Cv voor cybersecurity-functies: wat zet je erop?

Wat hoort er in een cv voor een security-functie?

De wervingssite van de Rijksoverheid, Werken voor Nederland, noemt de onderdelen van een cv: persoonlijke informatie, profiel, werkervaring, opleiding en aanvullende informatie. Houd het cv op maximaal twee A4's, met op de eerste pagina de belangrijkste punten. Zet dus bovenaan wat voor deze functie het zwaarst weegt.

Voeg voor security een blok skills en tools, een blok certificeringen en een blok projecten toe. Zo vindt een lezer snel wat bij de functie past. Houd het profiel op maximaal vijf regels, zonder open deuren zoals "ik ben een gedreven professional". Persoonlijke gegevens beperk je tot je roepnaam, één telefoonnummer en één privé-e-mailadres. Pas het cv per vacature een beetje aan en controleer of de woorden uit de vacaturetekst erin staan.

Hoe beschrijf je ervaring zodat een recruiter het snapt?

Schrijf per regel wat je deed, in welke omgeving en met welk resultaat. Een regel als "verantwoordelijk voor compliance" zegt niet wat je deed. Begin bij je laatste baan en vat ervaring van meer dan tien jaar geleden kort samen.

Werken voor Nederland adviseert getallen en percentages voor verantwoordelijkheden en resultaten. Dat werkt alleen als ze kloppen, daarom bevatten de voorbeelden hieronder geen cijfers.

Voorbeeld SOC-analist. Voor: "Verantwoordelijk voor monitoring." Na: "Dagelijks meldingen uit het SIEM beoordeeld, echte incidenten gescheiden van vals alarm en die volgens het draaiboek opgeschaald. Een detectieregel die telkens vals alarm gaf, samen met de detectie-engineer aangepast." Wat verandert: de omgeving, de handeling en de uitkomst. Zie de vacatures voor SOC-analisten en de rolgids voor de SOC-analist.

Voorbeeld compliance en risico. Voor: "Betrokken bij de ISO 27001-certificering." Na: "Bij de afdelingen getoetst of de maatregelen uit de ISO 27001-norm werkten, de bevindingen in een rapport vastgelegd en met de proceseigenaren een verbeterplan afgesproken." Wat verandert: wat je toetste, wat je opleverde en met wie. Dat past bij een compliance officer of risk manager en bij compliance en privacy.

Skills, tools en kernwoorden

Controleer of de woorden uit de vacature ook in je cv staan. Schrijf je "incidentafhandeling" terwijl de vacature "incident response" zegt, dan ziet een lezer het verband niet vanzelf.

Groepeer skills per soort, zoals monitoring en detectie, kwetsbaarheden en testen, identiteit en toegang, of risico en compliance. Geef bij elke tool aan hoe goed je hem kent, met woorden als "dagelijks gebruikt" of "in een oefenomgeving gebruikt". Zet alleen tools in het cv die je kunt toelichten. Splunk en Microsoft Sentinel horen in het blok monitoring, met de logbronnen erbij. Zet Python bij programmeren en scripting en Linux bij de systemen waarmee je werkt.

De vacature is niet de enige bron van kernwoorden. Het European Cybersecurity Skills Framework van ENISA geeft per profiel alternatieve titels. Een Cyber Incident Responder heet ook Incident Response Engineer, en een Penetration Tester ook Ethical Hacker of Red Teamer. Meer voorbeelden staan in functietitels in security uitgelegd. Staat je vorige titel anders, zet de ECSF-titel dan tussen haakjes achter je eigen titel. Claim geen titel die je niet had.

Certificeringen op je cv

Noteer per certificering de naam, de uitgever, de datum waarop je hem haalde en, als dat kan, de geldigheid, zoals "CompTIA Security+, behaald in [maand jaar], geldig tot [maand jaar]". Een certificering die je nog niet hebt, zet je apart onder "in voorbereiding". Of een werkgever een certificering vraagt, staat in de vacature. Welke certificering bij welke functie hoort, lees je in certificeringen per functie.

Security+. CompTIA Security+ (skillpagina) verloopt drie jaar na de datum waarop je het haalde en kun je verlengen via het continuing-education-programma van CompTIA. Op 5 november 2026 meldt CompTIA dat Security+ V7 beschikbaar is en dat V8 naar verwachting rond 17 november 2026 uitkomt. Noem de versie die je haalde.

OSCP+. OSCP+ verloopt drie jaar na uitgifte, de basis-OSCP heeft geen vervaldatum. OffSec raadt aan OSCP+ elke drie jaar te vernieuwen, via een van de drie routes voor permanente educatie. Schrijf welke van de twee je hebt en tot wanneer het geldig is. Zie ook de OSCP-pagina en de vacatures met OSCP.

Associate of ISC2. Ben je geslaagd voor een ISC2-examen maar mis je de vereiste werkervaring, schrijf dan "Associate of ISC2" en niet het certificaat zelf (meer in ISC2 Certified in Cybersecurity). Zet erbij voor welk examen je slaagde, want de badge laat dat niet zien. Volgens ISC2 mag je die status een jaar langer houden dan de ervaring die het examen vereist, voor CISSP maximaal zes jaar.

Een certificering vervangt geen ervaring. Zet je een certificering op je cv, dan moet je er in het gesprek ook over kunnen vertellen.

Projecten, home lab en CTF's

Beschrijf een project in twee of drie regels: het doel, wat je deed en wat je leerde. Een home lab met een SIEM, een openbare CTF-deelname of een eigen scriptje om logs te verwerken kun je noemen, net als een scriptie of een blog. Gebruik alleen eigen systemen of een toegestane omgeving, zoals een CTF of een bug-bountyprogramma met toestemming. Aanvallen op systemen van anderen zonder toestemming horen niet op je cv. Lees hoe je een home lab voor security bouwt en welke CTF's en oefenplatformen je kunt gebruiken.

Een werkgever kan openbare links bekijken. Zoekt een werkgever zelf online naar je, dan mag dat volgens de Autoriteit Persoonsgegevens alleen met een zeer goede reden en beperkt tot zakelijke informatie, zoals een LinkedIn-account. De werkgever laat je dat vooraf weten, en je kunt gevonden informatie toelichten. Zet in je cv daarom alleen een link naar een repository of schrijfsel waar je zelf blij mee bent dat een werkgever het bekijkt.

Een cv zonder security-ervaring

Ook zonder eerdere security-functie kan je eerdere werk aansluiten, als je het in de taal van de functie beschrijft. Systeembeheer is logs lezen, rechten beheren en patchen. Netwerkbeheer is verkeer, segmenten en firewalls. Audit is toetsen aan normen en rapporteren. Juridisch werk is wetgeving uitleggen en projectmanagement is risico's beheersen en stakeholders informeren.

Kies het ECSF-profiel dat het dichtst bij ligt en zet het in je profielregel, bijvoorbeeld "op weg naar een rol als cybersecurity risk manager". Het ECSF helpt je woorden te kiezen, maar het is geen bewijs van ervaring. Wie wil omscholen, leest meer in de gids over omscholen naar cybersecurity.

Wat zet je er niet op?

Zet geen BSN op je cv en geen kopie, scan of foto van je identiteitsbewijs. Volgens de Autoriteit Persoonsgegevens mag een werkgever in de regel ook niet vragen naar gezondheidsgegevens, ras, etniciteit of religie. Die horen dus niet op je cv.

Referenties hoef je niet te noemen, daar kan later om worden gevraagd. Noem ook geen vertrouwelijke details van een vorige werkgever of klant, zoals namen van klanten, interne systemen of niet-openbare incidenten. Houd LinkedIn, GitHub en je cv met elkaar in lijn. Een foto is een keuze die je zelf maakt.

Volgens dezelfde AP-pagina verwijdert een werkgever de gegevens van een afgewezen sollicitant gebruikelijk uiterlijk 4 weken na het einde van de procedure, tenzij je toestemming geeft om ze langer te bewaren, met een redelijke termijn van maximaal 1 jaar. Voor vragen over persoonsgegevens kun je terecht bij de Autoriteit Persoonsgegevens.