Beste Europese kwetsbaarheidsscanners

#1 Greenbone

Osnabrück, Duitsland Gratis OpenVAS / Community Edition; Greenbone Enterprise instapappliance OPENVAS BASIC vanaf €2,524 per jaar, OPENVAS SCAN op aanvraag Gratis Community Edition (OpenVAS)

Het meest geschikt voor: Teams die een open-source scanner willen die ze zelf kunnen hosten

• Exploiterend bedrijf. Greenbone AG
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Duitsland (bedrijf, Neumarkt 12, 49074 Osnabrück)
• Broncode. Open source
• Vervangt. Tenable Nessus, Qualys VMDR, Rapid7 InsightVM

Greenbone bouwt voort op OpenVAS, de open-source engine voor kwetsbaarheidsscans, en die afkomst is het verkoopargument: de engine kun je inspecteren, zelf hosten en zonder licentiekosten uitproberen via de gratis Community Edition, in plaats van hem op het woord van de leverancier te vertrouwen.

De commerciële laag komt daarbovenop. Greenbone Enterprise begint met de OPENVAS BASIC-appliance vanaf €2,524 per jaar, met OPENVAS SCAN op aanvraag. Voor een overheidsinstantie of universiteit met een regel tegen beveiligingssoftware die niet controleerbaar is, is een open engine met een betaalde, ondersteunde feed een specifiek antwoord dat weinig concurrenten bieden.

Greenbone AG is gevestigd aan de Neumarkt 12 in Osnabrück, Duitsland. De eerlijke beperking is dat een scanner zwakke plekken vindt en rapporteert maar een aanval niet blokkeert, en dat de open editie goed draaien iemand vraagt die de output kan interpreteren en prioriteren.

Opvallende functie. Een open-source scanengine die je zelf kunt controleren, met een betaalde feed erbovenop in plaats van in de plaats ervan.

#2 Detectify

Stockholm, Zweden Starter gratis / Standard vanaf €2,500 / Professional vanaf €5,000 / Enterprise vanaf €15,000 per jaar (jaarlijkse platformvergoeding); API-scans en PCI ASV-scans (€500 per jaar) kosten extra Gratis Starter-variant

Het meest geschikt voor: Teams die continue web- en aanvalsoppervlakscans willen met gepubliceerde prijzen

• Exploiterend bedrijf. Detectify AB, Zweeds reg.nr. 556985-9084
• Jurisdictie. EU (Zweden)
• Waar de gegevens staan. Zweden (bedrijf, Kornhamnstorg 6, Stockholm); er is een Amerikaans kantoor in Boston
• Broncode. Closed source
• Vervangt. Invicti, Tenable, Qualys

Detectify combineert het in kaart brengen van het externe aanvalsoppervlak met applicatiescans. Het ontdekt continu wat een organisatie aan internet blootstelt en test dat vervolgens. De payloads komen deels uit het eigen onderzoek van Detectify en deels van Crowdsource, een netwerk van ethische hackers.

De prijzen worden gepubliceerd en zijn niet alleen op offerte: een gratis Starter-variant, daarna Standard vanaf €2,500, Professional vanaf €5,000 en Enterprise vanaf €15,000 als jaarlijkse platformvergoeding. API-scans (REST en GraphQL) en PCI ASV-scans komen erbovenop; die laatste kosten €500 per jaar. De getoonde prijs is dus een ondergrens, geen totaalprijs.

Detectify AB is in Zweden geregistreerd onder nummer 556985-9084, met kantoor aan de Kornhamnstorg 6 in Stockholm en een tweede kantoor in Boston. Het is een scanner en tool voor het aanvalsoppervlak, geen WAF, dus het vindt blootstelling in plaats van die te blokkeren.

Opvallende functie. Gepubliceerde prijzen van een gratis variant tot €15,000 per jaar, zeldzaam voor applicatiebeveiliging voor grote organisaties.

#3 Intruder

Londen, Verenigd Koninkrijk Opgericht in 2015 Abonnementen met maand- of jaarlijkse facturatie (bedragen staan niet in de paginatekst); AI-gestuurde webapp-pentests vanaf $3,500 per test Gratis proefperiode beschikbaar ("Probeer gratis")

Het meest geschikt voor: Kleine en middelgrote teams die externe en cloudscans willen zonder er veel omkijken

• Exploiterend bedrijf. Intruder Systems Ltd, geregistreerd in Engeland
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Verenigd Koninkrijk (bedrijf, 1 Mark Square, London EC2A 4EG)
• Broncode. Closed source
• Vervangt. Tenable Nessus, Qualys, Rapid7

Intruder is een platform voor kwetsbaarheidsbeheer dat externe en interne infrastructuur, webapplicaties, API's, cloudaccounts en containerimages bestrijkt. Het adverteert met meer dan 140,000 controles en sinds 2018 met scans op opkomende dreigingen die zoeken naar nieuw gepubliceerde problemen bij de doelen van een klant.

De prijspagina toont abonnementen met maand- of jaarlijkse facturatie, maar de bedragen staan niet in de paginatekst, dus hier wordt er geen genoemd. Wat wel staat is de prijs van de AI-gestuurde webapp-pentests: vanaf $3,500 per test. Er is een gratis proefperiode. De site noemt in de abonnementsvergelijking ook de engines Nuclei, OpenVAS en Tenable. Dat laat zien dat Intruder voortbouwt op gevestigde scanners en niet alleen op eigen techniek.

Intruder Systems Ltd is in Engeland geregistreerd en gevestigd aan 1 Mark Square in Londen, opgericht in 2015. Het valt daarmee onder Brits recht. Voor doorgiften vanuit de EU geldt een adequaatheidsbesluit, maar het bedrijf valt buiten de EER.

Opvallende functie. Eén platform voor infrastructuur, web, cloud en containers, met scans die worden geactiveerd door nieuw gepubliceerde problemen.

#4 Pentest-Tools.com

Boekarest, Roemenië Opgericht in 2017 Vanaf $95 per maand (NetSec), $140 per maand (WebNetSec) en $190 per maand (Pentest Suite) bij 5 assets; de prijs verschilt per aantal assets en factureringscyclus; bij jaarlijkse facturatie betaal je voor 10 maanden Lichte versies van meerdere tools gratis uit te proberen

Het meest geschikt voor: Consultants en kleine teams die per asset betalen, niet per gebruikersplaats

• Exploiterend bedrijf. PENTESTTOOLS S.A., Roemeense naamloze vennootschap
• Jurisdictie. EU (Roemenië)
• Waar de gegevens staan. Roemenië (bedrijf, 48 Iancu de Hunedoara Bvd, Boekarest)
• Broncode. Closed source
• Vervangt. Nessus, Qualys, Invicti

Pentest-Tools.com is een platform uit Boekarest met 25 online tools: scanners voor website, API, netwerk en cloud, naast verkenningstools en exploittools. Het is opgericht in 2017, zegt meer dan 2,100 klanten in 119 landen te hebben en laat je lichte versies van meerdere tools gratis uitproberen.

De prijzen worden per asset gepubliceerd: bij vijf assets begint NetSec op $95 per maand, WebNetSec op $140 en Pentest Suite op $190. De prijs stijgt mee met het aantal assets, en bij jaarlijkse facturatie betaal je tien maanden. Onbeperkt scannen van je eigen assets en onbeperkte teamleden zitten in alle abonnementen.

De voorwaarden noemen PENTESTTOOLS S.A., een Roemeense naamloze vennootschap met statutaire zetel aan Iancu de Hunedoara Boulevard in Boekarest. De gestructureerde data van de site gebruikt de oudere "SRL"-vorm, dus controleer het contract dat je krijgt. Het is meer een toolbox voor testers dan een platform om risico's voor een CISO te rangschikken.

Opvallende functie. Geprijsd per asset, met onbeperkt scannen en onbeperkte gebruikers, wat past bij consultants die veel kleine klanten testen.

#5 Outpost24

Karlskrona, Zweden Offerte per klant; geen prijs op de gecontroleerde pagina's

Het meest geschikt voor: Grotere organisaties die een Zweedse leverancier voor kwetsbaarheids- en blootstellingsbeheer willen

• Exploiterend bedrijf. Outpost24 AB, bedrijfsnummer 556615-2103
• Jurisdictie. EU (Zweden)
• Waar de gegevens staan. Zweden (bedrijf, Blekingegatan 1, 371 57 Karlskrona); locatie van de data niet gecontroleerd
• Broncode. Closed source
• Vervangt. Tenable, Qualys, Rapid7

Outpost24 verkoopt risicogebaseerd kwetsbaarheidsbeheer via Outscan NX, dat netwerken, cloudservices en assets beoordeelt en bevindingen rangschikt met threat intelligence en niet alleen met CVSS. Het verkoopt ook extern beheer van het aanvalsoppervlak en applicatiebeveiligingstests, die penetratietesten als dienst combineren met geautomatiseerde scans.

De prijs wordt per klant opgevraagd en op de gecontroleerde pagina's stond geen prijs. Het contract is een gepubliceerde Master Agreement met dienstspecifieke voorwaarden, een service level agreement, een verwerkersovereenkomst en een DORA-bijlage. Dat past bij gereguleerde kopers die die papieren vooraf willen hebben.

De contracterende partij is Outpost24 AB, bedrijfsnummer 556615-2103, aan de Blekingegatan 1 in Karlskrona. De eigen site van de leverancier gaf bij ons ophaalverzoek een toegangsfout, dus dit komt uit de Master Agreement zoals de zoekmachine die teruggaf, niet van een pagina die wij openden. Productdetails komen uit zoekresultaten, niet van de pagina's van de leverancier.

Opvallende functie. Een contractset met een DORA-bijlage, gemaakt voor gereguleerde kopers.

#6 Holm Security

Bromma (Stockholm), Zweden Offerte aanvragen; geen bedragen op de prijspagina Gratis proefperiode aangeboden

Het meest geschikt voor: Noordse en EU-organisaties die zich voorbereiden op NIS2 en PCI-scans

• Exploiterend bedrijf. H.O.L.M. Security Sweden AB, registratienummer 5590304217 (met Holm Security Benelux B.V., Amsterdam)
• Jurisdictie. EU (Zweden)
• Waar de gegevens staan. Zweden (bedrijf, Gustavslundsvägen 137, Bromma); de site zegt dat het VMP-platform in Europa is gehost
• Broncode. Closed source
• Vervangt. Tenable, Qualys, Rapid7

Holm Security is een platform voor systeem- en netwerkscans, webapplicatiebeveiliging, cloud security posture (CSPM), API-scans en phishingsimulatie, met Active Directory-, OT- en PCI ASV-gecertificeerde scans als onderdelen. De site draait om compliance met NIS2, DORA en ISO 27001.

De prijs gaat op offerte en de prijspagina toont geen bedragen, al is er een gratis proefperiode. De site zegt dat het VMP-platform in Europa is gehost, wat meer is dan de meeste leveranciers in deze gids over de locatie van data zeggen.

De verwerkingsverantwoordelijke is H.O.L.M. Security Sweden AB, registratienummer 5590304217, aan de Gustavslundsvägen 137 in Bromma, Stockholm, met Holm Security Benelux B.V. in Amsterdam als gezamenlijk verwerkingsverantwoordelijke binnen dezelfde groep. De eerlijke beperking: door de breedte over scans, phishing en training is elke module een onderdeel van een grotere suite en geen specialist.

Opvallende functie. Een van de weinige leveranciers hier die zegt dat het scanplatform in Europa is gehost.

#7 Aikido Security

Gent, België Opgericht in 2022 Developer gratis (2 gebruikers) / Basic $300 per maand / Pro $600 per maand (elk inclusief 10 gebruikers) / Enterprise op aanvraag; prijzen exclusief belasting Gratis abonnement, geen creditcard

Het meest geschikt voor: Developerteams die code-, afhankelijkheids-, container- en cloudscans in één tool willen

• Exploiterend bedrijf. Aikido Security BV, BE0792914919
• Jurisdictie. EU (België)
• Waar de gegevens staan. België (bedrijf, Coupure Rechts 88, Gent volgens het privacybeleid); kantoren ook in de Verenigde Staten en het Verenigd Koninkrijk
• Broncode. Closed source
• Vervangt. Snyk, Qualys, Tenable

Aikido Security is een applicatiebeveiligingsplatform uit Gent, opgericht in 2022. Het scant afhankelijkheden, secrets, broncode (SAST), containers, cloudconfiguratie en infrastructure as code, met DAST- en domeinscans inbegrepen. Het gratis Developer-abonnement dekt twee gebruikers binnen fair-use-grenzen.

De prijzen worden in dollars gepubliceerd en zijn exclusief belasting: Basic op $300 per maand en Pro op $600 per maand, elk inclusief tien gebruikers, met Enterprise op aanvraag. Dat is een van de duidelijkste prijzen in deze gids en de goedkoopste route naar een beheerde scanner.

De contracterende partij is Aikido Security BV, BE0792914919, gevestigd aan de Coupure Rechts 88 in Gent volgens het privacybeleid, terwijl de voettekst van de site ook kantoren in de Verenigde Staten en het Verenigd Koninkrijk vermeldt. Het scant code en cloud veel meer dan interne netwerken, dus het vult een Nessus-achtige scanner aan in plaats van die te vervangen.

Opvallende functie. De enige scanner hier met een gratis abonnement dat code, containers en cloud samen dekt.

#8 Cyberwatch

Parijs, Frankrijk Niet gepubliceerd

Het meest geschikt voor: Organisaties die kwetsbaarheidsscans on-premises of luchtgescheiden nodig hebben

• Exploiterend bedrijf. CYBERWATCH SAS, RCS Parijs 809 514 318
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Frankrijk (bedrijf, 10 rue Penthièvre, 75008 Parijs); het platform draait als SaaS, on-premises of volledig luchtgescheiden; de marketingsite wordt gehost door Webflow in de Verenigde Staten
• Onafhankelijke controles. Hexatrust-lid, Cybersecurity Made in Europe-label (zoals de leverancier zelf meldt)
• Broncode. Closed source
• Vervangt. Tenable Nessus, Qualys, Rapid7

Cyberwatch is een platform uit Parijs voor kwetsbaarheidsbeheer en configuratiebeheer van endpoints, met dekking voor Microsoft 365 en Entra ID. Het onderscheidende punt is de uitrol: als SaaS, on-premises of volledig luchtgescheiden, zodat de bevindingen binnen je eigen infrastructuur kunnen blijven.

De leverancier meldt lid te zijn van Hexatrust en het label Cybersecurity Made in Europe te hebben. De prijs staat niet gepubliceerd op de gecontroleerde pagina's, dus een demo is de weg naar een offerte.

De uitgever is CYBERWATCH, een vereenvoudigde naamloze vennootschap die in het Parijse handelsregister is ingeschreven onder nummer 809 514 318, aan de 10 rue Penthièvre, 75008 Parijs. Een detail om te weten: de juridische kennisgeving zegt dat de marketingwebsite wordt gehost door Webflow Inc. in San Francisco. Dat gaat over de website, niet over de scanner, maar het staat wel op de pagina.

Opvallende functie. Het kan volledig luchtgescheiden draaien, zodat scandata helemaal binnen je eigen muren blijft.

#9 Escape

Frankrijk Opgericht in 2020 Niet in de paginatekst vermeld

Het meest geschikt voor: Teams met veel API's die tests van de bedrijfslogica nodig hebben, niet alleen scans op bekende CVE's

• Exploiterend bedrijf. Escape Technologies SAS
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Frankrijk (bedrijf, volgens het privacybeleid; het straatadres daar is onvolledig)
• Broncode. Closed source
• Vervangt. Invicti, Rapid7 InsightAppSec

Escape is een Franse dynamische scanner die zich positioneert tegenover oudere scanners. De eigen AI-gestuurde DAST richt zich op fouten in de bedrijfslogica van webapplicaties en API's, en voegt continue externe netwerkpentests met hertest toe, plus beheer van het aanvalsoppervlak over apps, API's en infrastructuur.

Escape zegt opgericht te zijn in 2020. Er is een prijspagina, maar die toont geen bedragen in de paginatekst, dus hier wordt er geen genoemd, en de site stuurt bezoekers naar een demo. Een kostenvergelijking is daardoor niet mogelijk zonder verkoopgesprek.

Het privacybeleid noemt Escape Technologies SAS als bedrijf en verwerkingsverantwoordelijke; het straatadres dat daar staat is onvolledig, dus hier wordt alleen het land, Frankrijk, vermeld. Het is een specialist voor moderne applicatiestacks en brengt geen oud intern netwerk in kaart.

Opvallende functie. Het richt zich op fouten in de bedrijfslogica die scanners op basis van handtekeningen niet zien.

#10 Edgescan

Dublin, Ierland Opgericht in 2017 Demo op aanvraag; geen prijs op de gecontroleerde pagina's

Het meest geschikt voor: Kopers die geautomatiseerde scans willen waarbij een mens de resultaten valideert

• Exploiterend bedrijf. BCC Risk Advisory Limited, handelend als Edgescan, registratienummer 497804
• Jurisdictie. EU (Ierland)
• Waar de gegevens staan. Ierland (bedrijf, Unit 701 Northwest Business Park, Ballycoolin, Dublin 15); ook een kantoor in New York
• Broncode. Closed source
• Vervangt. Qualys, Rapid7, Tenable

Edgescan is een platform uit Dublin voor continue beveiligingstests en blootstellingsbeheer, geleverd als SaaS. Het biedt full-stack scans en penetratietesten als dienst, een combinatie van geautomatiseerde breedte en menselijke beoordeling, plus PCI-goedgekeurde scans.

Edgescan is in 2017 opgericht door Eoin Keary en heeft kantoren in Dublin en New York. Op de gecontroleerde pagina's stond geen prijs en er wordt om een demo gevraagd.

De site is eigendom van en wordt beheerd door BCC Risk Advisory Limited, registratienummer 497804, handelend als Edgescan, met statutaire zetel aan Unit 701, Northwest Business Park, Ballycoolin, Dublin 15, Ierland. Dat maakt het een van de weinige Ierse leveranciers in deze categorie, en het valt daarmee onder EU-recht. De menselijke validatie betekent meer filtering van false positives, maar ook een langzamere doorlooptijd dan bij een pure scanner.

Opvallende functie. Een mens controleert de bevindingen, en dat vermindert de false positives die een pure scanner overlaat.

#11 Burp Suite

Knutsford, Verenigd Koninkrijk Burp Suite Community Edition gratis / Burp Suite Professional $499 (eenjarig abonnement als optie op de kooppagina, per gebruiker) / Enterprise op aanvraag Gratis Community Edition en een gratis proefperiode van Professional

Het meest geschikt voor: Pentesters en developers die webapps handmatig testen

• Exploiterend bedrijf. PortSwigger Ltd
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Verenigd Koninkrijk (bedrijf, 6 Booths Park, Chelford Road, Knutsford, WA16 8ZS)
• Broncode. Closed source
• Vervangt. Invicti Netsparker, Acunetix, Rapid7 InsightAppSec

Burp Suite van PortSwigger is de toolkit van de handmatige webpentester: een onderscheppende proxy, repeater- en intrudertools, en een webkwetsbaarheidsscanner in de betaalde Professional-editie. De gratis Community Edition biedt de handmatige tools, zonder scanner.

Burp Suite Professional staat op de productpagina voor $499, met op de kooppagina een abonnementsoptie van een jaar, per gebruiker. Enterprise-edities zijn apart. Extensies komen via de BApp Store.

De juridische entiteit is PortSwigger Ltd, 6 Booths Park, Chelford Road, Knutsford, WA16 8ZS, Verenigd Koninkrijk, onder Brits recht, met een adequaatheidsbesluit voor EU-doorgiften maar buiten de EER. Het is een tool voor iemand die test, geen platform dat een omgeving doorlopend bewaakt. Hier vult het dus een scanner aan in plaats van die te vervangen.

Opvallende functie. De tool waarin menselijke testers echt werken, met een gratis editie om mee te leren.

#12 HTTPCS

Montpellier, Frankrijk Gratis proefperiode van 14 dagen; abonnementsprijzen staan niet in de paginatekst 14 dagen gratis proberen

Het meest geschikt voor: Franse bedrijven die een webscanner en een controle van het aanvalsoppervlak bij één leverancier willen

• Exploiterend bedrijf. Ziwit SAS, RCS Montpellier B 525 202 917
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Frankrijk (bedrijf, 30 Rue Isabelle Eberhardt, Montpellier)
• Broncode. Closed source
• Vervangt. Invicti, Qualys, Acunetix

HTTPCS is de webkwetsbaarheidsscanner van Ziwit, met dynamische applicatiescans en een evaluatie van het externe aanvalsoppervlak. De site biedt een gratis proefperiode van 14 dagen en een startpunt "controleer in een paar klikken of je site kwetsbaar is".

De abonnementsprijzen staan niet in de paginatekst die we lazen, dus er wordt geen prijs genoemd. De proefperiode is de manier om het echte bedrag te zien voordat je je vastlegt. De site en de support zijn primair Franstalig, met een Engelse versie. Dat is prima voor een Franse koper en een kleine hindernis voor anderen.

HTTPCS is het exclusieve eigendom van Ziwit, een SAS met een maatschappelijk kapitaal van €1,140,000, ingeschreven in het handelsregister van Montpellier onder B 525 202 917, met het hoofdkantoor aan de 30 Rue Isabelle Eberhardt. Het is kleiner en internationaal minder bekend dan Detectify of Greenbone.

Opvallende functie. Een Franse webscanner die je 14 dagen kunt proberen voordat je met iemand praat.