In dit artikel9
Wat is de CISA-certificering?
De CISA is uitgegeven door ISACA en gaat over het auditen en beoordelen van IT. ISACA schrijft dat de certificering de vaardigheden van een moderne IT-auditor valideert. Het zwaartepunt ligt op de vraag of de IT van een organisatie goed is ingericht en beheerst. Een CISA-houder bekijkt hoe systemen, processen en maatregelen zijn opgezet en of ze werken, en rapporteert daarover.
Dat verschilt van een managementcertificering en van een technische certificering. De CISA gaat over het beoordelen of de maatregelen rond een systeem werken, en over hoe je daarover rapporteert.
Eisen en prijzen staan op de site van ISACA en kunnen veranderen. Controleer de actuele pagina voordat je een keuze maakt.
Voor welke functies is de CISA bedoeld?
ISACA beschrijft de doelgroep als IT- en IS-auditors en professionals in beheersing (control), assurance en informatiebeveiliging. De CISA past dus bij het werk van de IT-auditor, die beoordeelt of systemen en processen werken zoals bedoeld. Bij sommige organisaties werkt een IT-auditor naast de eerste en tweede lijn: de auditor beoordeelt, anderen voeren uit. De rolverdeling verschilt per organisatie en per sector.
Ook andere functies raken aan dezelfde stof. Een Compliance Officer werkt aan compliance en privacy, en de stof over governance en beheersing sluit daarop aan. Een GRC Consultant werkt met governance, risico en compliance. Bij een Risk Manager, die aan risicobeheersing werkt, komt de stof over IT-beheersing ook terug.
Ook sectoren met veel toezicht, zoals financiële dienstverlening en de overheid, hebben een auditfunctie. Dat maakt de inhoud van de CISA daar relevant.
Welke werkgevers IT-auditors hebben, zie je op de pagina IT-auditors bij werkgevers. Wat een werkgever vraagt, verschilt per organisatie.
Wat zijn de vijf CISA-domeinen?
Het examen is opgebouwd uit vijf domeinen. ISACA geeft in de candidate guide een gewicht per domein, zodat je ziet welk deel van het examen waar over gaat. De onderstaande tabel vat de domeinen samen.
Domein | Gewicht | Waar het over gaat |
|---|---|---|
Information Systems Auditing Process | 18% | Hoe je een IT-audit plant, uitvoert en rapporteert, inclusief bewijs verzamelen en bevindingen onderbouwen. |
Governance and Management of Information Technology | 18% | Hoe IT wordt aangestuurd en beheerst, met beleid, organisatie, risico en strategie. |
Information Systems Acquisition, Development & Implementation | 12% | Hoe systemen worden aangeschaft, ontwikkeld, getest en in gebruik genomen, en hoe wijzigingen worden beheerst. |
Information Systems Operations and Business Resilience | 26% | Het dagelijks draaien van IT, beheer, continuïteit en herstel na verstoringen. |
Protection of Information Assets | 26% | De beveiliging van informatie, toegang, netwerken en gegevensbescherming. |
Domeinen 4 en 5 wegen samen meer dan de helft van het examen, namelijk 26% plus 26%. Als je uit de audit komt en weinig operationele of beveiligingservaring hebt, besteed dan extra tijd aan die twee domeinen. Wie juist uit de security komt, besteedt zijn of haar tijd beter aan het auditproces en de governance, omdat die daar minder vanzelf bij aansluiten.
Domein 3 weegt het minst, met 12%. Dat wil niet zeggen dat je het kunt overslaan, want het gaat over het hele traject van een systeem, van aanschaf tot ingebruikname. De twee domeinen die elk 18% wegen, het auditproces en de governance van IT, zijn samen ruim een derde van het examen. Het auditproces is bovendien het domein dat het dichtst bij het dagelijkse werk van een auditor ligt: plannen, bewijs verzamelen, bevindingen onderbouwen en rapporteren.
Welke ervaring heb je nodig voor de CISA?
ISACA vraagt minimaal vijf jaar professionele werkervaring in het auditen, beheersen (control) of beveiligen van informatiesystemen. Die ervaring moet zijn opgedaan in de tien jaar voor de datum van je aanvraag. De ervaring is breed gedefinieerd, maar of jouw functie meetelt, beoordeelt ISACA zelf. Vergelijk je eigen functie met de voorwaarden op de CISA-pagina van ISACA.
Volgens de candidate guide zijn voor de CISA vrijstellingen van de ervaringseis mogelijk, voor maximaal drie jaar. Welke vrijstellingen dat zijn, staat in de ondersteuningsartikelen van ISACA. Ga daar na of je ervoor in aanmerking komt.
Je mag het examen afleggen voordat je de ervaringseis hebt gehaald. Je moet de ervaring wel hebben voordat je gecertificeerd wordt. Na het slagen heb je vijf jaar om je aanvraag in te dienen. Dat geeft ruimte om de ervaring op te bouwen terwijl je al studeert.
De aanvraag bestaat uit drie stappen. Je haalt het examen, je betaalt de eenmalige aanvraagkosten van US$ 50 nadat de scores zijn vrijgegeven, en je dient de online aanvraag in. Bij die aanvraag verifieert een leidinggevende of manager je ervaring. Bewaar daarom gegevens over je werk, zoals functieomschrijvingen, projecten en de namen van de mensen die je kunt laten bevestigen. Zo kun je later laten zien in welk deel van je werk je audit, beheersing of beveiliging deed.
Hoe ziet het CISA-examen eruit?
Het examen is computergestuurd. Je legt het af bij een erkend PSI-testcentrum of onder toezicht op afstand. Het bestaat uit 150 meerkeuzevragen en duurt vier uur, dat is 240 minuten. Elke vraag heeft vier antwoordopties, waarvan er één het beste antwoord is.
ISACA rapporteert de score op een schaal van 200 tot 800. Je hebt 450 of hoger nodig om te slagen. Er is geen straf voor foute antwoorden. Laat dus geen vraag leeg, ook niet als je het antwoord niet zeker weet.
De examentalen zijn Engels, Spaans, Chinees (vereenvoudigd), Frans, Duits, Koreaans en Japans. Nederlands staat niet op de lijst, dus kijk vooraf welke taal je kiest.
Het examen kun je vier keer afleggen in een voortschrijdende periode van twaalf maanden. Na de eerste poging wacht je minimaal 30 dagen, na de tweede en derde poging minimaal 90 dagen. Voor elke poging betaal je de volledige registratiekosten. Plan de eerste poging daarom goed, want een herkansing kost tijd en geld.
Wat kost de CISA?
Volgens de candidate guide van ISACA (uitgave 2026) kost het examen US$ 575 voor leden van ISACA en US$ 760 voor niet-leden. Na registratie heb je zes maanden om het examen af te leggen. Een verlenging van zes maanden kost US$ 75, en er is maximaal één verlenging.
Daar komen de aanvraagkosten van US$ 50 bij, die je eenmalig betaalt na het slagen. Na certificering betaal je elk jaar een onderhoudsvergoeding. Die bedraagt US$ 45 voor leden en US$ 85 voor niet-leden, en moet uiterlijk op 1 januari zijn betaald.
Wat een ISACA-lidmaatschap kost, en wat trainingen of studiemateriaal kosten, staat niet in dit artikel. Die prijzen vind je op de site van ISACA.
Hoe houd je de CISA geldig?
Om de CISA te behouden heb je elk jaar minimaal 20 CPE-uren (Continuing Professional Education) nodig. Over een periode van drie jaar zijn dat 120 CPE-uren. De uren moeten relevant zijn voor CISA-kennis of voor CISA-taken. Een activiteit die voor meerdere ISACA-certificeringen van toepassing is, kan voor elk van die certificeringen meetellen.
ISACA selecteert willekeurig houders die bewijs van hun CPE-uren moeten aanleveren voor een bepaald kalenderjaar. Bewaar de bewijsstukken daarom twaalf maanden na het einde van elke driejarige periode.
Je houdt je aan de Code of Professional Ethics van ISACA en aan de Information Systems Auditing Standards. Wie niet voldoet, krijgt de CISA-aanduiding ingetrokken. Houders van meer dan twee ISACA-certificeringen betalen voor de derde en volgende certificering een lagere jaarlijkse vergoeding: US$ 25 voor leden en US$ 50 voor niet-leden.
Hoe bereid je je voor op de CISA?
Begin bij de examenomschrijving en de candidate guide van ISACA. Die geven aan welke onderwerpen het examen dekt en hoe zwaar elk domein weegt. Gebruik die indeling als leidraad voor je planning.
Koppel daarna de vijf domeinen aan je eigen werk. Als je elke dag met toegangsbeheer, change-processen of auditrapporten werkt, herken je een deel van de stof al. Let op de onderdelen die je niet uit je dagelijkse werk kent, want daar moet je het meest bijleren.
Oefen met vragen die één beste antwoord hebben. Het examen vraagt om het beste van vier antwoorden, en niet om een antwoord dat alleen klopt. Leer daarom ook waarom de foute antwoorden fout zijn. Plan het examen binnen de zes maanden registratieperiode, zodat je niet met een verlopen registratie komt te zitten.
CISA naast CISM, CRISC en ISO 27001 Lead Auditor
De CISA gaat over het beoordelen of IT-beheersing op orde is. De CISM gaat over het managen van informatiebeveiliging. Over de CRISC lees je meer in het eigen artikel. Voor een breder beeld van de keuze tussen deze certificeringen lees je de vergelijking van CISSP, CISM en CISA. De CISSP is breed technisch en managementgericht.
Auditen tegen een specifieke norm, zoals ISO 27001, is een ander traject dan de CISA. De ISO 27001 Lead Auditor-opleiding leidt op voor audits tegen die norm. De CISA gaat over IT-beheersing in het algemeen. Als je het werk van een auditor wilt doen tegen de ISO 27001-norm, kan de ISO 27001 Lead Auditor-vacature je laten zien welke eisen werkgevers stellen. Wie IT in het algemeen wil auditen, kijkt eerder naar de CISA.
Beide routes sluiten elkaar niet uit. Het hangt af van de functie die je zoekt en de organisatie waar je wilt werken.
Hoeveel ervaring heb je nodig voor de CISA?
Je hebt minimaal vijf jaar werkervaring nodig in audit, beheersing of beveiliging van informatiesystemen, opgedaan in de tien jaar voor je aanvraag. Volgens de candidate guide kan een vrijstelling van de eis gelden tot maximaal drie jaar. Je mag het examen eerder afleggen, maar je hebt vijf jaar na het slagen om je aanvraag in te dienen.
Welke certificering past bij een IT-auditor?
De CISA is de certificering die ISACA voor IT-auditors bedoelt, en die gaat over het beoordelen van IT-beheersing. Of de CISM, de CISSP of een andere certificering beter past, hangt af van het werk dat je wilt doen. Het keuzeartikel over CISSP, CISM en CISA zet de verschillen naast elkaar.
Hoe ziet het CISA-examen eruit?
Het examen bestaat uit 150 meerkeuzevragen en duurt vier uur. De score loopt van 200 tot 800, en 450 is het minimum om te slagen. De examentalen zijn Engels, Spaans, Chinees (vereenvoudigd), Frans, Duits, Koreaans en Japans, maar niet Nederlands.
Wat kost de CISA?
Het examen kost US$ 575 voor ISACA-leden en US$ 760 voor niet-leden, volgens de candidate guide uit 2026. De eenmalige aanvraagkosten zijn US$ 50, en daarna betaal je elk jaar een onderhoudsvergoeding van US$ 45 voor leden of US$ 85 voor niet-leden. Controleer de bedragen op de CISA-pagina van ISACA, omdat prijzen kunnen veranderen.
Hoe houd je de CISA geldig?
Je hebt elk jaar minimaal 20 CPE-uren nodig en over drie jaar 120 uur, die relevant zijn voor CISA-kennis of -taken. ISACA kan je vragen om bewijs van die uren, en je volgt de Code of Professional Ethics en de Information Systems Auditing Standards. Een overzicht van andere certificeringen staat in de kennisbank.