Omscholen naar cybersecurity zonder ervaring: zo pak je het aan

Kun je omscholen naar cybersecurity zonder ervaring?

Ja. ISC2 noemt de Certified in Cybersecurity (CC) een instapcertificering voor een instap- of juniorfunctie, zonder werkervaring vooraf, en noemt als doelgroep onder anderen mensen die willen overstappen naar cybersecurity. Ook het ECSF van ENISA, waar hieronder meer over staat, is bedoeld voor individuen die loopbaanpaden willen begrijpen.

Eerlijk is dat je zonder ervaring zelden direct in een senior of specialistische rol start. De korte route is een zijstap in plaats van een sprong: een systeembeheerder naar security engineer of SOC-analist, een auditor of jurist naar compliance, privacy of IT-audit, of een projectmanager of risicomedewerker naar risicomanagement.

Security bestaat uit techniek, risico, compliance, privacy en audit. Kies eerst een richting, bijvoorbeeld met het overzicht van wie wat doet in security, risk en compliance. De vakgebiedpagina's voor cybersecurity en compliance en privacy zijn een goed begin.

Welke functies zijn een logisch startpunt?

Het European Cybersecurity Skills Framework (ECSF) van ENISA, het cybersecurityagentschap van de Europese Unie, beschrijft twaalf rolprofielen met de taken en vaardigheden die erbij horen. Gebruik het om te zien welke taken bij een functie horen. Het ECSF is een Europees referentiekader, geen wet en geen vacaturetekst. De koppeling tussen je achtergrond en een profiel hieronder is onze duiding, niet die van ENISA.

Per profiel een zin uit het ECSF en een zin over de koppeling:

• Cyber Incident Responder. Dit profiel bewaakt de cyberbeveiligingsstatus van de organisatie, handelt incidenten af en borgt de continuïteit van ICT-systemen. Wie met logs of meldingen werkt, sluit hier aan, bijvoorbeeld als SOC-analist of cyber security analist.
• Cybersecurity Implementer. Dit profiel ontwikkelt, rolt uit en bedient cybersecuritymaatregelen op systemen en producten. Wie uit beheer of netwerk komt, heeft hier de technische basis, bijvoorbeeld als security engineer.
• Cyber Legal, Policy & Compliance Officer. Dit profiel zorgt voor naleving van cybersecuritystandaarden en wettelijke kaders en voert privacy impact assessments uit. Een jurist of kwaliteitsmedewerker past hier, bijvoorbeeld als privacy officer.
• Cybersecurity Auditor. Dit profiel voert cybersecurityaudits uit en zorgt voor naleving van wettelijke eisen en goede werkwijzen. Een financieel of interne controller past hier, bijvoorbeeld als IT-auditor.
• Cybersecurity Risk Manager. Dit profiel beheert de cyberrisico's van de organisatie en communiceert over risicomanagement en rapportages. Dezelfde achtergrond past hier ook, met de nadruk op risico.

Een titel zegt weinig. Het ECSF geeft alternatieve titels, zoals SOC Analyst. Vergelijk de taken in de vacature met het profiel; het artikel over functietitels in security legt uit hoe. De eerste rol kan een junior- of instapfunctie zijn, met veel leren.

Welke routes kun je kiezen?

Er zijn vier routes. Je kunt er meer dan één combineren.

• Intern overstappen. Past bij wie al in een organisatie werkt en de processen kent. Je bouwt ervaring op in je eigen context. Vraag of er een securityteam is waarin je kunt meelopen, of bied aan een kleine taak over te nemen, zoals leveranciersvragenlijsten invullen of toegangsrechten controleren. Dat kan sneller zijn dan een externe overstap, maar niet elke organisatie biedt die ruimte.
• Zelfstudie met een home lab en oefenplatformen. Past bij wie technisch wil werken en zelf wil oefenen. Het levert materiaal op dat je kunt laten zien, maar het vraagt discipline. Begin met een home lab of met CTF's en oefenplatformen, en oefen alleen op eigen systemen of in expliciet toegestane oefenomgevingen.
• Certificering als bewijs van basiskennis. Past bij wie de basis wil laten zien en nog niet weet welke richting. Een certificering laat basiskennis zien, geen ervaring, en vraagt studie en een examen. Welke certificering past, lees je in de volgende sectie.
• Een erkende hbo- of wo-opleiding, ook in deeltijd. Past bij wie een opleiding wil volgen. Een overzicht staat bij hbo- en wo-opleidingen. Het Levenlanglerenkrediet van DUO is een lening voor mensen die willen studeren en geen recht (meer) hebben op studiefinanciering. Je moet jonger zijn dan 57 bij de start van het krediet. Het geldt voor erkende hbo- en wo-opleidingen, in voltijd, deeltijd of duaal. Een losse certificering is geen erkende hbo- of wo-opleiding. Het krediet geldt niet als je collegegeld of cursusgeld volledig door iemand anders, zoals je werkgever, wordt betaald. Lees de actuele voorwaarden op de DUO-pagina.

Op 26 mei 2026 meldde Rijksoverheid.nl dat werkgevers weer SLIM-scholingssubsidie kunnen aanvragen voor opleidingen van hun medewerkers. Die subsidie is voor werkgevers, niet voor individuen. De voorwaarden staan op de themapagina Leven lang ontwikkelen.

Welke certificeringen zijn geschikt om mee te beginnen?

ISC2 noemt de Certified in Cybersecurity (CC) een instapcertificering. Die laat de basiskennis en vaardigheden zien voor een instap- of juniorfunctie, zonder werkervaring vooraf. De vijf domeinen zijn Security Principles, Security Governance, Identity and Access Management (IAM) Concepts, Networking and Cloud Security Concepts, en Security Operations and Incident Response. Het examen is computergestuurd adaptief, met 100 tot 125 items in twee uur, en de slagingsscore is 700 van de 1000 punten.

CompTIA noemt Security+ een wereldwijd erkende certificering voor praktische vaardigheden voor kernfuncties in security. Bij de huidige versie V7 (SY0-701) bestaat het examen uit maximaal 90 vragen in 90 minuten, met een slagingsscore van 750 op een schaal van 100 tot 900. De aanbevolen ervaring is de certificering Network+ en ongeveer 2 jaar ervaring als security- of systeembeheerder. Dat is een aanbeveling, geen eis. CompTIA verwacht dat V8 rond 17 november 2026 uitkomt. Vacatures met CompTIA Security staan op de skillpagina.

Een certificering laat basiskennis zien, geen ervaring. Kies op basis van je doelfunctie. CC en Security+ zijn breed, en dat past als je nog moet uitzoeken wat je wilt. Wie naar privacy wil, kijkt naar privacycertificeringen; wie naar aanvalsgericht werk wil, kijkt naar de instapcertificeringen voor ethisch hacken. Het vergelijkende artikel over instapcertificeringen zet de opties naast elkaar.

Wat kun je laten zien als je nog geen ervaring hebt?

Een certificaat laat zien dat je de stof kent. Een kort verslag laat zien wat je ermee doet. Een recruiter of teamlead kan een certificaat moeilijker op kwaliteit beoordelen dan een kort verslag. Een goed werkbewijs beantwoordt vier vragen: wat was de opdracht, wat heb je gedaan, wat vond je, en wat zou je anders doen.

• Een home lab met een aanval en logs. Zet een kwetsbare webapplicatie en een logbron op, bootst een aanval na en laat zien wat je in de logs terugziet. Past bij SOC-werk en incident response. Een lezer ziet of je logs kunt lezen en een aanval herkent.
• Een risicoanalyse van een fictieve webwinkel. Beschrijf de risico's met kans en impact en doe een voorstel voor maatregelen. Past bij risicomanagement. Een lezer ziet of je risico's kunt ordenen en onderbouwen.
• Een DPIA op een denkbeeldig proces. Werk een gegevensbeschermingseffectbeoordeling uit met bewaartermijnen. Past bij privacy en compliance. Een lezer ziet of je een verwerking kunt uitwerken.
• Een script dat mislukte inlogpogingen telt. Filter uit een logbestand de mislukte inlogpogingen en tel ze. Past bij technische startfuncties. Een lezer ziet of je logregels kunt lezen en code kunt schrijven.
• Een analyse van een openbaar incidentverslag. Beschrijf wat er gebeurde en welke maatregel het incident had kunnen stoppen. Past bij incident response. Een lezer ziet of je een gebeurtenis van begin tot eind kunt ontleden.

Eén pagina is genoeg, en een recruiter kan die in een paar minuten beoordelen. Hoe je dat op je cv zet, staat in het cv-artikel voor cybersecurityfuncties.

Hoe pak je de eerste stappen aan?

1. Kies een richting. Techniek, risico, compliance, privacy of audit. Neem de richting die het dichtst bij je huidige werk ligt.
2. Lees het ECSF-profiel of de rolgids van die richting. Let op de taken, niet op de titel.
3. Zet een lijst op van wat je al kunt en wat ontbreekt. Voor technische functies gaat het bijvoorbeeld om hoe netwerken en besturingssystemen (Linux en Windows) werken, om het lezen van logbestanden, om een scripttaal zoals Python of PowerShell, en om weten wat een aanval op hoofdlijnen doet. Zie de skillpagina's voor Linux en Python. Voor risico en compliance gaat het bijvoorbeeld om een risicoanalyse kunnen uitvoeren, een norm als ISO 27001 of de AVG kunnen lezen en bevindingen helder opschrijven.
4. Bouw één klein werkbewijs. Kies een van de voorbeelden hierboven en maak het af.
5. Vraag intern naar projecten of een mentor. Vraag je manager of er een securityteam is waarin je kunt meelopen.
6. Plan een certificering pas als je de richting kent. Dan past de keuze bij je doel.

Plan vaste leertijd in je week en schrijf op wat je hebt geleerd. Dat levert direct materiaal op voor een verslag.

Voor sommige functies vraagt een werkgever een VOG. Bij een VOG voor een baan neemt de werkgever altijd de eerste stap in de aanvraag; lees het artikel over security clearance en VOG.