Priser, prisfaktorer og regler 2026
Pris på penetrationstest: hvad bestemmer prisen, og hvad skal rapporten indeholde?
Typer af penetrationstest for SMV'er, hvordan prisen afhænger af omfang, metode og gentest, og hvad I skal kræve af tilbud og rapport.
En penetrationstest (pentest) er et aftalt, autoriseret angreb på bestemte systemer, hvor testeren forsøger at finde og udnytte sårbarheder og bagefter afleverer en rapport med fund og anbefalinger. Prisen afhænger især af omfanget (antal IP-adresser, webapplikationer, brugerroller), metoden (udefra, indefra, med eller uden forhåndsviden) og om der er gentest efter rettelser. Som illustrativt spænd kan en afgrænset test af en lille virksomheds eksterne adresser koste 25.000–60.000 kr., mens en grundig test af en webapplikation med flere brugerroller kan ligge på 60.000–150.000 kr. ekskl. moms. De fleste tests prissættes som fast pris ud fra et antal testdage.
Guiden hører under prisoverblikket. Alle beløb er illustrative. Læs også om tilladelse og straffeloven, før I bestiller.
Typer af test
| Type | Hvad testes | Typisk brug |
|---|---|---|
| Ekstern netværkstest | Det, der er synligt fra internettet: firewall, VPN, mailserver, fjernadgang | Årligt eller efter ændringer |
| Intern netværkstest | Hvad en angriber kan gøre, når de først er inde (fx via en inficeret computer) | Virksomheder med eget netværk og servere |
| Webapplikationstest | Webshop, kundeportal eller app, herunder login og rettigheder | Før lancering og ved større opdateringer |
| Cloud- og konfigurationsgennemgang | Indstillinger i Microsoft 365, Google Workspace eller cloudplatforme | Når data primært ligger i skyen |
| Social engineering | Phishing-kampagne eller telefonopkald mod medarbejdere | Måling af awareness |
| Red team | Bredt, realistisk angreb over længere tid | Større organisationer med modent beredskab |
For de fleste SMV'er er en ekstern test og en gennemgang af cloudopsætning det mest relevante sted at starte, fordi det er der, angribere typisk kommer ind.
Hvad prisen afhænger af
- Antal mål: Flere IP-adresser, flere webapplikationer og flere brugerroller giver flere testdage.
- Viden på forhånd: En "black box"-test uden forhåndsviden tager ofte længere tid end en "grey box"-test, hvor testeren får en brugerkonto og dokumentation. Grey box giver ofte mere for pengene.
- Dybde: Automatisk scanning med manuel efterprøvning er billigere end grundig manuel test.
- Tidspunkt: Test uden for arbejdstid, fx for at undgå forstyrrelse af drift, kan koste mere.
- Rapport: En ledelsesresumé plus teknisk rapport er standard. Ekstra møder og præsentation for bestyrelse kan faktureres.
- Gentest: Kontrol af, at fundene er rettet. Nogle tilbud har én gentest med, andre fakturerer den separat.
Regneeksempel: tre testpakker
Illustrativt eksempel med en dagspris på 10.000 kr. ekskl. moms:
| Pakke | Testdage | Rapport og møde | Gentest | I alt |
|---|---|---|---|---|
| Ekstern test, 8 IP-adresser | 3 | 1 dag | 0,5 dag | 45.000 kr. |
| Webshop med 2 brugerroller | 6 | 1 dag | 1 dag | 80.000 kr. |
| Ekstern + intern + Microsoft 365 | 9 | 1,5 dag | 1 dag | 115.000 kr. |
Beregning for første linje: (3 + 1 + 0,5) × 10.000 = 45.000 kr. Med 25 % moms: 56.250 kr. Momsen kan normalt fratrækkes, hvis virksomheden har fuld fradragsret.
Laves den eksterne test hvert år, og webshoppen hvert andet år, er den gennemsnitlige årlige udgift 45.000 + 80.000 / 2 = 85.000 kr. Det beløb kan I lægge ind i budgettet sammen med overvågningen.
Pentest eller sårbarhedsscanning?
En sårbarhedsscanning er automatisk og kan køre hver uge eller måned. Den finder kendte svagheder, fx manglende opdateringer. En pentest er manuel og kreativ: testeren kombinerer små svagheder til et reelt angreb. Mange SMV'er får mest ud af løbende scanning som abonnement suppleret med en pentest én gang om året eller efter større ændringer.
Hvad tilbuddet skal indeholde
- Præcist omfang: hvilke IP-adresser, domæner, applikationer og konti der må testes – og hvad der er udenfor.
- Tidsrum: hvornår testen foregår, og hvem der kan stoppe den.
- Metode: black, grey eller white box, og hvilke standarder testeren følger.
- Kontaktpersoner hos begge parter, også uden for arbejdstid.
- Håndtering af kritiske fund: Fundet en alvorlig sårbarhed midt i testen, skal I have besked med det samme – ikke først i rapporten.
- Rapport: ledelsesresumé, fund med alvorlighed, bevis og konkret anbefaling.
- Gentest: med eller ej, og inden for hvor lang tid.
- Fortrolighed og sletning af data, testeren har set.
Sammenlign tilbud efter samme omfang. Se tilbudssammenligning og kravliste.
Typiske fejl
- For snævert omfang: Test af hjemmesiden, men ikke af mailsystemet eller fjernadgangen.
- Ingen ejer af rettelserne: Rapporten ligger i en mappe, og fundene rettes aldrig. Aftal, hvem der retter, og hvornår.
- Glemt tredjepart: Ligger systemet hos en hostingleverandør eller i skyen, skal deres regler for test overholdes.
- Ingen skriftlig tilladelse: Se penetrationstest og straffeloven.
Ofte stillede spørgsmål
Hvor ofte skal vi lave en pentest?
Der er ingen generel lovregel for SMV'er om hyppighed. Mange vælger én gang om året og efter større ændringer, eller når en kunde kræver det. Er I omfattet af NIS2, skal I have politikker for at vurdere effektiviteten af jeres sikkerhedsforanstaltninger (§ 6, stk. 1, nr. 6), og en test kan være en del af det.
Kan vores MSSP selv lave pentesten?
Det kan de, men en uafhængig tester ser ofte med friske øjne – og tester også det, jeres egen leverandør har sat op. Overvej at bruge en anden leverandør til test end til drift.
Får vi en garanti for, at vi er sikre bagefter?
Nej. En pentest viser, hvad testeren fandt inden for omfang og tid. Den er et øjebliksbillede, ikke en garanti.
Kilder
- Retsinformation – straffeloven § 263 og NIS2-loven § 6
- Styrelsen for Samfundssikkerhed – vejledning om sikkerhedsforanstaltninger
- SikkerDigital – test og værktøjer til virksomheder
