CISM-certificering: eisen, examen en onderhoud

Wat is de CISM-certificering?

De CISM is een certificering van ISACA. ISACA omschrijft de CISM als bewijs van de vaardigheden van een moderne IT-securitymanager. In de candidate guide staat dat de CISM bedoeld is voor wie de informatiebeveiligingsfunctie van een onderneming beheert, ontwerpt, aanstuurt en beoordeelt. Het zwaartepunt ligt dus op management: hoe je informatiebeveiliging als functie van een organisatie inricht en stuurt.

Dat is het verschil met een technische certificering. Een technische certificering gaat over hoe je systemen inricht en beveiligt. De CISM gaat over hoe je een programma voor informatiebeveiliging bestuurt, risico's afweegt en een organisatie door een incident heen leidt. Het management van informatiebeveiliging is een eigen vakgebied, zie security leadership. Informatiebeveiliging in brede zin vind je bij cybersecurity.

De eisen en prijzen staan op de site van ISACA en kunnen veranderen. Controleer ze daar voordat je een beslissing neemt.

Voor wie is de CISM bedoeld?

ISACA richt de CISM op wie de informatiebeveiligingsfunctie van een onderneming beheert. Die functie heeft in elke organisatie een andere naam en een andere plek in de structuur. Hieronder staat per functie hoe de inhoud van de CISM daarbij aansluit. Wat een werkgever vraagt, verschilt per organisatie.

Een Security Manager stuurt het beveiligingswerk van een team of afdeling aan. Bij deze functie gaat het om beleid, risico's en de verdeling van werk, en dat komt overeen met de domeinen van de CISM.

Een Chief Information Security Officer stuurt de informatiebeveiliging van de hele organisatie aan. De governance-kant van de CISM sluit goed aan bij deze rol. Het verschil tussen een ISO en een CISO legt dit artikel uit.

Een Information Security Officer richt zich op de informatiebeveiliging binnen de organisatie. Ook hier raakt de CISM aan het werk, vooral via governance en het beveiligingsprogramma.

Een Head of Security leidt de beveiligingsafdeling en het team daarin. De CISM past bij die leidinggevende rol, omdat het examen de functie vanuit het management bekijkt.

Een SOC Manager stuurt een Security Operations Center aan. Voor die rol is vooral het domein Incident Management relevant, omdat een SOC meldingen opvangt en incidenten laat afhandelen.

Herken je jouw functie er niet in, stel dan de vraag wat je werk is. Beheer je informatiebeveiliging als functie, met beleid, risico's en een programma, of voer je vooral technische taken uit? Het antwoord kan helpen bepalen welke certificering bij jou past.

Wat zijn de vier CISM-domeinen?

ISACA verdeelt de stof van de CISM over vier domeinen. Ze volgen een logische keten: eerst de besturing, dan de risico's, daarna het programma dat maatregelen uitvoert en tot slot het afhandelen van incidenten. De gewichten in de tabel komen uit de examenomschrijving in de ISACA Certification Exam Candidate Guide van 2026.

De gewichten tellen op tot 100%. Het zwaarste domein is Information Security Program met 33%, gevolgd door Incident Management met 29%. Wie de CISM wil halen, leert dus niet alleen governance en risico's, maar ook hoe je een programma draait en hoe je een incident leidt.

Voor de praktijk van Incident Management helpt het om te zien hoe dat werk in vacatures terugkomt. Zoek op incident response om rollen te vinden waarin die stappen centraal staan. Voor governance en het programma kan een norm als ISO 27001 een kader zijn waarop een programma leunt. Wie die norm wil auditen, kan kijken naar de ISO 27001 lead auditor opleiding.

Welke ervaring heb je nodig voor de CISM?

Voor de CISM vraagt ISACA minimaal vijf jaar professionele werkervaring in het management van informatiebeveiliging. Die ervaring moet verdeeld zijn over minimaal drie van de vier CISM-domeinen. Ze moet bovendien zijn opgedaan in de tien jaar voor de datum van je aanvraag, dus oudere ervaring valt buiten die termijn. Controleer de exacte eisen op de ISACA-pagina over het behalen van de CISM.

Volgens de candidate guide zijn vrijstellingen van de ervaringseis mogelijk, tot maximaal twee jaar. Welke vrijstellingen er precies zijn, staat in de ondersteuningsartikelen van ISACA. Raadpleeg die voor de lijst.

Je mag het examen afleggen voordat je de vijf jaar ervaring hebt. Na het slagen heb je vijf jaar om de certificering aan te vragen. De aanvraag bestaat uit drie stappen:

1. Het examen halen, binnen de laatste vijf jaar.
2. De eenmalige aanvraagkosten van US$ 50 betalen, nadat de officiële scores zijn vrijgegeven.
3. De aanvraag indienen, waarbij een leidinggevende of manager je ervaring verifieert.

Zit je nog niet aan de vijf jaar, dan kun je zo plannen. Je legt het examen af terwijl je de ervaring opbouwt, en je dient de aanvraag in zodra je de ervaring kunt laten verifiëren. Kies daarvoor een leidinggevende of manager die je werk goed kent, want die bevestigt je ervaring.

Hoe ziet het CISM-examen eruit?

Het CISM-examen is computergestuurd en bestaat uit 150 meerkeuzevragen. Je hebt er vier uur voor. Elke vraag heeft vier antwoordopties, waarvan er één het beste antwoord is. Het examen wordt afgenomen bij erkende PSI-testcentra of onder toezicht op afstand.

ISACA rapporteert scores op een schaal van 200 tot 800. Je hebt 450 of hoger nodig om te slagen. Er is geen straf voor foute antwoorden, dus beantwoord elke vraag, ook als je het antwoord niet zeker weet. Een lege vraag levert niets op.

Het examen is er in Engels, Spaans, Chinees (vereenvoudigd), Japans, Frans en Duits. Nederlands staat niet op de lijst, dus plan je voorbereiding in een van die talen.

Je hebt vier pogingen in een voortschrijdende periode van twaalf maanden. Na de eerste poging wacht je minimaal 30 dagen, na de tweede en derde poging minimaal 90 dagen. Voor elke poging betaal je de volledige registratiekosten.

Wat kost de CISM?

De kosten bestaan uit meerdere posten. Volgens de candidate guide van ISACA (uitgave 2026) kost het examen US$ 575 voor ISACA-leden en US$ 760 voor niet-leden. Na de registratie heb je zes maanden om het examen af te leggen. Een verlenging van zes maanden kost US$ 75, en je kunt er maximaal één aanvragen.

Daarna komen de aanvraagkosten van eenmalig US$ 50, en de jaarlijkse onderhoudsvergoeding. Die is US$ 45 voor ISACA-leden en US$ 85 voor niet-leden. Hoe dat werkt, staat in het onderdeel over onderhoud hieronder.

ISACA-lidmaatschap kost ook geld en staat niet in dit artikel. Bereken zelf of lid worden voor jou loont, door de examenprijs en de onderhoudsvergoeding naast elkaar te zetten.

Hoe houd je de CISM geldig?

Om de CISM te behouden heb je 20 CPE-uren (Continuing Professional Education) per jaar nodig, en 120 CPE-uren over een periode van drie jaar. De jaarlijkse onderhoudsvergoeding is US$ 45 voor ISACA-leden en US$ 85 voor niet-leden. Die betaal je uiterlijk op 1 januari. Heb je meer ISACA-certificeringen, dan is de vergoeding lager. Vanaf de derde ISACA-certificering betaal je US$ 25 als lid en US$ 50 als niet-lid. Meer over het onderhoud staat op de ISACA-pagina over het onderhouden van de CISM.

ISACA kan een steekproef doen. Word je geselecteerd, dan lever je CPE-documentatie aan voor een bepaald kalenderjaar. Bewaar die documentatie tot twaalf maanden na het einde van elke driejarige periode. Voldoe je niet aan de eisen, dan kan ISACA de CISM-aanduiding intrekken. Je mag "CISM" achter je naam zetten, maar je mag het CISM-logo niet gebruiken.

Volgens ISACA tellen CPE-uren mee voor meerdere ISACA-certificeringen, mits de activiteit voor elk van toepassing is. Raadpleeg ISACA voordat je daarop rekent. Houd per activiteit bij wat je deed en bewaar het bewijs, zodat je bij een steekproef direct bewijs hebt.

Hoe bereid je je voor op de CISM?

Begin bij de examenomschrijving en de candidate guide. Lees per domein wat ISACA verwacht, en zet elk domein naast situaties uit je eigen werk. Dat maakt de stof concreet, omdat je de vragen dan aan iets uit de praktijk kunt koppelen.

Oefen met vragen die één beste antwoord hebben. Het examen vraagt om afwegen: wat is in deze situatie de eerste of beste stap voor een manager? Het juiste antwoord past bij de doelen van de organisatie, niet bij de technisch meest uitgebreide oplossing. Leer daarom af te wegen en niet alleen feiten te onthouden.

Besteed de meeste aandacht aan de twee zwaarste domeinen, Information Security Program en Incident Management. Plan de examendatum binnen de zes maanden registratieperiode, zodat je voorbereiding een einddatum heeft.

Het examen mag je afleggen voordat je de vijf jaar ervaring hebt. Dat kan helpen om kennis te laten zien, maar de certificering krijg je pas na de aanvraag met aangetoonde ervaring.

CISM naast CISSP, CISA en CRISC

De CISM kijkt vanuit het management naar informatiebeveiliging. De CISSP is breder en technischer van aard. De CISA gaat over het beoordelen van beveiliging, terwijl de CISM over het managen ervan gaat. De CRISC richt zich op IT-risico en de beheersmaatregelen die daarbij horen.

Welke certificering bij jouw situatie past, staat in het keuzeartikel over CISSP, CISM of CISA. Meer artikelen over certificeringen vind je in de kennisbank. Wil je zien in welke vacatures de CISM als skill voorkomt, kijk dan in de vacatures met CISM.