1 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Pentest keurmerk, certificeringen en methodieken: wat elk bewijst, hoe u een claim controleert en hoe zwaar u het laat wegen
De OSCP van een tester, het lidmaatschap van een bureau bij CREST en een methodiek als PTES zijn drie verschillende soorten bewijs. Inkopers behandelen ze geregeld als één ding. Deze gids trekt de drie lagen uit elkaar, legt uit wat elke laag werkelijk aantoont en laat zien hoe u een claim binnen vijf minuten controleert.
Drie lagen bewijs, en waarom ze door elkaar lopen
Wanneer een inkoopafdeling vraagt of een pentestbureau 'gecertificeerd' is, zitten er drie vragen in één verpakt. Is de persoon die onze systemen gaat testen gecertificeerd, en waarin? Is het bedrijf geaccrediteerd of getoetst door een onafhankelijke instantie? Volgt het werk een erkende methodiek? Elke laag wordt door andere organisaties bevestigd, in andere registers gecontroleerd en bewijst iets anders. Een bureau kan een keurmerk op bedrijfsniveau dragen en uw opdracht toch bemensen met een junior die nog nooit een praktijkexamen heeft gehaald. Een methodieknaam in een offerte bewijst niets, tenzij het rapport laat zien dat zij is gevolgd.
Deze gids behandelt de drie lagen om de beurt: wat elk bewijs werkelijk toetst, hoe lang het geldig blijft, waar u het verifieert en wat het onbewezen laat, met tot slot vier inkoopregels. Kiest u op dit moment een leverancier, lees dit dan naast onze gids over het kiezen van een pentestbedrijf, die referenties, verzekering, rapportage en hertest behandelt.
Laag 1: certificeringen van de individuele pentester
Deze zeggen iets over een persoon, niet over een bedrijf. De certificeringen die in 2026 gewicht hebben, delen één kenmerk: een praktijkexamen tegen live systemen, geen meerkeuzetoets.
OSCP (OffSec Certified Professional)
De feitelijke basisnorm voor professionele pentesters: een praktijkexamen van 24 uur waarin meerdere machines worden gecompromitteerd, waaronder een Active Directory-omgeving, gevolgd door 24 uur om een rapport te schrijven. OffSec geeft verifieerbare digitale badges uit. Sinds eind 2024 kent OffSec ook OSCP+, dat na drie jaar verloopt tenzij het wordt verlengd; de oorspronkelijke OSCP verloopt niet.
OSWE (OffSec Web Expert)
Geavanceerde exploitatie van webapplicaties met toegang tot de broncode: kwetsbaarheden vinden en aan elkaar koppelen in white-box-applicaties en een werkende exploit schrijven, in een examen van 48 uur. De relevante certificering wanneer de scope een complex webplatform of een API is in plaats van infrastructuur.
OSEP en OSCE3
OSEP (OffSec Experienced Penetration Tester) behandelt het omzeilen van moderne verdediging en laterale beweging in gehardende bedrijfsnetwerken, in een praktijkexamen van 48 uur. OSCE3 is geen examen maar een aanduiding voor wie OSWE, OSEP en OSED (exploitontwikkeling) alle drie heeft behaald: een tester die web, enterprise en binaire exploitatie beheerst.
GPEN en GXPN (GIAC)
GIAC Penetration Tester (GPEN) en GIAC Exploit Researcher and Advanced Penetration Tester (GXPN) horen bij SANS-opleidingen. Examens onder toezicht en met open boek, met praktische CyberLive-onderdelen, elke vier jaar te verlengen. Sterk in methodiek en rapportagediscipline; gangbaar in Amerikaanse overheids- en gereguleerde omgevingen.
CRTO (Certified Red Team Operator)
Uitgegeven door Zero-Point Security toetst CRTO command-and-control-vakmanschap, aanvalspaden in Active Directory en het ontwijken van detectie in een labexamen van 48 uur. Een red-team-certificering, geen pentestcertificering: relevant wanneer u adversary simulation of assumed-breach-werk inkoopt.
CREST CRT en CCT
CREST Registered Penetration Tester (CRT) is het praktijkniveau met een praktisch examen; CREST Certified Tester (CCT) in Infrastructure of Application is het seniorniveau, met een zware praktijktoets en een schriftelijk onderdeel. Persoonsgebonden, elke drie jaar te verlengen, via CREST te verifiëren. Veel geëist in Britse overheids- en financiële aanbestedingen en steeds vaker genoemd in Europese tenders.
eJPT en eCPPT
De eLearnSecurity Junior Penetration Tester (eJPT) en Certified Professional Penetration Tester (eCPPT) van INE Security zijn praktische certificeringen op instap- en middenniveau. Goede signalen voor een junior in het team, niet voldoende als hoofdcertificering op een enterprise-opdracht.
CEH (Certified Ethical Hacker)
De CEH van EC-Council is de meest bekende naam, en daarom staat hij in vacatures en aanbestedingen. Het kernexamen is meerkeuze; er bestaat een aparte CEH Practical, maar die wordt minder vaak behaald. CEH toont woordenschat en breedte aan, geen exploitatievaardigheid. Zie het als een ondergrens, niet als bewijs dat iemand uw test kan uitvoeren.
Laag 2: keurmerken en accreditaties op bedrijfsniveau
Deze zeggen iets over de organisatie: processen, screening, verzekering, methodiek en kwaliteitsborging. Zij zeggen niets over wie er achter het toetsenbord zit.
CREST-lidmaatschap van het bedrijf
CREST is een internationale accreditatie-instelling zonder winstoogmerk voor de technische beveiligingssector. Lidbedrijven laten hun beleid, processen en procedures toetsen (methodiek, gegevensverwerking, screening van personeel, verzekering, klachtenafhandeling) en ondertekenen een gedragscode. Accreditatie wordt per dienst en per regio verleend, jaarlijks verlengd en opgenomen in het openbare CREST-register. Lidmaatschap bewijst dat de processen van het bureau zijn getoetst; of uw testers persoonlijk CREST-gecertificeerd zijn, is een aparte vraag.
Keurmerk Pentesten (Nederland)
Het Keurmerk Pentesten is een Nederlands pentest keurmerk voor aanbieders van penetratietesten, beheerd door het Centrum voor Criminaliteitspreventie en Veiligheid (CCV) en ontwikkeld samen met de brancheorganisatie Cyberveilig Nederland. Het stelt eisen aan het proces van de aanbieder (intake, scoping, schriftelijke toestemming, rapportage), aan de kwalificaties en screening van de pentesters, aan vertrouwelijkheid en gegevensverwerking en aan klachten- en incidentprocedures. De naleving wordt getoetst door een onafhankelijke certificatie-instelling die onder de regeling werkt, met periodieke hertoetsing, en gecertificeerde aanbieders staan in een openbaar register op de website van het CCV. Zoals elk keurmerk op bedrijfsniveau zegt het iets over minimumnormen: het rangschikt gecertificeerde aanbieders niet onderling, en een gecertificeerd bedrijf moet nog altijd gekwalificeerde mensen bij naam op uw opdracht zetten.
ISO/IEC 27001-certificering van de aanbieder
Een pentestbureau dat zelf ISO/IEC 27001-gecertificeerd is, heeft een geauditeerd managementsysteem voor informatiebeveiliging dat regelt hoe het met uw scopedocumenten, inloggegevens, bevindingen en rapporten omgaat: een deel van de gevoeligste gegevens die u ooit met een leverancier deelt. Controleer de scopeverklaring op het certificaat; een certificaat dat alleen de kantoor-IT dekt, zegt weinig over de testpraktijk. Controleer ook of de certificatie-instelling geaccrediteerd is (in Nederland door de Raad voor Accreditatie).
DORA artikel 27 en de TIBER-EU-eisen aan testers
Voor threat-led penetration testing (TLPT) onder DORA eist artikel 27 testers van de hoogste geschiktheid en betrouwbaarheid, met expertise in threat intelligence, penetratietesten en red teaming, gecertificeerd door een accreditatie-instantie of gebonden aan formele gedragscodes, met onafhankelijke assurance over hun eigen risicobeheer en met een beroepsaansprakelijkheidsverzekering. De TIBER-EU-inkooprichtlijnen vertalen dat naar minimumervaring, referentieopdrachten en gecertificeerd personeel. Het geldt alleen voor financiële entiteiten die voor TLPT zijn aangewezen.
Laag 3: methodiekstandaarden
Een methodiek is geen certificering. Niemand is 'PTES-gecertificeerd'. Maar een aanbieder die de standaard benoemt die hij volgt, en wiens rapport de fasen laat zien, geeft u een manier om volledigheid te toetsen in plaats van erop te vertrouwen.
| Standaard | Beheerd door | Wat zij dekt | Waar u in het rapport op let |
|---|---|---|---|
| PTES (Penetration Testing Execution Standard) | Community-beheerd, met technische richtlijnen | Zeven fasen: pre-engagement, informatieverzameling, threat modelling, kwetsbaarheidsanalyse, exploitatie, post-exploitatie, rapportage | Elke fase zichtbaar: schriftelijke scope, dreigingsmodel, exploitatiebewijs, impact na exploitatie |
| OWASP WSTG v4.2 (Web Security Testing Guide) | OWASP Foundation | Ruim 100 testgevallen voor webapplicaties: authenticatie, sessiebeheer, autorisatie, invoervalidatie, bedrijfslogica, client-side, API | Testgeval-identificaties (in de stijl WSTG-ATHN-03) per bevinding, of een dekkingsbijlage met de geteste gevallen |
| OWASP MASVS v2 en MASTG | OWASP Foundation | De Mobile Application Security Verification Standard en de bijbehorende testgids, voor iOS en Android: opslag, cryptografie, netwerk, platforminteractie, weerbaarheid | Gedekte MASVS-controlegroepen, platformspecifieke tests, backend-API expliciet binnen of buiten scope |
| NIST SP 800-115 | Amerikaans National Institute of Standards and Technology (2008) | Technische gids voor beveiligingstesten: fasen planning, discovery, aanval en rapportage, met nadruk op rules of engagement | Een rules-of-engagement-document, discoveryresultaten, bewijs uit de aanvalsfase; de gangbare referentie in Amerikaanse overheids- en FedRAMP-opdrachten |
| OSSTMM v3 | ISECOM (2010) | Open Source Security Testing Methodology Manual: een op metrieken gebaseerde methode over menselijke, fysieke, draadloze, telecom- en datanetwerkkanalen | Minder gangbaar in commercieel werk in 2026; relevant waar een kwantitatieve aanvalsoppervlakmetriek of fysieke en menselijke kanalen in scope zijn |
Hoe u een certificerings- of keurmerkclaim controleert
Elk bewijs op deze pagina is binnen enkele minuten te verifiëren. Een aanbieder die de verificatielink niet kan aanleveren, is hem kwijt of heeft hem nooit gehad.
- OffSec (OSCP, OSWE, OSEP, OSCE3): vraag om de link naar de digitale badge, die naam, certificering en uitgiftedatum van de houder toont. Een pdf-certificaat alleen is geen verificatie.
- CREST-personen: CREST biedt een online verificatiedienst voor gecertificeerde professionals; vraag om het certificaatnummer. CREST-bedrijven: het openbare ledenregister toont per bedrijf de geaccrediteerde diensten en de regio.
- Keurmerk Pentesten: het register van gecertificeerde aanbieders staat op de website van het CCV; controleer daar de bedrijfsnaam en de geldigheidsperiode, niet een logo in een offerte.
- GIAC: houders staan in de openbare GIAC-directory van gecertificeerde professionals; vraag om het analistnummer.
- ISO/IEC 27001 van de aanbieder: vraag om het certificaat, lees de scopeverklaring en controleer de accreditatie van de certificatie-instelling bij de Raad voor Accreditatie.
- Testers bij naam: verifieer de mensen die het werk gaan uitvoeren, niet de bekendste medewerker van het bedrijf. De offerte hoort de lead tester en de certificeringen per teamlid te noemen.
- Data: CREST-persoonscertificeringen en OSCP+ verlopen, GIAC vraagt elke vier jaar verlenging, bedrijfsaccreditaties worden periodiek opnieuw getoetst. Een verlopen certificering is er een die de houder niet meer heeft onderhouden.
Wat een certificering niet bewijst
Een certificering bewijst dat iemand op een bepaalde dag een bepaald examen heeft gehaald. Zij bewijst geen recente ervaring met uw technologiestack, geen oordeelsvermogen om bevindingen voor uw organisatie te prioriteren en geen schrijfvaardigheid om een rapport te maken dat uw engineers én uw auditors kunnen gebruiken. OSCP toetst exploitatie van infrastructuur; het zegt weinig over het vermogen van een tester om een kapotte autorisatiestroom te vinden in een single-page-applicatie die met twintig microservices praat. OSWE toetst precies dat, en zegt weinig over Active Directory.
Een accreditatie op bedrijfsniveau bewijst dat processen bestaan en zijn getoetst, niet dat zij op uw opdracht zijn gevolgd of dat de mensen die de toetsing doorstonden dezelfde zijn als de mensen die aan u worden toegewezen. Een methodieknaam bewijst intentie. Het enige bewijs van een goede test is een goed rapport: reproduceerbare bevindingen, een aanvalsverhaal dat laat zien hoe bevindingen aan elkaar koppelen, een ernst die uw context weerspiegelt en herstelmaatregelen die uw team kan uitvoeren. Vraag om een geanonimiseerd voorbeeldrapport voordat u om de certificatenlijst vraagt.
Hoe zwaar u certificeringen laat wegen bij de inkoop
Vier regels die certificeringen en keurmerken in verhouding houden.
1. Koppel de certificering aan de scope
Webplatform of API: OSWE of gelijkwaardige aangetoonde ervaring met webexploitatie. Intern netwerk en Active Directory: OSCP als basis, OSEP of CRTO voor gehardende en gemonitorde omgevingen. Mobiel: MASTG-conforme ervaring op beide platformen weegt zwaarder dan welk certificaat ook. Red teaming: CRTO, senior CREST-certificeringen voor gesimuleerde aanvallen of ervaring met TIBER-EU-opdrachten.
2. Eis personen bij naam
Sta erop dat de offerte de lead tester noemt en de certificeringen van de toegewezen mensen opsomt. Wijs 'ons team beschikt over OSCP, CREST en CEH' als collectieve uitspraak af; het kan drie verschillende personen beschrijven van wie er geen uw systemen gaat testen.
3. Gebruik bedrijfskeurmerken als filter, niet als rangorde
CREST-lidmaatschap, een nationaal keurmerk of het eigen ISO 27001-certificaat van de aanbieder vertelt u dat een ondergrens is gehaald en dat er een klachtenroute bestaat. Het vertelt u niet welk van twee geaccrediteerde bureaus meer in uw omgeving zal vinden. Dat bepalen het voorbeeldrapport en relevante referentieopdrachten.
4. Controleer eerst de aansluiting op de regelgeving
Dient de test een specifiek regime, lees dan eerst de testereisen daarvan voordat u een shortlist maakt: DORA artikel 27 voor TLPT; PCI DSS v4.0.1 requirement 11.4 (gekwalificeerde interne medewerker of gekwalificeerde externe partij, organisatorisch onafhankelijk); Nederlandse overheidsaanbestedingen die een keurmerk noemen; Britse regelingen die CREST of CHECK noemen; Amerikaans overheidswerk dat aansluiting op NIST SP 800-115 verwacht.
De certificeringen van HackersHub
Elke pentester van HackersHub heeft minimaal de OSCP. Het team telt daarnaast OSWE-houders voor web- en API-werk en CREST-gecertificeerde pentesters, en wij voeren al meer dan tien jaar offensieve beveiligingsopdrachten uit vanuit Amsterdam. Onze methodiek sluit aan op PTES, de OWASP WSTG en MASTG en NIST SP 800-115, met de dekking van testgevallen zichtbaar in het rapport. Elke offerte noemt de lead tester en de certificeringen van de toegewezen mensen, met verificatielinks op verzoek.
Het rapport zelf is het bewijs waarop wij het liefst worden beoordeeld: een managementsamenvatting, CVSS-gescoorde bevindingen met reproduceerbaar bewijs, een aanvalsverhaal en geprioriteerde herstelmaatregelen, gevolgd door een verificatiehertest van bevindingen vanaf ernst medium binnen 90 dagen. Michael van Mameren, Lead Penetration Tester (OSCP), beoordeelt elk rapport voordat het de deur uitgaat.
Veelgestelde vragen
Gerelateerde gidsen
Wilt u de certificeringen achter het rapport zien?
Elke offerte noemt de lead tester en somt de certificeringen van het team op, met verificatielinks. Plan een test en beoordeel ons op het voorbeeldrapport. Praat met een expert.