Een security professional inhuren als zzp'er: schijnzelfstandigheid, VOG en toegang

Wanneer huur je een security professional als zzp'er in?

Een zzp'er past beter bij een opdracht waarvan je het resultaat kunt omschrijven. Denk aan een pentest, een externe audit, een architectuurontwerp, een inrichtingsproject met een opleverdatum of een DPIA. Een structurele bezetting van een vaste plek in je team past daar minder goed bij.

De reden waarom je iemand inhuurt, zoals drukte of ziekte in het team, speelt volgens de Rijksoverheid geen rol bij de vraag of het om loondienst gaat. Let wel op een opdracht die een werknemer één op één vervangt en de werkzaamheden overneemt. Zo'n opdracht kan wijzen op gezag en dus op loondienst.

Als je flexibiliteit zoekt, noemt de Rijksoverheid ook andere vormen: tijdelijke werknemers, uitzendkrachten, een jaarurennorm, zelfroostering, oproepcontracten en flexpools. Heb je de keuze tussen aannemen en inhuren, lees dan de afweging in het artikel over een security team opbouwen. De professional zelf maakt ook afwegingen over zzp of loondienst, zie zzp of loondienst in cybersecurity.

Wat beoordeelt de Belastingdienst bij een zzp'er?

Sinds 1 januari 2025 handhaaft de Belastingdienst weer op schijnzelfstandigheid. Volgens de Rijksoverheid betekent dat: iemand wordt ingehuurd als zelfstandige, terwijl het eigenlijk om loondienst gaat. De beoordeling kijkt naar hoe het werk wordt uitgevoerd. Negen onderdelen tellen in onderlinge samenhang mee:

• de aard en duur van de werkzaamheden;
• de manier waarop de werkzaamheden en de werktijden zijn bepaald;
• de mate waarin het werk of de professional onderdeel is van jouw organisatie;
• of de professional het werk persoonlijk moet uitvoeren;
• de manier waarop de afspraken tot stand zijn gekomen;
• de manier waarop de beloning is bepaald en wordt uitbetaald;
• de hoogte van de beloning;
• de mate waarin de professional commercieel risico loopt;
• de mate waarin de professional zich als ondernemer gedraagt of kan gedragen.

Een BV voorkomt schijnzelfstandigheid niet. Een hoog uurtarief is alleen niet genoeg, en meerdere opdrachtgevers zijn niet altijd doorslaggevend. Via een bemiddelaar gelden dezelfde regels: een tussenpartij neemt het risico niet weg, en als inlener kun je aansprakelijk zijn voor niet-betaalde loonheffingen of omzetbelasting van die tussenpartij. Opdrachtgever en werkende zijn samen verantwoordelijk voor de juiste contractvorm.

Biedt een modelovereenkomst nog zekerheid?

Sinds 6 september 2024 beoordeelt de Belastingdienst geen nieuwe modelovereenkomsten meer, en bestaande verlengt hij niet meer. Een goedgekeurde modelovereenkomst die op 6 september 2024 geldig was, mag je gebruiken tot en met 31 december 2029. Ook dan geeft ze alleen zekerheid als jullie werken zoals in de overeenkomst staat. De Belastingdienst legt uit waarom: de beoordeling hangt af van hoe er in de praktijk wordt gewerkt, niet van wat er op papier staat.

Een goed contract helpt, maar de praktijk beslist. Controleer daarom regelmatig of de samenwerking nog klopt. Veranderen de taken, de werktijden of de aansturing na een paar maanden, dan kan de beoordeling ook veranderen. De Belastingdienst adviseert dat ook, omdat de manier van samenwerken in de loop van de tijd kan veranderen.

Wat zijn de gevolgen voor jou als opdrachtgever?

Sinds 1 januari 2025 geeft de Belastingdienst geen aanwijzingen meer vooraf. Bij schijnzelfstandigheid kan hij direct correctieverplichtingen en naheffingsaanslagen loonheffingen aan je opleggen. Naheffen met terugwerkende kracht gaat niet verder terug dan 1 januari 2025. Alleen bij kwaadwillendheid, of als een aanwijzing niet is opgevolgd, kan de Belastingdienst tot 5 jaar terug naheffen. Kwaadwillendheid is volgens de Belastingdienst het opzettelijk laten ontstaan of voortbestaan van evidente schijnzelfstandigheid, terwijl je weet of had kunnen weten dat er feitelijk een dienstbetrekking is.

Over boetes geldt: in 2025 legde de Belastingdienst geen verzuim- en vergrijpboetes op. Vanaf 1 januari 2026 kan hij wel vergrijpboetes opleggen. In 2026 legt hij nog geen verzuimboetes op.

Er komt ook een nieuwe wet: de Wet van 18 juni 2026 tot wijziging van Boek 7 van het Burgerlijk Wetboek. Die voegt een rechtsvermoeden van arbeidsovereenkomst toe. Wie ten behoeve van een ander arbeid verricht tegen een beloning van ten hoogste € 36 per uur, wordt vermoed dit te doen krachtens arbeidsovereenkomst. De minister van Sociale Zaken en Werkgelegenheid kan dat bedrag aanpassen. De wet treedt op 31 december 2026 in werking.

Welke security-opdrachten passen bij een zzp'er?

Een goede maatstaf is de vraag of de professional voor eigen rekening en risico werkt aan een afgebakend resultaat, of een plek vult in jouw team onder jouw aansturing. Opdrachten die bij zelfstandig werk passen, hebben een vooraf afgesproken scope en een resultaat dat aan het eind ligt. Gebruik voor die omschrijving de taal van het ECSF, het European Cybersecurity Skills Framework van ENISA. Dat raamwerk geeft een gemeenschappelijke taal voor aanbestedingen, inkoop, vacatures en audits.

Minder logisch is een plek in het SOC-rooster naast vaste collega's, met jouw teamleider die de taken verdeelt en de werktijden bepaalt. Dat is het soort werk waar de Belastingdienst naar kijkt. Dit voorbeeld laat twee opdrachten naast elkaar zien. Het is een illustratie, geen beoordeling.

Opdracht 1: een pentest van een nieuwe webapplicatie. De opdracht beschrijft de scope, de periode en het rapport. De professional bepaalt de methode, de tools en de werktijden, levert het rapport op en is zelf verantwoordelijk voor de kwaliteit.

Opdracht 2: een SOC-analist in het rooster. De analist werkt drie dagen per week mee in de SOC-organisatie, volgt de meldingen op volgens jullie procedures en wordt aangestuurd door de teamleider.

Het tweede voorbeeld lijkt meer op een vaste plek, zoals de onderdelen hierboven laten zien. Dat betekent niet automatisch loondienst, maar het zijn precies de situaties om goed naar te kijken. Heb je een vaste behoefte aan hetzelfde werk, dan past een vacature beter. Lees security vacature schrijven.

Toets vooraf of de professional echt als ondernemer werkt. Vraag naar de eigen werkwijze, eigen middelen, eigen verzekering en eigen aanbod. Meerdere opdrachtgevers is één factor, geen sluitend bewijs.

Wat regel je over toegang, geheimhouding en screening?

Vind je een VOG nodig voor de opdracht, regel dat dan voordat die start. In de meeste gevallen geef je aan hoe de zzp'er de aanvraag indient: jij zet de aanvraag digitaal klaar, of de zzp'er vraagt zelf digitaal aan. Zelf aanvragen kan alleen voor wie werkt of gaat werken in de gezondheidszorg, financiële of juridische dienstverlening. Voor elke nieuwe opdracht waarvoor een VOG nodig is, vraagt de zzp'er een nieuwe aan. Volgens Justis kost een digitale aanvraag € 33,85 en een schriftelijke aanvraag via de gemeente € 41,35, beide vrijgesteld van btw. De aanvrager krijgt binnen 1 tot 8 weken bericht, dus houd daar rekening mee. Justis waarschuwt ook voor commerciële partijen die tegen extra kosten een aanvraag klaarzetten. Lees de uitleg van Justis over de VOG voor zzp'ers en het artikel over security clearance en VOG.

Screening beperk je tot de risico's van de functie. De Autoriteit Persoonsgegevens (AP) schrijft dat je alleen gegevens vraagt die nodig zijn om die risico's zo veel mogelijk te beperken, en dat screening niet voor alle functies hetzelfde hoort te zijn. Voor strafrechtelijke gegevens is een VOG meestal voldoende. Maak geen kopie, scan of foto van een identiteitsbewijs. De AP richt zich op werkgevers en medewerkers; gebruik haar lijn als richtsnoer.

Voor toegang geldt het principe van minimale rechten (least privilege): geef de professional alleen de rechten die de opdracht vraagt. Gebruik eigen accounts en geen gedeelde accounts. Leg vast wie de toegang verleent en wie hem intrekt, en trek die direct in als de samenwerking eindigt. Maak ook afspraken over geheimhouding, logging en het melden van incidenten en vondsten. Bij een pentest leg je schriftelijk vast welke systemen binnen de scope vallen en dat de eigenaar van die systemen toestemming geeft.

Voor het gesprek met de jurist kun je deze punten meenemen: de opdracht met scope en resultaat, geheimhouding, eigendom van het resultaat, de afspraken over toegang en het intrekken daarvan, hoe incidenten en vondsten worden gemeld, vervanging door een andere professional als de opdracht dat toelaat, aansprakelijkheid en verzekering. Dit is een checklist, geen juridisch advies. Voor de afspraken rond het begin van de samenwerking zie onboarding van een security professional.

Wat vraagt de Cyberbeveiligingswet van je leveranciers en inhuur?

De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden. Artikel 21 legt een zorgplicht op aan entiteiten die onder de wet vallen. De maatregelen omvatten de beveiliging van de toeleveringsketen, met inbegrip van de beveiligingsaspecten van de relaties met rechtstreekse leveranciers of dienstverleners. Ook omvatten ze beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets.

Voor de keuze van maatregelen voor leveranciers houdt de entiteit volgens het vierde lid rekening met de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener. Ook telt de algemene kwaliteit van hun producten en hun cyberbeveiligingspraktijken mee, inclusief hun veilige ontwikkelprocedures. Daarnaast gaat het om de resultaten van gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens.

Neem ingehuurde professionals mee in je risicoanalyse en in je leveranciersbeleid. Of een individuele zzp'er onder de term "rechtstreekse leverancier of dienstverlener" valt, beantwoordt je organisatie zelf, eventueel met een jurist. Valt je organisatie onder de wet, lees dan eerst de uitleg over NIS2 en de Cyberbeveiligingswet. Financiële organisaties kunnen daarnaast te maken krijgen met DORA.