Kennis

Cybersecurity recruitment: waarom de match zo lastig is

Bas van der Spoel June 30, 2026

Cybersecurity recruitment: waarom de juiste match zo lastig is

Je hebt een cybersecurity-rol open en zoekt iemand die meteen kan starten. Maar de mensen die je echt wilt, zijn al ergens aan het werk. En bij de overheid of in een vitale sector komt er ook nog een zware screening bij. Het juiste talent vinden kost dus tijd, en de match maken is het echte werk.

De vraag naar cyberexperts groeit nu harder dan ooit. Niet alleen bij Defensie, maar bij elke organisatie die met nieuwe wetgeving te maken krijgt. Voor jou als IT-professional betekent dit kansen. Voor jou als hiring manager betekent het: scherper kiezen wie je binnenhaalt. Want een verkeerde match in een security-team is duur en risicovol.

In dit stuk leg ik uit wat er speelt, welke profielen gevraagd worden, en hoe je matcht op een manier die blijft hangen.

Waarom de vraag naar cyberexperts nu zo hard stijgt

De Europese NIS2-richtlijn is in Nederland in 2025 omgezet in wetgeving. Die verplicht overheidsorganisaties en vitale aanbieders tot aantoonbaar betere beveiliging. Dat vertaalt zich direct in nieuwe functies.

NIS2 (de opvolger van de eerdere netwerk- en informatiebeveiligingsrichtlijn) raakt veel meer sectoren dan voorheen. Energie, zorg, vervoer, digitale infrastructuur, de overheid zelf. Allemaal moeten ze 24/7 kunnen monitoren, incidenten kunnen afhandelen en hun beveiliging kunnen aantonen.

Naar verwachting creëert NIS2 in 2026 en 2027 honderden nieuwe cybersecurity-vacatures bij de (semi)overheid.

Daar komt de uitbreiding van militaire cybercapaciteit bovenop. Organisaties bouwen tegelijk aan bescherming van eigen netwerken en aan actieve operaties. Beide kanten vragen om gespecialiseerde mensen. En die mensen zijn er niet zomaar.

Wat je in de praktijk ziet: organisaties die nooit een eigen security-afdeling hadden, moeten er nu een opbouwen. Middelgrote partijen lopen daarbij vast, omdat ze niet de schaal hebben om alles zelf in te vullen. Dat is precies waar de vraag naar bemiddeling en detachering vandaan komt.

Welke profielen worden nu echt gevraagd

Grofweg vallen cybersecurity-rollen in drie groepen. Defensieve rollen draaien om bescherming: monitoring, incidentrespons, forensisch onderzoek. Offensieve rollen gaan over actief testen en aanvallen simuleren, denk aan red teaming. En dan zijn er de governance-rollen: beleid, risico en het vertalen van wetgeving zoals NIS2 naar de praktijk.

Het meest gevraagd zijn op dit moment de mensen die meer dan één van die werelden snappen.

“De meest gevraagde profielen in 2026 combineren diepgaande technische kennis met het vermogen om complexe dreigingen helder uit te leggen aan niet-technische beslissers.”

Dat is een belangrijk punt. Pure techniek is niet genoeg meer. Je moet een bestuurder kunnen uitleggen waarom een risico ertoe doet, in gewone taal. Wie dat kan, is goud waard. We zien in de krappe markt voor cybersecurity-talent dat juist die soft skills het verschil maken tussen kandidaten met hetzelfde cv.

Certificeringen helpen om snel te peilen wat iemand kan. In overheids- en Defensie-context zie je vaak vragen naar Security+, CISSP, CEH, OSCP of ISO 27001. Maar een certificaat zegt niet alles. Het zegt iets over kennis, niet over hoe iemand in een team functioneert. Daar kijken wij naar.

Het cv is een momentopname, de mens niet

Bij security-rollen is de verleiding groot om puur op certificaten en jaren ervaring te matchen. Begrijpelijk. Het voelt veilig. Maar het is ook precies waar het misgaat.

Iemand met de perfecte papieren kan alsnog niet passen. Omdat de cultuur wringt. Omdat de drijfveren ergens anders liggen. Omdat hij of zij iets heel anders zoekt dan wat de rol biedt. Een verkeerde match in een security-team voel je snel, en hij is duur om te herstellen.

Daarom kijken wij verder dan de skill-stack. Wat drijft iemand? Waarom wil deze persoon juist bij de overheid werken, of juist niet? Past de werkdruk van een 24/7 monitoring-rol bij waar iemand in zijn leven staat?

Dat klinkt soft. Het is het tegenovergestelde.

Een verdiepende vraag in een eerste gesprek leidt vaak tot een onverwachte richting. Iemand die solliciteerde op een beheerrol, blijkt eigenlijk de uitdaging van threat hunting te zoeken. Door dat vooraf boven tafel te krijgen, voorkom je een mismatch die maanden later pas zou blijken. We bemiddelen pas als we er voor 100% in geloven. Als we er niet in geloven, doen we het niet.

Screening en zij-instroom: de praktijk bij de overheid

Wie bij Defensie wil werken, krijgt te maken met een zware screening door de MIVD. Dat onderzoek kijkt minimaal tien jaar terug en duurt gemiddeld acht tot twaalf weken. Inclusief controle van directe familie of partner. Toegang is in principe beperkt tot kandidaten uit de Europese Economische Ruimte.

Dat betekent: plannen. Je vult zo’n rol niet volgende week in. Voor jou als hiring manager is het slim om hier vroeg op te anticiperen, zodat de screening niet de bottleneck wordt bij een spoedproject.

Goed nieuws is er ook. De overheid zet stevig in op zij-instroom en traineeprogramma’s. En daarbij wegen praktijkcertificeringen vaak zwaarder dan een formeel ICT-diploma.

“Zij-instromers met relevante certificaten en praktijkervaring maken uitstekende kansen, ook zonder een klassiek ICT-opleidingstraject.”

Dat opent deuren. Een jurist of bestuurskundige met affiniteit voor security kan via omscholing in een governance-rol terechtkomen. Ervaring uit hacking-events of bug bounty-werk telt mee als bewijs van praktische skills. Voor IT-professionals die de overstap naar cybersecurity overwegen: het pad is breder dan veel mensen denken. De vraag is alleen welk pad bij jou past.

Detachering als begeleide aanloop, niet als gok

Bij schaarse expertise en zware screening is het lastig om alles zelf in te vullen. Daarom delen organisaties steeds vaker mensen. Via detachering, secondments of reservisten-modellen. Zo kun je een schaarse specialist, bijvoorbeeld iemand met ICS- of SCADA-kennis voor industriële systemen, over meerdere kritieke organisaties verdelen zonder dat iedereen die persoon fulltime moet werven.

Voor de IT-professional zelf is detachering geen tussenstap maar een volwaardige keuze. Bij ons werkt de Detavast-constructie zo: we toetsen de match vooraf grondig, en als die klopt, ga je via i-linked aan de slag met zicht op een vast contract bij de opdrachtgever. Wij blijven je vertrouwde thuisbasis tijdens die aanloop. Geen kijken-of-het-werkt, geen periode op proef. De match is vooraf al diepgaand getoetst.

Het mooie zit in het opvolgend werkgeverschap. Zodra de opdrachtgever je overneemt, tellen je jaren bij i-linked al mee. Dat verlaagt de drempel voor beide kanten. Voor jou betekent het zekerheid, voor de organisatie minder risico. Dat is waardevol bij rollen waar binding op lange termijn juist zo belangrijk is.

Freelance is voor wie dat bewust kiest net zo goed een serieus pad. Veel cyberspecialisten werken als security-architect of adviseur op opdracht. Wij nemen de administratieve en commerciële kant uit handen, zodat jij je op het werk kunt richten. Hoe je je daarbij het beste profileert, leg ik graag een keer uit bij een kop koffie.

Veelgestelde vragen

Welke cybersecurity-profielen zijn het meest gevraagd bij overheidsinstellingen zoals Defensie?

Multidisciplinaire profielen die diepgaande technische kennis combineren met het vermogen om risico’s uit te leggen aan bestuurders. Concreet: SOC-analisten, threat hunters, security-architecten en governance-specialisten die NIS2 naar de praktijk vertalen. Certificeringen als CISSP, OSCP en ISO 27001 wegen vaak zwaar mee.

Wat zijn de carrièremogelijkheden voor een IT-professional in offensieve en defensieve cybersecurity?

Er is een duidelijk loopbaanpad: van SOC-analist naar threat hunter naar architect of CISO-rol. De overheid vraagt vaak dat instromers binnen twee jaar doorgroeien naar specialistische teams, met tijd en budget voor certificeringen. Offensieve rollen zoals red teaming en defensieve rollen zoals incidentrespons vragen elk hun eigen ervaring.

Hoe kom ik als freelance cybersecurity specialist aan opdrachten bij de overheid?

Via gespecialiseerde bemiddeling die de overheids-eisen kent. Houd rekening met een MIVD-screening van acht tot twaalf weken en een EER-achtergrond als voorwaarde. Een bemiddelaar neemt de administratieve en commerciële kant uit handen, zodat jij je op het werk kunt richten.

Wat is het verschil tussen offensieve en defensieve cybercapaciteit en welke specialisten zijn daarvoor nodig?

Defensieve capaciteit beschermt eigen netwerken: monitoring, incidentrespons, forensisch onderzoek (blue team). Offensieve capaciteit test actief en simuleert aanvallen (red team, exploit development, threat intel). Defensieve rollen vragen analisten en forensisch specialisten, offensieve rollen vragen mensen met aantoonbare praktijkervaring, bijvoorbeeld uit hacking-events.

Conclusie

De vraag naar cyberexperts groeit hard, gedreven door nieuwe wetgeving en de uitbreiding van militaire capaciteit. Maar meer vacatures lossen niets op als de match niet klopt. Bij security-rollen geldt dat dubbel: de belangen zijn groot, de screening is zwaar en de mensen zijn schaars.

Daarom kijken wij verder dan certificaten en functietitels. Naar drijfveren, persoonlijkheid en de plek waar iemand echt past. Voor de lange termijn, niet voor even.

Speel je met de gedachte om de overstap naar cybersecurity te maken, of zoek je als organisatie iemand die echt blijft zitten? Laten we daar eens rustig over sparren.