De Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, treedt naar verwachting rond 1 juli 2026 in werking. Een bestuur dat de zorgplichtmaatregelen formeel moet goedkeuren, wil weten of het aanvalsoppervlak bekend is, of gevonden kwetsbaarheden opgevolgd worden en of dat vastligt. Tenable biedt daarvoor twee wegen die vaak door elkaar worden gehaald: Nessus als scanner en Tenable Vulnerability Management als beheerplatform. Ze delen dezelfde detectiemotor, maar lossen een compleet ander probleem op.
Nessus en Tenable Vulnerability Management gebruiken dezelfde scantechnologie, maar verschillen fundamenteel in wat ze vastleggen. Nessus levert scandiepte op een vastgesteld bereik. Het platform voegt een doorlopende asset-inventaris, risicogewogen prioritering en herstelregistratie toe. Dit artikel zet de technische verschillen naast de zorgplicht uit de Cyberbeveiligingswet, laat zien welk deel van de aantoonbaarheid een scanner principieel niet kan invullen en geeft aan wanneer de goedkopere variant een verstandige keuze is en wanneer een dure vergissing.
Wat Nessus wel doet en waar de scanner ophoudt
Nessus draait al ruim twee decennia mee en Tenable spreekt inmiddels over meer dan vier miljoen downloads wereldwijd. De detectiebasis is de plugin-database van Tenable Research, geschreven in NASL. Op de eigen pluginpagina stond in augustus 2026 een teller van ruim 432.000 gepubliceerde plugins die samen meer dan 147.000 CVE-ID’s afdekken, met gemiddeld meer dan honderd nieuwe plugins per week. Dat totaal beslaat overigens alle pluginfamilies, dus ook web application scanning en Nessus Network Monitor, en niet uitsluitend de klassieke netwerkscans.
De werkelijke waarde zit in gecredentialiseerde scans. Via SMB, SSH of HTTPS logt Nessus in op het doelsysteem en leest daar geïnstalleerde pakketversies, patchniveau en lokale configuratie uit. Dat levert een fundamenteel ander resultaat op dan een externe scan die alleen open poorten en bannerinformatie ziet. Wie ongeauthenticeerd scant, meet de buitenkant en trekt vervolgens conclusies over de binnenkant. Dat is de meest voorkomende oorzaak van zowel valse meldingen als gemiste kwetsbaarheden.
Nessus Professional biedt onbeperkte assessments, meer dan 450 voorgeconfigureerde templates en compliance-audits tegen CIS Benchmarks. Nessus Expert bouwt daarop verder met dynamic application security testing voor webapplicaties, het scannen van infrastructure as code in repositories en zicht op internetgerichte assets. Wat beide varianten niet bieden, is een beheerlaag. Er is geen centrale inventaris die assets over de tijd volgt, geen koppeling met herstelworkflows en geen rolgebaseerd rechtenmodel voor grotere teams. Nessus is een scaninstrument, geen administratie.
Waarom exploitability een betere prioriteringsmaat is dan CVSS-severity
Tenable ondersteunt in Nessus naast CVSS v4 ook het Exploit Prediction Scoring System en de eigen Vulnerability Priority Rating. Dat verschil is niet cosmetisch. CVSS classificeert volgens Tenable ruim zestig procent van alle CVE’s als High of Critical, wat een prioriteitenlijst oplevert waar niemand mee vooruit kan. De oorspronkelijke VPR bracht dat terug naar ongeveer drie procent, en de herziene versie stuurt teams naar circa 1,6 procent van de kwetsbaarheden. VPR trekt daarvoor onder meer signalen binnen over actief misbruik, ransomware-campagnes en de CISA Known Exploited Vulnerabilities-catalogus.
Die verhouding sluit aan op eerder onderzoek van Tenable, gepubliceerd in het rapport The Critical Few. Op een momentopname van bijna 240.000 kwetsbaarheden bleek 3,1 procent, minder dan 7.500 stuks, in de hoogste risicoklassen te vallen. Het idee dat prioritering op exploitability meer oplevert dan prioritering op ernst is binnen SolidBE geen nieuw inzicht, en werd eerder al uitgewerkt in de vergelijking tussen CVE-gebaseerde threat mitigation en risk based vulnerability management, waarin dezelfde kern terugkomt: blind patchen op CVE-severity kost cycli die u elders harder nodig heeft.
Wat Tenable Vulnerability Management toevoegt bovenop de scanmotor
Tenable Vulnerability Management, tot enkele jaren geleden Tenable.io, gebruikt exact dezelfde Nessus-technologie voor de detectie. Het verschil zit in alles eromheen. Het platform houdt een asset-inventaris bij die assets identificeert op basis van meerdere kenmerken en niet uitsluitend op IP-adres, waardoor een laptop die vandaag op kantoor hangt en morgen via een thuisverbinding binnenkomt hetzelfde asset blijft. Nessus scant een vastgelegd bereik. Het platform volgt een populatie.
Daarnaast zijn er agents, waarmee endpoints die zelden of nooit tijdens het scanvenster bereikbaar zijn alsnog gegevens aanleveren. In een omgeving met veel mobiele werkplekken is dat het verschil tussen een scanrapport dat klopt en een scanrapport dat vooral laat zien wie er die nacht toevallig aanstond.
Asset Criticality Rating werkt alleen als u hem zelf invult
Voor risicoweging combineert Tenable de VPR van een kwetsbaarheid met de Asset Criticality Rating van het systeem waarop die kwetsbaarheid staat, een waarde van 1 tot 10. Tenable kent die ACR automatisch toe op basis van onder meer netwerkpositie, apparaattype en blootstelling richting internet. Handmatig bijstellen kan alleen met Tenable Lumin erbij, en zonder Lumin blijft de ACR in bepaalde producten zelfs op nul staan. Dat is een detail dat in vergelijkingstabellen vrijwel altijd ontbreekt en dat u bij de licentiekeuze direct moet uitvragen.
Hier zit ook mijn eerste duidelijke advies. Wie de standaard toegekende ACR-waarden nooit aanraakt, koopt een risicogewogen platform en gebruikt het als een dure scanner. De machine weet niet dat uw ogenschijnlijk onopvallende Linux-VM de licentieserver van de productielijn draait. Die kennis zit bij uw eigen mensen en moet er handmatig in.
Uit VPR en ACR volgt per asset een Asset Exposure Score tussen 0 en 1000, en op organisatieniveau een Cyber Exposure Score in dezelfde schaal. Dat laatste getal is bedoeld voor de bestuurstafel, niet voor de engineer. Het maakt een trend zichtbaar zonder dat iemand een pluginlijst hoeft te lezen.
Welke zorgplichtmaatregelen uit de Cyberbeveiligingswet raken kwetsbaarheidsbeheer
Artikel 21, tweede lid van de NIS2-richtlijn somt tien categorieën maatregelen op. Drie daarvan raken kwetsbaarheidsbeheer rechtstreeks: risicoanalyse en beveiliging van informatiesystemen, basale cyberhygiëne inclusief patchbeleid en configuratiebeheer, en het beoordelen van de effectiviteit van de getroffen maatregelen. Die laatste categorie is de lastigste, want effectiviteit beoordelen betekent meten over tijd en dus data bewaren.
De Nederlandse implementatie voegt daar praktische verplichtingen aan toe. Organisaties die aan de criteria voldoen registreren zich in het entiteitenregister van het NCSC, en significante incidenten worden gemeld in drie stappen: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een volledige melding en binnen een maand een eindverslag. Wat daarbij vaak over het hoofd wordt gezien is dat een melding binnen 72 uur een eerste beoordeling van ernst en gevolgen vraagt. Zonder actuele inventaris met eigenaarschap en criticality kost het invullen van dat formulier u het grootste deel van die 72 uur. De bredere context daarvan, inclusief de trainingsplicht voor uitvoerende bestuurders, staat beschreven in ons overzicht van wat er verandert nu de Cyberbeveiligingswet van kracht is en bestuurders wettelijk aansprakelijk zijn.
Hoe u aantoonbaarheid richting een toezichthouder onderbouwt
Een toezichthouder vraagt zelden om een scanrapport. Die vraagt of het volledige aanvalsoppervlak in beeld is, hoe u weet dat het volledig is, hoe lang een kritieke kwetsbaarheid gemiddeld openstaat en wie verantwoordelijk was voor het sluiten ervan. Dat zijn vragen over registratie, niet over detectie.
Nessus produceert per scan een momentopname. Wie die momentopnames handmatig in een spreadsheet bijhoudt, bouwt in feite zelf een vulnerability management platform, alleen zonder versiebeheer, zonder audittrail en met één persoon als single point of failure. Tenable Vulnerability Management legt dezelfde gegevens automatisch vast, koppelt bevindingen aan ticketsystemen zodat eigenaarschap en doorlooptijd meelopen, en kent rolgebaseerde toegang zodat een auditor kan meekijken zonder scanrechten te krijgen.
Wanneer Nessus Professional volstaat en wanneer u het platform nodig heeft
Nessus Professional blijft een uitstekende keuze voor security-consultants die bij wisselende opdrachtgevers scannen, voor pentesters en voor kleinere organisaties met een overzichtelijke, statische omgeving die vooral periodiek willen controleren. De licentie staat scannen van netwerken van derden toe, wat het product voor dienstverleners praktisch maakt. In die scenario’s is het ontbreken van een beheerlaag geen tekortkoming maar een voordeel: minder overhead, snellere inzet.
Mijn tweede advies is minder vrijblijvend. Voor een organisatie die onder de zorgplicht van de Cyberbeveiligingswet valt en Nessus Professional inzet als het complete antwoord op kwetsbaarheidsbeheer, is dat verkeerde zuinigheid. Het verschil in licentiekosten verdampt bij het eerste incident waarbij u binnen 72 uur moet aantonen welke systemen geraakt zijn en wanneer de betreffende kwetsbaarheid voor het eerst gedetecteerd is. Dat is geen technisch argument maar een aansprakelijkheidsargument, en vanaf augustus gaat die aansprakelijkheid expliciet bij het bestuur liggen.
De valkuil van een platform kopen zonder het proces erachter
Het derde punt waar ik stelling in neem gaat over volgorde. Veel organisaties beginnen bij de toolkeuze omdat dat een concrete beslissing is met een prijskaartje eronder. Beter is het om te beginnen bij de vraag wie eigenaar is van welk systeem. Zonder die toewijzing landen bevindingen uit welk platform dan ook op een verzamelbak zonder adres, en wordt de mooiste risicoweging alsnog genegeerd. Een asset-inventaris met eigenaarschap kost weken werk en levert direct rendement op, ongeacht welke scanner er uiteindelijk boven hangt.
De keuze tussen Nessus en Tenable Vulnerability Management is daarmee eigenlijk geen productvergelijking. Het is de vraag of u kwetsbaarheden wilt vinden of ook wilt kunnen bewijzen wat u ermee gedaan heeft. Nessus doet het eerste uitstekend en bereikt bij het tweede zijn grens. Het platform vult die grens op met een inventaris die meebeweegt, prioritering die bedrijfscontext meeweegt en een registratie die een audit doorstaat. Voor organisaties met een dynamische omgeving en een bestuur dat wettelijk moet tekenen voor de genomen maatregelen, is dat verschil de kern van de beslissing.
SolidBE denkt graag mee over de licentiekeuze, de inrichting van de asset-inventaris en de procesmatige inbedding richting toezichthouders.
