CompTIA CySA+ en PenTest+: wat ze toetsen en voor wie ze zijn

Wat zijn CompTIA CySA+ en PenTest+?

CompTIA geeft beide certificeringen uit. CySA+ valideert of je cybersecurity-dreigingen kunt detecteren, analyseren en daarop kunt reageren. Het examen toetst dus het verdedigende werk, van het zien van een melding tot het afhandelen van een incident. PenTest+ gaat over penetratietests: je leert een test voorbereiden, uitvoeren en erover rapporteren.

Beide certificeringen noemen aanbevolen ervaring, en daarmee zijn het geen instapcertificeringen. CompTIA plaatst CySA+ in de Cybersecurity Career Pathway, tussen Security+ en SecurityX. Controleer de eisen op de CompTIA-pagina voor CySA+, want versies en eisen wisselen.

Welke versie van CySA+ geldt nu?

CySA+ bestaat in twee versies. V4 is de nieuwe versie met examencode CS0-004. Hij verscheen op 23 juni 2026, en CompTIA beveelt hem aan voor de meest actuele vaardigheden en inhoud. V3 (CS0-003) is de uitfaserende versie en is nog beschikbaar. Op de V3-pagina staat dat V4 nu beschikbaar is. Volgens CompTIA worden de Engelse V3-leermiddelen op 22 november 2026 teruggetrokken, het Engelse V3-examen op 22 december 2026 en de vertalingen op 23 maart 2027.

Kies de versie die aansluit op je studiemateriaal. Wie nu begint, kijkt naar V4, de nieuwste versie. Controleer op de CompTIA-pagina welke versie op jouw examendatum nog beschikbaar is. Het materiaal moet bij de versie passen die je aflegt, want de domeinen en wegingen verschillen (zie hieronder).

Hoe ziet het CySA+-examen eruit?

Het CySA+-examen in V4 (CS0-004) heeft maximaal 85 vragen en duurt 165 minuten. Je slaagt met 750 op een schaal van 100 tot 900. Het examen is in het Engels beschikbaar. Op de CompTIA-pagina staan Frans, Japans, Spaans en Portugees als binnenkort, dus controleer welke talen op de dag van je examen beschikbaar zijn. Het V3-examen heeft dezelfde opzet: maximaal 85 vragen, 165 minuten en 750 op 100 tot 900.

Het examen combineert meerkeuzevragen met performance-based vragen (PBQ's). Die toetsen toegepaste vaardigheden in realistische securityscenario's. Een PBQ is een opdracht in een gesimuleerde omgeving, bijvoorbeeld een logfragment analyseren of een scanresultaat beoordelen. Je doet dan iets, in plaats van een antwoord te kiezen. Oefen daarom ook met logfragmenten en scanuitkomsten, niet alleen met theorie.

Welke domeinen heeft CySA+?

CySA+ V4 heeft vier domeinen. De tabel zet de wegingen van V4 naast die van V3, met een korte uitleg van wat elk domein inhoudt.

Security Operations weegt in V4 het zwaarst, met 34%. Het domein gaat over het dagelijkse werk van bewaken en analyseren, zoals in een security operations-team gebeurt. SIEM-platforms zijn bijvoorbeeld Splunk en Microsoft Sentinel. Vulnerability Management weegt in V3 zwaarder dan in V4 (30% tegen 26%), en de namen van de domeinen verschillen licht tussen de twee versies. Wat dit domein in de praktijk inhoudt, zie je in de vacatures met vulnerability management.

In Incident Response and Management leer je een aanval beschrijven met kaders zoals MITRE ATT&CK. Wie V3-materiaal gebruikt en V4 aflegt, of andersom, moet de verdeling over de domeinen dus bijstellen. Vergelijk je studiemateriaal met de domeinnamen op de CompTIA-pagina voordat je begint.

Wat is PenTest+ en hoe ziet het examen eruit?

PenTest+ heeft examencode PT0-003 en verscheen op 17 december 2024. Het examen heeft maximaal 90 vragen, meerkeuze en performance-based. Het duurt 165 minuten en je slaagt met 750 op een schaal van 100 tot 900. De talen zijn Engels, Frans, Japans en Portugees.

CompTIA schrijft dat PenTest+ je loopbaan als penetratietester of security consultant kan vooruithelpen. Het examen volgt het werk van een test: je maakt afspraken over de scope, verzamelt informatie over een doel, zoekt zwakke plekken, misbruikt ze en beschrijft wat je vindt. Ook bij PenTest+ zijn de vragen deels performance-based, dus het examen vraagt ook om iets te doen.

Over de levensduur van deze versie schrijft CompTIA dat het vorige PenTest+-examen op 17 juni 2025 is teruggetrokken en dat een versie gewoonlijk ongeveer drie jaar na lancering wordt teruggetrokken. Voor PT0-003 wordt dat rond 2027 geschat, maar dat is een verwachting en geen vaste datum. Houd daarom de CompTIA-pagina voor PenTest+ in de gaten als je het examen plant.

Welke domeinen heeft PenTest+?

PenTest+ PT0-003 heeft vijf domeinen. Attacks and exploits weegt het zwaarst.

Attacks and exploits is het grootste domein, met 35%. Het gaat om het misbruiken van zwakke plekken, zodat je de impact aantoont. Voorbeelden van testtools zijn Nmap, Burp Suite en Metasploit. Meer over de tools lees je in pentest-tools uitgelegd.

Een penetratietest voer je alleen uit met schriftelijke toestemming van de eigenaar van het systeem en binnen de afgesproken scope. Dat hoort bij het vak, en het komt terug in het domein Engagement management. Wie het werk wil leren, leest meer over de rol van de ethical hacker en over de vacatures voor ethical hackers.

Welke ervaring raadt CompTIA aan?

CompTIA geeft per versie een aanbeveling voor ervaring. Het zijn aanbevelingen: de pagina noemt geen verplichte eisen.

• CySA+ V4: ongeveer 4 jaar in een rol als SOC-analist of vulnerability analyst.
• CySA+ V3: Network+ of Security+ (of gelijkwaardige kennis), plus minimaal 4 jaar praktijkervaring als incident response analyst, SOC-analist of in een vergelijkbare rol.
• PenTest+: 3 tot 4 jaar in een rol als penetratietester, met Network+ en Security+ of gelijkwaardige kennis.

Wie minder ervaring heeft, kan het examen nog steeds overwegen. Reken dan wel op meer zelfstudie. De aanbevolen ervaring laat zien voor wie het examen is gemaakt: mensen die al in het vak werken of ermee zijn begonnen.

Hoe lang zijn CySA+ en PenTest+ geldig en hoe verleng je?

CompTIA-certificeringen zijn drie jaar geldig. Om te verlengen via continuing education (CE) vraagt CompTIA voor CySA+ 60 CEU's en voor PenTest+ eveneens 60 CEU's in de driejarige cyclus. Lees de CompTIA-pagina over CEU's voor de precieze regels.

Je kunt een certificering ook verlengen door een hogere CompTIA-certificering te halen. Volgens de CE-faq van CompTIA betaal je dan geen CE-bijdrage voor de lagere certificering. CompTIA noemt SecurityX hoger dan CySA+ en PenTest+, en zet CySA+ en PenTest+ op hetzelfde niveau. Wie meerdere certificeringen heeft, betaalt alleen de CE-bijdrage voor de hoogste. De bijdrage moet vóór de vervaldatum zijn betaald. CertMaster CE is een verlengingsoptie die CompTIA noemt.

Houd je CEU's over de drie jaar verspreid bij. Dan hoef je niet alles in het laatste jaar in te halen.

CySA+, PenTest+ of een andere certificering?

CySA+ is de verdedigende kant, ook wel het blue team. Het past bij SOC-werk en bij het beheren van kwetsbaarheden. PenTest+ is de aanvallende kant, ook wel het red team, en past bij testwerk. Lees blue team, red team en purple team voor het verschil in werk. Functies die bij CySA+ passen zijn cyber security analist, threat hunter en incident responder. Bij PenTest+ passen red team specialist en ethical hacker.

Security+ is de basiscertificering om mee te vergelijken, zie Security+. Wie een volledig praktijkgericht aanvalsexamen zoekt, kijkt naar OSCP. Wie een breed overzicht van aanvalstechnieken wil, kijkt naar CEH. De ISC2 Certified in Cybersecurity is een alternatieve instap. Voor een vergelijking van de instaproutes lees je OSCP, CEH, Security+ en de instapcertificeringen.

Voor wie nog geen praktijkervaring heeft, lijkt een basiscertificering zoals Security+ of de ISC2 CC een logischer begin dan CySA+ of PenTest+. Zie dat als richtlijn, niet als regel. Welke certificering bij jouw functie past, lees je in welke certificeringen per functie. Op de werkgeverspagina voor SOC-analisten en de werkgeverspagina voor penetratietesters zie je welke werkgevers deze functies hebben. Kijk in de vacatures voor je doelfunctie welke certificeringen worden genoemd.