Een security vacature schrijven: titel, taken, eisen en wat mag

Waar begin je met een security vacature?

Begin niet bij de titel, maar bij het probleem dat de nieuwe collega moet oplossen. Binnen security kan het werk sterk verschillen. Schrijf eerst op wat er na een jaar moet liggen: een gedocumenteerd incidentproces, een werkende detectie voor de belangrijkste systemen of een risicoregister dat het bestuur gebruikt. Haal daarna de taken uit dat resultaat.

De ECSF-handleiding van ENISA werkt dit uit in vijf stappen: analyseren, identificeren, selecteren, aanpassen en toepassen. Je begint dus met de situatie in je organisatie, bepaalt welke doelen en tekorten er zijn en gebruikt pas dan een profiel om de vacature te maken. Een verzekeraar die cybersecurity aan de compliance-afdeling toevoegt, is het voorbeeld dat de handleiding zelf uitwerkt.

Stel vooraf drie vragen. Wat moet deze persoon na een jaar hebben opgeleverd? Met wie werkt hij of zij samen, met IT-beheer, juristen, het bestuur of een externe partij? Aan wie rapporteert hij of zij? Het antwoord op de laatste vraag bepaalt voor kandidaten hoeveel mandaat de functie heeft. Welke rol je als eerste nodig hebt, lees je in security team opbouwen.

Welke titel geef je de functie?

Titels verschillen per organisatie. De ECSF noemt per profiel alternatieve titels, zoals SOC Analyst onder Cyber Incident Responder en Ethical Hacker onder Penetration Tester. Gebruik deze tabel als startpunt en zoek de titel bij het werk dat de functie vooral doet.

Kies de titel die bij de dagelijkse taken past en die kandidaten ook zouden intypen. Een opgeblazen titel kan de verkeerde mensen aanspreken. Een titel met "Senior" of "Lead" hoort alleen bij een functie waar ook mensen of eigenaarschap bij horen, anders wek je verwachtingen die je niet waarmaakt. Voor de rollen die bij elkaar horen, is het overzicht wie doet wat in security, risk en compliance bruikbaar. Titels die in omloop zijn, staan uitgelegd in functietitels in security uitgelegd.

Hoe gebruik je de ECSF-profielen bij het schrijven?

De ECSF bevat twaalf rolprofielen voor cybersecurityprofessionals, van de Chief Information Security Officer tot de Penetration Tester. Elk profiel heeft dezelfde opbouw: een titel, alternatieve titels, een samenvattende zin, een missie, hoofdtaken, kernvaardigheden, kernkennis, e-competenties uit het Europese e-CF en opleverproducten. Volgens de gebruikershandleiding van ENISA helpen de profielen bij het vaststellen van rolvereisten en het beoordelen van kandidaten, en geven ze een gemeenschappelijke taal voor vacatures.

De handleiding werkt het verzekeraarsvoorbeeld uit. HR stelt de hoofdtaken van een "Cyber Compliance Officer" vast: naleving bewaken en juridisch adviseren over privacy- en gegevensbeschermingsstandaarden, hiaten in naleving vaststellen, een auditplan opstellen, het plan uitvoeren en auditresultaten communiceren. Die taken komen terug in twee profielen, Cyber Legal, Policy & Compliance Officer en Cybersecurity Auditor. De nieuwe omschrijving combineert onderdelen van beide, en de missie van een profiel kan als inleiding van de vacature dienen.

De vaardigheden en kennis in een profiel zijn voorbeelden. De handleiding noemt die secties niet uitputtend en niet beperkend, dus je mag ze aanpassen aan je situatie. Neem bijvoorbeeld het profiel Cyber Incident Responder. De samenvattende zin gaat over het monitoren van de cybersecuritystatus, het afhandelen van incidenten en het borgen van de continuïteit van ICT-systemen. Die zin neem je als uitgangspunt over en pas je aan door te beschrijven welke meldingen binnenkomen en wie er beslist. De kernvaardigheden over het analyseren van logbestanden en werken onder druk kun je overnemen als die bij jouw functie passen en schrap de rest.

Een ECSF-profiel is dus een startpunt, geen sjabloon om één op één te kopiëren. Een profiel beschrijft de volle breedte van een rol, een vacature beschrijft één plek in één team.

Wat zet je onder taken en wat onder eisen?

Schrijf taken als werkwoord plus resultaat. Zwak is "Je bent verantwoordelijk voor de beveiliging van onze omgeving". Sterk is "Je beoordeelt meldingen uit onze monitoring, bepaalt of er een incident is en stuurt de afhandeling aan tot het is gesloten." De tweede zin vertelt een kandidaat wat een werkdag is. Wie wil weten wat een SOC-analist dagelijks doet, leest werken als SOC-analist, en voor Security Engineer geldt hetzelfde via werken als security engineer.

Splits eisen in twee lijsten: wat je nodig hebt om te beginnen, en wat je hier kunt leren. Zwak is "Je hebt een CISSP". Sterk is "Je hebt ervaring met het onderzoeken van incidenten in een bedrijfsomgeving; een certificering helpt, maar is geen voorwaarde." Voor de afweging per certificering is certificeringen in vacatures: eis of wens bedoeld.

Noem hooguit enkele tools die de dagelijkse werkvorm bepalen, bijvoorbeeld een SIEM, en voeg "of vergelijkbaar" toe. Een lange lijst van producten schrikt af en zegt weinig over wat de kandidaat gaat doen. Als de functie diensten of bereikbaarheid buiten kantoortijd vraagt, schrijf dat erin, met een vermelding of daar een vergoeding of compensatie tegenover staat, zonder bedragen.

Zeg ook wat de kandidaat te wachten staat: het aantal gesprekken, of er een technische beoordeling of proefopdracht komt, en of een VOG of screening aan de orde is. Schrijf dit zonder aantallen als je die niet zeker weet. Het proces zelf beschrijf je op kandidaten beoordelen op technische vaardigheden. Bij security is opleiding een echt argument: tijd voor certificeringen, congressen of een lab. Noem alleen wat je ook echt biedt. Beschrijf technologie op het niveau dat de kandidaat nodig heeft, zonder productversies of interne systeemnamen in een openbare tekst. Laat tot slot een collega die de functie kent de tekst lezen en vragen: wat doet deze persoon op dinsdag? Kan die dat uit de tekst opmaken, dan werkt de vacature.

Wat mag je niet in een vacaturetekst zetten?

De Algemene wet gelijke behandeling verbiedt onderscheid bij de aanbieding van een betrekking en bij de behandeling bij de vervulling van een openstaande betrekking. Dat geldt ook voor het aanbieden van de functie, zoals in een vacaturetekst, en niet pas in het gesprek. De gronden zijn godsdienst, levensovertuiging, politieke gezindheid, ras, geslacht, nationaliteit, hetero- of homoseksuele gerichtheid en burgerlijke staat. Onder geslacht vallen ook geslachtskenmerken, genderidentiteit en genderexpressie. De wet zelf is het uitgangspunt.

Ook indirect onderscheid telt mee: een ogenschijnlijk neutrale eis die een groep met een bepaalde grond bijzonder treft. Dat is alleen toegestaan als een legitiem doel de eis objectief rechtvaardigt en de middelen passend en noodzakelijk zijn. Voor leeftijd geldt de Wet gelijke behandeling op grond van leeftijd bij de arbeid, met een vergelijkbare uitzondering. Het verbod op onderscheid naar nationaliteit geldt niet voor algemeen verbindende voorschriften of regels van internationaal recht, en niet in gevallen waarin de nationaliteit bepalend is.

Formuleringen als "jong en dynamisch team" of "digital native" wijzen naar leeftijd. "Native speaker" kan risico op onderscheid geven. Schrijf liever wat de functie nodig heeft: "je schrijft rapportages in het Nederlands" is een functionele eis met een reden. Schrijf de titel zonder geslachtsaanduiding. Of zo'n eis in een concrete situatie past, is aan een jurist. Een eis die aan een veiligheidsonderzoek of nationaliteit is gekoppeld, laat je vooraf toetsen door een jurist of door de functionaris die het veiligheidsonderzoek begeleidt. Dit is geen juridisch advies.

Wat mag je vragen over screening en een VOG?

De Autoriteit Persoonsgegevens schrijft dat je een sollicitant niet naar strafrechtelijke gegevens mag vragen, tenzij het een functie betreft waarbij je dat moet weten. Volgens de AP volstaat het in de regel dat een sollicitant een Verklaring Omtrent het Gedrag kan overleggen. Het burgerservicenummer vraag je pas als iemand in dienst komt. Een kopie, scan of foto van het identiteitsbewijs vraag je bij de sollicitatie niet; je mag de identiteit wel controleren door het originele document te laten zien. Lees de AP-pagina over persoonsgegevens van sollicitanten voor de volledige tekst.

Screening beperk je tot wat nodig is om de risico's van de specifieke functie zo veel mogelijk te beperken. De AP noemt als voorbeeld een functie waarin iemand met grote geldbedragen of vertrouwelijke informatie werkt: daar mag je meer vragen dan bij functies waar dat niet speelt. Het is gebruikelijk de gegevens van een sollicitant die niet wordt aangenomen uiterlijk 4 weken na het einde van de procedure te verwijderen. Met toestemming van de sollicitant mag dat langer, en de AP noemt een termijn van maximaal 1 jaar redelijk.

Zeg in de vacature dat een VOG of screening aan de orde is, en wanneer in het proces dat gebeurt. Of een VOG of screening bij een functie past, hangt af van de functie en de organisatie. Achtergrond over dit onderwerp staat in security clearance en VOG.

Moet je een salaris in de vacature zetten?

Nog niet. Het wetsvoorstel dat Richtlijn (EU) 2023/970 over loontransparantie omzet, de Wet implementatie Richtlijn loontransparantie mannen en vrouwen, is in mei 2026 ingediend bij de Tweede Kamer. Op 5 november 2026 is het voorstel nog in behandeling bij de Tweede Kamer. Het kabinet wil dat de regels op 1 januari 2027 ingaan, als zowel de Tweede als de Eerste Kamer instemt.

De plannen van het kabinet gaan verder dan de vacature. Werkgevers moeten dan informatie geven over het startsalaris of de salarisschaal van een functie, in de vacature of voor het gesprek over arbeidsvoorwaarden. Dan mag je sollicitanten ook niet vragen wat ze eerder verdienden. Dat zijn plannen en nog geen wet.

Een bandbreedte helpt kandidaten al voor het gesprek om te zien of de functie bij hen past, ook zonder wet. Zolang het wetsvoorstel niet is aangenomen, is het een keuze van de werkgever en schrijf je niet dat het verplicht is. Wie wil weten wat er na het aannemen gebeurt, leest onboarding van een security professional. Meer over werkgevers op TrustJobs vind je op werkgevers, en andere artikelen in de kennisbank.