Zzp of loondienst in cybersecurity: waar let je op?

Wat is het verschil tussen zzp en loondienst?

In loondienst werk je onder een arbeidsovereenkomst voor een werkgever. Als zzp'er werk je voor eigen rekening en risico, voor een of meer opdrachtgevers. Zzp en freelance zijn volgens de Kamer van Koophandel geen rechtsvormen maar manieren van werken. Je schrijft je in het Handelsregister in onder een rechtsvorm, zoals een eenmanszaak of een bv, en die keuze zegt nog niets over de vraag of je werk als zelfstandige of als werknemer geldt.

Wat telt is hoe het werk in de praktijk loopt. Een contract dat zzp noemt, een factuur of een kvk-nummer maakt je niet zelfstandig als het werk eruitziet als dat van een medewerker. Andersom kan loondienst met veel vrijheid nog steeds loondienst zijn. Dit artikel is geen juridisch advies en de regels kunnen veranderen. Bespreek je eigen situatie met een adviseur of de Belastingdienst.

Dit artikel hoort bij het vakgebied cybersecurity, maar de vraag speelt ook in security leadership.

Wanneer mag je als zzp'er werken?

Rijksoverheid beschrijft schijnzelfstandigheid als de situatie waarin iemand als zelfstandige (zzp'er) wordt ingehuurd terwijl het werk in werkelijkheid een dienstbetrekking is. Dat blijkt uit de manier waarop het werk wordt uitgevoerd. Rijksoverheid beoordeelt negen factoren samen. Genoemd worden onder meer of het werk onder aansturing en gezag van de opdrachtgever wordt gedaan, of je het werk persoonlijk moet verrichten, hoe het werk en de werktijden worden bepaald, hoe de betaling wordt vastgesteld, en of je commercieel risico loopt en als ondernemer optreedt.

Niet alles is even zwaar. Een bv als rechtsvorm sluit schijnzelfstandigheid niet uit, een hoog tarief alleen is niet genoeg, en meerdere opdrachtgevers zijn niet doorslaggevend. Opdrachtgever en opdrachtnemer zijn samen verantwoordelijk voor de juiste contractvorm, zoals de veelgestelde vragen van Rijksoverheid over schijnzelfstandigheid uitleggen.

Ter illustratie: een zzp'er die de dagelijkse taken van het SOC-team vervult, met een teamlead die het rooster bepaalt en de middelen van de opdrachtgever gebruikt, lijkt meer op een medewerker. Een zzp'er die een afgebakende penetratietest uitvoert met een eigen methode, eigen hulpmiddelen en een eigen rapport, lijkt meer op een ondernemer. De beoordeling gebeurt per situatie, en dit voorbeeld is geen oordeel over een echte opdracht.

De Belastingdienst controleert sinds 1 januari 2025 weer volledig op schijnzelfstandigheid. Aanwijzingen worden niet meer gegeven. Bij vastgestelde schijnzelfstandigheid kunnen direct correctieverplichtingen en naheffingsaanslagen loonheffingen worden opgelegd. In 2025 zijn nog geen verzuim- en vergrijpboetes opgelegd. Vanaf 1 januari 2026 kunnen vergrijpboetes worden opgelegd, en in 2026 worden nog geen verzuimboetes opgelegd. Nacalculeren met terugwerkende kracht kan, maar nooit verder terug dan 1 januari 2025. Bij kwaadwillendheid of een niet opgevolgde aanwijzing kan tot 5 jaar terug worden nageheven. De Belastingdienst adviseert om periodiek te controleren of de werkelijke samenwerking nog bij een zelfstandige past.

Een modelovereenkomst is een hulpmiddel, geen vrijbrief. De Belastingdienst beoordeelt sinds 6 september 2024 geen nieuwe modelovereenkomsten meer en verlengt bestaande niet. Goedgekeurde modelovereenkomsten die op 6 september 2024 geldig waren, mogen tot en met 31 december 2029 blijven worden gebruikt. Ze geven alleen zekerheid als opdrachtgever en opdrachtnemer werken zoals in de overeenkomst is beschreven, omdat de praktijk bepaalt of er sprake is van loondienst.

Er komt ook een wet aan. De Tweede Kamer nam het wetsvoorstel op 21 april 2026 aan en de Eerste Kamer op 16 juni 2026. Het voegt in Boek 7 van het Burgerlijk Wetboek een rechtsvermoeden van een arbeidsovereenkomst toe op basis van een uurtarief. De wet is gepubliceerd in Staatsblad 2026, 158. Een inwerkingtredingsbesluit (Staatsblad 2026, 207) bepaalt dat de wet op 31 december 2026 in werking treedt. Volgens Rijksoverheid, bij de indiening van het wetsvoorstel in juli 2025, kunnen zzp'ers die onder een bepaald uurtarief werken zich beroepen op het vermoeden dat ze werknemer zijn. Dan is het aan de opdrachtgever om aan te tonen dat er geen arbeidsovereenkomst is. De grens wordt jaarlijks aangepast aan het minimumloon. Je leest de actuele waarde in de wet zelf.

Wat merk je in zekerheid, aansprakelijkheid en vrijheid?

Het verschil merk je pas goed als de samenwerking loopt. In de tabel staan de belangrijkste punten naast elkaar.

Bij zekerheid en aansprakelijkheid speelt in security iets extra's. Wat je ziet in logs, systemen en documenten is vertrouwelijk, en een fout kan grote gevolgen hebben: een verkeerd ingestelde regel, een gemiste kwetsbaarheid of een scan die een systeem platlegt. In loondienst praat je zo'n incident door met je leidinggevende, en de werkgever draagt het ondernemersrisico. Als zzp'er staat je contract centraal. In de praktijk regelen veel zzp'ers in security daarom een verzekering voor beroepsaansprakelijkheid, en leggen ze vast wat de scope is, wat de aansprakelijkheid is en wat er gebeurt met gevonden gevoelige gegevens.

Voor een beginner is leren van collega's in loondienst vaak makkelijker dan als eenling in een opdracht, omdat je feedback krijgt en overdracht van mensen die het werk al doen.

Welk security-werk past bij zzp en welk bij loondienst?

Afgebakend werk met een duidelijk resultaat past vaak bij zzp. Denk aan een penetratietest, een audit of assessment, een implementatieproject, een tijdelijke ISO- of DPO-rol of een gap-analyse. Doorlopend werk dat nauw in de organisatie is ingebed, past vaker bij loondienst: SOC-bewaking als onderdeel van een team, het opbouwen van een securityteam, leiding geven of de CISO-rol. Er is ook een grijs gebied, zoals tijdelijke invulling bij ziekte of tijdens een piek. Een functie als geheel is nooit automatisch zzp of loondienst; het gaat om de werkelijke invulling.

Wat telt is wat je doet, niet hoe de functie heet. Een titel zegt weinig over de taken en de aansturing die erbij horen. In functietitels in security uitgelegd lees je hoe titels en taken uit elkaar kunnen lopen.

Voor afgebakend werk lees je hoe het werk als penetration tester en als IT-auditor verloopt. Bij een penetratietest zijn dat de vacatures voor penetration testers, bij audits de vacatures voor IT-auditors en bij adviesopdrachten de vacatures voor GRC-consultants. Voor teamwerk in een SOC zijn er de vacatures voor SOC-analisten en de rolgids voor de SOC-analist. Leiding geven, zoals in de rol van CISO, past vaker bij loondienst.

Opdrachtgevers vragen soms om een certificering, maar of die nodig is hangt af van de opdracht. De details staan in welke certificeringen bij welke functie.

Wat verandert er bij screening en veiligheidsonderzoek?

Rijksoverheid noemt een opdracht als zzp'er als een situatie waarin je een VOG nodig kunt hebben. De organisatie die de VOG vraagt, vertelt je of je de aanvraag digitaal of schriftelijk doet. Justis geeft de VOG af, en de opdrachtgever begint de aanvraag. Of je een VOG nodig hebt, hangt dus af van de opdracht. Voor het verschil met een veiligheidsonderzoek en de details lees je het artikel over security clearance en VOG.

Bij detachering of uitlenen geldt een andere regel. De Autoriteit Persoonsgegevens schrijft dat je in de regel niet opnieuw wordt gescreend bij elke nieuwe organisatie. Dat geldt niet als voor het werken bij die organisatie speciale (veiligheids)eisen gelden, of als de organisatie kan aantonen dat screening om een andere reden noodzakelijk is.

Onder de Wet veiligheidsonderzoeken is de werkgever volgens de AIVD de organisatie die toegang verleent of verantwoordelijk is voor het belang dat wordt beschermd. Bij externe medewerkers kan dat de opdrachtgever zijn. Bij een zzp'er kan je opdrachtgever dus de werkgever in de zin van die wet zijn. Wat een opdrachtgever bij het inhuren van een zzp'er regelt, staat op de pagina over security professionals inhuren als zzp'er.

Hoe maak je de afweging?

Stel jezelf deze vragen voordat je een opdracht aanneemt of een contract tekent:

• Hoe is je werk geregeld? Wie maakt het rooster, wie stuurt je aan en welke middelen gebruik je?
• Heb je een eigen aanpak en rapportage, of werk je volgens de werkwijze van de opdrachtgever?
• Kun je een opdracht afwijzen, of laten uitvoeren door een vervanger?
• Wat gebeurt er met je inkomen als er twee maanden geen opdracht is?
• Hoeveel ervaring heb je al in je vakgebied?
• Welke verzekeringen en reserves heb je nodig?
• Wat vraagt je opdrachtgever over screening, geheimhouding en certificeringen?

Je hoeft niet meteen te kiezen. De afweging is geen eenmalige keuze: je kunt eerst in loondienst ervaring opbouwen en later zzp worden, of andersom. Sommige mensen starten in loondienst om het vak en een netwerk op te bouwen, en kiezen later voor zzp zodra ze een afgebakend vakgebied hebben. Wie nog moet instromen, vindt in het artikel over omscholen naar cybersecurity wat de route kan zijn. Wie na een tijd in het SOC verder wil, kan de stap naar leiderschap bekijken in het artikel over van SOC-analist naar CISO.

Wil je zien bij welke organisaties je terechtkunt, kijk dan op de pagina werkgevers.

Leg de afspraken vast en controleer dat de praktijk bij het contract past. Een modelovereenkomst geeft alleen zekerheid als je werkt zoals de overeenkomst beschrijft (zie hierboven). Bespreek je eigen situatie met de Belastingdienst, een adviseur of een juridisch adviseur, want de uitkomst hangt af van jouw werk en niet van een algemeen artikel.