Cybersecurity recruitment: waarom soft skills nu tellen

Cybersecurity recruitment gaat allang niet meer over de langste lijst certificeringen. Onderzoek laat zien dat rond de 82% van cyberaanvallen zich richt op mensen, niet op systemen. Wie security-talent zoekt, moet dus kijken naar iemand die gedrag kan beïnvloeden en cultuur kan veranderen. Techniek alleen redt het niet meer.

Je zoekt een security specialist. De vacaturetekst staat vol met certificeringen. CISSP, CEH, misschien nog een pentest-achtergrond. Logisch, want die kennis blijft nodig. Maar steeds vaker blijkt: de kandidaat die op papier perfect scoort, krijgt de organisatie na een half jaar niet mee in nieuw beleid. Niemand meldt incidenten. Niemand verandert gedrag. En dat is waar het misgaat.

Dit stuk gaat over wat er dan wél telt. Voor de IT-professional die zich afvraagt of hij zijn profiel moet bijstellen. En voor de hiring manager die zich afvraagt waarom zijn laatste aanname toch niet het verschil maakte dat hij ervan verwachtte.

Waarom techniek alleen niet meer genoeg is

Cybersecurity is verschoven van een technisch vraagstuk naar een gedragsvraagstuk. Onderzoek wijst uit dat zo’n 95% van alle cyberincidenten uiteindelijk terug te voeren is op menselijk handelen: een verkeerde klik, een omzeilde regel, een niet-gemeld incident uit angst voor blaam.

Dat betekent niet dat firewalls en monitoring-tooling overbodig zijn. Die blijven de basis. Maar het NCSC stelt het scherp: technische maatregelen werken alleen als de organisatiecultuur ze ondersteunt. Zonder een cultuur waarin mensen fouten durven melden, blijft elke investering in technologie half werk.

Voor recruiters verandert dit de manier waarop je kandidaten selecteert fundamenteel. Niet fundamenteel in de zin van compleet anders, maar wel: er komt een laag bij. Naast technische diepgang vragen we nu ook naar iets lastiger te meten. Kan iemand uitleggen waarom een regel bestaat, zonder dat het als betutteling voelt? Durft iemand tegen een directeur te zeggen dat een systeem kwetsbaar is?

Dat soort vragen stellen we standaard tijdens intakegesprekken. Niet omdat het trendy is, maar omdat we zien dat het verschil maakt tussen een kandidaat die een half jaar meedraait en iemand die echt verandering teweegbrengt. Wie meer wil weten over hoe certificaten niet het hele verhaal vertellen, leest verder in wat een cv over een security-professional wél en niet zegt.

Welke eigenschappen maken nu het verschil

De beste security-professionals combineren technische kennis met het vermogen om mensen mee te krijgen. Dat klinkt vaag, dus concreet: het gaat om communiceren zonder jargon, om luisteren naar weerstand, en om samenwerken met afdelingen die security als hinderlijk ervaren.

Vier op de tien Nederlandse beslissers noemt beter trainen van medewerkers als belangrijkste maatregel om het kennisniveau over cybersecurity te verhogen. Dat trainen doet niemand alleen met een technisch handboek. Daar is iemand voor nodig die kan uitleggen, overtuigen en soms ook gewoon geduldig blijven als een collega voor de derde keer dezelfde fout maakt.

Een kwart minder duidelijk, maar net zo belangrijk: bijna vier op de tien beslissers ziet het verduidelijken van interne regels als cruciale stap tegen cybercrime. Regels verduidelijken is geen technische klus. Dat is communicatie.

Wat we in gesprekken met kandidaten steeds vaker toetsen: hoe ga je om met weerstand? Kun je een collega die een regel omzeilt aanspreken zonder dat het een verwijt wordt? Kun je security uitleggen aan iemand die er niets mee heeft, zonder betuttelend te klinken?

Geen theorie. Harde executie.

Dat vraagt iets anders van een gesprek dan een technische toets. Het vraagt dat je doorvraagt naar drijfveren en persoonlijkheid, niet alleen naar ervaring met specifieke tools.

Wat dit betekent voor IT-professionals die de overstap overwegen

Werk je nu in beheer of engineering en overweeg je de stap naar security? Je technische basis is waardevol, maar niet doorslaggevend. Organisaties zoeken mensen die kunnen uitleggen waarom iets belangrijk is, niet alleen mensen die het kunnen bouwen of monitoren.

Dat is goed nieuws voor wie zich altijd al meer voelde als bruggenbouwer dan als pure specialist. Je hoeft niet de beste pentester van Nederland te zijn om een sterke security-carrière op te bouwen. Je moet wel kunnen schakelen tussen een technisch gesprek met een engineer en een uitleg aan een directielid dat geen idee heeft wat een kwetsbaarheid inhoudt.

We zien in de praktijk dat kandidaten die dit onderschatten, vastlopen. Niet omdat ze technisch tekortschieten, maar omdat ze denken dat hun functietitel het gesprek wint. Dat werkt niet meer.

Twijfel je of een opdracht past bij jouw persoonlijkheid, niet alleen bij je cv? Dat is precies waar wij verdiepend naar vragen voordat we een match voorstellen. Meer over hoe dat in de praktijk werkt, lees je in ons verhaal over duurzame matches in cybersecurity.

Wat dit betekent voor organisaties die security-talent zoeken

Als hiring manager loop je risico als je alleen op certificaten selecteert. Een briljante technicus zonder gevoel voor cultuur kan een securityprogramma vertragen in plaats van versnellen. Adoptie blijft laag, schaduw-IT blijft bestaan, en regels worden omzeild in plaats van nageleefd.

Alle inspanningen om de digitale weerbaarheid van een organisatie te verbeteren, zijn alleen effectief als ze ondersteund worden door een cultuur die dat mogelijk maakt.

Dat is precies waarom we bij het invullen van security-rollen niet alleen naar de stack kijken. We vragen door naar hoe iemand omgaat met weerstand, hoe hij uitlegt in plaats van dicteert, en of hij zich kan aanpassen aan de cultuur die al in jouw organisatie zit.

Voor organisaties die net onder nieuwe wetgeving vallen en hun security-inrichting moeten aanscherpen, speelt dit des te sterker. Wie daarover meer wil weten, vindt achtergrond in hoe nieuwe regelgeving de vraag naar security-profielen verandert.

Het aantal cyberaanvallen groeide wereldwijd fors in het eerste kwartaal van dit jaar, in Nederland zelfs sterker dan gemiddeld. Die druk maakt de keuze voor de juiste persoon alleen maar urgenter.

Waarom dit ook geldt voor freelance security-opdrachten

Freelancers in cybersecurity ervaren dezelfde verschuiving. Opdrachtgevers vragen niet meer alleen naar een lijst eerdere klussen. Ze willen weten of jij kunt schakelen tussen technische diepgang en het gesprek met een niet-technische stakeholder.

Dat is een kans. Wie dat kan, onderscheidt zich in een markt waar veel freelancers vergelijkbare technische bagage hebben. Wie het niet kan, merkt dat opdrachten korter duren of niet verlengd worden.

We zien bij freelance security-professionals dat de opdrachten die het langst lopen, vaak niet de meest technisch complexe zijn. Het zijn de opdrachten waarbij de freelancer zich verbindt met het team, uitlegt in plaats van oplevert, en meedenkt over draagvlak. Dat vraagt iets van houding, niet van cv-regels.

Voor wie breder wil kijken dan alleen de eigen expertise en wil weten hoe de bredere markt voor cybersecurity-talent zich ontwikkelt, is er meer te lezen over hoe de krapte in cybersecurity-talent recruitment beïnvloedt.

Veelgestelde vragen

Conclusie

Cybersecurity recruitment is geen kwestie meer van de langste lijst certificeringen naast de vacature leggen. De aanvallen richten zich op mensen, dus moet de selectie dat ook doen.

Voor IT-professionals betekent dit: je technische bagage blijft belangrijk, maar je vermogen om uit te leggen, te overtuigen en mee te bewegen bepaalt of je op de lange termijn impact maakt. Voor organisaties betekent het: kijk voorbij de stack en vraag door naar hoe iemand omgaat met weerstand en cultuur.

Wij geloven pas in een match als we zeker weten dat iemand niet alleen de techniek beheerst, maar ook past bij de mensen om zich heen. Dat is waar we in doorvragen voordat we iemand voorstellen. Herken je jezelf in dit verhaal, als professional of als organisatie? Dan is dat precies het gesprek dat we graag voeren.