Cyberbeveiligingswet vergroot druk op toch al krappe markt voor cybertalent
De invoering van de Cyberbeveiligingswet zet niet alleen cybersecurity hoger op de agenda van duizenden organisaties, maar vergroot ook de druk op een al krappe arbeidsmarkt voor cyberspecialisten. Een gesprek met Amir Jalali (Computer Futures) en Franklin Parmentier (Progressive) over het belang van talent om cyberdreigingen het hoofd te bieden.
De Cyberbeveiligingswet – de Nederlandse implementatie van de Europese NIS2-richtlijn – treedt na jaren van discussies (en vertraging) deze maand in werking. Voor de circa 8.000 organisaties die binnen de reikwijdte vallen, heeft de wet grote gevolgen.
Zij krijgen te maken met strengere eisen op het gebied van cyberrisicobeheersing, incidentmanagement, beveiliging van de toeleveringsketen en bedrijfscontinuïteit, terwijl ook de verantwoordelijkheid van bestuur en directie nadrukkelijker wordt.
Daarnaast moeten organisaties ernstige cyberincidenten tijdig melden en kunnen aantonen dat passende beveiligingsmaatregelen daadwerkelijk zijn geïmplementeerd. De wet heeft de ambitie om cybersecurity niet langer uitsluitend te behandelen als een IT-aangelegenheid, maar als een integraal onderdeel van governance, riskmanagement en bedrijfsvoering.
Het in goede banen leiden van de Cyberbeveiligingswet vereist expertise en ook een flinke voorbereiding. Dit stuwt de vraag naar cyberprofessionals verder op.
“Zo’n 8.000 organisaties moeten tegelijkertijd aan complianceverplichtingen voldoen – allemaal concurrerend om dezelfde beperkte groep beschikbare specialisten. We zien nu al dat de wetgeving de vraag naar cyberspecialisten echt versnelt”, zegt Amir Jalali, Associate Sales Team Manager bij Computer Futures.
Het tekort wordt volgens Amir versterkt doordat veel opdrachtgevers een voorkeur hebben voor Nederlandstalige cybersecurityspecialisten. “Door die taalvereiste wordt de groep beschikbare kandidaten in Nederland, en vooral in Amsterdam, nog kleiner dan hij al is”, legt Amir uit.
Het opwerpen van die taalbarrière beschouwt hij als een gemiste kans. “We hebben veel expats in het cybervakgebied die uitstekend Engels spreken, maar niet over Nederlandse taalvaardigheid beschikken.”
Klem zitten tussen twee vuren
Een andere factor die het aanbod van talent beperkt, is de positie van de zelfstandige professional. In Nederland werkt een relatief grote groep IT-professionals als zzp’er. Juist daar zijn nu problemen rondom het inhuren, en dat heeft alles te maken met de overheidsregels rondom het inhuren van zelfstandigen.
“De Cbw vergroot de vraag naar gespecialiseerde expertise, terwijl opdrachtgevers tegelijkertijd voorzichtiger moeten omgaan met de inzet van zelfstandigen.”
Hoewel het kabinet in 2026 het verduidelijkingsdeel van de VBAR (Wet verduidelijking beoordeling arbeidsrelaties en rechtsvermoeden) heeft geschrapt, blijft de handhaving op schijnzelfstandigheid onder de bestaande Wet DBA van kracht. Tegelijkertijd wordt gewerkt aan een nieuwe Zelfstandigenwet, die zelfstandigen een duidelijkere juridische positie moet geven en naar verwachting vanaf circa 2028 het toekomstige kader voor arbeidsrelaties kan vormen.
“Voor cybersecurity creëert deze ontwikkeling een reëel personeelsknelpunt”, legt Amir uit. “De Cbw vergroot de vraag naar gespecialiseerde expertise, terwijl opdrachtgevers tegelijkertijd voorzichtiger moeten omgaan met de inzet van zelfstandigen vanwege de fiscale, arbeidsrechtelijke en compliance-risico’s die verbonden zijn aan schijnzelfstandigheid.”
Franklin Parmentier, Staffing Consultant bij Progressive (onderdeel van SThree), ziet in de markt dat grote en kleine bedrijven anders omgaan met het talentvraagstuk.
“Grote bedrijven nemen cybersecurityspecialisten in vaste dienst om hun langetermijncompliance te waarborgen. Kleinere organisaties huren specialisten in op projectbasis: iemand die certificering regelt, compliance aantoont en daarna periodiek terugkeert voor onderhoud. Kleinere bedrijven huren doorgaans iemand in die het hele traject oppakt, zorgt dat alles compliant is en daarna weer vertrekt.”
Waarom de menselijke factor het grootste risico blijft
Uit onderzoek blijkt dat meer dan twee derde van de cyberincidenten terug te herleiden is naar menselijk handelen. Zowel Amir als Franklin ziet dit zelf ook terug in de eigen praktijk. Ook het bekende Odido-lek is hier een voorbeeld van.
“Als we kijken naar de recente Odido-cyberaanval, ging het om iemand van de klantenservice die per ongeluk informatie deelde die niet verstrekt had mogen worden”, zegt Amir. “Het menselijke element is het toegangspunt voor iedereen die data wil bemachtigen die niet van hen is.”
Franklin plaatst dat risico in een bredere context dan alleen één enkel datalek. Dat toegangspunt, stelt hij, bestaat in elke organisatie, ongeacht hoeveel technologie er wordt ingezet. “Je kunt de digitale wereld zo goed mogelijk beveiligen, maar vaak is het toch het menselijke element dat de deur wagenwijd openzet.”
Voor Amir is de kern van het probleem cultureel. “Veel organisaties vergeten dat alle niveaus van hun personeel geïnformeerd en getraind moeten worden over cybersecurityrisico’s en hoe die te vermijden. Dat betekent in essentie dat de CEO hetzelfde kennisniveau moet hebben als een medewerker van de klantenservice.”
Cybersecurity is volgens het tweetal een organisatiebrede gedragskwestie – en een die niet met technologie alleen valt op te lossen.
De reactieve cyclus die meer kost
Het patroon dat Amir en Franklin schetsen, sluit naadloos aan bij wat het wereldwijde cybersecurityonderzoek van SThree in elke onderzochte markt laat zien: organisaties die cybersecurityinvesteringen verminderen of uitstellen, betalen uiteindelijk meer.
In Nederland is dat mechanisme duidelijk zichtbaar. Zodra budgetten onder druk komen te staan, proberen organisaties meer te doen met minder. Projecten lopen vertraging op – waaronder cruciale Cbw-complianceprojecten – en de uiteindelijke inhaalkosten vallen hoger uit dan de oorspronkelijke investering.
“Wij zien dat wanneer organisaties naar de totale kostenbalans kijken, het vaak duurder is uitgevallen dan wanneer ze consistent waren blijven investeren”, zegt Amir.
“Zodra er een datalek plaatsvindt, wordt het ineens een van de belangrijkste onderwerpen op de agenda.”
Naast de financiële logica speelt ook psychologie een rol. Organisaties die nog geen datalek hebben meegemaakt, zien cybersecurity als een kostenpost – iets dat budget opslokt zonder omzet te genereren. “Maar zodra er een datalek plaatsvindt, wordt het ineens een van de belangrijkste onderwerpen op de agenda”, observeert Amir. “Er is ineens meer budget beschikbaar en meer goedkeuringen voor aanwerving.”
Het geld komt dus wél beschikbaar – maar pas nadat de schade al is ontstaan, en tegen kosten die vele malen hoger liggen dan wat proactieve investering had gevraagd.
Het tijdsvenster dat kleiner wordt
Franklin schetst de keuze waar elke Nederlandse CIO of CISO die overweegt te bezuinigen voor staat als een kwestie van langetermijnrisico, niet van kortetermijnbesparing. “Hoe zie je dit aflopen als je je specialisten wegbezuinigt? Hoe zorg je ervoor dat je de kennis behoudt? Want als je deze risico’s niet duidelijk in beeld hebt, kunnen de kosten aanzienlijk zijn.”
Wereldwijde data bevestigt dit beeld. Het ‘Cost of a Data Breach Report 2025’ van IBM laat zien dat organisaties met een aanzienlijk tekort aan cybersecurityvaardigheden gemiddeld $5,22 miljoen per datalek betaalden – $1,57 miljoen meer dan organisaties zonder zo’n tekort.
De ISC2 Cybersecurity Workforce Study bevestigde bovendien dat bezuinigingen inmiddels het tekort aan vaardigheden hebben ingehaald als de belangrijkste oorzaak van cybersecuritypersoneelstekorten wereldwijd.
Het Nederlandse gezegde dat Franklin aanhaalt – voorkomen is beter dan genezen – vat de situatie precies samen. De Cbw komt eraan. Regels rond het inhuren van zelfstandig personeel worden strenger. Het Odido-lek heeft laten zien wat één social-engineeringaanval kan aanrichten voor de databeveiliging van een land. En de specialisten die organisaties nodig hebben om dit alles het hoofd te bieden, zijn schaarser dan ooit.
