Security bij consultancy en IT-dienstverleners

Welke wetten gelden voor IT-dienstverleners en adviesbureaus?

De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Volgens het NCSC geldt de wet voor ruim 8.000 organisaties. De Rijksoverheid schrijft dat de Cbw de Europese NIS2-richtlijn implementeert en de Wbni vervangt, en dat organisaties zelf nagaan of ze onder de wet vallen. Meer over de wet staat in het NIS2-artikel en bij NIS2 als vacatureskill.

Bijlage 1 van de Cbw noemt de sector beheer van ICT-diensten (business-to-business). Daaronder vallen aanbieders van beheerde diensten en aanbieders van beheerde beveiligingsdiensten. Ook digitale infrastructuur staat in de bijlage, met onder meer aanbieders van cloudcomputingdiensten en van datacentrumdiensten. Cloudbeveiliging is een eigen skill. De RDI noemt daarnaast digitale aanbieders, zoals online marktplaatsen, online zoekmachines en sociale netwerken.

Een adviesbureau staat als zodanig niet in de lijst van sectoren van de Cbw. Of een organisatie eronder valt, hangt af van wat ze doet. Wie ICT-diensten of beveiligingsdiensten beheert voor andere organisaties, valt onder het type beheer van ICT-diensten. Wie cloud, datacenters of netwerken aanbiedt, valt onder digitale infrastructuur. Of de wet voor een specifieke organisatie geldt, ook door de omvang, bepaalt de organisatie zelf met de zelfevaluatie van de RDI.

Voor softwareproducten speelt ook de Cyber Resilience Act (CRA). De Europese Commissie schrijft dat de CRA geldt voor software- en hardwareproducten met digitale elementen, zoals apps en computerprogramma's. Meer daarover staat in het artikel over de CRA.

Wie houdt toezicht?

De Rijksinspectie Digitale Infrastructuur (RDI) is de toezichthouder voor het beheer van ICT-diensten en voor digitale infrastructuur. Het NCSC is het CSIRT. Het CSIRT helpt bij dreigingen en incidenten en is niet bedoeld voor toezicht. Volgens de RDI geldt voor entiteiten in de categorie essentieel toezicht vooraf en achteraf, en voor belangrijke entiteiten alleen toezicht achteraf.

Organisaties die onder de Cbw vallen, registreren zich in het entiteitenregister via Mijn.NCSC.nl. Volgens de RDI is registratie verplicht sinds 15 augustus 2026, en de organisatie is zelf verantwoordelijk voor een tijdige registratie. Voor financiële klanten houden DNB en AFM toezicht op de financiële ondernemingen zelf.

Wat betekent de toeleveringsketen voor leveranciers en klanten?

Artikel 21 van de Cbw verplicht een entiteit tot passende maatregelen voor cyberbeveiliging. Daaronder valt de beveiliging van de toeleveringsketen, ook ten aanzien van rechtstreekse leveranciers en dienstverleners. Bij die keuze houdt de entiteit rekening met de specifieke kwetsbaarheden van elke leverancier en met de algemene kwaliteit van diens producten en cyberbeveiligingspraktijken, inclusief veilige ontwikkelprocedures. Een klant die onder de wet valt, weegt dus de beveiliging van zijn leveranciers mee.

In de praktijk kan een leverancier vragen krijgen: een vragenlijst over beveiliging, afspraken in het contract over toegang en incidentmelding, en soms bewijs. De Cbw schrijft zelf niet voor welk bewijs een klant vraagt, en dat wisselt per klant. ISO 27001, SOC 2 en het NIST Cybersecurity Framework zijn voorbeelden van kaders en bewijs waar een klant naar kan vragen. Hieronder staan drie voorbeelden, geen eisen.

De klant heeft zelf een meldplicht. Een organisatie die onder de Cbw valt, meldt een significant incident aan het CSIRT en de bevoegde autoriteit: een vroegtijdige waarschuwing onverwijld of, als dat niet kan, binnen 24 uur nadat de entiteit kennis heeft gekregen, een melding binnen 72 uur en een eindverslag uiterlijk één maand na de melding. Een dienstverlener die zijn werk goed doet, levert de feiten snel aan. In contracten kunnen daarom afspraken staan over wanneer en hoe de dienstverlener zijn klant informeert. Dat is een praktische afspraak, geen wettelijke eis voor de leverancier. Valt de dienstverlener zelf onder de Cbw, dan heeft hij een eigen meldplicht.

Wat verandert er onder DORA voor ICT-leveranciers van financiële instellingen?

DORA geldt voor de meeste financiële ondernemingen, waaronder banken, verzekeraars, pensioenfondsen en cryptoactivadienstverleners. Kleinere ondernemingen hoeven niet aan alle regels te voldoen. De Rijksoverheid schrijft dat financiële ondernemingen in kaart moeten brengen welke IT-leveranciers ze gebruiken en hoe weerbaar die zijn. DNB schrijft dat DORA van toepassing is per 17 januari 2025, en dat instellingen een informatieregister nodig hebben met alle ICT-diensten die ze van derden afnemen, inclusief onderuitbesteding. Lees meer in het artikel over DORA en in het artikel over banken en verzekeraars.

Voor de grootste leveranciers ligt het toezicht elders. Grote IT-leveranciers, zoals cloudaanbieders, vallen direct onder de Europese toezichthoudende autoriteiten EBA, EIOPA en ESMA. Op 18 november 2025 maakten die bekend welke ICT-derde aanbieders zij als kritiek hebben aangewezen. Volgens de ESA's gebeurde dat op basis van criteria uit DORA, waaronder de systeemrelevantie van een aanbieder. Als lead overseer kunnen de ESA's informatie opvragen, inspecties ter plaatse doen en aanbevelingen doen, en de bevoegde autoriteiten volgen die aanbevelingen op bij de financiële entiteiten die zij superviseren.

Voor een dienstverlener met een financiële klant betekent dit dat er vragen kunnen komen over de eigen organisatie en over onderaannemers. De klant houdt een register bij met de diensten die hij van de dienstverlener afneemt. Naast DORA gelden NIS2, via de Cbw, en de CER-richtlijn. Bij overlap gaan de bepalingen uit DORA voor financiële instellingen voor. Vacatures bij financiële klanten staan op de pagina voor financiële dienstverlening.

Hoe verschilt advies van security in-house?

Het verschil zit in de positie, de oplevering, de beslissingen en het werkritme. Het verschilt per organisatie, en de tabel is geen waardeoordeel.

Een adviseur brengt een risico in kaart, legt uit wat het betekent en stelt maatregelen voor. De keuze ligt bij de klant. Dat vraagt om helder schrijven en om een bestuurder te kunnen overtuigen zonder dat je macht over hem hebt.

Adviseren en onafhankelijk toetsen zijn twee verschillende rollen. Een GRC Consultant helpt een klant een maatregel in te richten. Een IT-auditor toetst of die maatregel werkt en blijft daarbij onafhankelijk. Een organisatie die beide aanbiedt, houdt die rollen vaak gescheiden. Wie in-house begint, stapt later soms over naar advies, of omgekeerd. Lees ook security na je studie als je hier wilt beginnen.

Welke functies horen bij security bij consultancy en IT-dienstverleners?

Titels verschillen per organisatie, en de vacature legt uit wat er precies bedoeld wordt. Voor GRC en risico zijn er de vakgebieden compliance en privacy en risk management. Deze functies horen erbij:

• GRC Consultant. Helpt een klant een norm of wet invoeren, doet een nulmeting en een gap-analyse en bereidt een audit voor. Adviseert en beslist niet over het risico. Zie de rolgids en de vacatures.
• Risk Consultant. Beoordeelt risico's voor klanten en schrijft rapporten en plannen van aanpak, bij sommige organisaties ook rond DORA of NIS2. Zie de rolgids, de vacatures en de risicoanalyse.
• Penetration Tester en Red Team Specialist. Testen met toestemming de systemen van klanten. Zie de rolgids, de vacatures voor Penetration Testers en de vacatures voor Red Team Specialists.
• Security Architect. Ontwerpt de beveiliging voor klantomgevingen of voor het eigen platform. Zie de vacatures.
• SOC-analist, SOC Engineer en Incident Responder. Bij beheerde beveiligingsdiensten bewaken ze systemen van meerdere klanten en helpen ze bij incidenten. Zie de vacatures voor SOC-analisten, SOC Engineers en Incident Responders.
• Cloud Security Engineer. Beveiligt cloudomgevingen van klanten of het eigen cloudplatform. Zie de vacatures.
• IT-auditor. Toetst onafhankelijk of maatregelen werken, bijvoorbeeld in opdracht van een klant of een toezichthouder. Zie de rolgids en de vacatures.
• Third Party Risk Manager. Aan de klantkant beoordeel je leveranciers, bij een dienstverlener beantwoord je de vragenlijsten van klanten. Zie de rolgids en de vacatures.
• Information Security Officer en Compliance Officer. Werken bij de dienstverlener zelf, voor de eigen organisatie: beleid, registratie, meldplicht en contact met de toezichthouder. Zie de vacatures voor Information Security Officers en de vacatures voor Compliance Officers.

Vacatures in deze sectoren staan op de pagina voor consultancy en data services en op de pagina voor IT, SaaS en technologie.

Welke werkgevers dit werk doen, zie je op de werkgeverspagina, en voor GRC-werk op de pagina voor GRC Consultants.

Hoe verschilt een werkdag van andere sectoren?

De dag hangt af van de opdracht. Twee situaties, fictief:

Stel dat een softwarebedrijf van een grote klant een vragenlijst over beveiliging krijgt, omdat die klant zijn leveranciers moet meewegen. De information security officer beantwoordt de vragen. Een GRC-consultant helpt de antwoorden koppelen aan een kader en bewijs verzamelen, en een application security engineer legt uit hoe kwetsbaarheden in de software worden afgehandeld. De klant leest het bewijs en stelt vervolgvragen.

Stel dat een beheerde beveiligingsdienst de systemen van meerdere klanten bewaakt, met security monitoring. Een SOC-analist ziet bij één klant ongebruikelijke inlogpogingen en schaalt op naar de incident responder. Die bepaalt samen met de beveiligingsverantwoordelijke van de klant wat er is gebeurd. De klant beslist of het een significant incident is en meldt zo nodig binnen de termijn, terwijl de dienstverlener de feiten levert. De taakverdeling staat in het contract en verschilt per opdracht.

Wie in-house werkt in een bank of fabriek, ziet één organisatie van binnen. Wie bij een dienstverlener of adviesbureau werkt, ziet vaak meer organisaties en moet snel leren hoe elk werkt. Vergelijk dat met security bij banken en verzekeraars en met security in industrie en productie.