In dit artikel7
Waarom is "CISSP vereist" vaak een slechte eis?
Een certificering is een middel om iets aan te tonen: kennis, ervaring of een vaste norm. Begin daarom bij de vraag wat de functie echt nodig heeft, en pas daarna bij de titel die je wilt zien. Neem een vacature voor een junior analist met "CISSP vereist" in de tekst. De CISSP vraagt volgens ISC2 zelf minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer van de acht domeinen van de examenomschrijving. Zet je die certificering als eis bij een junior functie, dan vraag je indirect om vijf jaar ervaring terwijl de functie die niet vraagt, en sluit je de kandidaten uit die je wilt bereiken. Meer over de CISSP staat in het CISSP-artikel.
Wat eisen de certificeerders zelf aan ervaring?
De uitgevers bepalen zelf welke ervaring ze vragen en kunnen die regels wijzigen. De tabel geeft de eisen zoals ze op de bronpagina's stonden, gecontroleerd op 5 november 2026. Controleer de pagina van de uitgever voordat je een eis opschrijft.
Certificering | Ervaringseis volgens de uitgever | Kanttekening |
|---|---|---|
Certified in Cybersecurity (CC) | Geen werkervaring vereist | Instapcertificering van ISC2 |
CompTIA Security+ | Aanbevolen ervaring, geen verplichte eis | Huidige versie V7 (SY0-701): Network+ en twee jaar ervaring als security- of systeembeheerder. Versie V8 (SY0-801) verschijnt volgens CompTIA op of rond 17 november 2026, met als aanbeveling een security administrator met twee jaar hands-on ervaring. V7 wordt voor het Engels op 11 juni 2027 uitgefaseerd. |
OSCP (PEN-200) | Geen formele vooropleidingseisen | Sterk aanbevolen: goed begrip van TCP/IP-netwerken, redelijke ervaring met Windows- en Linux-beheer, basis Bash en/of Python |
CEH | Geen specifieke vooropleidingseisen | Sterk aanbevolen: minimaal 2 jaar ervaring in IT-security. De site noemt het programma nu CEH AI. |
CISSP | Minimaal vijf jaar in twee of meer van de acht domeinen | Een bachelor- of masterdiploma in een verwant vakgebied kan tot één jaar vervangen, en één aanvullende certificering van de lijst van ISC2 ook. Deeltijdwerk en stages kunnen meetellen. |
CCSP | Minimaal vijf jaar in IT, waarvan drie jaar in cybersecurity en één jaar in een of meer van de zes domeinen | Een actieve CISSP kan de volledige ervaringseis vervangen |
CISM | Vijf of meer jaar in het management van informatiebeveiliging, verdeeld over minimaal drie van de vier domeinen | Opgedaan in de tien jaar voor de aanvraag |
CISA | Vijf of meer jaar in het auditen, beheersen of beveiligen van informatiesystemen | Opgedaan in de tien jaar voor de aanvraag |
CRISC | Drie of meer jaar, verdeeld over minimaal twee van de vier domeinen | Opgedaan in de tien jaar voor de aanvraag |
Bronnen, elk met de pagina van de uitgever: ISC2 over de CC, CompTIA Security+ V7 en CompTIA Security+ V8, OffSec over de PEN-200 voor de OSCP, EC-Council over de CEH, ISC2 over de ervaring voor de CCSP, ISACA over de CISM, ISACA over de CISA en ISACA over de CRISC. De CISSP-eisen staan bij ISC2 over de CISSP-ervaring. De details per certificering staan ook in de CC-pagina, het Security+-artikel, het OSCP-artikel, het CEH-artikel, het CCSP-artikel, het CISM-artikel, het CISA-artikel en het CRISC-artikel.
Wat is het verschil tussen geslaagd en gecertificeerd?
Het examen halen en gecertificeerd zijn is bij ISC2 en ISACA niet hetzelfde. Wie bij ISC2 het examen voor de CISSP haalt zonder de vijf jaar ervaring, kan Associate of ISC2 worden. Die Associate heeft zes jaar om de vereiste ervaring op te bouwen, en dat geldt ook voor de CCSP.
ISACA werkt anders. Bij de CISM, CISA en CRISC mag je het examen afleggen voordat je de ervaringseis haalt, maar de ervaring moet er zijn voordat je gecertificeerd wordt. Na het slagen heb je vijf jaar om de certificering aan te vragen.
Voor je vacature betekent dit dat "geslaagd voor" en "gecertificeerd" niet hetzelfde zijn. Een formulering die dat onderscheid maakt is "geslaagd voor het CISSP-examen is een pre, gecertificeerd is niet nodig om te beginnen". Zo weet een kandidaat met een examen op zak dat die welkom is, zonder dat je een titel vraagt die hij of zij nog niet kan hebben.
Wanneer past een certificering als eis?
Een certificering als eis past vooral als de titel zelf nodig is voor het werk. Denk aan een auditopdracht waarin de opdrachtgever een certificering voorschrijft, of aan een klant of aanbesteding die dat vraagt. Vraagt een norm of een toezichthouder volgens jou een certificering, controleer dat dan zelf. Controleer in al die gevallen dat de eis in de bron staat, en schrijf de eis niet over op basis van een vermoeden.
Het ENISA-raamwerk voor cybersecurity-vaardigheden (ECSF) geeft een gemeenschappelijke taal voor vacatures en aanbestedingen, met profielen die missie, hoofdtaken en kernkennis beschrijven. Het raamwerk schrijft geen certificeringen voor. Je kunt het dus gebruiken om de functie te beschrijven, maar niet als reden om een certificering te eisen.
Stel je een eis, dan geldt die ook voor de medewerkers die er al zitten. Wie een certificering als eis stelt, moet bestaande collega's dezelfde maatstaf aanleggen of uitleggen waarom niet. Anders ontstaat het beeld dat een nieuwe collega aan strengere eisen moet voldoen dan het team dat er al zit. Bij de vacaturetekst helpt het artikel over security-vacatures schrijven om de eis precies te formuleren.
Wanneer is een certificering een wens?
In de overige gevallen is een certificering een wens. Formuleer die dan als "certificering of aantoonbaar gelijkwaardige ervaring", bijvoorbeeld "CISM of aantoonbaar gelijkwaardige ervaring in het management van informatiebeveiliging". Zo sluit je kandidaten niet uit die het werk al doen zonder het examen te hebben afgelegd.
Kennis beoordeel je ook zonder certificering. Laat een kandidaat een casus uitwerken of een incident bespreken dat hij of zij zelf heeft meegemaakt. Een technische beoordeling of een proefopdracht werkt ook, en het artikel over het beoordelen van technische vaardigheden beschrijft hoe je dat aanpakt. Bij een functie in cybersecurity kun je in een gesprek over wat iemand concreet heeft gedaan doorvragen, wat bij een lijst afkortingen niet kan.
Wat kost het onderhoud van een certificering?
Bij de uitgevers hieronder onderhoud je een certificering met CPE-credits of CEU's en met een jaarlijkse bijdrage. ISC2 vraagt voor de CISSP 120 CPE-credits over een cyclus van drie jaar en een jaarlijkse vergoeding van US$ 135. Voor de CC vraagt ISC2 45 CPE-credits over drie jaar en een jaarlijkse vergoeding van US$ 50. ISACA vraagt voor de CISM en de CISA minimaal 20 CPE per jaar en 120 CPE over drie jaar, met een jaarlijkse onderhoudsvergoeding van US$ 45 voor leden en US$ 85 voor niet-leden. CompTIA schrijft dat Security+ drie jaar geldig is vanaf het halen van het examen, en dat verlengen via continuing education 50 CEU's vraagt. Dit is de stand van 5 november 2026, en de bedragen veranderen, dus controleer ze bij de uitgever. De bronnen zijn ISC2 over de ledenregels, ISACA over het onderhoud van de CISM, ISACA over het onderhoud van de CISA en CompTIA over de geldigheid van Security+.
Als werkgever kun je dit onderhoud makkelijker maken voor kandidaten. Noem in de vacature wat je biedt, zoals tijd voor CPE, congresbezoek of een vergoeding van de jaarlijkse bijdrage. Zo wordt een certificering voor kandidaten haalbaarder om te houden, en wordt de wens concreter dan een losse eis. Meer over de achtergrond van elke certificering vind je bij de CISSP, het CISM-artikel en het Security+-artikel.
Wat zegt de wet over eisen in een vacature?
De Algemene wet gelijke behandeling kent indirect onderscheid: een ogenschijnlijk neutrale bepaling, maatstaf of handelwijze die personen met een bepaalde godsdienst, levensovertuiging, politieke gezindheid, ras, geslacht, nationaliteit, hetero- of homoseksuele gerichtheid of burgerlijke staat in vergelijking met anderen bijzonder treft. Dat verbod geldt niet als de bepaling objectief wordt gerechtvaardigd door een legitiem doel, en de middelen daarvoor passend en noodzakelijk zijn (artikel 2, eerste lid). Onderscheid is verboden bij de aanbieding van een betrekking (artikel 5, eerste lid, onder a), zie de wettekst.
De Wet gelijke behandeling op grond van leeftijd bij de arbeid kent dezelfde constructie voor leeftijd. Ook daar is indirect onderscheid bij de aanbieding van een betrekking verboden, tenzij het objectief gerechtvaardigd is door een legitiem doel met passende en noodzakelijke middelen (artikel 1, onder c, artikel 3, onder a en artikel 7, eerste lid, onder c). De wettekst staat op wetten.overheid.nl.
Een certificeringseis is op zichzelf niet verdacht. De vraag is of een eis die neutraal lijkt een groep bijzonder treft, en zo ja, of de eis een legitiem doel dient en passend en noodzakelijk is. Dit is geen juridisch advies. Bij twijfel is een jurist de juiste persoon om de eis te toetsen.
Moet ik een certificering als eis in een security vacature zetten?
Alleen als het werk of een opdrachtgever de certificering nodig maakt en je dat hebt gecontroleerd. Is de certificering vooral een bewijs van kennis die je ook op een andere manier kunt vaststellen, dan is het een wens. Het ENISA-raamwerk schrijft geen certificeringen voor, dus daaruit volgt geen eis.
Welke ervaring vraagt de CISSP?
ISC2 vraagt minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer van de acht domeinen. Een diploma in computer science, informatietechnologie of een verwant vakgebied kan tot één jaar vervangen, net als één aanvullende certificering van de lijst van ISC2. Wie het examen haalt zonder die ervaring, kan Associate of ISC2 worden en heeft zes jaar om de ervaring op te bouwen.
Wat is het verschil tussen geslaagd en gecertificeerd?
Geslaagd betekent dat je het examen hebt gehaald. Bij ISACA mag het examen voor de CISM, CISA en CRISC eerder worden afgelegd dan de ervaringseis wordt gehaald, maar de ervaring moet er zijn voordat je gecertificeerd wordt. Na het slagen heb je vijf jaar om de certificering aan te vragen.
Welke instapcertificeringen kan ik vragen?
De CC van ISC2 vraagt geen werkervaring. Voor Security+ noemt CompTIA aanbevolen ervaring en geen verplichte eis, en voor de OSCP en de CEH zijn er geen formele vooropleidingseisen. Die uitgevers geven wel aanbevelingen, zoals goed begrip van TCP/IP bij de OSCP en minimaal 2 jaar ervaring in IT-security bij de CEH.
Wat kost het kandidaten om een certificering te onderhouden?
Dat verschilt per uitgever. ISC2 vraagt voor de CISSP 120 CPE-credits over drie jaar en US$ 135 per jaar, en voor de CC 45 CPE-credits over drie jaar en US$ 50 per jaar. ISACA vraagt voor de CISM en CISA minimaal 20 CPE per jaar en 120 over drie jaar, met een jaarlijkse vergoeding van US$ 45 voor leden en US$ 85 voor niet-leden. Stand van 5 november 2026, controleer de pagina van de uitgever voor de actuele bedragen.