Kun je senior IT-professional worden zonder CISSP?
CISSP staat in senior security-vacatures zoals “uitstekende communicatieve vaardigheden” in elke andere vacature: bijna altijd, maar zelden een harde blokkade. Wie goed genoeg is, komt ook zonder door.
Dat is de directe samenvatting. De nuance zit in wanneer dat wel en niet opgaat.
In welke rollen CISSP echt zwaar weegt
Er zijn contexten waarin CISSP feitelijk het verschil maakt:
Grote consultancybureaus. Bij bedrijven als KPMG, Deloitte, PwC, Capgemini en vergelijkbare spelers is CISSP een formeel kwalificatiepunt voor senior security-rollen. Het staat in hun interne graderingssystemen en wordt gebruikt om senioriteitsniveaus te onderbouwen naar klanten. Hier is CISSP niet alleen een voorkeur, het versnelt je promoties.
Financiële instellingen onder DNB-toezicht. Banken, verzekeraars en betalingsinstellingen met strenge compliancevereisten gebruiken CISSP als checkmark bij het invullen van kritieke beveiligingsfuncties. Het zegt iets over breed beveiligingsbegrip dat sectorspecifieke certificaten niet volledig afdekken.
CISO-aangrenzende rollen. Wie een rol wil als hoofd security, lead security architect of equivalent, stuit bij grotere organisaties bijna altijd op CISSP als formele vereiste. Het is de manier waarop werkgevers het gesprek intern verantwoorden.
In welke rollen je prima zonder kunt
Technische senior-rollen bij techbedrijven en scaleups. Hier tellen projecten, GitHub-bijdragen, architectuurkeuzes en aantoonbare impact meer dan certificaten. Een senior cloud security engineer die AZ-500, SC-100 en vijf jaar productie-Azure heeft, wordt aangenomen boven een CISSP-houder zonder hands-on cloud-ervaring.
Platform engineering en DevSecOps. Deze rollen zitten op het snijvlak van development en security. Werkgevers zoeken hier mensen die security kunnen inbouwen in pipelines, containers en IaC. CISSP-kennis is geen nadeel, maar de focus ligt op tooling en praktijk.
Specialistische security-rollen. Een senior pentester, een cloud security engineer of een Kubernetes-security-specialist wordt niet primair beoordeeld op CISSP. De technische specialisatie weegt zwaarder.
Wat je als alternatief kunt aantonen
Als je senior wil worden of zijn zonder CISSP, moeten andere elementen compenseren:
Diepgaande technische specialisatie. Wie op een specifiek gebied aantoonbaar verder gaat dan de gemiddelde senior, staat sterk. Dat kan cloudbeveiliging zijn, zero trust-implementaties, secure software development, of OT-security.
Aantoonbare impact. Concrete voorbeelden van beveiligingsverbeteringen die je hebt doorgevoerd, incidenten die je hebt geleid, of architecturen die je hebt ontworpen en die daadwerkelijk draaien.
Combinatie van relevante certs. SC-100 + AZ-500 + vijf jaar Azure-security-ervaring is in veel situaties sterker dan CISSP zonder cloudervaring. CISM is een alternatief voor wie richting management gaat.
Kennis van regulatoir kader. NIS2, DORA (voor financiën), BIO (voor overheid), ISO 27001. Wie dit begrijpt en kan toepassen, heeft een voordeel dat puur technische profielen soms missen.
Is CISSP de tijdsinvestering waard?
De voorbereiding op CISSP kost, als je al diep in security zit, vier tot zes maanden serieus studeren. Het examen is breed: acht domeinen van cryptografie tot physical security tot softwareontwikkeling.
Het heeft wel degelijk waarde als:
- Je richting consultancy of grote enterprise wil
- Je in de komende twee jaar een managementlaag hoger wil komen
- Je klanten of werkgevers bedient die het als formele kwalificatievereiste hanteren
Het is minder de moeite als:
- Je in een technische specialisatie blijft en daar groeit
- Je bij een techbedrijf of scaleup werkt die op praktijk selecteert
- Je de zes maanden liever besteedt aan iets dat directer aansluit bij je dagelijkse werk
Bekijk het trainingsaanbod voor CISSP-voorbereiding als je wilt inschatten welke investering realistisch is.
Wat ik zou adviseren
Vraag je bij de volgende senior-rol die je overweegt: staat CISSP in de vacaturetekst als eis of als voorkeur? En zoek dan twee of drie andere vacatures voor vergelijkbare rollen. Als CISSP overal terugkomt als harde vereiste, is de boodschap duidelijk. Als het er soms bij staat en soms niet, heb je ruimte.
Praat ook met mensen in vergelijkbare rollen. Vraag of CISSP hen werkelijk deuren heeft geopend, of dat het vooral een vinkje was in een toch al goed profiel.
Senior worden gaat via geloofwaardigheid. CISSP is een manier om die te signaleren. Het is niet de enige manier.