Prijzen / EUR, excl. btw
Wat kost een pentest? Prijzen 2026 in euro
Een pentest van een webapplicatie of API kost in Nederland doorgaans EUR 5.000 tot 15.000 exclusief btw1; gepubliceerde Nederlandse dagtarieven lopen van ongeveer EUR 1.000 tot 2.0002. Bij Scotoma is dat 4 tot 10 testdagen van EUR 1.250 tot 1.500 per dag. Hieronder staan de pentestkosten per pakket, ook voor AI-chatbots en agents, en wat de prijs omhoog of omlaag duwt.
AI Pentest
Voor chatbots, RAG en agents.
Vanaf EUR4.000
- Meestal 3 tot 10 testdagen
Stack Pentest
Voor webapps, API’s en cloud.
Vanaf EUR5.000
- Meestal 4 tot 10 testdagen
Launch Clearance
Voor SaaS met een AI-functie.
EUR10.000 tot 20.000
- Meestal 8 tot 14 testdagen
Eén scope, één rapport, en de problemen die je alleen ziet als je beide lagen samen test.
§02 / Pakketten
Pentestkosten per pakket, en wat de prijs bepaalt
Elke bandbreedte is de marge waarin een offerte uitkomt. Waar je in die marge zit, hangt af van de paar factoren ernaast, zodat je jezelf kunt plaatsen voordat we elkaar spreken.
AI PentestChatbot en RAG
Een assistent voor klanten, een AI-zoekfunctie of een RAG-toepassing.
Chatbot en RAG in detail- Bandbreedte, excl. btw
- EUR 4.000 tot 10.000
- Testdagen
- 3 tot 7
Wat we testen
- Prompt injection, direct en via opgehaalde inhoud
- Lekken van de systeemprompt en van gegevens
- Retrieval en scheiding tussen klanten in de vectordatabase
- Hoe output wordt verwerkt voordat ze code of browsers bereikt
- Grenzen aan verbruik (denial of wallet)
Wat de prijs bepaalt
- Hoeveel assistenten en databronnen
- Black box, of grey box met de systeemprompt
- Gespreksstromen met echte gevolgen
AI PentestAgent en MCP
Een agent die tools aanroept, inloggegevens heeft of op MCP-servers draait.
Agent en MCP in detail- Bandbreedte, excl. btw
- EUR 6.000 tot 15.000
- Testdagen
- 4 tot 10
Wat we testen
- Alles uit Chatbot en RAG
- Tool- en functieaanroepen die binnen de taak blijven
- De identiteit van de agent en gedelegeerde rechten
- MCP-servers en tooldefinities, van jezelf en van derden
- De integriteit van geheugen en gedeelde context
Wat de prijs bepaalt
- Hoeveel tools, en wat ze kunnen veranderen
- MCP-servers in scope
- Overdrachten tussen agents
Launch ClearanceSaaS + AI-functie
Je SaaS-platform en de AI-functie erop, als één scope.
SaaS + AI-functie in detail- Bandbreedte, excl. btw
- EUR 10.000 tot 20.000
- Testdagen
- 8 tot 14
Wat we testen
- De AI-functie, zoals in Agent en MCP of Chatbot en RAG
- De webapplicatie en API’s eronder, zoals in Web en API
- Bevindingen over beide lagen: waar een modelprobleem een stackprobleem bereikt
- Eén kick-off, één rapport, één verklaring
Wat de prijs bepaalt
- Alleen chat, of tools die handelen
- De omvang van de API van het platform
- Rollen en klanten op het platform
Stack PentestWeb en API
Een webapplicatie, haar REST- of GraphQL-API’s, of allebei.
Web en API in detail- Bandbreedte, excl. btw
- EUR 5.000 tot 15.000
- Testdagen
- 4 tot 10
Wat we testen
- Authenticatie en sessies
- Autorisatie en scheiding tussen klanten
- Bedrijfslogica en processen in meerdere stappen
- API-risico’s gekoppeld aan de OWASP API Security Top 10 (2023)
- Ernst in CVSS v4.0
Wat de prijs bepaalt
- Rollen, klanten en processen
- Endpoints en koppelingen
- Black box of grey box
Stack PentestCloud en infrastructuur
Accounts in AWS, Azure of GCP, en de hosts die je openstelt.
Cloud en infrastructuur in detail- Bandbreedte, excl. btw
- Offerte op maat
- Testdagen
- Per scope
Wat we testen
- Identiteiten, rollen en paden naar meer rechten
- Open opslag en toegangsbeleid
- Geheimen in code, images en pipelines
- Identiteit van workloads en toegang tot metadata
- Externe hosts en toegang op afstand
Wat de prijs bepaalt
- Accounts, abonnementen en regio’s
- De diensten die je gebruikt
- Een configuratiereview, een blik van buiten, of beide
§03 / Het verschil
Waarom een pentest door mensen meer kost dan een geautomatiseerde test
Geautomatiseerde tests kosten nu EUR 1.250 tot 3.500 per test3. Ze zijn hun geld waard. Die van ons kost meer omdat je de uren van een mens koopt, besteed waar tooling meestal ophoudt: bedrijfslogica die pas in de derde stap breekt, misbruik in een keten dat drie kleine problemen tot één echt risico maakt, een agent die een tool aanroept op het woord van een vreemde, een record dat van de ene klant naar de andere lekt.
Je budget koopt denktijd, geen scantijd.
§04 / Na het rapport
De hertest, en de tests die je houdt
Een bevinding is niet gesloten als het rapport binnen is. Ze is gesloten als de oplossing standhoudt.
- VerborgenVoor de test: in je systeem, ongezien.
- GevondenGereproduceerd, beoordeeld en beschreven.
- OpgelostOpnieuw afgespeeld na je herstel. De oplossing houdt stand.
- BehoudenOpnieuw gedraaid bij je volgende release.
Wat er in het regressiepakket zit
- Stackbevindingen
- De exacte HTTP-requests, als verzameling die je team opnieuw kan afspelen.
- AI-bevindingen
- De promptsets, geïnjecteerde documenten en traces van toolaanroepen, met het model en de instellingen erbij.
- Je volgende release
§05 / Voorwaarden
Vaste offertes, betaling en btw
- De offerte
- Plan een scopinggesprek van 30 minuten. Na het gesprek volgt een offerte.
- Vast is vast
- Betaling
- De betalingsvoorwaarden staan in de offerte.
- Btw
- Alle prijzen op deze pagina zijn exclusief btw en in euro.
§06 / Vragen
Vragen over de prijs van een pentest
Waarom verschillen pentestprijzen zo veel?
Vooral door het aantal dingen dat een mens moet begrijpen: rollen, klanten, processen, API-endpoints, en bij AI de tools die een agent kan aanroepen en de gegevens die hij ophaalt. Black box testen kost meer tijd dan grey box voor dezelfde dekking. Alleen op productie testen kost iets extra, omdat we dan voorzichtiger doseren.
Hoeveel testdagen heeft een pentest nodig?
Eén webapplicatie of API heeft meestal 4 tot 10 testdagen nodig. Een chatbot of RAG-toepassing 3 tot 7, een agent met tools en MCP-servers 4 tot 10, en een SaaS-platform met zijn AI-functie 8 tot 14. Het scopinggesprek maakt van die bandbreedte één getal.
Waarom publiceren jullie prijzen?
Omdat je een bedrag nodig hebt voordat je budget kunt aanvragen, en een bandbreedte die je kunt controleren nuttiger is dan een verkoopgesprek. Onze bandbreedtes zijn de banden waarin onze offertes uitkomen. Valt je scope erbuiten, dan zeggen we dat in het gesprek, voordat er iets gebeurt.
Zijn jullie prijzen inclusief btw?
Nee. Alle prijzen op deze pagina zijn exclusief btw en in euro. Je offerte noemt de btw die geldt voor je organisatie en het land waar die is ingeschreven. De datum bovenaan deze pagina zegt wanneer de bandbreedtes voor het laatst zijn gewijzigd.
Bekijk het format voordat je het koopt
Het voorbeeldrapport laat pagina voor pagina zien wat de prijs oplevert. De werkwijze en de spelregels vertellen hoe we werken en wat we nooit doen.