Een van de meest bedrijfskritische disciplines
Cyber- en informatiebeveiliging is uitgegroeid tot een van de meest bedrijfskritische disciplines in de Nederlandse technologiemarkt. Nu organisaties te maken hebben met groeiende cyberdreigingen, strengere regelgeving en steeds complexere digitale omgevingen, hebben ze professionals nodig die systemen, data en bedrijfsprocessen kunnen beschermen. Nu de Cyberbeveiligingswet (de Nederlandse implementatie van NIS2) van kracht is en DORA geldt voor financiële instellingen, staat security nadrukkelijk op de bestuurlijke agenda.
Wij verbinden ervaren cybersecurityprofessionals met werkgevers in fintech, insurtech, greentech en transport, en helpen hen complexe securityvraagstukken op te lossen, de securitystrategie te beïnvloeden en een sleutelrol te spelen in veilige digitale transformatie.
Start je Cybersecurity-carrière
Deskundig advies van Country Director Jo Callaghan
De meest effectieve leertrajecten in de Nederlandse cybersecurity hebben een vergelijkbare opbouw, ook al komen mensen van heel verschillende startpunten: algemene IT, softwareontwikkeling, netwerken en steeds vaker zij-instromers die zich vastleggen om vanaf nul een technische basis op te bouwen. Een basiscertificering zoals CompTIA Security+ is een goed begin en laat voor instapfuncties zien dat je serieus bent.
Daarna splitst het pad zich. Wie pentester wil worden, werkt toe naar OSCP, en naar OSEP voor meer gevorderde offensieve functies, naast regelmatige praktijkoefening. In de Nederlandse financiële sector ontstaat via threat-led testing onder DORA bovendien een eigen route naar red teaming. Wie richting governance, risk of leiderschap gaat, zal CISSP en CISM steeds relevanter vinden, en kennis van NIS2 en de AVG is een praktisch voordeel. De fout die we het vaakst zien, is certificeringen als de hele strategie behandelen: ze openen deuren, maar de sterkste kandidaten combineren ze met een echt trackrecord van praktisch werk.
Werkgevers die cybersecurityfuncties invullen, hechten doorgaans meer waarde aan aantoonbare praktische vaardigheden dan aan een cv dat alleen op kwalificaties leunt. Een aantal aanpakken versterkt de positie van een kandidaat keer op keer:
- Werken in een homelab: door je eigen omgeving in te richten om aanvallen, verdediging en monitoring te oefenen, heb je iets concreets om in een gesprek toe te lichten.
- Bug bounty en coordinated disclosure: echte kwetsbaarheden vinden en verantwoord melden is een sterk signaal, en Nederland kent een bijzonder open disclosurecultuur, met door vrijwilligers gedragen organisaties zoals het Dutch Institute for Vulnerability Disclosure (DIVD) die bijdragers echte casussen laten oppakken.
- Capture the flag (CTF)-wedstrijden: een gewaardeerde manier om praktische vaardigheden op te bouwen en te laten zien, en een goed gespreksonderwerp tijdens sollicitatiegesprekken.
- Bijdragen aan open source: bijdragen aan securitytooling laat initiatief zien en geeft interviewers iets concreets om over door te vragen.
- Gedocumenteerde eigen projecten: zelfs een goed geschreven verslag van hoe je een specifieke kwetsbaarheid of oefening hebt aangepakt, laat zowel vaardigheid als communicatievermogen zien.
Een sterk portfolio met praktisch werk doet het doorgaans beter dan een algemene informaticaopleiding zonder praktisch bewijs. Certificeringen blijven belangrijk, omdat ze een duidelijke manier zijn om kennis aan te tonen, en vooral OSCP is vaak een harde eis voor pentestfuncties. Sta je aan het begin van je zoektocht en weet je niet goed waar je prioriteit moet liggen, praat dan eerst met ons voordat je maanden in de verkeerde voorbereiding steekt.
De specifieke technische eisen verschillen per specialisme, maar deze vaardigheden komen steeds terug in de functies die wij invullen:
- Netwerkfundamenten: een echt begrip van hoe systemen met elkaar communiceren, de basis onder vrijwel elk securityspecialisme.
- Besturingssystemen: Windows en Linux, want om te begrijpen hoe systemen misbruikt kunnen worden, moet je begrijpen hoe ze werken.
- Cloudsecurity: Azure komt het vaakst voor in de functies die wij invullen, en certificeringen als SC-200 en AWS Security Specialty zien we regelmatig terug, zeker nu DORA geldt voor financiële entiteiten en de Cyberbeveiligingswet (NIS2) een veel bredere groep organisaties onder de regels brengt.
- Dreigingsdetectie en monitoring: SIEM-tools en loganalyse, de kern van SOC- en incident-responsefuncties.
- Penetratietesten: voor offensieve functies telt praktische vaardigheid zwaarder dan bekendheid met tools, en OSCP en OSEP zijn de certificeringen die gewicht hebben.
- Governance en compliance: ISO 27001, de AVG en in toenemende mate NIS2 zelf, dat de werving van GRC-specialisten en consultants ingrijpend verandert.
- Communicatie en stakeholdermanagement: risico's helder uitleggen aan niet-technisch leiderschap, steeds belangrijker naarmate je senioriteit groeit.
- Scripting en automatisering: Python is bij de meeste technische specialismen nuttig voor het bouwen van tooling en het automatiseren van analyses
De kandidaten die het snelst doorgroeien, zijn zelden degenen met de langste lijst certificeringen. Het zijn degenen die kunnen uitleggen welke afweging ze onder druk hebben gemaakt, waarom een bepaalde maatregel in een specifieke context ertoe deed en wat ze hebben geleerd van iets dat misging. Juist die redenering toetsen interviewers, of de vragen nu zo klinken of niet.
De best betaalde cyberfuncties zijn leiderschaps- en architectuurfuncties: CISO's, Heads of Security en Security Architects, gevolgd door schaarse specialismen zoals cloudsecurity en incident response. Nu NIS2 en DORA security op de agenda van de directie zetten, krijgen professionals die er eigenaarschap over kunnen nemen en risico's in zakelijke termen kunnen uitleggen de sterkste pakketten. Certificeringen helpen, maar praktijkervaring telt zwaarder:
| Ervaringsniveau | Indicatie vast salaris |
| Junior Security Analyst / SOC Analyst | €42.000 - €58.000 |
| Security Analyst (medior) | €55.000 - €75.000 |
| Penetration Tester (medior tot senior) | €62.000 - €105.000 |
| Security Architect / Cloud Security Lead | €85.000 - €145.000 |
| Security Consultant | €60.000 - €110.000 |
| CISO | €115.000 - €180.000+ |
Bij kandidaten die moeite hebben om binnen te komen, zien we steeds een paar patronen terug:
- Certificeringen verzamelen zonder praktische vaardigheden op te bouwen: een stapel behaalde examens zonder praktisch project erachter overtuigt een hiring manager op zichzelf niet.
- Op brede, algemene functies mikken in plaats van op een specialisme: kandidaten die zich presenteren als openstaand voor alles binnen security, hebben het vaak lastiger dan kandidaten die, ook al vroeg in hun loopbaan, voor een duidelijke richting kiezen.
- Communicatie onderschatten: ervan uitgaan dat cybersecurity puur technisch is en het vermogen verwaarlozen om risico's uit te leggen aan niet-technische stakeholders.
- Wachten op het perfecte cv voordat je solliciteert: door vroeg te solliciteren en gesprekken te voeren, leer je wat werkgevers zoeken, en een imperfecte sollicitatie kost meestal minder dan wachten.
- Governance en compliance negeren: ook technische functies verwachten inmiddels basiskennis van kaders als ISO 27001, de AVG en NIS2, dat de groep gereguleerde organisaties flink heeft uitgebreid, en dit als irrelevant afdoen is een veelgemaakte beginnersfout
Doorgroeien in je Cybersecurity-carrière
Deskundig advies van CEO Jonathan Ellerbeck
Cybersecurity biedt, zodra je een paar jaar basiservaring hebt, een breed scala aan doorgroeiroutes, meer dan de meeste afzonderlijke technologiedisciplines.
- Van SOC Analyst naar Senior Analyst naar Security Engineer: de meest gangbare technische doorgroei, waarbij je je praktische expertise verdiept en richting systeemontwerp beweegt.
- Van Analyst naar Penetration Tester: een veelvoorkomende overstap voor technisch nieuwsgierige analisten die de voorkeur geven aan offensief werk. Daarvoor is meestal gerichte studie richting OSCP nodig, en de Nederlandse financiële sector biedt met threat-led testing onder DORA een onderscheidende route.
- Van Consultant naar Principal Consultant naar Practice Lead: een klantgericht traject binnen een consultancy, waarin je toewerkt naar het leiden van opdrachten en uiteindelijk een team.
- Van Engineer naar Architect naar Head of Security: een technisch leiderschapstraject, van praktische implementatie naar organisatiebreed ontwerp en strategie.
- Van Information Security Officer naar CISO: een governanceroute, waarin je diepgang in risk en compliance opbouwt richting de top van de ladder
De professionals die senior architect of CISO worden, zijn zelden degenen die hun hele loopbaan smal technisch zijn gebleven. Zij hebben naast hun technische basis bewust breedte opgebouwd in governance, bedrijfsrisico's en stakeholdercommunicatie, en zijn daar ruim op tijd mee begonnen, lang voordat het in hun functietitel stond. Nu NIS2 en DORA de verantwoordelijkheid voor cyberrisico's hoger in de organisatie leggen, zijn CISO-functies steeds vaker op directieniveau.
De vraag volgt het risico. Financiële dienstverleners en fintechs rond Amsterdam werven het meest consequent, met verzekeraars kort daarachter, terwijl energie en transport groeien nu nieuwe regelgeving de groep organisaties die in security moet investeren vergroot. Havens en industrie hebben specialisten nodig die operationele systemen beschermen, overheid en defensie werven met formele screening, en consultancies werken in elke sector. Overal waar een datalek of hack het meest zou kosten, is securitytalent gewild.
De baanzekerheid is groot en veranderende regelgeving houdt de vraag naar securityvaardigheden breed: de Cyberbeveiligingswet brengt duizenden organisaties onder de regels, waardoor ervaren professionals structureel sterk staan. Salarissen stijgen doorgaans flink met senioriteit en specialisme, vooral vanaf medior niveau.
Het werk is bovendien ongewoon gevarieerd voor een loopbaan in technologie. Cybersecurity omvat diep technische, praktische functies, klantgerichte consultancy, governance- en beleidswerk en leiderschap op directieniveau, dus er is een pad voor mensen met heel verschillende sterke punten en interesses. En voor veel mensen in het vak is de zingeving echt: het werk heeft directe, tastbare gevolgen voor organisaties en, in sommige sectoren, voor de openbare veiligheid.
Dat hangt net zo goed af van wat je echt interesseert als van het salaris, want in alle drie de richtingen wordt goed betaald. Penetratietesten en offensive security passen bij mensen die graag problemen oplossen tegenover een tegenstander en bereid zijn te investeren in studie voor OSCP, en later OSEP. Defensieve en analistenfuncties passen bij mensen die de voorkeur geven aan langdurige, methodische monitoring en incident response. Governance en compliance passen bij mensen van wie de kracht ligt in beleid, communicatie en bedrijfsrisico's, en dat specialisme is flink breder geworden nu NIS2 en DORA meer organisaties onder de regels brengen. Twijfel je, bespreek het dan met ons voordat je maanden studie in één richting steekt.
Freelancewerk, vooral bij penetratietesten, specialistische consultancy en interim securityleiderschap, kan goed betalen en is gebruikelijk in de Nederlandse markt. Het past ook goed bij echt zelfstandig ondernemerschap, want een afgebakende, tijdelijke opdracht zoals een penetratietest is onder de Wet DBA veel makkelijker te verantwoorden dan een freelancer die fulltime in het team van één opdrachtgever zit en dagelijks door die opdrachtgever wordt aangestuurd. Dat laatste brengt, ongeacht het specialisme, meer risico op herkwalificatie als dienstverband met zich mee.
Vaste functies bieden meer stabiliteit, bescherming via je opzegtermijn en meestal meer investering in je doorlopende certificering en ontwikkeling. Twijfel je tussen de twee, dan geven we je graag een eerlijk beeld van wat er binnen jouw specialisme realistisch beschikbaar is en welke constructie daarbij past.
