Sinds 15 augustus 2026 moeten ruim 8.000 Nederlandse organisaties aantoonbaar hun cyberrisico's beheersen. In dezelfde jaren daalde het aantal ICT-vacatures en steeg het aantal ICT'ers met een WW-uitkering.
Die twee feiten staan niet los van elkaar, en samen verklaren ze waarom omscholen naar cybersecurity tegelijk logisch en riskant is. De vraag naar mensen die beveiliging begrijpen groeit. De vraag naar instappers in de ICT doet dat niet.
Begin bij de cijfers die niemand in een opleidingsadvertentie zet. Volgens UWV werken er inmiddels 589.000 mensen in een ICT-beroep, en dat aantal groeit sinds 2023 weer. Maar in het tweede kwartaal van 2026 stonden er iets meer dan 18.900 ICT-vacatures open, en dat aantal daalt sinds 2023. In juli 2026 hadden bijna 6.400 mensen een WW-uitkering vanuit de ICT: begin 2023 waren dat er nog ruim 3.000. UWV noemt reorganisaties en AI als oorzaken.
Belangrijk om erbij te zeggen: UWV noemt de ICT-arbeidsmarkt nog altijd zeer krap, de hoogste stand op de eigen spanningsindicator. Tegenover elke ICT'er die korter dan een half jaar een WW-uitkering heeft, staan gemiddeld bijna vijf vacatures. Er is geen banencrisis. Wat er wel is, is een markt waarin werkgevers een stuk selectiever kiezen dan drie jaar terug, en dat voelt een instapper als eerste.
Security is binnen die afkoelende markt een van de weinige hoeken waar de vraag wel toeneemt. Het onderzoek Onderwijs en Arbeidsmarkt Cybersecurity, dat Platform Talent voor Technologie en Dialogic in opdracht van het ministerie van Economische Zaken en Klimaat uitvoerden, brengt de groei in kaart: de vraag naar cybersecurity-expertise liep op van ongeveer 8.000 vacatures in 2018 naar ongeveer 19.000 in 2022. De meeste vraag kwam van de overheid en de IT-sector zelf.
Een groeiende vraag is iets anders dan een open deur. Het rapport stelt vast dat de grootste opgave niet bij de instroom van nieuwe mensen ligt, maar bij het bijleren en vasthouden van de mensen die er al zijn. In 2021 verliet bijna een kwart van de securityprofessionals zijn functie.
Wie 'cybersecurity' intypt, krijgt beelden van hoodies en terminalvensters. De praktijk is bureaucratischer. Het Europese cybersecurity-competentieraamwerk van ENISA onderscheidt twaalf functieprofielen, van CISO tot incident responder tot penetratietester. Het EZK-onderzoek brak die twaalf profielen af in 385 bouwstenen van taken, kennis en vaardigheden, en kwam tot een conclusie die de meeste cursusaanbieders niet vooropzetten: er is veel technische kennis nodig, maar de benodigde vaardigheden en taken zijn grotendeels niet-technisch.
Dat verandert de vraag wat je moet leren. Vier rollen, vier heel verschillende drempels:
Als je uit een administratieve of juridische hoek komt, is de tweede of derde rol je realistische ingang. Niet de vierde.
Het aanbod aan securitycertificaten is luidruchtig en duur, dus het helpt om te weten hoe vaak werkgevers er daadwerkelijk om vragen. Uit de vacatureanalyse in het EZK-onderzoek blijkt dat 15 procent van de cybersecurity-vacatures expliciet een certificaat vraagt. Bij CISO-vacatures loopt dat op naar 77 procent, bij penetratietesters naar 58 procent. De drie meest gevraagde certificaten zijn CISSP, CISM en CISA.
En daar zit de valkuil. CISSP van ISC2 vereist vijf jaar relevante werkervaring voordat je de titel mag dragen. Zelfs het certificaat dat overal als instapniveau wordt verkocht, CompTIA Security+, adviseert in de eigen examendocumentatie als voorkennis een Network+ plus twee jaar werkervaring in een security- of systeembeheerrol.
De gevraagde certificaten bevestigen ervaring. Ze vervangen die niet.
Op 15 augustus 2026 werd de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, van kracht. De wet geldt voor ruim 8.000 organisaties in achttien sectoren: energie, drinkwater, digitale infrastructuur, zorg, overheid, vervoer en meer. Die organisaties moeten zich registreren bij het NCSC, een risicoanalyse uitvoeren en passende maatregelen nemen, en significante incidenten binnen 24 uur melden. Dat zijn voor het overgrote deel geen IT-bedrijven: van alle Nederlandse ICT'ers werkt 62 procent al buiten de ICT-sector. Het bestuur is eindverantwoordelijk en moet er zelf voldoende van begrijpen.
Lees die verplichtingen nog eens en kijk wat er niet staat. Er staat niet dat 8.000 organisaties een hacker nodig hebben. Er staat dat ze iemand nodig hebben die een risicoanalyse kan uitvoeren, beleid kan opschrijven, een register kan bijhouden en een incidentmelding op tijd de deur uit krijgt. Dat is governance-werk, en dat is de hoek waar een zij-instromer met werkervaring het snelst binnenkomt.
De eerste route is gratis zelfstudie. Platforms als OpenLearn en de gratis cursussen van grote techbedrijven geven je een beeld van netwerken, dreigingen en basismaatregelen zonder dat je iets riskeert. Besteed daar eerst twintig uur aan voordat je iets koopt. Als je daarna nog nieuwsgierig bent, is dat het beste signaal dat je kunt krijgen.
De tweede route is een Nederlandse thuisstudie. In de rubriek Cybersecurity starten de cursussen rond 419 euro voor vijf tot zes maanden. Een opleiding tot Cyber Security Specialist staat op 799 euro voor zes maanden, een cursus Ethical Hacking op 499 euro voor vier maanden. Wil je de governance-kant op, dan zit het aanbod bij HBO Security & Risicomanagement: risicomanagement en safety- en securitymanagement vanaf 840 euro voor drie maanden, een HBO-programma IT-security op 1.710 euro voor zes maanden.
De derde route is internationale certificering. Die is het duurst en het hardst te verkopen: examenvouchers, trainingsbundels en herkansingsverzekeringen lopen bij elkaar snel in de duizenden euro's, en het aanbod zit vol cursussen die duurder zijn dan ze waard zijn. Vraag voordat je iets boekt bij je werkgever na wat die vergoedt. In achttien sectoren heeft je werkgever sinds augustus een wettelijk belang bij jouw kennis.
Wat alle drie de routes niet opleveren is aantoonbare praktijk, en dat is precies waar werkgevers naar kijken. Hetzelfde patroon zie je bij JavaScript leren programmeren: een thuisopleiding geeft je structuur en een diploma, maar je eerste gesprek krijg je op wat je zelf hebt gebouwd of opgelost.
Dit werkt als je al ergens tegen IT aan zit. Een helpdeskmedewerker, netwerk- of applicatiebeheerder die een securitycursus doet, bouwt op iets dat er al staat en kan binnen zijn huidige werkgever de stap maken. Het werkt ook als je uit een administratieve, juridische of auditachtergrond komt en op compliance, privacy of risicomanagement mikt: daar is de technische drempel laag en de vraag door de nieuwe wet aan het groeien.
Het werkt slecht als je nul IT-ervaring hebt en rechtstreeks naar penetratietesten wilt. Dat is de smalste deur in het hele vakgebied, en een cursus van vier maanden krijgt die niet open.
En dan nog iets dat zelden in een studiegids staat. Security is geen eenmalige omscholing. Dreigingen, tooling en regelgeving veranderen jaarlijks, en het EZK-onderzoek wijst Leven Lang Ontwikkelen aan als de kern van het probleem: niet instromen, maar bijblijven. Reken erop dat je over vijf jaar nog steeds studeert.
Begin klein, en in deze volgorde: twintig uur gratis materiaal, dan een eerlijk gesprek met je werkgever over welke rol in jouw organisatie onbezet is, en pas dan een opleiding kiezen die bij die rol hoort. De cursussen in de rubriek Cybersecurity staan op prijs, duur en niveau naast elkaar, zodat je die laatste stap kunt vergelijken in plaats van gokken.
Prijzen, tarieven en regelingen in dit artikel zijn gecontroleerd op 9 november 2026. Aanbieders en instanties kunnen hun voorwaarden tussentijds wijzigen; controleer het actuele bedrag altijd op de website van de betreffende partij.
Oprichter en beheerder van Thuisstudie.nl, Abonnement.nl en Proefabonnement.nl.
Geïnteresseerd in een artikel op Thuisstudie.nl over een relevant (studie)onderwerp waar jij veel over weet en met een link naar jouw website? Neem contact op door te mailen naar jaap@thuistudie.nl. Ik informeer je graag over de mogelijkheden en voorwaarden.
