Vulnerability Management voor het MKB: Scannen, Prioriteren en Gericht Patchen

Elke week publiceert iemand ergens op de wereld een lijst met nieuwe kwetsbaarheden in software die jij vrijwel zeker ook gebruikt. Microsoft, Fortinet, Citrix, WordPress-plugins, een VPN-apparaat op kantoor. Je kunt onmogelijk alles direct patchen, en je hoeft dat ook niet. Vulnerability management is de discipline waarmee je uit die stroom precies de kwetsbaarheden kiest die er voor jouw bedrijf toe doen, en die snel genoeg oplost om aanvallers voor te blijven.

Wat is vulnerability management precies

Vulnerability management is het continue proces van ontdekken, beoordelen, prioriteren, verhelpen en controleren van kwetsbaarheden in je IT-omgeving. Het is breder dan patchmanagement: patchen is een van de oplossingen die uit het proces rolt, naast configuratiewijzigingen, extra firewallregels, uitschakelen van legacy protocollen of accepteren van restrisico onder voorwaarden.

Het verschil zit in de vraag die je stelt. Patchmanagement vraagt: "welke updates staan klaar en wanneer rollen we ze uit." Vulnerability management vraagt: "welke zwakke plekken heeft mijn bedrijf op dit moment, hoe ernstig zijn ze echt in mijn context, en wat ga ik aan elk ervan doen." Patchen is onderdeel van een goed antwoord. Wat patchmanagement is en waarom het cruciaal is legt het patchdeel uit; dit artikel gaat over het bredere proces eromheen.

Waarom het MKB dit serieus moet nemen

In de Verizon Data Breach Investigations Report van 2025 was exploitatie van kwetsbaarheden goed voor 20 procent van alle datalekken, een stijging van 34 procent ten opzichte van het jaar daarvoor. Credential-misbruik stond met 22 procent net erboven, phishing met 16 procent eronder. Nog opvallender: exploits tegen edge-apparaten en VPN-apparatuur maakten 22 procent uit van alle vulnerability-incidenten, waar dat een jaar eerder nog 3 procent was.

Dat is niet alleen een bigcorp-probleem. De firewalls, routers en VPN-boxes die onder dat soort aanvallen vallen staan ook in MKB-kantoren. En aanvallers scannen het hele internet, niet alleen Fortune 500. Als een kritieke kwetsbaarheid in een veelgebruikt apparaat openbaar wordt, zie je binnen uren wereldwijd automatisch misbruik.

Daar bovenop komt wetgeving. Onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, moet je als essentiele of belangrijke entiteit aantonen dat je kwetsbaarhedenbeheer op orde hebt. Zie onze complete NIS2-gids voor het Nederlandse MKB voor wat dat concreet van je vraagt.

De vijf stappen in het proces

Een werkbare cyclus voor een MKB ziet er zo uit.

1. Ontdekken: weet wat je hebt

Je kunt niets beveiligen wat je niet kent. Begin met een inventaris van alle assets: servers, werkplekken, netwerkapparatuur, cloud-abonnementen, SaaS-applicaties, mobiele apparaten, en de IoT of OT-apparatuur die vaak vergeten wordt (printers, camera's, toegangscontrole). Pas daarna gaan scanners er iets zinnigs over zeggen. Houd de inventaris automatisch bij vanuit je endpoint-management en je identity-provider, anders loopt hij binnen een maand weer achter.

2. Scannen: zoek de zwakke plekken

Scanners vertalen je assetlijst naar gevonden kwetsbaarheden. Je hebt er grofweg drie soorten:

• Authenticated scans op servers en werkplekken via een agent of credentials.
• External scans vanaf het internet op je publieke IP-ranges en domeinen.
• Cloud posture scans die je Microsoft 365, Azure of Google Workspace-configuratie beoordelen.

Combineer deze bronnen, want elk ziet een ander deel van je omgeving. Draai interne scans minstens wekelijks, externe dagelijks op kritieke exposure, en cloud posture continu via de API van je providers.

3. Prioriteren: niet alles is urgent

Dit is het verschil tussen een Excel-lijst met duizend items en een haalbaar actieplan. Een CVSS-score van 9.8 zegt alleen hoe erg iets maximaal kan zijn, niet hoe waarschijnlijk uitbuiting is of hoe kritiek het asset is.

Combineer daarom drie signalen:

1. CVSS voor technische ernst.
2. EPSS van FIRST voor de kans op uitbuiting binnen 30 dagen, als getal tussen 0 en 1.
3. CISA KEV-catalogus voor kwetsbaarheden waarvan bekend is dat ze actief worden misbruikt.

Vermenigvuldig dat met je eigen context: staat het asset op internet, draait er klantdata op, zijn er compensating controls. Een CVSS 9.0-kwetsbaarheid op een offline developermachine zonder internetverbinding is minder urgent dan een CVSS 7.0 op je publieke VPN-gateway die in de KEV-catalogus staat.

4. Verhelpen: patch, config of accepteer

Voor elk geprioriteerd item kies je een van vier routes.

• Patchen als er een leverancierpatch is en die snel toegepast kan worden.
• Configuratie aanpassen als een feature uitzetten of een firewallregel toevoegen het risico wegneemt.
• Compenseren met extra monitoring, segmentatie of WAF-regels als patchen niet onmiddellijk kan.
• Accepteren met een handtekening erbij, voor restrisico dat de business bewust aanvaardt.

Leg de keuze vast. Een geaccepteerd risico zonder documentatie is gewoon een vergeten risico.

5. Controleren: vertrouw niet, verifieer

Na elke remediatie scan je opnieuw om te zien of de kwetsbaarheid echt weg is. Een patch die ergens is gestopt, een VM die niet mee herstart, een clone met oude agent: het gebeurt vaker dan je denkt. Zonder deze stap zijn je rapportages fictie.

Realistische SLA's per prioriteit

Geen enkele officiele standaard dicteert exacte termijnen voor het MKB. In de praktijk werken deze termijnen voor de meeste bedrijven, mits je in je risicoacceptatie vastlegt dat je ze aanhoudt:

• Kritiek en actief uitgebuit (bijvoorbeeld in de KEV-catalogus): binnen 24 tot 72 uur.
• Hoog risico op internetgerichte assets: binnen 7 dagen.
• Hoog risico intern: binnen 30 dagen.
• Medium: binnen 60 tot 90 dagen in de reguliere patchcyclus.
• Laag: in de volgende kwartaalcyclus of accepteren.

Wat telt is dat je ze haalt. SLA's die systematisch overschreden worden zijn boekhoudkundige wensen, geen beveiligingsbeleid.

Metrics die echt helpen sturen

Houd deze cijfers maandelijks bij, in een eenvoudig dashboard:

• Scancoverage: percentage assets dat succesvol is gescand in de afgelopen week.
• MTTR per severity: mean time to remediate, uitgesplitst naar kritiek, hoog en medium.
• Open critical age: hoe lang kritieke items gemiddeld open staan.
• KEV exposure: aantal assets met een openstaande kwetsbaarheid uit de CISA KEV-catalogus.
• Patch compliance: percentage apparaten op de laatste goedgekeurde baseline.

Een trend die de verkeerde kant op gaat zegt meer dan een losse meting. Als je MTTR voor kritieke items in twee maanden verdubbelt, is er iets structureels aan de hand: te weinig onderhoudsvensters, een team dat overbelast is, of tooling die niet werkt.

Tooling voor het MKB in de praktijk

Volwassen enterprise-tools als Tenable, Qualys en Rapid7 zijn geweldig maar vaak overkill qua prijs en complexiteit voor een MKB van 25 tot 150 medewerkers. In de praktijk werkt een gelaagde stack goed:

• Microsoft Defender Vulnerability Management als je al Microsoft 365 Business Premium of E3/E5 draait. Het zit erin, ziet alle Windows-devices die in Intune staan, en integreert met Defender for Endpoint. Zie onze gids over Microsoft Intune voor het MKB voor hoe je de agents uitrolt.
• OpenVAS of Nessus Essentials voor interne netwerk-scans als aanvulling of alternatief.
• CrowdStrike, SentinelOne of Defender for Endpoint voor endpoint-detectie plus ingebouwde vulnerability-insights.
• Een external attack surface management-dienst voor wat je van buitenaf laat zien aan het internet.

Wat je nooit moet doen is drie tools kopen zonder iemand aan te wijzen die ermee werkt. Een scan zonder opvolging is geen beveiliging, het is een rapport.

Waar het bij MKB-bedrijven vaak misgaat

Een paar patronen zien we keer op keer terug.

• Scans draaien, niets doet er iets mee. De tool rapporteert elke maand duizend bevindingen, iedereen voelt zich overweldigd, niemand pakt ze op.
• Edge-apparaten vergeten. De Fortinet, Sonicwall of Cisco ASA aan de rand van het netwerk krijgt zijn firmware-updates amper. Precies daar landen zero-day-exploits.
• Geen asset-eigenaar per systeem. Als een kwetsbaarheid in de boekhoud-server zit en niemand weet wie hem patcht, wordt hij niet gepatcht.
• Alleen OS, geen applicatielaag. Windows-updates draaien keurig maar de WordPress-plugins, Node-modules en PDF-viewer blijven stil. Juist die worden massaal uitgebuit.
• Geen test-ritueel voor patches. Patch-vrijdag voor productie zonder voorafgaande test is een recept voor een maandagprobleem.

Hoe je begint als je nog niets hebt

Als je bij nul begint, ga je niet in week een een enterprise-stack uitrollen. Een 90-dagenplan werkt beter.

1. Week 1-2: inventariseer alle assets. Maak een platte lijst van servers, laptops, netwerkapparatuur, cloud-tenants en SaaS. Wijs per cluster een eigenaar aan.
2. Week 3-4: zet een eerste scanner aan op je interne netwerk en op je externe IP-ranges. Gebruik wat je al hebt (Defender als je M365 Business Premium hebt). Leg een baseline vast.
3. Maand 2: definieer je SLA's per severity, kies je prioriteringsmodel, en documenteer wie beslist over accepteren of compenseren.
4. Maand 3: begin met wekelijkse remediatie-review. Elke week eerste uur van maandag: wat is kritiek, wie pakt wat, wat is sinds vorige week gesloten. Houd metrics bij.

Na deze 90 dagen is het geen eenmalig project meer maar een proces. Onze managed-IT-dienstverlening heeft deze cyclus standaard aan boord voor klanten die niet iedere maandag zelf willen jagen op nieuwe CVE's.

Veelgestelde vragen over vulnerability management

Wat is het verschil tussen vulnerability management en patchmanagement? Patchmanagement is het proces van software-updates testen en uitrollen. Vulnerability management is breder: het start bij het ontdekken van zwakke plekken, prioriteert ze op risico, en kiest per geval of patchen, configureren, compenseren of accepteren de juiste reactie is. Patchmanagement is een van de uitkomsten.

Hoe vaak moet je scannen? Interne authenticated scans minstens wekelijks, externe scans dagelijks op internetgerichte systemen, en cloud posture continu via de API. Voor hoog-risico omgevingen zoals OT in productie zijn passieve scans buiten productietijd verstandiger dan agressieve actieve scans.

Hebben we Nessus of Qualys nodig als we al Microsoft 365 hebben? Niet per se. Microsoft Defender Vulnerability Management zit in Microsoft 365 Business Premium en hogere licenties en dekt Windows, macOS en Linux endpoints die in Defender for Endpoint staan. Voor netwerkapparatuur en niet-Microsoft-servers heb je vaak een aanvullende scanner nodig.

Wat is EPSS en waarom zou ik het gebruiken? EPSS, het Exploit Prediction Scoring System van FIRST, geeft iedere CVE een inschatting (tussen 0 en 1) van de kans op actieve uitbuiting binnen 30 dagen. Gecombineerd met CVSS en de CISA KEV-catalogus voorkomt het dat je 300 "kritieke" items hebt waarvan er 290 nooit worden aangevallen.

Hoeveel moet een MKB jaarlijks aan vulnerability management uitgeven? Afhankelijk van scope en volwassenheid. Een MKB met 50 medewerkers dat vulnerability management laat uitvoeren als onderdeel van managed IT-beheer zit meestal in een maandfee die ook monitoring, patching en helpdesk omvat. Losse tool-licenties kunnen snel enkele tienduizenden euro's per jaar kosten; het echte werk zit in de opvolging.

Moeten we dit onder NIS2 verplicht hebben? Als je onder de Cyberbeveiligingswet valt als essentiele of belangrijke entiteit, moet je aantoonbaar kwetsbaarhedenbeheer hebben als onderdeel van je zorgplicht. Ook als je formeel niet onder NIS2 valt, zullen klanten en leveranciers het steeds vaker in hun contracten opnemen.

Conclusie

Vulnerability management is niet het dichtlopen van elke poort. Het is de discipline die beslist waar je je beperkte onderhoudscapaciteit in steekt, zodat je de zwakke plekken sluit die aanvallers echt gebruiken. Een MKB met een ontdekkings-, scan-, prioriterings- en remediatiecyclus die wekelijks draait, met heldere eigenaren en SLA's, is beter beschermd dan een concurrent met een duurdere scanner waarin niemand kijkt.

Wil je deze cyclus niet zelf elke week jagen, dan nemen wij hem van je over. Onze managed-IT-engineers monitoren je omgeving, prioriteren samen met jou wat er wekelijks moet gebeuren en koppelen de resultaten terug in een helder maandrapport. Benieuwd wat dat voor jouw omgeving zou kosten? Plan een vrijblijvend gesprek via de contactpagina of bel direct 085-3035869.