CCSP-certificering: eisen, examen en onderhoud

Wat is de CCSP-certificering?

De CCSP is een certificering voor wie cloudomgevingen beveiligt, ontwerpt of beheert. ISC2 geeft de certificering uit en publiceert de exam outline, de lijst met onderwerpen waarop het examen is gebaseerd. Op de ISC2-pagina over de CCSP staan de basisgegevens.

Volgens ISC2 is de CCSP geaccrediteerd onder ISO/IEC 17024, door ANAB.

De certificering beantwoordt de vraag of iemand cloudomgevingen kan beveiligen, ontwerpen en beheren. Dat is het vakgebied van cloudsecurity: het beveiligen van systemen, data en applicaties die bij een cloudleverancier draaien. Het examen laat zien hoe breed dat is, via de zes domeinen die verderop in dit artikel staan.

Er bestaan meer cloud- en securitycertificeringen. Een overzicht daarvan vind je in de kennisbank.

Voor welke functies is de CCSP bedoeld?

ISC2 noemt de volgende doelfuncties voor de CCSP:

• Cloud Architect
• Cloud Engineer
• Cloud Consultant
• Cloud Administrator
• Cloud Security Analyst
• Cloud Specialist
• Auditor of Cloud Computing Services
• Professional Cloud Developer

ISC2 noemt de titels Cloud Security Engineer, Security Architect en IT-auditor niet in deze lijst, maar het werk van die functies raakt wel aan de CCSP. Een Cloud Security Engineer richt cloudomgevingen veilig in en bewaakt ze. Die werkt dicht bij de domeinen over platform en infrastructuur, applicaties en operations, omdat daar de inrichting en het dagelijkse beheer zitten. Bekijk de vacatures voor cloud security engineers en de werkgevers die cloud security engineers zoeken.

Een Security Architect ontwerpt hoe een organisatie beveiliging in de cloud opzet. Die keuzes raken meerdere domeinen tegelijk, van cloudarchitectuur en data tot identiteit en applicaties. Het brede karakter van de CCSP past daar goed bij. Zie de vacatures voor security architects.

Een IT-auditor beoordeelt of het cloudgebruik van een organisatie aan de eisen voldoet. Die werkt dichter bij het domein over juridische eisen, risico en compliance, zoals auditprocessen en cloudcontracten. Wie vanuit audit werkt en de normkant wil verdiepen, kan ook kijken naar de ISO 27001 lead auditor-opleiding. Zie de vacatures voor IT-auditors.

Wat een werkgever vraagt, verschilt per organisatie. Lees daarom de vacature van de functie die je zoekt.

Welke zes domeinen dekt de CCSP?

De exam outline verdeelt het examen over zes domeinen. In de tabel staat het gemiddelde gewicht per domein. Die gewichten zijn gemiddelden volgens de exam outline.

Het domein Cloud Concepts, Architecture and Design gaat over het fundament: wat cloud computing is, hoe een cloudreferentiearchitectuur eruitziet en welke ontwerpprincipes bij veilig cloud computing horen. Je beoordeelt cloudserviceproviders en je moet AI en machine learning begrijpen.

Cloud Data Security is het domein met het hoogste gewicht. Het gaat over data in de cloud: hoe je opslag ontwerpt, data classificeert en vindt, en omgaat met Information Rights Management (IRM). Ook beleid voor bewaren, verwijderen en archiveren hoort erbij, net als het controleerbaar en herleidbaar maken van gebeurtenissen met data en de bescherming van AI- en ML-data.

Cloud Platform and Infrastructure Security richt zich op de onderdelen van cloudinfrastructuur en platformen, en op het ontwerp van een veilig datacenter. Je leert de risico's van die infrastructuur analyseren en beveiligingsmaatregelen plannen en implementeren. Business continuity (BC) en disaster recovery (DR) horen hier ook bij.

Cloud Application Security draait om applicaties die in de cloud draaien. Het domein behandelt training en bewustzijn voor applicatiebeveiliging, de Secure Software Development Life Cycle (SDLC) en de validatie van cloudsoftware. Ook het ontwerp van passende Identity and Access Management (IAM)-oplossingen en de specifieke kenmerken van cloudapplicatiearchitectuur vallen hieronder.

Cloud Security Operations gaat over de dagelijkse werking. Je bouwt, implementeert, bedient en onderhoudt de fysieke en logische infrastructuur van een cloudomgeving. Operationele maatregelen en standaarden horen erbij, net als het ondersteunen van digital forensics, communicatie met relevante partijen en het beheren van security operations.

Legal, Risk and Compliance behandelt de juridische eisen en de specifieke risico's van de cloud, met privacyvraagstukken erbij. Je leert hoe het auditproces en de auditmethodes eruitzien als je ze aanpast voor een cloudomgeving. Het domein gaat ook over de gevolgen van cloud voor enterprise risk management, over outsourcing en over het ontwerp van cloudcontracten.

De domeinnamen en onderwerpen in de exam outline noemen geen specifieke cloudleverancier. Dat past bij een certificering die over concepten en principes gaat. Praktijkkennis van een platform als AWS, Azure of Google Cloud Platform komt daar in de praktijk bij.

Welke ervaring heb je nodig voor de CCSP?

ISC2 vraagt voor de volledige CCSP minimaal vijf jaar cumulatieve, fulltime ervaring in Information Technology (IT). Daarvan moeten drie jaar in cybersecurity zijn, en één jaar in een of meer van de zes CCSP-domeinen. De ervaring in cybersecurity valt binnen het vakgebied cybersecurity.

Fulltime betekent minimaal 35 uur per week, gedurende vier weken per maand. Parttime werk telt mee bij 20 tot 34 uur per week: 1040 uur parttime is gelijk aan zes maanden fulltime ervaring en 2080 uur parttime aan twaalf maanden.

Parttime werk en stages kunnen meetellen, betaald of onbetaald, met documentatie op briefpapier van de organisatie. Een diploma in informatica, IT of een verwant vakgebied kan tot maximaal één jaar van de vereiste ervaring vervangen.

Het CCSK-certificaat van de Cloud Security Alliance (CSA) kan één jaar ervaring vervangen. Er kan in totaal maar één jaar worden vervangen.

Heb je een actieve CISSP, dan vervangt die de volledige ervaringseis.

Wie het CCSP-examen haalt maar de ervaring nog niet heeft, wordt Associate of ISC2. Een Associate heeft zes jaar om de vereiste ervaring op te bouwen. Om de Associate-status te behouden betaal je jaarlijks US$ 50 en haal je 15 CPE-credits per jaar. Zie de ISC2-pagina over het Associate-lidmaatschap.

Wat betekent dit voor wie nog geen vijf jaar ervaring heeft? Dan hoef je niet te wachten met het examen. Een diploma, een stage of parttime werk kan een deel van de eis invullen, en de Associate-status geeft je zes jaar om de rest op te bouwen. Houd voor jezelf bij welke uren je hebt gemaakt, in welk domein en bij welke werkgever, want de documentatie is later het bewijs. Het actuele regelwerk staat op de ISC2-pagina over de ervaringseisen, en die pagina gaat voor op dit artikel.

Hoe ziet het CCSP-examen eruit?

Het examen bestaat uit 100 tot 150 items en duurt 3 uur. Je hebt een score van 700 van 1000 punten nodig om te slagen. De items zijn meerkeuzevragen en geavanceerde itemtypen.

Het examen is beschikbaar in het Engels, Chinees, Japans en Duits. Het is dus niet in het Nederlands. Volgens de exam outline werkt het examen adaptief, met Computerized Adaptive Testing (CAT). Omdat het examen niet in het Nederlands is, is Engelse vakterminologie geen bijzaak, ook als je in het Nederlands werkt.

Voor de voorbereiding is de exam outline de inhoudelijke leidraad. Gebruik de zes domeinen als checklist: bij welke onderwerpen kun je een concept uitleggen en bij welke niet? De outline kan wijzigen, dus controleer op de ISC2-pagina welke versie nu geldt.

Hoe onderhoud je de CCSP?

Een CCSP-houder haalt 90 CPE-credits in een cyclus van drie jaar. Minimaal 60 daarvan moeten uit Group A komen.

ISC2 vraagt een jaarlijkse maintenance fee (AMF) van US$ 135. Die is verschuldigd op de startdatum van de certificeringscyclus en op elke jaarlijkse verjaardag. Volgens de site van ISC2 gold dit bedrag op 5 november 2026. Heb je meerdere ISC2-certificeringen, dan betaal je één AMF. Meer over de AMF's vind je op de ISC2-pagina over AMF's.

Na het einde van de cyclus heb je 90 dagen om CPE-credits te halen en in te dienen. Betaal je niet, of haal je te weinig CPE-credits, dan wordt de certificering geschorst. Een geschorste status kan maximaal twee opeenvolgende jaren duren, daarna wordt het lidmaatschap beëindigd. De volledige regels staan in het ISC2-beleid voor leden.

Onderhoud kost tijd en geld, ook als je er nu niet aan denkt. Neem het mee in je plannen voordat je aan het examen begint. Zet de cyclus van drie jaar in je agenda, met de datum van de jaarlijkse AMF erbij, zodat een betaling of een CPE-activiteit niet pas opvalt als de termijn al verstreken is.

CCSP naast CISSP en andere certificeringen

De CCSP is specifiek voor cloud. De CISSP is breed en gaat over security als geheel. Beide certificeringen komen van ISC2 en overlappen deels.

De grootste schakel tussen de twee is de ervaringsvrijstelling. Wie een actieve CISSP heeft, valt volledig onder de vrijstelling van de ervaringseis voor de CCSP, zoals hierboven beschreven. Wie de CISSP al heeft, kan daardoor gemakkelijker doorstromen naar de CCSP.

Wie moet kiezen tussen certificeringen, kan de keuzegids voor CISSP, CISM of CISA gebruiken om ze naast elkaar te zetten. Welke certificering beter past, hangt af van het werk dat je wilt doen en van wat de werkgevers die je interesseren vragen.

Past de CCSP bij jou?

Stel jezelf een paar vragen. Werk je met cloudplatformen? Ontwerp je cloudarchitectuur? Beoordeel je cloudleveranciers? Is de ervaringseis haalbaar, of heb je een actieve CISSP die de eis vervangt? Als je die vragen grotendeels met ja beantwoordt, past de CCSP goed bij je werk.

Bekijk daarna de vacatures voor de CCSP en de functies die erbij horen, en kijk zelf wat de werkgevers die je interesseren noemen. Een certificering vervangt geen ervaring, en werkgevers wegen certificering en ervaring per functie en per organisatie verschillend.