Certificeringen voor beginners in cybersecurity: CC, Security+, CEH en OSCP

Welke certificeringen zijn geschikt voor beginners?

Dit artikel vergelijkt vier certificeringen binnen cybersecurity. Voor wie echt zonder werkervaring begint, is de CC de enige van de vier waarvan de uitgever letterlijk schrijft dat geen werkervaring nodig is. ISC2 noemt IT-professionals, mensen die van loopbaan veranderen en studenten of pas afgestudeerden als doelgroep.

Security+, CEH en OSCP raden voorkennis of ervaring aan. CompTIA noemt Network+ en ongeveer twee jaar ervaring als aanbeveling voor Security+. CEH en OSCP noemen geen specifieke of formele vooropleidingseisen, maar EC-Council raadt voor CEH minimaal twee jaar ervaring in IT security sterk aan, en OffSec raadt voor OSCP kennis van TCP/IP, Windows- en Linuxbeheer aan.

Welke certificering het best past, hangt af van je beginpunt en de functie die je wilt doen. Eisen, versies en prijzen veranderen. Controleer daarom de pagina van de uitgever voordat je kiest.

De vier certificeringen in één overzicht

De tabel zet de belangrijkste gegevens naast elkaar.

De CC en Security+ zijn kennisexamens. CEH is een kennisexamen met een optioneel praktijkexamen. OSCP is een volledig praktijkexamen, waarin je in een afgebakende omgeving zelf systemen compromitteert en daarna rapporteert.

Een praktijkexamen en een kennisexamen meten iets anders. Het ene is daarom niet beter dan het andere. Wat past, hangt af van wat je wilt laten zien.

Wat is de ISC2 Certified in Cybersecurity (CC)?

De CC is een certificering van ISC2 die laat zien dat je de basiskennis, vaardigheden en bekwaamheden hebt voor een instap- of juniorrol in cybersecurity. Het examen is een Computerized Adaptive Test (CAT) met 100 tot 125 items. Je hebt twee uur, en de slagingsscore is 700 van de 1000 punten. De items zijn meerkeuzevragen en geavanceerde itemtypen. Het examen is er in het Engels, Chinees, Japans, Duits en Spaans.

De vijf domeinen volgens de examenomschrijving met ingangsdatum 1 september 2026, met hun gemiddelde weging:

• Security Principles: 24%
• Security Governance: 17,3%
• Identity and Access Management (IAM) Concepts: 20%
• Networking and Cloud Security Concepts: 21,3%
• Security Operations and Incident Response: 17,3%

Na het examen volgt onderhoud. Je hebt 45 CPE-credits (Continuing Professional Education) nodig in de driejarige cyclus, allemaal groep A. ISC2 noemt 15 credits per jaar als richtlijn. Wie alleen de CC heeft, betaalt een jaarlijkse vergoeding van US$ 50. Na het einde van de cyclus is er 90 dagen uitstel om credits in te dienen, volgens de ledenregels van ISC2.

De CC is geen vervanging voor ervaring of opleiding. Het artikel over de CC gaat dieper in op het examen en de inhoud.

Wat is CompTIA Security+?

Security+ is een certificering van CompTIA. Op 5 november 2026 is versie 7, met examencode SY0-701, beschikbaar. CompTIA verwacht dat versie 8, met examencode SY0-801, op 17 november 2026 uitkomt. Controleer op de CompTIA-pagina welke versie op jouw examendatum beschikbaar is, bijvoorbeeld op de pagina van versie 7 en de pagina van versie 8.

Het examen SY0-701 bestaat uit maximaal 90 vragen, meerkeuzevragen en performance-based vragen, en duurt 90 minuten. De slagingsscore is 750 op een schaal van 100 tot 900. Het examen is er in het Engels, Japans, Portugees, Spaans en Thai. Voor SY0-801 noemt CompTIA dezelfde lengte en slagingsscore, met Engels als taal.

De vijf domeinen van SY0-701 wegen als volgt: General Security Concepts 12%, Threats, Vulnerabilities, and Mitigations 22%, Security Architecture 18%, Security Operations 28% en Security Program Management and Oversight 20%. Security Operations weegt het zwaarst. Wie uit systeem- of netwerkbeheer komt, herkent daar veel in.

CompTIA raadt de certificering Network+ aan en ongeveer twee jaar ervaring in een rol als security- of systeembeheerder. Dat zijn aanbevelingen, geen verplichte eisen. Vacatures waarin Security+ voorkomt, staan op de skillpagina. De beheerdersachtergrond die CompTIA aanbeveelt, sluit aan bij het werk van een network security engineer.

Security+ is drie jaar geldig vanaf de datum waarop je het examen haalt. Verlengen kan met 50 CEU's (continuing education units), via de online cursus CertMaster CE, met een hercertificeringsexamen of met een hogere certificering. Zie de CompTIA-blog over de geldigheid. Het artikel over Security+ behandelt de certificering verder, en na Security+ ligt CompTIA CySA+ en PenTest+ een stap verder.

Wat is CEH?

CEH is de Certified Ethical Hacker van EC-Council, een programma dat op versie 13 staat (programmapagina). Het leerdeel bestaat uit 20 modules en volgens EC-Council 221 hands-on labs. Vacatures waarin CEH voorkomt, staan op de skillpagina.

Het kennisexamen is een meerkeuzeexamen met 125 vragen en een duur van 4 uur. Je maakt het online via de ECC-examenportal, met examencode 312-50. De slaggrens verschilt per examenvorm, dus er is geen vast slaagpercentage.

Het praktijkexamen is optioneel. Het bestaat uit 20 uitdagingen in 6 uur en levert volgens EC-Council het CEH Master-niveau op, naast het kennisexamen.

EC-Council stelt geen specifieke vooropleidingseisen, maar raadt sterk aan om minimaal twee jaar ervaring in IT security te hebben. De certificeringspagina formuleert de toelating anders en noemt een eerdere CEH-certificering van versie 1 tot en met 7 of een officiële EC-Council-training, met minimaal twee jaar werkervaring in het InfoSec-domein. Lees voor de actuele regels beide pagina's.

Een CEH-certificering is drie jaar geldig vanaf de certificeringsdatum en vraagt 120 ECE-credits (EC-Council Continuing Education) binnen die drie jaar, volgens het ECE-beleid. Ethisch hacken gebeurt altijd met opdracht en binnen een afgesproken scope. Lees meer in het artikel over CEH en in de gids over de weg naar ethical hacker.

Wat is OSCP?

OSCP is de certificering die hoort bij de cursus PEN-200 (Penetration Testing with Kali Linux) van OffSec. OffSec noemt de certificering op de cursuspagina OSCP+. De cursus heeft 20+ modules en 9 challenge labs, waarvan drie de examenomgeving nabootsen.

Het examen duurt 24 uur en wordt begeleid door een OffSec-medewerker, in een privé-VPN. Je krijgt drie losstaande machines en één Active Directory-set van drie machines, die een inbraakscenario nabootst. Daarna krijg je nog 24 uur om een uitgebreid penetratietestrapport in te dienen.

Er zijn geen formele vooropleidingseisen. OffSec raadt aan om TCP/IP goed te begrijpen, redelijke ervaring te hebben met Windows- en Linuxbeheer en vertrouwd te zijn met basis-Bash en/of Python-scripting. Wie die basis mist, bouwt die eerst op, bijvoorbeeld via Linux-beheer en een home lab.

OSCP+ is drie jaar geldig vanaf de uitgifte, volgens de OSCP+-pagina. De basiscertificering OSCP heeft geen vervaldatum. Om de plus te behouden kun je binnen 6 maanden na afloop een hercertificeringsexamen halen, een ander kwalificerend OffSec-examen halen (OSEP, OSWA, OSED of OSEE) of het CPE-programma van OffSec doorlopen.

Voor examens tot en met 30 november 2026 is de slaagscore 70 van de 100 punten. Voor examens op of na 1 december 2026 geldt een andere berekening van de uitslag. OffSec schrijft dat dit de berekening betreft en niet de moeilijkheid, inhoud, vorm, duur of begeleiding van het examen, zie de blog van OffSec. Het artikel over OSCP gaat dieper in op de certificering, en de vacatures voor penetration testers laten het werk zien.

Wat kosten de certificeringen?

De bedragen zijn wat de uitgevers op 5 november 2026 noemen. Ze kunnen veranderen, dus controleer ze bij de uitgever voordat je plant.

ISC2 schrijft dat prijzen en belasting afhangen van de plaats van het examen en dat de valuta per land verschilt. Zie de prijzenpagina van ISC2. De OSCP-bedragen komen van de site van OffSec.

Welke certificering past bij jouw beginpunt?

Dit zijn vier situaties, geen vaste route.

• Nog geen IT-achtergrond of net begonnen. Begin met de CC als formele basis en bouw daarna netwerk- en systeemkennis op. Zie de skill netwerksecurity om te zien waar die kennis in vacatures terugkomt.
• Systeem- of netwerkbeheerder die overstapt. Security+ past bij de achtergrond die CompTIA aanbeveelt. De vacatures voor network security engineers laten zien wat die functie inhoudt.
• Wie het aanvallersperspectief wil leren. CEH geeft overzicht van aanvalstechnieken, ook als je zelf niet gaat pentesten, bijvoorbeeld in een SOC, bij een audit of in advies.
• Wie al technisch is en handvaardigheid wil aantonen. OSCP past bij wie technisch is en in een praktijkexamen wil laten zien wat hij kan. Zie de vacatures voor penetration testers.

Voor de functies SOC-analist en cyber security analist passen de CC en Security+ als beginpunt. Voor penetration tester en ethical hacker passen CEH en OSCP. Dat is een suggestie en geen eis die werkgevers stellen. Bekijk de vacatures voor SOC-analisten, cyber security analisten en ethical hackers. Op de werkgeverspagina voor SOC-analisten zie je welke werkgevers deze functie hebben. Het vakgebied security operations beschrijft het SOC-werk.

Als voorbeeld, geen verplichte route: wie nog niets weet, begint met een brede basis zoals de CC of Security+. Wie daarna wil kiezen tussen verdediging (blauw) en aanval (rood), kijkt naar CEH of OSCP.

Zo kies je in vijf stappen:

1. Noem de functie die je over twee tot drie jaar wilt doen.
2. Bekijk in de vacatures voor die functie welke certificeringen werkgevers noemen.
3. Check je voorkennis tegen de aanbevolen voorkennis van de uitgever.
4. Controleer versie, taal en prijs op de pagina van de uitgever.
5. Plan het onderhoud: certificeringen verlopen en vragen credits of een vergoeding.

Houd de credits bij tijdens de cyclus en niet pas aan het eind. Plan ook of je de certificering wilt verlengen of liever doorstroomt naar een hogere certificering. SANS en GIAC zijn trainings- en certificeringsroutes, en CISSP is voor ervaren professionals. Voor management en audit kijk je naar CISSP, CISM of CISA.

Een opleiding, stage of home lab kan de eerste stap zijn. Zie de cybersecurity-opleidingen op hbo en wo en de CTF- en oefenplatformen. Zij-instromers vinden meer over de overstap in het artikel omscholen naar cybersecurity. Het overzicht welke certificeringen per functie laat zien welke certificering bij welke functie hoort.

Een certificering vervangt geen ervaring. Hoe zwaar certificering en ervaring wegen, verschilt per functie en organisatie. Meer artikelen vind je in de kennisbank.