Security engineer vacatures in Nederland: welk cert heb je nodig?

CISSP staat in security-vacatures bij grote consultancybureaus en financiële instellingen alsof het een basisvereiste is. In de helft van de gevallen is het dat niet. Werkgevers zetten het erbij om de lat hoog te leggen, maar nemen mensen aan met minder als de rest klopt.

Dat is de eerste praktische waarheid over security-certificeringen in de Nederlandse markt.

Hoe de Nederlandse security-vacaturemarkt eruitziet

Er zijn grofweg drie soorten security engineer-vacatures in Nederland:

Cloudgerichte security rollen. Dit zijn de snelst groeiende categorie. Titels als “Cloud Security Engineer”, “Azure Security Engineer” of “Security Architect (Cloud)” zijn in 2026 gemeengoed. De focus is op configuraties, identity, Zero Trust-architectuur en compliancekaders als NIS2.

SOC- en incident response-rollen. Dit is de meer operationele kant: monitoring, threat detection, respons op incidenten. Minder architectuur, meer tooling zoals Microsoft Sentinel, Splunk of CrowdStrike.

Compliance- en GRC-rollen. Governance, Risk en Compliance. Technisch lichter, documentatie-intensiever. Meer gevraagd bij financiële instellingen, zorg en overheid. ISO 27001, NIS2 en BIO zijn de kaders die hier terugkomen.

Elk van die drie heeft een ander certificeringsprofiel.

Wanneer CISSP van belang is

CISSP wordt gevraagd in vacatures voor:

• Senior security architect-rollen bij consultancybureaus (Big Four, Capgemini, Sogeti)
• CISO-adjacente rollen zoals Head of Security of Lead Security Architect
• Rollen bij financiële instellingen met hoge compliancelast (DNB-toezicht)

Wat ik in vacatures zie: CISSP staat vermeld als eis, maar in gesprekken is het vaak een “strongly preferred”. Wie vijf jaar relevante security-ervaring heeft, een cloud security-cert, en goed kan uitleggen waarom hij of zij de juiste keuzes maakt, komt door.

CISSP is ook zwaar tijdsinvestering: vier tot zes maanden voorbereiding voor wie al diep in security zit. Plan dat realistisch.

Cloud-specifieke security certs: de groeiende categorie

Dit is de categorie die in 2026 het hardst groeit in vacature-relevantie:

• AZ-500 (Microsoft Security Technologies): gevraagd in vrijwel elke cloudgerichte security-rol op Azure
• SC-100 (Cybersecurity Architect Expert): voor senior/architect-posities op Azure
• SC-200 (Security Operations Analyst): voor SOC-rollen die op Microsoft Sentinel draaien
• AWS Security Specialty: gevraagd bij organisaties met AWS-footprint

Voor wie op Azure werkt en security de richting op wil: AZ-500 is het meest gevraagde cloud security-certificaat in Nederlandse vacatures. Het staat frequent ook naast AZ-104 als gecombineerde vereiste.

Bekijk het trainingsaanbod voor security-certificeringen als je wil zien welke trajecten in Nederland beschikbaar zijn.

Security+ in de Nederlandse context

CompTIA Security+ is in de VS een standaard instapvereiste, zeker voor overheidsrollen. In Nederland is het minder dominant. Je ziet het:

• Bij internationale bedrijven met een NL-vestiging die globale HR-kaders hanteren
• Als achtergrondcert naast een meer specifiek certificaat
• In vacatures die expliciet “breed security-begrip” vragen als basis

Security+ als enige cert is in de Nederlandse markt onvoldoende voor de meeste roles boven junior-niveau. Combineer het met een cloud security-cert of praktijkervaring in een specifiek domein.

Wat werkgevers echt testen

In security-selectieprocedures zijn dit de vragen die terugkomen:

• Hoe zou je een Azure-tenant hardenen voor een organisatie die net begint?
• Wat doe je als een medewerker zijn credentials heeft gelekt via een phishing-aanval?
• Hoe implementeer je least privilege in een omgeving met honderd service accounts?
• Wat zijn de NIS2-vereisten die relevant zijn voor onze sector?

Geen van deze vragen word je beter in door een boek te lezen. Ze vereisen dat je hebt nagedacht over architectuurbeslissingen en incidenten hebt meegemaakt of gesimuleerd.

NIS2 als nieuw gewicht in vacatures

Sinds de NIS2-implementatie in Nederland is er een duidelijke toename van vacatures die expliciet kennis van NIS2-vereisten noemen. Sectoren die onder de richtlijn vallen, zoals energie, water, transport en financieel, zijn actief op zoek naar mensen die de technische maatregelen kunnen implementeren.

Dit is een kans voor security-professionals die zich willen specialiseren: NIS2-kennis gecombineerd met Azure of cloudervaring maakt je schaars in de huidige markt.

Praktisch advies per niveau

Junior (0-2 jaar): AZ-900 als basis, gevolgd door AZ-500. Security+ als je breed wil beginnen. Combineer met een stage of traineeship waar je Sentinel of Defender for Cloud aanraakt.

Medior (2-5 jaar): AZ-500 als je dat nog niet hebt, daarna SC-200 of SC-100 afhankelijk van of je meer operationeel of architecturaal wil. CISSP voorbereiden als je richting consultancy gaat.

Senior (5+): CISSP is op dit punt de logische toevoeging als je er nog niet aan bent. SC-100 voor Azure-architectuurwerk. Overweeg CISM als je richting management gaat.

Het cert toont de richting. Werkgevers kopen het op basis van wat je ernaast hebt.