Cybersecurity vacatures Nederland: wat de nieuwe wet verandert voor wie je zoekt

De vraag naar cybersecurity-professionals in Nederland stijgt hard, omdat nieuwe Europese wetgeving beveiliging van een IT-taak tot een bestuurlijke plicht maakt. Ruim 8.000 organisaties krijgen te maken met registratie-, zorg- en meldplichten. Dat vraagt om mensen die techniek én governance snappen, niet alleen om een certificaat.

Je zoekt een security-professional. De vacature staat open. Het profiel lijkt duidelijk: een paar certificaten, ervaring met monitoring, klaar. Of althans, dat dacht je. Maar de rol die je nu invult, ziet er anders uit dan twee jaar geleden. Want beveiliging is geen aparte hoek meer. Het zit nu in de bestuurskamer.

Waarom cybersecurity ineens een bestuurszaak is

De nieuwe wet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, verplicht organisaties om digitale weerbaarheid aantoonbaar op orde te hebben. Beveiliging is niet langer iets wat je aan de IT-afdeling overlaat. Het staat op de agenda van de directie.

Dat verandert alles aan wie je zoekt. Een security-specialist die alleen naar logs kijkt, is niet meer genoeg. Je hebt iemand nodig die met de directie kan schakelen, met legal, met operations en met leveranciers.

De cijfers laten de omvang zien. Volgens de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) raakt de wet ruim 8.000 organisaties in Nederland.

“Ruim 8.000 organisaties krijgen te maken met nieuwe verplichtingen” zoals registratie-, zorg- en meldplicht. NCTV

Bestuurders kunnen straks persoonlijk worden aangesproken op naleving. Dat maakt de druk op de organisatie groot. En dus ook op de mensen die je aanneemt om dit te regelen. De vraag naar het juiste talent stijgt, terwijl de lat voor wat “het juiste talent” is, omhoog gaat.

Welke profielen nu het meest gevraagd worden

De meest gezochte profielen zijn nu security officers, GRC-specialisten (governance, risk en compliance), incident responders en security architects. Niet toevallig zijn dat rollen waar techniek en organisatie samenkomen. Puur technische kennis is niet meer waar het om draait.

Kijk naar wat de wet vraagt. Incidenten die de dienstverlening flink kunnen verstoren, moeten binnen 24 uur gemeld worden. Dat is geen technisch klusje. Dat vraagt om iemand die onder druk beslist, die weet wie hij belt en die de directie kalm houdt.

Voor jou als IT-professional is dit belangrijk nieuws. Als je alleen goed bent in de techniek, mis je straks de helft. De rollen die nu binnenkomen, vragen dat je kunt uitleggen aan niet-techneuten wat er speelt en waarom het geld kost.

Wij zien dit dagelijks in de gesprekken die we voeren. Een kandidaat met sterke soft skills en degelijke techniek is nu waardevoller dan iemand met de langste certificatenlijst. Hoe je jezelf profileert in een krappe markt voor cybersecurity-talent gaat daarom steeds meer over de mens achter de code.

Wat als je nog geen security-specialist in huis hebt

Heb je nog geen cybersecurity-specialist in dienst? Dan is dit het moment om te schakelen. De wet gaat naar verwachting midden 2026 in. Organisaties die dit te laat oppakken, betalen straks meer door haastige inhuur en vertraging in compliance.

Het probleem is niet alleen tijd. Het is ook de match. Je kunt snel iemand vinden. Maar vind je ook iemand die past bij je cultuur, bij je manier van werken, bij de mensen om hem heen?

Dat is precies waar het vaak misgaat. Een security-officer die technisch top is maar niet kan samenwerken met de directie, levert weinig op. De wet vraagt juist om die verbinding tussen afdelingen.

Wij matchen daarom vanuit de mens. Een CV en een functietitel zijn een momentopname. We kijken naar drijfveren, persoonlijkheid en of iemand echt landt in jouw organisatie. Pas als we er voor 100% in geloven, brengen we een kandidaat naar voren. Als we er niet in geloven, doen we het niet.

Hoe snel moet je eigenlijk klaar zijn

Zodra de wet ingaat, gelden de verplichtingen. Er is geen ruime overgangsperiode waarin je rustig kunt achterlopen. Registratie, governance, incidentmeldprocessen en ketenbeveiliging moeten op orde zijn.

Voor veel organisaties betekent dat: nu al beginnen. Niet volgend jaar. De drempels om onder de wet te vallen zijn concreet. In de zorg geldt bijvoorbeeld minimaal 50 FTE, of een combinatie van meer dan 10 miljoen omzet én meer dan 10 miljoen balanstotaal.

Dat betekent dat ook middelgrote organisaties, die eerder buiten schot bleven, nu moeten leveren.

De valkuil? Denken dat je dit met een tijdelijke adviseur oplost en daarna weer verdergaat. De wet vraagt om structurele weerbaarheid. Niet een eenmalig rapport. Dus zoek je iemand die blijft, of die je organisatie zo inricht dat je het zelf volhoudt.

Detachering als begeleide, duurzame oplossing

Detachering van een cybersecurity-professional kan een goede manier zijn om snel aan de eisen te voldoen. Maar snel betekent bij ons niet: een willekeurige specialist op een stoel. Het betekent een vooraf grondig getoetste match die past.

Wij werken met een Detavast-constructie. Dat is geen periode om af te wachten of het werkt, en geen probeersel. De match toetsen we vooraf diepgaand. Vervolgens fungeren wij als vertrouwde thuisbasis tijdens de aanloop naar een vast contract.

Het mooie zit in het opvolgend werkgeverschap. De tijd die de professional bij ons werkt, telt al mee zodra jij hem overneemt. Dat verlaagt de drempel voor beide kanten. De professional bouwt door, jij haalt zekerheid binnen.

We coachen tijdens die overgang. We drinken koffie, we sparren en als er een vast contract komt, openen we samen de champagne. Dat klinkt licht, maar het gaat om iets serieus: een duurzame match in cybersecurity-recruitment die de lange termijn haalt.

Freelance is trouwens ook een volwaardig pad. Veel security-professionals kiezen daar bewust voor. Wij nemen dan de administratieve en commerciële kant uit handen, zodat de freelancer zich op het werk richt.

Van certificaat naar de juiste mens

De grootste verschuiving? Werving op certificaten werkt niet meer. De wet vraagt mensen die regels kunnen vertalen naar praktijk, die teams meenemen en die cultureel landen.

Dat maakt de juiste security-talentmatch niet langer alleen een HR-vraag. Het is een compliance- en continuïteitsvraagstuk geworden. Een verkeerde aanname kost je niet alleen geld, maar mogelijk ook een boete of een verstoring in je dienstverlening.

Voor jou als IT-professional is dit goed nieuws. Je persoonlijkheid telt nu mee. Je vermogen om te schakelen tussen techniek en business is waardevol geworden. De markt zoekt geen losse specialist meer, maar iemand die de brug slaat.

Voor jou als hiring manager betekent het: kijk verder dan de stack-ervaring. Vraag door op hoe iemand omgaat met druk, met samenwerken, met de directie. Wij helpen die verrassingen vooraf weg te nemen. Wil je zien welke rollen nu spelen? Bekijk onze actuele IT-vacatures om een gevoel te krijgen bij wat de markt vraagt.

Veelgestelde vragen

Conclusie

De nieuwe wet verandert cybersecurity van een IT-taak in een bestuurszaak. Dat betekent dat je zoekt naar mensen die techniek én organisatie snappen, niet alleen naar een certificatenlijst. De vraag stijgt, de lat gaat omhoog en de tijd dringt.

Wij denken graag met je mee, of je nu talent zoekt of zelf je volgende stap plant. Niet vanuit een lijstje eisen, maar vanuit de mens erachter. Welke plek past echt bij wie je bent, en wie past echt bij wat jouw organisatie nodig heeft? Daar begint het gesprek.