Rijksoverheid standaardiseert aanpak pentesten met MIAUW
De Rijksoverheid zet een grote stap in de professionalisering van haar digitale weerbaarheid. Naar aanleiding van een motie uit de Tweede Kamer komt er een rijksbrede standaard voor het opdrachtgeverschap van 'pentesten'. Vanaf medio 2026 moeten nieuwe raamovereenkomsten ervoor zorgen dat bijna alle ministeries volgens dezelfde strenge kwaliteitseisen beveiligingsonderzoek laten uitvoeren.
Een penetratietest, of 'pentest', is een geautoriseerde poging om digitale beveiligingssystemen te doorbreken. Het doel is om zwakke plekken te vinden voordat kwaadwillende hackers dat doen. Uit een interne verkenning van de CISO Rijk (Chief Information Security Officer) blijkt dat de huidige aanpak binnen de overheid nog versnipperd is, maar dat daar nu verandering in komt.
Focus op de MIAUW-methodiek
De kern van de nieuwe strategie is de zogeheten MIAUW-methodiek (Methodiek voor Informatiebeveiligingsonderzoek met Audit Waarde). Deze methode zorgt ervoor dat testen niet alleen technisch goed worden uitgevoerd, maar ook transparant, reproduceerbaar en auditeerbaar zijn.
In de aanstaande rijksbrede aanbesteding voor externe ICT-professionals worden inkoopeisen en contractuele voorwaarden gehanteerd die direct zijn afgeleid van deze methodiek. Hiermee krijgt de overheid meer grip op de kwaliteit van de ingehuurde ethische hackers.
Brede samenwerking en Cyberbeveiligingswet
De verkenning toont aan dat verschillende overheidslagen al stappen hebben gezet:
- De Auditdienst Rijk (ADR) hanteert al een standaard intakeproces en risicomanagement.
- Gemeenten en Provincies werken steeds vaker met collectieve inkoop en keurmerken (zoals CCV/KIWA).
- De AIVD biedt gespecialiseerde assessments (BSPA) voor vitale sectoren.
De nieuwe aanpak sluit nauw aan bij de komende Cyberbeveiligingswet (de Nederlandse vertaling van de Europese NIS2-richtlijn). Onder deze wet zal de Baseline Informatiebeveiliging Overheid (BIO2) verplicht worden gesteld, waarin het periodiek uitvoeren van pentesten een cruciale beheersmaatregel is.
Transparantie naar de markt
Met de publicatie van de marktconsultaties en aanbestedingseisen op TenderNed, hoopt het Rijk dat de gestandaardiseerde werkwijze ook wordt overgenomen door mede-overheden en marktpartijen. Hiermee wordt de motie van Kamerlid Six Dijkstra (NSC) uit december 2024 formeel afgedaan. De Tweede Kamer wordt na het zomerreces via een verzamelbrief over de definitieve koers geïnformeerd.
Meer over testing
Over Witold Kepinski
