Gray Oshin

The STUN Interception Tool is a powerful tool designed to leverage the principles of STUN. Learn more about its features and how to use it effectively.


STUN Protocol IP Exposure Tool by WebSec

Zhassulan Zhussupov

Let's continue our acquaintance with YARA rules

YARA rules Part 2: Using modules

Yara is an instrument used to assist malware researchers in the identification and classification of malware samples.        


YARA Part 1: Malware analysis for detecting IOC's

Security Development & Management jobs are crucial to maintaining structure and a seamless security process in an organization. Learn more about these roles.

Security Development & Management: Jobs, Roles, & Responsibilities

Explore defensive security jobs like SOC Analysts & Incident Responders, their responsibilities, and the tools used to protect your company against cyber threats.

Defensive Security: Jobs, Roles, & Responsibilities

Offensive security covers different jobs that proactively identify and mitigate security vulnerabilities. Learn more about offensive cybersecurity here.

Offensive Security: Job Titles, Roles, and Responsibilities

MagicRat malware is a remote access trojan (RAT) that is primarily distributed through exploiting vulnerabilities such as Log4j in VMware Horizon. Malware is software that is designed to give its crea

Malware analysis report: MagicRAT (Lazarus)

A simple implementations of PGP encryption in Python

PGP encryption. Practical examples

Joel Aviad Ossi

CVE-2026-31431 is een kwetsbaarheid met hoge ernst in de Linux-kernel in algif_aead, waardoor een niet-geprivilegieerde lokale gebruiker via AF_ALG en splice rootrechten kan v

CVE-2026-31431, Linux algif_aead page-cache write naar root

CVE-2026-31431 is a high severity Linux kernel flaw in algif_aead that can let an unprivileged local user gain root via AF_ALG and splice.

CVE-2026-31431, Linux algif_aead page-cache write to root

![nis2 cbw.png](https://websec-public.ams3.digitaloceanspaces.com/public/blog/605118a0c452ea0751962bdb/0285b76d-19ea-4052-8605-6a70855deafe/nis2-cbw-removebg-preview.png)


# **NIS2 Pentest: De Cruciale Bewijslast onder de Cyberbeveiligingswet (Cbw)**

Met de volledige handhaving van de **Cyberbeveiligingswet (Cbw)** is de bewijslast voor digitale weerbaarheid verschoven naar aantoonbare effectiviteit. De zorgplicht dwingt organisaties om verder te gaan dan statische compliance-kaders; geïmplementeerde maatregelen moeten aantoonbaar standhouden tegen actuele aanvalsmethodieken.

Een **NIS2 pentest** vormt de noodzakelijke offensieve validatie om deze weerbaarheid te toetsen. Het levert de technische onderbouwing die vereist is om de kloof tussen theoretisch risicomanagement en operationele realiteit definitief te dichten.

## **De transitie van de NIS2-richtlijn naar de Nederlandse Cyberbeveiligingswet (Cbw)**

De overgang van de Europese NIS2-richtlijn naar de Nederlandse Cyberbeveiligingswet markeert een fundamentele verschuiving in cybersecurity-regulering. Waar eerdere wetgeving vaak vertrok vanuit een inspanningsverplichting, legt de Cbw de nadruk op de **verantwoordelijkheid voor resultaat**. Organisaties binnen de sectoren 'essentieel' en 'belangrijk' moeten niet alleen veilige systemen hebben, maar deze veiligheid ook proactief en periodiek valideren.

Onder de Cbw moeten organisaties kunnen bewijzen dat hun maatregelen effectief zijn tegen moderne dreigingen zoals ransomware-as-a-service en complexe ketenaanvallen. Statische audits, die slechts een momentopname van processen geven, worden door de Rijksinspectie Digitale Infrastructuur (RDI) niet langer als sluitend bewijs geaccepteerd.

## **De Cbw-zorgplicht: Waarom technische validatie de nieuwe standaard is**

De zorgplicht onder de Cbw (artikel 21 van de richtlijn) vereist dat organisaties "passende en evenredige" maatregelen nemen. De effectiviteit hiervan kan enkel worden aangetoond door ze bloot te stellen aan realistische stresstests. Technische validatie is de nieuwe standaard geworden omdat het de enige manier is om te verifiëren of de gelaagde beveiliging (Defense-in-Depth) in de praktijk daadwerkelijk functioneert.

Een gesimuleerde aanval door een gespecialiseerde partij legt bloot waar configuratiefouten, zwakke protocollen of menselijke fouten de theoretische beveiliging ondermijnen. Voor de Cbw is dit essentieel: het rapport van een NIS2 pentest dient als objectief bewijsstuk dat de organisatie haar zorgplicht serieus invult.

## **Offensieve validatie versus Vulnerability Scanning: Het onderscheid**

Een veelvoorkomende valkuil bij NIS2-compliance is het verwarren van een geautomatiseerde scan met een penetratietest. Voor de Cbw-bewijslast is dit onderscheid cruciaal:

| Kenmerk | Vulnerability Scanning | NIS2 Pentesting (Offensieve Validatie) |
| :---- | :---- | :---- |
| **Methode** | Geautomatiseerd | Handmatig & Expert-gedreven |
| **Focus** | Bekende kwetsbaarheden (CVE's) | Logische fouten, misconfiguraties en ketenaanvallen |
| **Diepgang** | Oppervlakkige identificatie | Exploitatie en 'post-exploitation' (hoe ver komt een hacker?) |
| **Resultaat** | Lijst met technische patches | Strategisch inzicht in risico's en weerbaarheid |

Terwijl een scan aantoont dat de 'deur op slot zit', test een pentest of de aanvaller via een verkeerd geconfigureerde API of een zwakke trust-relation alsnog toegang krijgt tot de kroonjuwelen. Alleen de laatste methode voldoet aan de eisen van diepgaande validatie onder de Cbw.

## **Bestuurlijke aansprakelijkheid en de risico's van inadequate naleving**

De Cbw introduceert een scherpere focus op **bestuurlijke aansprakelijkheid**. Bestuurders van entiteiten kunnen direct aangesproken worden op nalatigheid bij het niet nakomen van de zorgplicht. Het ontbreken van periodieke technische validatie wordt door toezichthouders gezien als een ernstig tekort in de risicobeheersing.

De risico's van inadequate naleving zijn meerledig:

* **Bestuurlijke sancties:** Boetes die aanzienlijk kunnen oplopen op basis van de wereldwijde omzet.  
* **Operationele schade:** Onontdekte kwetsbaarheden leiden tot downtime die de continuïteit van de keten in gevaar brengt.  
* **Ketenvertrouwen:** In een onderling verbonden economie eisen partners (vooral bij MSP's) harde bewijzen van veiligheid voordat zij contracten continueren of vernieuwen.

## **Aantoonbare effectiviteit: Het belang van documentatie en bewijslast**

Het adagium onder de Cbw is helder: *Geen bewijs betekent geen compliance*. Een NIS2 pentest levert de noodzakelijke documentatie voor het GRC-dossier (Governance, Risk & Compliance). Om deze technische resultaten effectief te borgen in uw beleid en risicomanagement-cyclus, is een nauwe samenwerking tussen techniek en governance essentieel. Specialisten zoals [GRC Kompas](https://grckompas.nl) ondersteunen organisaties bij het vertalen van deze offensieve validatie naar een sluitende verantwoording richting toezichthouders.

Een compleet Cbw-bewijsdossier omvat:

1. **Aanpak en Scoping:** Bewijs dat de kritieke bedrijfsprocessen binnen de Cbw-scope zijn getest.  
2. **Bevindingen en Impact:** Een realistische inschatting van risico's op basis van exploitatie.  
3. **Remediatieplan:** Een gestructureerde aanpak om aangetoonde zwakke plekken te dichten.  
4. **Hertest-verklaring:** Het definitieve bewijs voor de toezichthouder dat kritieke kwetsbaarheden zijn geëlimineerd.

## **De methodologie van een NIS2-pentest: Van scoping naar exploitatie**

Een effectieve pentest voor Websec-cliënten volgt een strikt proces om maximale waarde te bieden voor zowel de technische staf als de compliance-officers:

1. **Scoping:** Vaststellen welke assets (IT, OT, Cloud) essentieel zijn voor de dienstverlening onder de Cbw.  
2. **Reconnaissance:** Uitgebreide analyse van de aanvalsoppervlakte, inclusief gelekte credentials en 'shadow IT'.  
3. **Exploitatie:** Actieve pogingen om kwetsbaarheden te misbruiken om de werkelijke impact vast te stellen.  
4. **Rapportage:** Vertaling van technische data naar business-risico's en een prioriteringslijst voor de directie.

## **Ketenveiligheid: De strategische waarde voor MSP’s**

Voor Managed Service Providers (MSP’s) is een NIS2 pentest niet alleen een wettelijke verplichting, maar een **commercieel strategisch instrument**. Omdat MSP's vaak als 'ingang' fungeren voor aanvallen op hun klanten (supply chain attacks), is hun eigen weerbaarheid bepalend voor de compliance van hun gehele klantenbestand. Een onafhankelijk pentest-rapport is in 2026 het meest krachtige instrument om aan te tonen dat de MSP een betrouwbare en veilige schakel in de keten is.

## **Kwaliteitseisen voor een erkende pentest-dienstverlener**

Niet elke test levert dezelfde juridische en technische waarde. Voor een valide bewijslast onder de Cbw moet een dienstverlener beschikken over:

* **Gecertificeerde experts:** (Zoals OSCP, OSCE of CREST gecertificeerde hackers).  
* **Ethische standaarden:** Transparante methodologieën en strikte geheimhouding.  
* **Business-context:** Het vermogen om technische bevindingen te mappen op de specifieke eisen van de Cbw en NIS2.

## **Conclusie: De pentest als fundament voor structurele weerbaarheid**

De NIS2 pentest is geen eenmalige exercitie, maar vormt het fundament voor een continue verbetercyclus (**Plan-Do-Check-Act**). In het huidige dreigingslandschap is het de enige methode om met zekerheid vast te stellen dat uw investeringen in cybersecurity daadwerkelijk het beoogde resultaat leveren. Door offensieve validatie te integreren in uw GRC-strategie, voldoet u niet alleen aan de Cbw, maar bouwt u aan een organisatie die aantoonbaar weerbaar is tegen de aanvallen van morgen.

Hoe voldoet u aan de Cbw-zorgplicht? Ontdek waarom een NIS2 pentest essentieel is voor offensieve validatie en uw bewijslast. Lees meer over de strategie.

NIS2 Pentest: De Cruciale Bewijslast onder de Cyberbeveiligingswet (Cbw)

How do you comply with the Cbw duty of care? Discover why an NIS2 pentest is essential for offensive validation and your burden of proof. Learn more about the strategy.

NIS2 Pentest: The Critical Burden of Proof under the Cybersecurity Act (Cbw)

nginx-ui <= 2.3.5 stelt een ongeauthenticeerd MCP-endpoint bloot waarmee privileged tools kunnen worden aangeroepen en Nginx-beheer kan worden overgenomen.

CVE-2026-33032: Ongeauthenticeerde nginx-ui MCP-overname

nginx-ui <= 2.3.5 exposes an unauthenticated MCP endpoint that can invoke privileged tools and take over Nginx service management.

Websec / Blog
Securing Today. Tomorrow could be too late.

CVE-2026-31431, Linux algif_aead page-cache write to root

NIS2 Pentest: The Critical Burden of Proof under the Cybersecurity Act (Cbw)

CVE-2026-33032: Unauthenticated nginx-ui MCP takeover

STUN Protocol IP Exposure Tool by WebSec

YARA rules Part 2: Using modules

YARA Part 1: Malware analysis for detecting IOC's

Security Development & Management: Jobs, Roles, & Responsibilities

Defensive Security: Jobs, Roles, & Responsibilities

Offensive Security: Job Titles, Roles, and Responsibilities

Malware analysis report: MagicRAT (Lazarus)

PGP encryption. Practical examples

Need Security?

Contact

Websec / Blog Securing Today. Tomorrow could be too late.

CVE-2026-31431, Linux algif_aead page-cache write to root

NIS2 Pentest: The Critical Burden of Proof under the Cybersecurity Act (Cbw)

CVE-2026-33032: Unauthenticated nginx-ui MCP takeover

STUN Protocol IP Exposure Tool by WebSec

YARA rules Part 2: Using modules

YARA Part 1: Malware analysis for detecting IOC's

Security Development & Management: Jobs, Roles, & Responsibilities

Defensive Security: Jobs, Roles, & Responsibilities

Offensive Security: Job Titles, Roles, and Responsibilities

Malware analysis report: MagicRAT (Lazarus)

PGP encryption. Practical examples

Need Security?

Contact

Websec / Blog
Securing Today. Tomorrow could be too late.