nabootst en door de examiner die het rapport leest. Deze gids legt uit wat Amerikaanse bank- en credit-union-toezichthouders van een testprogramma verwachten, waar het geld in een moderne instelling beweegt, en hoe u een test scopet en rapporteert die beide lezers overtuigt.

Plan een pentest voor uw bank

Wat een pentest voor banken anders maakt

Een pentest voor een bank is een onafhankelijke, op de toezichthouder gerichte beveiligingstest van de systemen die klantgegevens bewaren of klantgeld verplaatsen: online en mobiel bankieren, betaalinitiatie, koppelingen met het kernbanksysteem, het interne netwerk en het identiteitsplatform, en de verbindingen met processors, fintechpartners en betaalnetwerken. Hij verschilt op vier punten van een reguliere penetratietest. De scope is verankerd in de eigen risicobeoordeling van de instelling en niet in een lijst IP-adressen. De tester moet aantoonbaar onafhankelijk zijn van wie de systemen beheert. Het rapport wordt gelezen door een bestuurscommissie en een federale of statelijke examiner, niet alleen door IT. En elke bevinding wordt tot herstel gevolgd en hertest, omdat de examiner eerst vraagt wat er met de bevindingen van vorig jaar is gebeurd.

De doelgroep is breder dan de grootbanken. Community banks en regionale banken, spaarbanken, credit unions, trustmaatschappijen en de Amerikaanse dochters van buitenlandse bankgroepen staan voor dezelfde verwachting: onafhankelijk testen van de maatregelen rond klantgegevens, minimaal jaarlijks, vanaf het internet en van binnenuit. Credit unions dragen die onder hun eigen toezichthouder, de National Credit Union Administration (NCUA); de praktische verschillen voor hen komen hieronder aan bod.

Twee regelingen hebben op deze site een eigen gids omdat zij expliciete testbepalingen bevatten: de Gramm-Leach-Bliley Act (GLBA) met het FFIEC-examenkader, en 23 NYCRR Part 500 van de staat New York. Deze pagina herhaalt die niet. Zij geeft u het hele kader in één tabel en concentreert zich daarna op wat de regelgeving aan het oordeel overlaat: scope, diepte, frequentie en het rapport.

Het Amerikaanse financiële toezichtkader in één tabel

De meeste instellingen vallen tegelijk onder drie tot vijf van deze regimes. Eén goed gescopet jaarprogramma bedient ze alle, mits de scopeverklaring elk regime benoemt dat de test moet dekken.

Regime	Voor wie	Wat het over testen zegt	Hoe een pentest het bedient
GLBA Interagency Guidelines (OCC, FDIC, Federal Reserve)	Banken, spaarbanken, holdings	Regelmatig testen van kernmaatregelen door onafhankelijke partijen of onafhankelijke medewerkers	Jaarlijkse externe en interne test van de systemen uit de risicobeoordeling, gerapporteerd aan het bestuur
FTC Safeguards Rule, 16 CFR Part 314	Niet-bancaire kredietverstrekkers, bemiddelaars, servicers, autodealers met financiering	Jaarlijkse penetratietest en halfjaarlijkse kwetsbaarheidsbeoordelingen (314.4(d)(2))	Een gedateerde jaartest plus halfjaarlijkse scans voor het bestuursrapport van de Qualified Individual
FFIEC IT Examination Handbook	Elke federaal gesuperviseerde bank en credit union	De Information Security booklet verwacht onafhankelijke penetratietesten van internet-facing systemen, geschaald naar risico	Scope, onafhankelijkheid en herstel gedocumenteerd in de vorm waar examiners naar zoeken
NCUA-regels, 12 CFR Part 748, en de Information Security Examination (ISE)	Federaal verzekerde credit unions	Beveiligingsprogramma volgens Appendix A met regelmatig testen; ISE-procedures sinds 2023; incidentmelding binnen 72 uur sinds september 2023	Testbewijs gekoppeld aan de ISE-stellingen, inclusief leveranciers- en gedeelde-kernkoppelingen
NYDFS 23 NYCRR Part 500	Banken, verzekeraars, geldtransactiekantoren en crypto-vergunninghouders in New York	Jaarlijkse penetratietest van binnen en van buiten door een gekwalificeerde onafhankelijke partij (500.5)	Eén opdracht met beide componenten en een scopeverklaring die de sectie citeert
PCI DSS v4.0.1	Kaartuitgevers, acquirers, iedereen die kaartgegevens opslaat of verwerkt	Requirement 11.4: interne en externe testen jaarlijks en na significante wijziging, plus segmentatietesten	Cardholder data environment in scope, segmentatie getest, exploiteerbare bevindingen hertest
Sarbanes-Oxley Section 404 (ITGC)	Beursgenoteerde banken en holdings	Effectieve IT general controls over verslaggevingssystemen, getoetst door de externe accountant	Bevindingen over toegang en wijzigingsbeheer op verslaggevingssystemen worden ITGC-tekortkomingen
Federal Reserve FedLine security and resiliency assurance	Instellingen met FedLine-toegang	Jaarlijkse zelfbeoordeling en attestatie door senior management tegen de FedLine-beveiligingseisen	Testen van de FedLine-toegangsomgeving vanuit een assumed-breach-positie ondersteunt de attestatie

Welke regels de test benoemen, en waar deze site ze uitdiept

GLBA zelf noemt geen test. Section 501(b) droeg de toezichthouders op beveiligingsnormen te schrijven, en zij produceerden twee sporen: de voorschrijvende FTC Safeguards Rule voor niet-bancaire instellingen, die sinds juni 2023 een jaarlijkse penetratietest en halfjaarlijkse kwetsbaarheidsbeoordelingen vereist, en de principegebaseerde Interagency Guidelines voor banken, getoetst aan het FFIEC IT Examination Handbook. De Cybersecurity Assessment Tool van de FFIEC is op 31 augustus 2025 ingetrokken zonder dat de verwachting van onafhankelijk, naar risico geschaald testen veranderde. Onze GLBA- en FFIEC-gids, hieronder gelinkt, behandelt beide sporen en de NCUA-equivalenten in detail.

Part 500 van New York is de meest expliciete Amerikaanse regel voor een bankpentest. Sinds de Second Amendment vereist sectie 500.5 dat onder toezicht staande entiteiten hun informatiesystemen minimaal jaarlijks van binnen en van buiten de grens laten testen door een gekwalificeerde interne of externe partij die onafhankelijk is van de geteste systemen, waarbij de resultaten de risicobeoordeling en de jaarlijkse certificering van de CISO voeden. Banken met een charter of vergunning in New York, en groepen van buiten de staat met een in New York vergunde entiteit, voldoen eraan naast hun federale verplichtingen. Onze NYDFS-gids behandelt de sectie en de aanvullende plichten voor Class A-ondernemingen.

Wat examiners van een pentestprogramma verwachten

Examiners betwisten zelden dat er een test is geweest. Zij betwisten of het de juiste test was. Dit zijn de zes punten die een IT-examen toetst, ontleend aan het FFIEC-handboek, de NCUA ISE en toezichtbrieven.

1. Scope gekoppeld aan de risicobeoordeling

De scopeverklaring benoemt de systemen die de eigen risicobeoordeling als high-impact aanmerkt en verklaart elke uitsluiting. Een test die de marketingwebsite dekt maar niet online bankieren of de wire-flow, wordt als een hiaat gelezen.

2. Frequentie geschaald naar risico en verandering

Jaarlijks is de ondergrens voor internet-facing en betaalsystemen. Een kernconversie, een nieuwe leverancier voor digitaal bankieren of een fusie zet de klok terug. Examiners vragen wat er na de wijziging is getest, niet of de jaartest op schema lag.

3. Onafhankelijke, gekwalificeerde testers bij naam

De tester moet organisatorisch onafhankelijk zijn van de teams die de systemen bouwen en beheren; voor de meeste community-instellingen betekent dat een extern bureau. Certificeringen (OSCP, OSWE, CREST), de methodiek (PTES, OWASP WSTG, NIST SP 800-115) en de namen van de testers horen in het rapport. Een geautomatiseerde scan die als penetratietest wordt gepresenteerd, is een terugkerende examenbevinding.

4. Zowel het externe als het interne perspectief

Een externe test meet de perimeter. Een interne assumed-breach-test vanaf een standaardwerkplek meet wat een gephishte baliemedewerker of een gecompromitteerde leveranciersverbinding kan bereiken. Examiners, en Part 500 expliciet, verwachten beide.

5. Herstelopvolging, hertestbewijs en bestuursrapportage

Elke bevinding heeft een eigenaar, een risicogebaseerde deadline en sluitingsbewijs nodig; een hertestbrief sluit de cirkel. Resultaten bereiken het bestuur of de risicocommissie in een vorm waarop bestuurders kunnen handelen: wat is getest, wat is gevonden, wat staat nog open en waarom.

6. Dekking van leveranciers, processors en partners

De omgeving van de kernprocessor wordt gedekt door zijn eigen SOC-rapporten, maar de eigen kant van elke koppeling, de inloggegevens, de bestandsoverdrachten en de fintech- of banking-as-a-service-verbindingen moet de instelling zelf testen. Examiners vragen hier sinds de handhavingsmaatregelen tegen sponsorbanken in 2024 en 2025 expliciet naar.

Het aanvalsoppervlak van digitaal bankieren

Waar klantgeld en klantgegevens in een moderne instelling blootstaan, en waar een test van elk oppervlak naar zoekt. Beschreven op maatregelniveau; de technieken horen in de opdracht, niet op een webpagina.

Online en mobiel bankieren

Registratie- en herstelflows, paden naar accountovername, MFA conform de FFIEC-authenticatierichtlijn van 2021, sessiebeheer, transactieautorisatie, rechten en subgebruikersbeheer in zakelijk bankieren, en de API's achter de mobiele apps.

Open-banking-API's en aggregators

Toestemmings- en tokenafhandeling voor aggregatortoegang, FDX-conforme API's waar aangeboden, rate limiting en dataminimalisatie, en wat een gecompromitteerd aggregatorcredential kan ophalen. De Section 1033-regel van de CFPB, vastgesteld in oktober 2024 en in 2025 heropend voor heroverweging, houdt dit oppervlak in beeld, welke vorm hij uiteindelijk ook krijgt.

ACH, wire en realtime betalingen

Initiatieflows voor ACH, wire, RTP en FedNow, afdwinging van het vier-ogen-principe en terugbelverificatie, de werkplekken en accounts die betalingen kunnen initiëren of goedkeuren, limieten en positive pay, en de bestandsoverdrachtpaden naar de processor en de Federal Reserve. Hier wordt een bevinding binnen uren een verliespost.

Geldautomaten, kantoren en balienetwerken

Segmentatie tussen kantoor-, geldautomaat- en backofficenetwerken, hardening van baliewerkplekken, beheerinterfaces van geldautomaten, netwerkpoorten in publieke ruimten, en of een compromittering van een kantoor de kern of de betaalomgeving kan bereiken.

Koppelingen met kernprocessor en leveranciers

De eigen kant van de verbinding met het kernbanksysteem: serviceaccounts, bestandsoverdrachten, batchverwerking, beheerconsoles en de bevoorrechte gebruikers die ze beheren. Gedeelde en gehoste kernen verplaatsen de omgeving, maar niet de verantwoordelijkheid voor de koppeling.

Microsoft 365, Active Directory en identiteit

Conditional access en MFA-dekking voor elk account, inclusief service- en noodaccounts, lidmaatschap van bevoorrechte groepen, legacy-authenticatie, hybride identiteitssynchronisatie, en het pad van één gephishte mailbox naar de sessie van een betaalgoedkeurder.

Credit unions: gedeelde kernen, CUSO's en kleine teams

Credit unions dragen dezelfde testverwachting als banken onder de NCUA-regels in 12 CFR Part 748, waarvan Appendix A een beveiligingsprogramma met regelmatig testen van kernmaatregelen vereist, en waarvan sectie 748.1(c) sinds 1 september 2023 melding van een meldingsplichtig cyberincident aan de NCUA binnen 72 uur voorschrijft. De Information Security Examination-procedures van de NCUA, ingevoerd in 2023 en geschaald naar balansomvang, zijn het werkdocument van de examiner; de vrijwillige Automated Cybersecurity Evaluation Toolbox is een zelfbeoordeling, geen vervanging van een test. De brief met toezichtprioriteiten voor 2026 noemt cybersecurity opnieuw als een van de grootste risico's.

Drie structurele kenmerken veranderen hoe een credit union een test scopet. De meeste draaien op een gedeelde of gehoste kern, zodat de test zich richt op de eigen koppelingen, beheertoegang en datastromen in plaats van op de kern zelf. Credit union service organisations (CUSO's) leveren vaak digitaal bankieren, kredietverlening of kaartdiensten voor meerdere instellingen tegelijk, waardoor de CUSO-verbinding een gedeeld aanvalspad is dat elke instelling toch van haar eigen kant moet beoordelen. En interne teams zijn klein en vaak ondersteund door een managed service provider, zodat de test de externe toegang en bevoorrechte accounts van die provider moet omvatten en het rapport de provider het herstel moet laten uitvoeren en het bestuur het laten verifiëren.

Scope bepalen per asset-tier

Scopen per tier houdt de vraag van de examiner ('heeft u getest wat ertoe doet?') en de budgetvraag ('hoeveel dagen?') in hetzelfde gesprek. De tiers volgen de risicobeoordeling van de instelling; deze voorbeelden zijn gangbaar.

Tier 1: systemen die geld verplaatsen

Online en mobiel bankieren, wire- en ACH-initiatie, realtime-betaalverbindingen, treasuryportalen, FedLine- en SWIFT-toegangsomgevingen, kaartbeheer. Minimaal jaarlijks getest en na elke materiële wijziging, vanaf het internet en vanuit een assumed-breach-positie, met het detectieverslag erbij.

Tier 2: systemen met klantgegevens en identiteit

Kernkoppelingen, kredietaanvraag, document- en imagingsystemen, CRM, Microsoft 365 en Active Directory, datawarehouses. Jaarlijkse interne beoordeling gericht op toegangsbeheer, rechten en gegevensblootstelling; het identiteitsplatform wordt elk jaar getest omdat alles ervan afhangt.

Tier 3: kantoor-, geldautomaat- en bedrijfsnetwerken

Segmentatie, kantoorconnectiviteit, balie- en geldautomaatnetwerken, draadloos, externe toegang, endpoint-hardening. Getest in een roterende of tweejaarlijkse cyclus, tenzij de risicobeoordeling of een incident een onderdeel een tier omhoog brengt.

Tier 4: leveranciers, processors en partners

De eigen kant van elke verbinding met derden, de betrokken inloggegevens en bestandsoverdrachten, en wat een gecompromitteerde partner kan bereiken. Jaarlijks beoordeeld naast het leveranciersbeheer, waarbij de testrapporten van de partner op scope en actualiteit worden gelezen in plaats van op vertrouwen aangenomen.

Wat een pentestrapport op bankniveau bevat

Het rapport is wat de examiner, de accountant en het bestuur daadwerkelijk zien. Met deze onderdelen bedient één document alle drie zonder herwerk.

Een scopeverklaring die elk getest systeem koppelt aan de risicobeoordeling en aan de regimes die de test moet dekken (GLBA, Part 500, PCI DSS, SWIFT CSP), met verklaarde uitsluitingen
Gevolgde methodiek en standaarden (PTES, OWASP WSTG en MASTG, NIST SP 800-115), het testvenster en de spelregels
Gecertificeerde testers bij naam en een verklaring van hun onafhankelijkheid van de geteste systemen
Een managementsamenvatting voor bestuurders: wat is getest, wat een aanvaller had kunnen doen, wat openstaat, de prioriteiten
Bevindingen met CVSS v4-scores en, afzonderlijk, de bedrijfsimpact in banktermen (geld in gevaar, blootgestelde dossiers, toezichtrisico), elk met reproduceerbaar bewijs
Een aanvalsverhaal dat laat zien hoe bevindingen zich aaneenrijgen van de perimeter of een gephishte werkplek naar betaal- of klantgegevens, en een detectieverslag van wat de monitoring zag en miste
Een geprioriteerd herstelplan met eigenaren en deadlines, een hertestbrief zodra exploiteerbare bevindingen zijn gesloten, en een bijlage met systemen buiten scope en de reden

Hoe HackersHub banken en credit unions test

Wij scopen elke opdracht op de risicobeoordeling en asset-tiers van de instelling en testen in twee bewegingen: een externe component tegen de perimeter, de digitale bankierplatformen en hun API's, en een assumed-breach-component vanaf een standaardwerkplek om te meten wat een gecompromitteerde medewerker of leveranciersverbinding kan bereiken in het identiteitsplatform, de kernkoppelingen en de betaalflows. Het detectieverslag maakt deel uit van de oplevering. Testers hebben minimaal OSCP, met OSWE- en CREST-gecertificeerde testers in het team, en worden in het rapport bij naam genoemd. De methodiek volgt PTES, OWASP WSTG en MASTG en NIST SP 800-115, en elke bevinding citeert het regime dat zij raakt, zodat compliance, audit en bestuur het elk kunnen archiveren.

HackersHub is gevestigd in Amsterdam. Amerikaanse instellingen worden op afstand getest binnen afgesproken vensters en Amerikaanse kantooruren, met dagen op locatie voor kantoor-, geldautomaat- en intern netwerkwerk waar de scope dat vraagt. Een verificatiehertest van bevindingen vanaf medium binnen 90 dagen is inbegrepen; dat is het bewijs waar de examiner bij de volgende cyclus naar vraagt. Voor Nederlandse banken en betaalinstellingen onder DNB-toezicht geldt dezelfde aanpak binnen het DORA-testprogramma van artikel 24 en 25, en voor Europese groepen met een Amerikaanse dochter stemmen wij het Amerikaanse examenjaar en het DORA-jaar op elkaar af zodat één test beide bedient; onze DORA-gids, hieronder gelinkt, behandelt artikel 24 tot 27 en TLPT in detail. Met 10+ jaar offensieve beveiliging en een waardering van 4,9/5 over 127 reviews zijn wij gewend dat rapporten door toezichthouders én engineers worden gelezen.

Veelgestelde vragen

Gerelateerde gidsen

Bereidt u zich voor op uw volgende IT-examen?

Wij scopen op uw risicobeoordeling, testen van buiten en van binnen, en leveren een rapport dat uw examiner, accountant en bestuur elk zonder vertaling kunnen lezen. Praat met een expert.

Plan een pentest voor uw bank Praat met een expert