In dit artikel9
Wat is de CISSP-certificering?
De CISSP is een certificering van ISC2 die laat zien dat je brede kennis hebt van informatiebeveiliging. Hij gaat over security als geheel en niet over één product of leverancier. Wie in het vakgebied cybersecurity werkt, kan de CISSP gebruiken als bewijs van die brede kennis.
ISC2 schrijft dat de CISSP bedoeld is voor ervaren security-praktijkmensen, managers en executives. Het is dus bedoeld voor wie al ervaring heeft. Wie nog dichter bij het begin zit, vindt in de vergelijking verderop een instapniveau.
Let op: ISC2 meldt dat het CISSP-examen vanaf 15 april 2027 op een nieuwe examenomschrijving wordt gebaseerd. Wie nu plant, controleert de eisen daarom op de ISC2-pagina over de CISSP, omdat ze kunnen veranderen.
Voor welke functies is de CISSP bedoeld?
ISC2 noemt op de CISSP-pagina de volgende functietitels. Ze laten zien welke rollen de certificering op het oog heeft, van technische functies tot management.
- Chief Information Security Officer: is verantwoordelijk voor de informatiebeveiliging van de hele organisatie. Zie CISO-vacatures.
- Chief Information Officer: stuurt de IT als geheel aan en beslist over de inrichting van de informatievoorziening.
- Director of Security: leidt de security-afdeling en zet de koers voor beleid en teams.
- IT Director/Manager: leidt IT-teams en is verantwoordelijk voor systemen en het beheer ervan.
- Security Systems Engineer: bouwt en beheert beveiligingssystemen zoals firewalls en monitoringtools. Zie security engineer-vacatures.
- Security Analyst: analyseert meldingen en kwetsbaarheden en adviseert over maatregelen.
- Security Manager: stuurt een team dat security uitvoert. Zie security manager-vacatures.
- Security Auditor: toetst of beveiligingsmaatregelen werken en aan de eisen voldoen. Zie IT-auditor-vacatures.
- Security Architect: ontwerpt de beveiligingsarchitectuur van systemen en netwerken. Zie security architect-vacatures en de werkgevers met deze functie.
- Security Consultant: adviseert organisaties over security op basis van hun situatie en projecten.
- Network Architect: ontwerpt netwerken zodat het verkeer veilig en beschikbaar loopt.
Information Security Officer staat niet op de lijst van ISC2, maar het is een functie waar de CISSP bij kan passen. Het verschil met een CISO staat in Information Security Officer of CISO. Bekijk ook de Information Security Officer-vacatures.
De CISSP is breed, dus hij past bij wie over meerdere onderdelen van security werkt of wil doorgroeien naar management. Certificeringen met een ander zwaartepunt staan in de vergelijking verderop in dit artikel.
Wat zijn de acht CISSP-domeinen?
De examenomschrijving van ISC2 verdeelt de stof over acht domeinen. Hieronder staan de domeinnamen zoals ISC2 ze schrijft, het gemiddelde gewicht in het examen en wat het domein inhoudt.
Domein | Gewicht | Waar het over gaat |
|---|---|---|
Security and Risk Management | 16% | Governance, beleid, risicoanalyse, wet- en regelgeving en ethiek. Het zwaarste domein. |
Asset Security | 10% | Welke informatie en middelen je hebt, hoe je ze classificeert en beschermt tijdens hun hele levensduur. |
Security Architecture and Engineering | 13% | Veilige ontwerpprincipes, cryptografie en beveiliging van systemen en fysieke omgevingen. Zie het vakgebied security architecture. |
Communication and Network Security | 13% | Veilige netwerkarchitectuur en -componenten en veilige communicatiekanalen. |
Identity and Access Management (IAM) | 13% | Wie of wat toegang krijgt tot wat, authenticatie, autorisatie en het beheer daarvan. |
Security Assessment and Testing | 12% | Audits, kwetsbaarheidsscans, penetratietests en het verzamelen van bewijs dat maatregelen werken. |
Security Operations | 13% | Dagelijks beheer, monitoring, incidentafhandeling, herstel en continuïteit. |
Software Development Security | 10% | Security in de levenscyclus van software en in de ontwikkelomgeving. |
De gewichten zijn gemiddelden volgens de examenomschrijving die sinds 15 april 2024 geldt. Samen tellen ze op tot 100%. Domein 1, Security and Risk Management, weegt het zwaarst met 16%. Het aantal vragen per domein is daarmee geen vaste verdeling, dus lees de gewichten als richtlijn voor waar het examen de meeste aandacht aan geeft.
De gewichten gelden voor de huidige omschrijving. Vanaf 15 april 2027 komt er een nieuwe omschrijving, en de domeinen en gewichten daarvan staan niet op de ISC2-pagina. Heb je het examen na die datum gepland, controleer dan de nieuwe omschrijving bij ISC2. De huidige examenomschrijving staat op de ISC2-site.
Welke ervaring heb je nodig voor de CISSP?
Voor het CISSP-certificaat vraagt ISC2 minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer van de acht domeinen. Je hoeft dus niet in alle acht te werken, maar de vijf jaar moeten wel over minimaal twee domeinen verdeeld zijn. De ervaringseisen van ISC2 geven de precieze telregels.
Per vier weken van 35 uur of meer per week bouw je één maand fulltime ervaring op. Parttime werk van 20 tot en met 34 uur per week telt ook mee. Volgens ISC2 staat 1.040 uur parttime gelijk aan zes maanden fulltime, en 2.080 uur aan twaalf maanden.
Betaalde en onbetaalde stages tellen mee. De documentatie moet op briefpapier van het bedrijf of de organisatie staan. Bij een schoolstage moet die op briefpapier van de schooladministratie staan.
Een bachelor- of masterdiploma in computer science, informatietechnologie of een verwant vakgebied kan tot één jaar van de vereiste ervaring vervangen. Hetzelfde geldt voor één certificering uit de lijst van ISC2, waaronder SSCP, CCSP en CISM, en certificeringen van onder meer Cisco, CompTIA, GIAC, Microsoft, AWS en Zscaler. De pagina zegt niet duidelijk of een diploma en een certificering samen mogen, dus controleer dat op de pagina voordat je erop rekent.
Heb je de ervaring nog niet, dan kun je het examen toch afleggen. Je wordt dan Associate of ISC2 en hebt zes jaar om de vijf jaar ervaring op te bouwen. Iedereen die een examen haalt voor een certificering die werkervaring vereist, kan Associate worden. Om die status te behouden zijn 15 CPE-credits per jaar nodig en betaal je een jaarlijkse vergoeding van US$ 50. Heb je de ervaring behaald en rond je de aanvraag af, dan betaal je het verschil van US$ 85 om gecertificeerd te worden. Zie de Associate-pagina van ISC2 voor de details.
Wie nog geen vijf jaar ervaring heeft, hoeft het examen dus niet uit te stellen.
Hoe ziet het CISSP-examen eruit?
Het CISSP-examen is een Computerized Adaptive Test (CAT). Het duurt maximaal drie uur. Je krijgt minimaal 100 en maximaal 150 items. Van die minimale lengte zijn 25 items proefitems die niet meetellen. Zie ook de pagina van ISC2 over adaptief testen.
Het examen stopt zodra de schatting van je vaardigheid het slaagpunt met 95% statistische zekerheid uitsluit. Lukt dat niet, dan eindigt het bij de maximale lengte of tijd.
De items zijn meerkeuzevragen en geavanceerde itemtypen (advanced item types). De slagingsscore is 700 van de 1000 punten. De examenomschrijving noemt Chinees, Engels, Duits, Japans en Spaans als talen. Nederlands staat niet op die lijst, dus controleer bij het inplannen welke talen op dat moment beschikbaar zijn.
Het examen toetst toepassing en afweging, niet alleen definities. Bij sommige vragen zijn meerdere antwoorden technisch denkbaar, en dan kies je het beste antwoord voor de situatie. Die manier van denken oefen je het best met scenariovragen.
Omdat het examen adaptief is, krijgt niet iedereen evenveel vragen. Het aantal vragen dat je krijgt zegt niets over of je bent geslaagd.
Wat kost de CISSP?
Volgens de prijzenpagina van ISC2 op 5 november 2026 kost het CISSP-examen US$ 749 in Amerika en in de regio's die niet apart genoemd worden. In EMEA (Europa, Midden-Oosten en Afrika) kost het EUR 719,04, en in het Verenigd Koninkrijk GBP 606,69. Je ziet de prijzen op de prijzenpagina van ISC2.
ISC2 schrijft dat prijs en belasting afhangen van de plaats waar je het examen aflegt, en dat de valuta per land verschilt. Raadpleeg daarom altijd de actuele pagina voordat je boekt. Bij de optie Exam Only heb je 365 dagen om het examen in te plannen en één poging.
De jaarlijkse vergoeding na het behalen van het certificaat staat in het volgende kopje.
Hoe onderhoud je de CISSP?
Om de CISSP te behouden vraagt ISC2 120 CPE-credits over een cyclus van drie jaar. CPE staat voor Continuing Professional Education, voortgezette professionele educatie. Het gaat om activiteiten die je bijhoudt en indient. Minimaal 90 van die credits moeten groep A zijn. De overige 30 mogen groep A of B zijn. Als richtlijn noemt ISC2 40 credits per jaar, waarvan 30 groep A en 10 groep A of B. Zie de ledenregels van ISC2 voor de exacte regels.
Elk jaar betaal je de jaarlijkse vergoeding (AMF) van US$ 135. Die is verschuldigd op de startdatum van je certificeringscyclus en op elke verjaardag daarvan.
Na het einde van de cyclus heb je 90 dagen uitstel om CPE-credits te behalen en in te dienen. Zijn de achterstallige vergoedingen na die uitstelperiode niet betaald, dan wordt de certificering geschorst. Een schorsing kan tot twee opeenvolgende jaren duren, daarna wordt het lidmaatschap beëindigd. Tijdens een schorsing mag je de aanduiding CISSP niet gebruiken.
Welke activiteiten meetellen, staat bij ISC2. Voorbeelden van soorten activiteiten zijn cursussen, conferenties, het geven van trainingen en het schrijven van vakpublicaties. Plan de credits verspreid over de cyclus. Wie alles in het laatste jaar wil doen, loopt tegen het uitstel aan.
Hoe bereid je je voor op de CISSP?
Begin bij de examenomschrijving van ISC2. Loop de acht domeinen langs en markeer per domein waar je praktijkervaring hebt en waar niet. Zo zie je waar je moet lezen en waar je moet oefenen.
Oefen met scenariovragen. Het examen toetst toepassing, dus een definitie uit het hoofd is niet genoeg. Schrijf per scenario op waarom een antwoord beter is dan het andere, want dat is de afweging die het examen vraagt.
Studie naast een fulltime baan vraagt planning over een langere periode. Zet je studietijd vast in je agenda en houd rekening met drukke periodes op je werk.
Is de CISSP de juiste certificering voor jou?
De CISSP is breed. Andere certificeringen hebben een ander zwaartepunt, en welke past hangt af van je functie. Kort samengevat:
- CISM richt zich op security management. Zie het CISM-artikel.
- CISA richt zich op audit. Zie het CISA-artikel.
- CRISC richt zich op IT-risico. Zie het CRISC-artikel.
- CCSP richt zich op security in de cloud. Zie het CCSP-artikel.
- Security+ is het instapniveau in deze lijst. Zie het Security+-artikel.
- ISO 27001 Lead Auditor richt zich op auditen tegen de norm. Zie de opleiding.
Twijfel je tussen de CISSP, CISM en CISA, lees dan CISSP, CISM of CISA: welke certificering past.
Een goed uitgangspunt zijn de vacatures voor je doelfunctie. Kijk welke certificeringen daarin genoemd worden. Kijk ook in de CISSP-vacatures welke werkgevers de CISSP noemen. Meer artikelen over certificeringen vind je in de kennisbank.
Hoeveel ervaring heb je nodig voor de CISSP?
Voor het volledige certificaat vraagt ISC2 minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer domeinen. Parttime werk en stages tellen mee, en een diploma of een goedgekeurde certificering kan tot één jaar vervangen. De precieze telregels staan op de ervaringspagina van ISC2.
Kun je het CISSP-examen afleggen zonder ervaring?
Ja. Je wordt dan Associate of ISC2 en hebt zes jaar om de vijf jaar ervaring op te bouwen. Om de status te behouden zijn 15 CPE-credits per jaar nodig en betaal je US$ 50 per jaar.
Hoe lang duurt het CISSP-examen en hoeveel vragen zijn het?
Het examen is adaptief en duurt maximaal drie uur. Je krijgt minimaal 100 en maximaal 150 items, en het slaagpunt is 700 van de 1000 punten. Het aantal vragen zegt niets over je resultaat.
Wat kost de CISSP?
Op de prijzenpagina van ISC2 van 5 november 2026 kost het examen US$ 749 in Amerika en de niet genoemde regio's, EUR 719,04 in EMEA en GBP 606,69 in het Verenigd Koninkrijk. Prijs en belasting hangen af van de plaats van het examen, dus check de actuele pagina. Daarna betaal je elk jaar US$ 135 om het certificaat te behouden.
Hoe houd je de CISSP geldig?
Je behaalt 120 CPE-credits in een cyclus van drie jaar, waarvan minimaal 90 in groep A. Daarnaast betaal je jaarlijks US$ 135. Na het einde van de cyclus heb je 90 dagen uitstel, en als de vergoedingen daarna nog openstaan, wordt de certificering geschorst.