Stage lopen in cybersecurity: zo vind en regel je een stageplek

Kort antwoord

Een stage draait om leren. Volgens Rijksoverheid.nl is er geen sprake van een stage als iemand gewoon werk doet. Een goede stage herken je aan een vaste begeleider, afgesproken leerdoelen en werk dat bij die doelen past. Je kiest je stage op basis van de richting die je wilt proberen, en je regelt vooraf een stageovereenkomst en de begeleiding. Test nooit iets zonder toestemming van de eigenaar van het systeem. Voor je opleiding gelden aanvullende eisen, dus lees ook de stageregels van je school. Twijfel je nog over de richting? Begin dan bij het artikel over studie kiezen voor een security-loopbaan.

Wat is een stage, en wat is het niet?

Bij een stage ligt de nadruk op het leren. Doet iemand gewoon werk, dan is er geen sprake van een stage, en een stagiair mag ook geen gewone werknemer vervangen. Wie stage loopt, heeft volgens Rijksoverheid.nl geen recht op het wettelijk minimumloon. Is het doel van de stage niet leren maar werken, dan heeft de stagiair wel recht op het wettelijk minimumloon.

Een stagevergoeding is wettelijk niet verplicht, en er is geen minimum- of maximumbedrag. Veel opleidingen stellen er wel eisen aan, en Ondernemersplein noemt de hoogte van de vergoeding een keuze van de werkgever. De Nederlandse Arbeidsinspectie controleert of een stagiair stagewerk doet of gewoon productiewerk. Bij stagemisbruik kan de inspectie een boete opleggen, dus spreek vooraf goed af wat je gaat doen.

Merk je na een paar weken dat je vooral gewoon productiewerk doet en weinig leert, of dat je een collega vervangt? Bespreek het eerst met je begeleider bij het bedrijf, en daarna met je stagebegeleider van school. Bij twijfel is je school het juiste adres.

Welke soorten stages bestaan er in security, risk en compliance?

De richting bepaalt welk werk je ziet en wat je kunt laten zien. De tabel geeft vijf richtingen, het werk dat daarbij hoort en het product dat je kunt opleveren. De kolom met het ECSF-profiel verwijst naar de rolprofielen van ENISA. Die profielen zijn een manier om stages te vergelijken, niet een keuzehulp en geen garantie dat een stage bij een profiel past.

In het ECSF noemt het profiel Cyber Incident Responder onder de key skills onder meer werken onder druk en het beheren en analyseren van logbestanden. Het profiel Cybersecurity Risk Manager noemt onder de hoofdtaken onder meer het identificeren en beoordelen van cybersecurity-gerelateerde dreigingen en kwetsbaarheden van ICT-systemen. Voor de Cybersecurity Auditor noemt het ECSF onder de key skills onder meer systematisch en op basis van bewijs werken.

Op 5 november 2026 schreef ENISA dat het ECSF wordt herzien en dat een openbare consultatie over het herziene kader eind 2026 is gepland. Kijk voor de actuele stand op de ENISA-pagina over het ECSF.

Hoe vind en kies je een stageplek?

Begin met een richting, ook als die nog vaag is. Wil je liever aan de verdediging werken (blue team), aan testen (red team), aan beleid en risico, of aan controle (audit)? Een stage is een proefperiode voor die keuze. Lees over de verschillen in blue team, red team en purple team en zoek daarna in de vakgebieden security operations, risk management, compliance en privacy of cybersecurity.

Gebruik de vacaturepagina's per rol om te zien welke organisaties met jouw richting bezig zijn. Kijk daarna op hun eigen sites naar stageplekken, en stuur ook gerichte open sollicitaties. Vraag je opleiding welke stagebedrijven eerder studenten hebben ontvangen. Zoek ruim van tevoren, want een stage regelen kost tijd.

Schrijf een korte motivatie: welke richting, wat je al hebt gedaan (een home lab, een CTF, een project) en wat je wilt leren. Stel één concrete vraag over de begeleiding. Voor de opbouw lees je de motivatiebrief voor security-functies en het cv voor cybersecurity-functies. Voor het gesprek helpt het sollicitatiegesprek voor een security-functie.

Laat zien wat je zelf hebt gebouwd of geoefend. Een home lab of een CTF- en oefenplatform laat zien hoe je werkt. Wat je in zulke oefenomgevingen hebt geleerd, kun je laten zien. Test daarbij alleen systemen die van jou zijn.

Kies op begeleiding en leerdoelen, niet op de bekendheid van de organisatie. Vraag wie je begeleider wordt, hoeveel tijd die voor je heeft, hoe vaak jullie overleggen en wat je in de eerste weken doet. Een stage zonder vaste begeleider is een risico, want je krijgt dan vaak losse taken zonder uitleg. Grote en kleine organisaties verschillen vooral in breedte en diepte: een grote heeft vaak gespecialiseerde teams en een vast stageprogramma, een kleine laat je vaak breder meedoen. Beide kunnen goed zijn, en het hangt van de begeleiding af.

Wat regel je vooraf met de organisatie?

Regel dit vóór je begint, en leg het vast op papier. Deze checklist helpt je daarbij:

• Stageovereenkomst. Duur, leerdoelen, vergoeding en het moment van beoordeling horen er meestal in te staan.
• Leerdoelen en beoordeling. Spreek af wat je gaat leren en hoe je wordt beoordeeld.
• Vaste begeleider. Je weet wie je begeleider is en hoe vaak jullie overleggen.
• Toegang en geheimhouding. Je tekent geheimhouding en krijgt alleen toegang tot wat je voor je taken nodig hebt.
• Verzekering. Vraag of de bedrijfsaansprakelijkheidsverzekering van de organisatie dekt wat een stagiair kan veroorzaken of oplopen.
• Vergoeding. Bespreek vooraf of er een vergoeding is en hoe die wordt bepaald.
• Wat je wel en niet test. Leg de scope en de toestemming van de eigenaar schriftelijk vast.

Een stageovereenkomst is geen arbeidsovereenkomst. Ondernemersplein raadt werkgevers aan de afspraken in een stageovereenkomst vast te leggen en niet in een arbeidsovereenkomst. Bij een hbo- of universitaire stage zorgt het bedrijf voor de stageovereenkomst of het stagecontract. Voor een mbo-stage tekenen de school, de student en het bedrijf samen een praktijkovereenkomst (POK) of beroepspraktijkvormingsovereenkomst (BPVO).

Over testen is het NCSC duidelijk: zoeken naar kwetsbaarheden in andermans ICT-systemen zonder toestemming van de eigenaar is niet toegestaan. De eerste regel is dat een kwetsbaarheid altijd eerst bij de eigenaar wordt gemeld. Het NCSC raadt aan een logboek van je zoektocht bij te houden. Lees ook hoe je ethical hacker wordt voor het werk binnen die grenzen.

Neem deze vragen mee naar het intakegesprek:

• Welke taken doe ik in de eerste weken?
• Wie begeleidt mij en hoe vaak overleggen we?
• Welke systemen en gegevens zie ik, en wat moet ik geheimhouden?
• Waar werk ik, op afstand of op locatie, en met welk apparaat?
• Welke leerdoelen en welk eindproduct zijn afgesproken?
• Hoe wordt mijn stage beoordeeld?
• Wat mag ik wel en niet testen, en op wiens toestemming?

Sommige organisaties vragen bij een stage om een screening of een Verklaring Omtrent het Gedrag (VOG). Dat verschilt per organisatie en functie, en je leest er meer over in security clearance en VOG. Wat uit de stageovereenkomst volgt, kan per school verschillen, dus lees ook de regels van je opleiding.

Hoe wordt je stage een stap naar je eerste baan?

Schrijf direct op wat je hebt gedaan en geleerd, zolang je het nog weet. Noteer de tools, de systemen waarmee je werkte en de taken die je zelfstandig hebt opgepakt. Leg ook vast welke methodes je gebruikte, zodat je dat in een gesprek concreet kunt uitleggen. Dat is de basis voor je cv, en het artikel over de eerste baan in security laat zien hoe je van daaruit verder kunt.

Bouw een klein portfolio. Een rapport, een verbeterplan, een kleine automatisering of een proces dat je hebt beschreven, zijn goede voorbeelden. Spreek vooraf af wat je mag delen, zonder vertrouwelijke gegevens, en laat een ander het lezen voordat je het meeneemt. Als je stage een afstudeeropdracht is, gelden de regels van het artikel over afstuderen.

Vraag om een korte referentie of feedback, en vraag om een gesprek over een vervolg. Stel aan het eind de vraag waar je op zou letten als je terugkwam, en wie er een volgende plek kent. Dat is een gewone vraag, geen belofte: een stage is geen garantie op een baan.