In dit artikel9
Welke certificering past bij welke functie?
Het hangt af van het zwaartepunt van je functie. Werk je vooral aan techniek, dan passen andere certificeringen dan wanneer je vooral met risico's, audits, privacy of leiding bezig bent. Een certificering past bij een functie. Of een werkgever er om vraagt, lees je in de vacature. Het European Cybersecurity Skills Framework van ENISA (september 2022) noemt in negen van de twaalf rolprofielen kennis van cybersecuritycertificeringen als kennisonderdeel. Dat maakt certificeringen onderdeel van het kennisgebied, niet een verplichting.
Een certificering toont kennis volgens de eisen van de uitgever, maar een rol bestaat uit meer: ervaring, aanpak en samenwerking. Werkgevers wegen certificering en ervaring per functie en per organisatie verschillend, dus een certificering vervangt de ervaring niet. Het artikel begint met wat elke uitgever over zijn certificering zegt. Daarna volgen de functies per groep: security operations, cybersecurity, security architecture, risk management, compliance en privacy en security leadership.
Wat zegt elke uitgever over zijn certificering?
Certificering | Uitgever | Waar het volgens de uitgever om gaat | Ervaring of voorkennis |
|---|---|---|---|
Ervaren security-praktijkmensen, managers en executives | Vijf jaar cumulatieve, fulltime ervaring in twee of meer van de acht domeinen. Zonder die ervaring word je Associate of ISC2, met zes jaar om de ervaring op te bouwen. | ||
Risico's beoordelen, governance invoeren en proactief reageren op incidenten, voor de moderne IT-securitymanager | Vijf jaar werkervaring, verdeeld over minimaal drie van de vier domeinen, opgedaan in de tien jaar voor de aanvraag. Het examen mag eerder. | ||
Auditen, beheersen en beveiligen van informatiesystemen, voor de moderne IT-auditor | Vijf jaar professionele werkervaring, opgedaan in de tien jaar voor de aanvraag. Het examen mag eerder. | ||
IT-risicomanagement | Drie jaar werkervaring, verdeeld over minimaal twee van de vier domeinen, opgedaan in de tien jaar voor de aanvraag. Het examen mag eerder. | ||
Cloudbeveiliging voor leiders die verantwoordelijk zijn voor architectuur, ontwerp, operatie en service-orkestratie | Vijf jaar cumulatieve, fulltime ervaring in IT, waarvan drie jaar in cybersecurity en één jaar in een of meer van de zes CCSP-domeinen. Een actieve CISSP kan de volledige ervaringseis vervangen. | ||
Praktische vaardigheden voor kernfuncties in security, door CompTIA wereldwijd erkend genoemd | Geen toelatingseis genoemd | ||
Ethisch hacken. Kennisexamen met 125 meerkeuzevragen in 4 uur, en een optioneel praktijkexamen van 6 uur met 20 uitdagingen | Geen specifieke voorwaarden. EC-Council raadt minimaal 2 jaar ervaring in IT-security aan. | ||
Hoort bij de cursus PEN-200 in ethisch hacken en penetratietesten. Examen van 24 uur, begeleid door een OffSec-medewerker in een privé-VPN | Geen formele voorwaarden. OffSec beveelt kennis van TCP/IP-netwerken, redelijke ervaring met Windows en Linux en vertrouwdheid met Bash of Python aan. | ||
Aantonen dat je pan-Europese en nationale wetgeving voor gegevensbescherming begrijpt | Geen toelatingseis genoemd | ||
Een privacyprogramma opzetten, onderhouden en beheren in alle fasen van de levenscyclus | Geen toelatingseis genoemd | ||
Audits van een ISMS uitvoeren en leiden. Vijf dagen, met het certificeringsexamen op dag 5 | Fundamenteel begrip van ISO/IEC 27001 en uitgebreide kennis van auditprincipes |
De ISACA-certificeringen CISM, CISA en CRISC vragen ervaring voor het certificaat, maar je mag het examen eerder afleggen. Bij de CISSP van ISC2 kun je slagen zonder de volledige ervaring en word je Associate of ISC2. De functietitels die de uitgevers noemen zijn titels die zij gebruiken, geen eisen van werkgevers. Welke ervaring telt, bepaalt de uitgever, dus controleer altijd de eigen pagina.
Welke certificering past bij een functie in security operations?
Security+ is een brede start, en CompTIA noemt Security Analyst als functie die erbij past. CEH of OSCP laten het aanvallersperspectief zien, en EC-Council noemt SOC Security Analyst als functie. CISSP past later bij wie breder wil werken, en CISM is de stap naar leiding.
Functie | Passende certificeringen | Waarom |
|---|---|---|
Security+, later CEH | Security+ is de brede start. CEH laat zien hoe een aanvaller werkt, en EC-Council noemt de functie SOC Security Analyst. | |
Security+, CEH of OSCP | Security+ als brede start. CEH of OSCP om het aanvallersperspectief te leren. | |
Incident Responder, Threat Hunter, Digital Forensics Specialist, Malware Analyst | Security+ als basis, OSCP of CEH waar het aanvallersperspectief telt | Vooral praktijkervaring, aangevuld met specialistische certificeringen. |
Security+ als basis, OSCP of CEH waar het aanvallersperspectief telt | Vooral praktijkervaring, aangevuld met specialistische certificeringen. |
CompTIA biedt ook CySA+ en PenTest+, die in een eigen artikel staan. Voor incident response en forensics bestaan SANS/GIAC-certificeringen, die je in dat artikel vindt.
Welke certificering past bij offensive security?
Penetration Testers, Ethical Hackers en Red Team Specialists werken aan de aanvallerskant van het vak. Twee certificeringen die bij deze functies passen zijn OSCP en CEH. Ze meten allebei iets anders.
OSCP is een praktijkexamen van 24 uur, begeleid door een OffSec-medewerker in een privé-VPN. Het hoort bij de cursus PEN-200, die OffSec omschrijft als een praktische cursus in ethisch hacken en penetratietesten. OffSec noemt geen formele voorwaarden, maar beveelt de hierboven genoemde kennis aan.
CEH van EC-Council is een kennisexamen met 125 meerkeuzevragen in 4 uur. Het optionele praktijkexamen duurt 6 uur en bestaat uit 20 uitdagingen. EC-Council noemt Penetration Tester, Ethical Hacker en Red Team Specialist als functies, en raadt minimaal 2 jaar ervaring in IT-security aan.
Een kennisexamen meet wat je weet en kunt afwegen, een praktijkexamen meet wat je onder tijdsdruk kunt doen. Het zijn verschillende signalen, geen rangorde. Wie net begint, kan kiezen tussen een instapcertificering zoals Security+ en een specialistische route zoals CEH of OSCP. Vergelijk ze in het artikel OSCP, CEH en Security+ als instapcertificering. Bij sommige organisaties past OSCP of CEH ook bij Application Security Engineers, aangevuld met kennis van veilig ontwikkelen.
Welke certificering past bij architectuur, engineering en cloud?
Voor architectuur en engineering is de CISSP de brede keuze. ISC2 noemt Security Architect en Security Systems Engineer als titels die bij de CISSP horen, en die titels zijn van de uitgever, geen eisen van werkgevers. Een Security Architect of Security Engineer past daarmee bij een breed profiel.
De CCSP is de ISC2-certificering voor cloudbeveiliging. ISC2 noemt onder meer Cloud Architect, Cloud Engineer en Cloud Security Analyst als titels. Een actieve CISSP kan de volledige ervaringseis van de CCSP vervangen. De CCSP past bij wie in cloudomgevingen werkt, zoals de Cloud Security Engineer. Wie op een cloudplatform werkt, kan dat aanvullen met een leverancierscertificering, zie AWS Security Specialty en de Microsoft-certificeringen.
Security+ is een instap voor wie als Security Engineer, Network Security Engineer of IAM Engineer begint.
Voor de OT Security Specialist zijn de CISSP of Security+ een algemene basis. OT-specifieke certificeringen vallen buiten dit artikel.
Welke certificering past bij risk?
Voor IT-risico is de CRISC de certificering die bij het werk past. ISACA schrijft dat de CRISC je IT-risicomanagementexpertise aantoont. De vier domeinen zijn Corporate IT Governance, Risk Assessment, Risk Response & Reporting en Technology and Security. CISA en CISM zijn een aanvulling.
Bij de Risk Manager, de Third Party Risk Manager en de Risk Consultant past de CRISC als IT-risicoroute, aangevuld met CISA of CISM als het auditwerk of het management erbij hoort.
Bij de Operational Risk Analyst en de Model Risk Analyst past CRISC of CISA als aanvulling. Bij banken kunnen risicocertificeringen buiten IT daarnaast erbij horen, zoals de FRM en de PRM. Die staan in een eigen artikel.
Welke certificering past bij audit, compliance en privacy?
Voor de IT Auditor past de CISA. Voor audits tegen de norm past de ISO 27001 Lead Auditor. Bij sommige organisaties hoort ook de RE-titel bij dit werk.
Bij de Compliance Officer, de Compliance Analist en de GRC Consultant passen CISA en ISO 27001 Lead Auditor. CIPP/E past erbij als privacy onderdeel van het werk is. Voor Wwft-compliance is het artikel over CAMS het vervolg.
De CIPP/E gaat over Europese wetgeving voor gegevensbescherming. De CIPM gaat over het opzetten, onderhouden en beheren van een privacyprogramma. Voor de Privacy Officer en de Data Protection Officer zijn dat keuzes, geen verplichting. De eisen aan de DPO staan in de AVG, zie het AVG-artikel voor privacyprofessionals.
Voor de Business Continuity Manager past CISA of CRISC als aanvulling. De norm ISO 22301 staat in een eigen artikel.
Welke certificering past bij leidinggevende functies?
Voor leidinggevende functies in security, zoals de CISO, de Information Security Officer en de SOC Manager, past de CISM. ISACA beschrijft de CISM als bewijs dat je risico's kunt beoordelen, governance kunt invoeren en proactief kunt reageren op incidenten, voor de moderne IT-securitymanager. Bij de Security Manager past de CISM op dezelfde manier.
De CISM richt zich op management, de CISSP op breedte over acht domeinen. ISC2 noemt de CISSP geschikt voor managers en executives. Bij sommige organisaties wordt de ISO 27001 Lead Auditor daarnaast genoemd.
Wie kiest tussen de brede certificeringen, vindt de vergelijking in het artikel CISSP, CISM of CISA: welke past. Het verschil tussen een Information Security Officer en een CISO staat in het artikel ISO versus CISO.
Hoe kies je een certificering voor jouw functie?
- Begin bij de functie die je wilt, en lees de rolgids van die functie.
- Kijk in de vacatures van die functie welke certificeringen genoemd worden. Zo zie je wat de werkgevers noemen die jij op het oog hebt.
- Controleer de ervaringseis en of je het examen eerder mag afleggen. Dat staat op de pagina van de uitgever.
- Kies op zwaartepunt en niet op bekendheid.
- Let op de examentaal en de versie. CompTIA meldt op 5 november 2026 dat Security+ V7 beschikbaar is en dat V8 naar verwachting rond 17 november 2026 uitkomt. Controleer op de pagina van de uitgever in welke taal het examen wordt afgenomen.
Op de vacaturepagina's zie je welke certificeringen werkgevers noemen, bijvoorbeeld CISSP, CISM en CISA. Op de werkgeverspagina zie je welke werkgevers de functie hebben. Meer over certificeringen vind je in de kennisbank.
Welke certificering past bij een SOC-analist?
Security+ is een brede start, omdat CompTIA Security Analyst als functie noemt. Wie wil begrijpen hoe een aanvaller werkt, kan kijken naar CEH, want EC-Council noemt SOC Security Analyst als functie. CEH is een kennisexamen met een optioneel praktijkexamen.
Welke certificering past bij een IT-auditor?
ISACA beschrijft de CISA als passend bij de moderne IT-auditor. ISACA vraagt minimaal vijf jaar professionele werkervaring, opgedaan in de tien jaar voor de aanvraag. Het examen mag je afleggen voordat je die vijf jaar hebt. Voor audits tegen de norm past ook de ISO 27001 Lead Auditor.
Welke certificering hoort bij een Privacy Officer of DPO?
De CIPP/E past bij Europese wetgeving voor gegevensbescherming, en de CIPM bij het beheren van een privacyprogramma. Beide zijn keuzes en geen verplichting voor de DPO. De eisen aan die functie staan in de AVG, zie het AVG-artikel.
Heb je een certificering nodig om in security te werken?
Of een werkgever een certificering vraagt, lees je in de vacature. Het ECSF rekent kennis van certificeringen tot het vak, maar maakt er geen verplichting van. Werkgevers wegen certificering en ervaring verschillend, dus kijk in de vacatures van de functie die je wilt.
Kun je een certificering halen zonder de vereiste ervaring?
Bij de CISM moet de ervaring er zijn voordat je gecertificeerd wordt, maar het examen mag je eerder afleggen. Dat geldt ook voor de CISA en de CRISC. Bij de CISSP kun je slagen als Associate of ISC2 en heb je zes jaar om de ervaring op te bouwen. CompTIA noemt geen toelatingseis voor Security+, en EC-Council raadt voor CEH minimaal 2 jaar ervaring in IT-security aan.