Werken als SOC Manager

Wat doet een SOC Manager?

Een SOC Manager stuurt het team van het SOC aan en bepaalt hoe dat team werkt. Een SOC bewaakt de beveiliging van een organisatie met een SIEM, het systeem dat logs verzamelt en daar meldingen van maakt, en met EDR-tools die laptops en servers in de gaten houden. Het vakgebied security operations beschrijft dat werk in bredere zin. De manager werkt zelden zelf de meldingenlijst af, maar hij bepaalt wie wat doet, welke werkafspraken gelden, welke meldingen worden opgeschaald en hoe de overdracht tussen diensten loopt.

De vraag van de functie verschilt van die van een senior analist. De analist vraagt of een melding een incident is. De manager vraagt of de goede meldingen op tijd en met genoeg context bij de juiste mensen terechtkomen. Het gaat om het team en het systeem, niet om de losse melding.

De reikwijdte verschilt per organisatie. Bij sommige organisaties leidt de SOC Manager een klein team dat alles zelf doet. Bij andere stuurt hij ook een extern SOC of een leverancier aan, of werkt hij in een organisatie met meerdere teams, zoals analisten, engineers en threat hunters. Er bestaat geen officieel profiel met de naam SOC Manager, zoals hieronder bij de taken uitgelegd wordt.

Een voorbeeld laat zien waar het verschil zit. Het SOC heeft een ransomware-achtig incident afgehandeld. Tijdens het incident zorgt de manager dat de juiste mensen bij elkaar komen: de Incident Responder, IT-beheer en de CISO. Ook zorgt hij dat iemand de berichten naar het management bijhoudt, zodat de analisten op de techniek kunnen blijven letten.

Een paar dagen later leidt de manager de nabespreking. Wat zag het SOC als eerste, welke regel had eerder moeten aanslaan en welke overdracht ging mis? Daaruit komt een kort lijstje verbeteringen voor de Detection Engineer en de SOC Engineer. De manager houdt bij of die verbeteringen ook worden uitgevoerd. De nabespreking is zonder schuldvraag opgezet: het gaat om het systeem, niet om de persoon.

Je vindt de functie bij organisaties met een eigen SOC, bij dienstverleners die een SOC voor meerdere klanten draaien en bij organisaties die het SOC deels uitbesteden. Sectoren waar security-teams voorkomen zijn onder meer de financiële dienstverlening, energie en infrastructuur en de rijksoverheid. Bij SOC's die dag en nacht draaien speelt het rooster een grotere rol.

Een week uit het werk van een SOC Manager

Bij sommige organisaties bestaat een week van een SOC Manager uit vaste momenten en onverwachte. Het teamoverleg bespreekt de lopende zaken en de terugkerende ruis: welke meldingen zijn afgesloten en welke blijven liggen. Daarna kijkt de manager naar de kwaliteit van de meldingen. Welke regels geven vooral vals alarm, en waar zitten blinde vlekken? Die vragen beantwoord je met de overzichten uit het SIEM en het ticketsysteem.

Rooster en overdracht vragen ook aandacht, zeker bij ziekte of vakantie. Afstemming met IT-beheer hoort erbij, omdat wijzigingen aan systemen logbronnen kunnen raken, waardoor het SOC ineens anders gaat zien. Met MITRE ATT&CK als gespreksstof bespreekt de manager welk aanvalsgedrag het SOC wel en niet kan zien. Daarna volgt een korte rapportage aan de CISO of de directie over wat er is gebeurd en wat er verandert. Sollicitatiegesprekken en het begeleiden van nieuwe collega's staan er ook tussen. Het ene moment is het rustig, het volgende moment trekt een incident alle aandacht.

Welke taken horen bij de functie?

Het Europese kader voor cybersecurity-rollen van ENISA, het cybersecurityagentschap van de Europese Unie, kent geen profiel met de naam SOC Manager. ENISA vat de rollen in het European Cybersecurity Skills Framework (ECSF) samen in twaalf profielen. Het document met de rolprofielen is van september 2022, en ENISA schrijft dat het kader wordt herzien, met een publieke consultatie die eind 2026 is gepland. De actuele stand staat op de ENISA-pagina over het ECSF, en de hoofdtaken per profiel staan in het rolprofieldocument.

De taken van een SOC Manager komen het dichtst in de buurt van twee profielen. Tot de hoofdtaken van het CISO-profiel horen het rapporteren van incidenten, risico's en bevindingen aan het senior management en het beoordelen, plannen en toewijzen van cybersecurityresources. Bij het Cyber Incident Responder-profiel horen het meten van de effectiviteit van detectie en respons en het samenwerken met SOC's en CSIRT's. Een SOC Manager is geen kopie van een van die profielen. In de praktijk gaat het om zes taken:

1. Het team aansturen en begeleiden. Duidelijke afspraken, feedback en ruimte voor eigenaarschap, en het inwerken van nieuwe collega's. Dat laatste hoort bij de capaciteitsopbouw die in het CISO-profiel terugkomt.
2. Werkwijzen en draaiboeken vastleggen. Wie een melding oppakt, wanneer iets wordt opgeschaald en hoe een overdracht eruitziet, staat op papier en wordt bijgehouden.
3. Het rooster en de overdracht regelen. Ook bij ziekte en vakantie moet het rooster kloppen en de overdracht compleet zijn.
4. De kwaliteit van detectie en respons bewaken. Vals alarm en gemiste meldingen worden besproken en opgevolgd. Dat is het meten van de effectiviteit uit het Incident Responder-profiel.
5. Capaciteit en gereedschap plannen. Met het management bespreken wat het team nodig heeft en wat het SOC wel en niet kan zien, en rapporteren over incidenten en bevindingen.
6. Samenwerken met IT-beheer, het incidentteam en andere SOC's en CSIRT's. Dit sluit aan bij het Incident Responder-profiel.

Meldplicht en het SOC

De meldplicht raakt het werk van een SOC direct. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden en vervangt volgens de Rijksoverheid de Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet voert de NIS2-richtlijn in. Volgens het NCSC geldt de meldplicht voor significante incidenten. De klok start op het moment dat je kennis krijgt van het incident, en je meldt zo snel mogelijk: de termijnen zijn een uiterste grens.

Binnen 24 uur volgt een vroegtijdige waarschuwing, waarin staat of het incident vermoedelijk kwaadwillig is en of het gevolgen over de grens heeft. Binnen 72 uur volgt de melding, met een eerste beoordeling van ernst en impact en eventuele indicators of compromise. Binnen een maand na de melding volgt een eindverslag over het incident, de oorzaak en de genomen maatregelen.

Een SOC dat snel ziet wat er speelt en helder vastlegt wanneer een incident bekend werd, maakt die termijnen haalbaar. Wie de melding doet en wie beslist of een incident significant is, verschilt per organisatie en staat in het draaiboek. De drempelwaarden voor een significant incident verschillen per sector, en niet elke organisatie valt onder de wet. Of de eigen organisatie eronder valt, vraag je aan de eigen compliance- of juridische afdeling.

Het actuele regelwerk staat op de NCSC-pagina over de meldplicht. Het kennisbankartikel over NIS2 en de Cyberbeveiligingswet zet het overzicht op een rij. Vacatures die op incident response of NIS2 zijn gelabeld, vind je via incident response en NIS2.

Welke skills heb je nodig?

Leidinggeven aan specialisten vraagt duidelijke afspraken, feedback en ruimte voor eigenaarschap.

Prioriteren is nodig als alles tegelijk dringend lijkt. Tijdens een incident bepaalt de manager wie waar eerst heen gaat en welke lopende zaak even wacht.

Uitleggen aan niet-technische collega's is een vaardigheid apart. De directie wil weten wat er gebeurt, wat er op het spel staat en welke beslissing nodig is, in gewone taal.

Genoeg technisch begrip hoort bij de functie. Je hoeft een melding niet zelf te analyseren, maar je moet een verslag kunnen beoordelen en een analist of engineer serieus kunnen nemen.

Omgaan met onzekerheid tijdens een lopend incident is ook een skill: rustig vragen wat bekend is en wat nog niet.

Tot slot beschrijf en verbeter je werkprocessen en maak je afspraken met IT-beheer, juristen en het management. Het ECSF noemt onder druk werken als key skill van het Cyber Incident Responder-profiel, dat dicht bij het werk van het SOC ligt.

Welke tools en technologie ziet een SOC Manager?

Een SOC Manager werkt zelden de hele dag in de tools, maar moet ze kennen. Een SIEM verzamelt logs en maakt daar meldingen van, met als voorbeelden Microsoft Sentinel, Splunk en Elastic Security. Een EDR-tool bewaakt laptops en servers, en CrowdStrike is daarvan een voorbeeld. Meldingen, incidenten en verbeteracties worden bijgehouden in een ticketsysteem, zoals ServiceNow. De manager gebruikt de overzichten uit die tools om te zien welke zaken blijven liggen en welke regels vooral ruis geven.

MITRE ATT&CK is een wereldwijd toegankelijke kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen in de praktijk. De kennisbank staat open voor iedereen, zonder kosten, en je vindt de bron op attack.mitre.org. De manager gebruikt ATT&CK om met het team te bespreken welk aanvalsgedrag gedekt is en welk niet. Het is een naslagwerk en geen checklist.

Welke opleiding en certificeringen passen bij een SOC Manager?

Een hbo- of wo-opleiding in ICT of security is gangbaar, maar de functie wordt vooral bereikt via ervaring in een SOC of in IT-beheer. Certificeringen kunnen laten zien dat je een deel van het vak kent, maar ze vervangen ervaring en leiderschap niet. Wat een werkgever vraagt, verschilt per organisatie.

Voorbeelden zijn CISM, CISSP en GSOC. CISM van ISACA laat zien dat je risico's kunt beoordelen, effectieve governance kunt invoeren en proactief op incidenten kunt reageren. De CISSP van ISC2 wordt door ISC2 genoemd voor functies als Security Manager en CISO. GSOC van GIAC richt zich op het SOC-werk: GIAC noemt SOC-managers die extra technisch inzicht willen om de kwaliteit van analyse te verbeteren en een SOC efficiënt te laten draaien. Lees de bron van GIAC voor de actuele informatie.

De keuzegids CISSP, CISM of CISA zet de afweging op een rij.

Hoe word je SOC Manager?

De functie wordt bereikt via een paar routes. Vanuit de rol van senior SOC Analist groei je naar teamleider en daarna naar manager. Je kent dan de meldingen en het ritme van een dienst, en de stap is leren het team te sturen. Vanuit de rol van Incident Responder of SOC Engineer ken je het werk en de techniek al, en de stap is het overzicht en de verantwoording erbij nemen. Vanuit IT-beheerleiding kom je met de beheerkant van systemen, en de stap is de bewaking en het incidentwerk erbij leren.

Op elke route zijn er gedeelde stappen. Je kunt meelopen met de dienstoverdracht, een proces verbeteren, zoals de overdracht zelf, een kleine teamleidersrol op je nemen of nieuwe collega's begeleiden. Ook een lopend incident coördineren en leren rapporteren aan managers zonder technische achtergrond horen erbij. Geen van die stappen is een garantie op een volgende functie.

SOC Manager, Security Manager of CISO?

Titels verschillen per organisatie. Bij sommige organisaties is de SOC Manager een Security Manager met het SOC als taak, en het ECSF noemt voor de CISO de alternatieve titels "Information Security Manager" en "Head of Information Security".

Doorgroei kan naar Security Manager of Head of Security, die breder is dan het SOC. Ook kan het naar de CISO, die de strategie en verantwoording draagt, of naar een specialistische weg, bijvoorbeeld in incidentrespons. Welke route openstaat, hangt af van de organisatie en van wat je laat zien. Het vakgebied security leadership geeft het overzicht van die functies.

Lees de rolgidsen voor de Security Manager en de CISO, en het artikel Information Security Officer of CISO: het verschil.

Vacatures en werkgevers

Bekijk de vacatures voor SOC Manager om de functie concreet te zien, en de pagina werkgevers voor SOC Managers voor de organisaties die een SOC Manager zoeken. Het vakgebied security operations geeft het bredere overzicht van het werk.