Een toezichthouder vraagt tijdens een NIS2-controle naar het exacte aantal kritieke kwetsbaarheden dat langer dan dertig dagen openstaat. Het antwoord blijft uit, want dat cijfer bestaat nergens in één overzicht. Het zit verspreid over drie Excel-exports van verschillende scanmomenten, en niemand binnen de organisatie durft te zeggen welke export nog actueel is. Dat moment, waarop een organisatie wel scant maar niet kan aantonen wat er speelt, is precies het probleem dat Tenable Vulnerability Management oplost.
Losse scans geven een momentopname, geen doorlopend beeld. Tenable Vulnerability Management voegt aan de bekende Nessus-scantechnologie een continue asset-inventaris, agents en analysefuncties toe waarmee kwetsbaarheden zichtbaar blijven tussen scans in. Dit artikel legt uit hoe het platform is opgebouwd, wat het verschil is tussen de licentievormen Foundation en Advanced, welke functies er dit jaar zijn bijgekomen en waarom dat voor de zorgplicht onder de Cyberbeveiligingswet meer oplevert dan een jaarlijks scanrapport.
Wat is Tenable Vulnerability Management?
Tenable Vulnerability Management heette tot enkele jaren geleden Tenable.io. De naam is veranderd, de onderliggende scantechnologie niet. Het platform draait op dezelfde Nessus-detectiemotor die miljoenen organisaties al kennen van de losse scanner, maar voegt daar een cloudgebaseerde beheerlaag aan toe: een doorlopende asset-inventaris, agents voor endpoints die zelden binnen een scanvenster bereikbaar zijn, en een reeks analysefuncties die verder gaan dan een eenmalig scanrapport. Wie twijfelt of een organisatie genoeg heeft aan de losse scanner of toch het volledige platform nodig heeft, vindt die technische afweging terug in ons eerdere artikel over Tenable Nessus vergeleken met Tenable Vulnerability Management voor aantoonbare NIS2-compliance, waarin de asset-herkenning en rapportageverschillen naast de zorgplicht worden gelegd.
Officieel valt het product tegenwoordig onder de naam Tenable One Vulnerability Management, als onderdeel van het bredere Tenable One Exposure Management platform. In de praktijk, en ook in de eigen productdocumentatie van Tenable, blijft de kortere naam Tenable Vulnerability Management gewoon in gebruik. Het onderscheid met Tenable Security Center is daarbij relevant: Security Center is de on-premises variant, terwijl Tenable Vulnerability Management volledig cloud-hosted is. De console, de data-opslag en de verwerking draaien bij Tenable, een organisatie hoeft zelf geen serverpark voor het beheerplatform in te richten.
De cloudarchitectuur en de sensoren die de data verzamelen
Het platform zelf verzamelt geen data, dat doen de sensoren die eraan gekoppeld worden. Dat zijn Nessus-scanners voor netwerkscans, Nessus Agents voor endpoints, Tenable Network Monitor voor passieve monitring van netwerkverkeer, en optioneel Tenable Web App Scanning voor webapplicaties. Elke sensor rapporteert terug naar de cloudconsole, waar assets vervolgens automatisch worden samengevoegd tot één record per fysiek of virtueel object. Die deduplicatie werkt via een hiërarchie van identificatiekenmerken: een cloud-resource-ID of Active Directory-identifier weegt het zwaarst, een IPv4-adres het lichtst, juist omdat een IP-adres door DHCP zomaar aan een ander apparaat kan worden toegewezen. Voor beheerders betekent dit concreet dat credentialed scans de voorkeur verdienen boven scans zonder inloggegevens, simpelweg omdat het platform dan de betrouwbare kenmerken kan uitlezen in plaats van terug te vallen op een IP-adres dat morgen bij een ander apparaat hoort.
Welke versies en licentievormen van Tenable Vulnerability Management zijn er
Tenable Vulnerability Management is een Software as a Service oplossing, er is dus maar 1 versie. Tenable rolt functionaliteit continu uit en documenteert dat in release notes die soms wekelijks worden bijgewerkt. Wat u als organisatie kiest is een licentievorm. Tenable Vulnerability Management is als standalone abonnement te verkrijgen, geprijsd per beheerd asset, of als onderdeel van Tenable One in twee varianten: Foundation en Advanced. Beide vereisen een minimumafname, honderd assets voor Foundation en driehonderd voor Advanced.
| Onderdeel | Tenable One Foundation | Tenable One Advanced |
|---|---|---|
| Basis | Vulnerability management, webapplicatiebeveiliging, OT en IoT-zichtbaarheid, attack surface management, asset-inventaris, ticketing | Alles uit Foundation, aangevuld met risk scores en benchmarks, workflow en mobilisatie, attack path analysis |
| Cloudbeveiliging | Cloud workload protection | Volledige cloud security posture management inclusief Kubernetes |
| AI-bescherming | AI discovery | AI discovery plus bescherming van AI-workloads en agents |
| Minimale afname | 100 assets | 300 assets |
Belangrijke functionele updates dit jaar
Sinds begin 2026 zijn er verschillende functies bijgekomen die de vraag “wat heb ik precies op mijn netwerk staan” een stuk concreter beantwoorden dan alleen een lijst met CVE-nummers.
Zoals bijvoorbeeld OT Discovery dat programmable logic controllers en human machine interfaces herkent via niet-verstorende queries, zonder dat daar aparte hardware voor nodig is. Voor organisaties met een productieomgeving naast het kantoornetwerk is dat precies het argument dat een OT-inventarisatieproject überhaupt haalbaar maakt. Ik denk dat dit voor veel Nederlandse maakbedrijven en zorginstellingen het overtuigendste onderdeel van de recente uitbreidingen is, juist omdat een los OT-scanproject vaak strandt op de kosten van gespecialiseerde apparatuur.
In juni 2026 kwamen External Attack Surface findings beschikbaar binnen hetzelfde Explore-overzicht als de reguliere kwetsbaarhedendata: certificaatvervaldata, ontbrekende beveiligingsheaders en WHOIS-gegevens van extern zichtbare assets, zonder dat daar een actieve scan voor nodig is. In juli volgden een Software-tab, die per asset laat zien welke applicaties en versies geïnstalleerd staan, en een Host Audits-tab voor configuratie-auditresultaten. Beide tabs zijn direct doorzoekbaar en exporteerbaar, waardoor een auditvraag niet langer via een apart rapport hoeft te lopen.
De meest ingrijpende toevoeging is Tenable Hexa AI, sinds mei 2026 algemeen beschikbaar. Het is geen chatbot die vragen beantwoordt over de data, het voert taken uit: assets doorzoeken, dashboards samenstellen, scans configureren, en op verzoek tickets aanmaken in Jira of ServiceNow direct vanuit een finding. Elke actie die iets wijzigt gaat eerst langs een goedkeuringsstap, en Hexa AI werkt binnen de bestaande rolgebaseerde autorisatie van de gebruiker die de opdracht geeft. Ik zou zelf voorzichtig zijn met het te snel geautomatiseerd laten aanmaken van tickets voor elke gevonden kwetsbaarheid, ook met die goedkeuringsstap, gewoon omdat een gevulde ticketqueue zonder prioritering evenveel ruis oplevert als een onbeheerde scanlijst. De functie is krachtig, maar vervangt geen triage.
Verder is in juli 2026 het onderscheid tussen twee losse risicoscoremodellen opgeheven, VPR v1 en v2 zijn samengevoegd tot één Unified Risk Scoring-model, waardoor de Cyber Exposure Score en Asset Exposure Score na de overgang kunnen verschuiven. Naar mijn mening is die stap verstandig: twee parallelle scoremodellen naast elkaar leidden in de praktijk vaker tot discussie over welk cijfer het juiste was dan tot snellere prioritering. Organisaties die eigen combinaties met een EPSS-filter hebben gebouwd, moeten die overigens wel handmatig controleren, want een eerdere schaalfout in die filters is dit jaar ook gecorrigeerd.
Wat dit betekent voor de zorgplicht onder de Cyberbeveiligingswet
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht die de kernverplichtingen rond zorgplicht en meldplicht bepaald. Een continue asset-inventaris, agents die endpoints buiten kantoortijden nog steeds zien, en een auditspoor van wat wanneer is aangepast, zijn precies het soort bewijsmateriaal waarmee een bestuur kan aantonen dat de zorgplicht geen momentopname is maar een doorlopend proces.
Een jaarlijkse Nessus-scan alleen volstaat daarvoor niet meer, en dat is een van de weinige punten waarop wij bij SolidBE een uitgesproken mening hebben: wie de Cyberbeveiligingswet serieus neemt, kan niet volstaan met periodieke scans en moet naar continue zichtbaarheid, ook als dat betekent dat er eerst geïnvesteerd moet worden in agents op mobiele endpoints. Hoe die verschuiving van kwetsbaarhedenlijst naar exposure management de agenda van de CISO onder dezelfde wet verandert, beschreven we eerder in het artikel over exposure management, AI-governance en ketenrisico als nieuwe agenda van de CISO.
Praktische afwegingen bij de keuze tussen Foundation en Advanced
Foundation dekt de basis: vulnerability management, webapplicatiescans, OT-zichtbaarheid en asset-inventaris in één omgeving. Voor een organisatie die voor het eerst overstapt van losse Nessus-scans naar een beheerplatform, is dat vaak al een enorme sprong ten opzichte van spreadsheets en handmatige rapportages. Advanced wordt pas interessant zodra attack path analysis, workflow-mobilisatie en volledige cloud security posture management daadwerkelijk gebruikt gaan worden, en niet alleen op de wensenlijst staan. Een kleinere organisatie die vooral aantoonbare complianse voor de Cyberbeveiligingswet nodig heeft, is met Foundation meestal voldoende geholpen. Een organisatie met een complexe multicloudomgeving en een eigen SOC heeft meer aan de risicoscores en attack path-functionaliteit van Advanced.
Wat resteert is een praktische vraag die weinig met techniek te maken heeft: is de organisatie bereid om de oude rapportagevorm daadwerkelijk los te laten zodra het nieuwe platform staat, of blijft de spreadsheet naast de dashboard bestaan? Dat laatste kost meer tijd dan de implementatie zelf.
