Een kritische analyse voor het oplossen van het personeelstekort in de Nederlandse cybersecuritysector

Het personeelstekort binnen de Nederlandse cybersecuritysector vormt anno 2025 een urgente bedreiging voor de digitale weerbaarheid van bedrijven, overheden en de samenleving als geheel. Cyberdreigingen zijn extreem snel geëvolueerd en vragen steeds hogere eisen qua skills, ervaring en samenwerking. Ondanks stevige investeringen en politieke aandacht groeit het beschikbaar aantal gekwalificeerde cybersecurityprofessionals te traag, wat leidt tot aanzienlijke risico’s in kritieke sectoren. Een structurele, samenhangende en innovatieve aanpak is noodzakelijk om de risico’s te verkleinen en de ambities van de Nederlandse Cybersecuritystrategie 2022-2028 (NLCS) en Europese regelgeving (zoals NIS2 en DORA) te realiseren.

Dit rapport analyseert grondig de oorzaken, omvang en gevolgen van het personeelstekort en stelt een breed pakket aan maatregelen voor op korte, middellange en lange termijn. Daarbij wordt excellent aangesloten op de actuele ontwikkelingen in onderwijs, arbeidsmarkt, technologie (zoals AI), wet- en regelgeving en internationale best practices. Het rapport biedt stakeholders uit overheid, bedrijfsleven, onderwijs en maatschappelijke organisaties handvatten om integraal samen te werken aan een toekomstbestendige cybersecurityarbeidsmarkt.

Achtergrond: oorzaken en omvang van het tekort

Toenemende cyberdreigingen en digitale afhankelijkheid

De Nederlandse digitale infrastructuur is van essentieel belang voor economie en maatschappij. Cloudmigraties, Internet of Things, AI-integraties en hybride werkvormen vergroten de digitale voetafdruk en helaas ook het aanvallend oppervlak. Cyberaanvallen worden geavanceerder; in 2023 veroorzaakten cyberincidenten wereldwijd circa $8-9,5 biljoen schade. In Nederland zijn o.a. politie, banken, ziekenhuizen en vitale infrastructuren al herhaaldelijk gehackt, vaak door menselijke fouten of onvoldoende beveiligde systemen.

Feiten en cijfers: onvervulde vacatures en gebrek aan vaardigheden

In het tweede kwartaal van 2025 zijn er binnen Nederland 389.000 openstaande vacatures, waarvan een substantieel aandeel bestemd is voor ICT en cybersecurity. In de TMT-sector (Technology, Media & Telecom, waarbij cybersecurityfuncties onder vallen) schommelt het structurele tekort rond de 18.000 fte. In Nederland kampt 61% van de organisaties met een tekort aan cybersecuritykennis en ervaart 57% de impact als ernstig of significant; bij grote bedrijven tot het mkb. Dit tekort manifesteert zich met name op senior/strategisch niveau, waar circa de helft van de organisaties een tekort meldt op het gebied van governance, risk & compliance, security leadership en planning.

Oorzaken: complexe mix van knooppunten

De volgende kernoorzaken zijn geïdentificeerd:

• Exponentieel toenemende vraag: Vooral gedreven door digitalisering, strengere regelgeving (AVG, NIS2, DORA), compliance-eisen en de noodzaak tot proactieve security in de keten.
• Tekort aan praktijkgerichte opleidingen: Er zijn veel opleidingen, maar de uitstroom sluit niet altijd aan bij praktijkbehoeften. Bovendien is er een tekort aan docenten met actuele praktijkervaring.
• Beperkte zij-instroom en omscholing: Er zijn barrières voor werknemers uit andere sectoren, zoals onduidelijke instappaden en beperkte modulaire scholing.
• Weinig diversiteit en matige inclusie: De sector is sterk masculien; slechts 4% tot 19% van de specialisten is vrouw, wat het wervingspotentieel beperkt.
• Hoge werkdruk en uitval: De zware belasting van bestaande teams leidt tot burn-outs en sterker personeelsverloop, vooral omdat de werkdruk niet afneemt zolang de personeelsbasis niet groeit.
• Kosten en mismatch op de arbeidsmarkt: Zeker voor het mkb zijn hoge salariseisen, kosten voor werving/training en gebrek aan sollicitanten een belemmering.
• Intern positioneringsprobleem: Cybersecuritytaken worden uit noodzaak geregeld bij niet-specialisten ondergebracht, wat risico’s vergroot.

Gevolgen: kwetsbaarheid, delays en compliance risk

Door het tekort ontstaat een vicieuze cirkel: securityteams zijn onderbemand, incidentrespons duurt langer, innovatieprojecten lopen vertraging op en organisaties zijn vaker genoodzaakt tot risicovolle tijdelijke oplossingen die de structurele kwetsbaarheid vergroten. Compliance met AVG, NIS2 en DORA staat onder druk en bedrijven krijgen vaker boetes bij datalekken.

Kenmerken van de Nederlandse arbeidsmarkt en salarisstructuren

Salarisontwikkelingen en concurrentie

Cybersecurityspecialisten behoren tot de bestbetaalde groepen binnen de IT. Het gemiddeld startsalaris varieert van €3.200 tot €3.900 per maand, met uitschieters naar €5.500-7.700 voor medior/senior posities. De Randstad biedt significant hogere lonen vanwege concurrentie. Toch blijven mensen vaak niet alleen om het loon; hybride werken, doorgroeimogelijkheden, interessante inhoud en een inclusieve bedrijfscultuur zijn doorslaggevend.

Arbeidsmobiliteit, jobhopping en retentie

Ongeveer 20% van de beroepsbevolking wisselde recentelijk van baan, hoger dan in buurlanden. Retentierisico is hoog: 30% van de nieuwe werknemers vertrekt binnen 90 dagen, 73% overweegt te vertrekken bij een goed aanbod. Dit dwingt tot focus op binding, cultuur en ontwikkelingsmogelijkheden.

Diversiteit

Het aandeel vrouwen is tussen de 4% (in cyber specialisten) en maximaal 19% in bredere IT-functies. De sector mist diversiteit op het gebied van achtergrond, opleidingsniveau, leeftijd en etniciteit. Maatschappelijke urgentie heerst om dit te verbeteren, zodat het arbeidspotentieel groeit en het teamdenken versterkt wordt.

Analyse van huidige initiatieven en beleidskaders

Overheidsbeleid en Nederlandse cybersecuritystrategie

De NLCS 2022-2028 zet in op vier pijlers, waarvan pijler IV (cybersecurity arbeidsmarkt/onderwijs/digitale weerbaarheid) direct op het personeelstekort gericht is. Hierin is afgesproken:

• Meer instroom in hbo- en wo-opleidingen cybersecurity
• Betere afstemming van opleidingen op praktische vraag uit de markt
• Versterking MBO-keten en volwasseneneducatie
• Grote investeringen in bijscholing/omscholing van werkenden (via OCW, EZK)
• Publiek-private samenwerking als norm (Cyclotron, LDS, HSD)
• Diversiteitsbevordering en outreach
• Promotie van cybersecurity als aantrekkelijke carrière

Bovendien zijn de acties vertaald naar concrete stappen, zoals curriculumontwikkeling voor digitale weerbaarheid in het basis- en voortgezet onderwijs, publiek-private platforms (Cyclotron), subsidieprogramma’s en het Human Capital Agenda ICT-programma.

Relevante wetgeving

• AVG / GDPR: Dwingt tot continue investering in security en aanstelling van functionarissen gegevensbescherming.
• NIS2: Breidt complianceverplichtingen sterk uit naar meer bedrijven (ook mkb, essential & important entities) en legt nadruk op security by design, verplichte risk assessments en meldingen.
• DORA: Richt zich specifiek op de financiële sector en security/operationele veerkracht bij ICT-incidenten.
• Aanvullende normering: ISO27001, BIO, sectorale normeringen (NEN7510 in de zorg).

Deze wetgevingsgolf maakt dat security een strategische boardroomtopic is geworden; compliance is niet langer vrijblijvend.

Publiek-Private Samenwerkingen

• Cyclotron Platform: Verse publiek-private hub waar informatie, dreigingsdata en ervaringen tussen overheid, bedrijven en kennisinstellingen direct gedeeld worden.
• Security Delta (HSD) (Den Haag): Fungeert als nationaal cluster voor innovatie, onderzoek en samenwerking op security.
• SURF, Z-CERT (zorg), DTC/MKB, ISAC’s (sectorale communities): Specifiek voor bepaalde sectoren en taken.

Oplossingsrichtingen: overzicht en evaluatie

Onderwijsinitiatieven op MBO, HBO en WO

Huidig opleidingsaanbod

• MBO: Steeds meer ROC’s bieden cybersecurity specialisaties of modules; vooral als keuzedeel binnen brede IT-opleidingen. Initiatieven zoals ROC Amsterdam, Mondriaan, en modules voor volwassenenonderwijs zijn in opkomst.
• HBO: Tientallen hogescholen met volwaardige bachelor (4 jaar), duale routes, post-hbo, associate degrees en minors in security (o.a. HvA, HAN, Fontys, HU, SAXION).
• WO: Alle topuniversiteiten bieden specifieke masters/track cybersecurity (Leiden, TU Delft, Twente, Nijmegen, Groningen, UvA, VU). Combinatie van techniek, recht en beleid. Er is ruimte voor doorstroom vanuit HBO.

Matching met arbeidsmarkt

Veel uitstroom, maar praktijkgerichtheid en docenten met actuele vakkennis blijven knelpunten. Crossovers, stages en publiek-private projectopdrachten zijn cruciaal voor relevantie.

Toekomst: doorlopende lijn en praktijkleren

Versterking van doorlopende leerlijnen ict/cyber van po/vo naar mbo-hbo-wo, meer samenhangende opleidingen, profileringsmogelijkheden rondom actuele digital skills en meer ruimte voor industrieprojecten.

Omscholingstrajecten en zij-instroom

Snelle omscholing/bijscholing

• Bootcamps/omscholing: Programma’s zoals MakeITWork, Optisec, Security Academy en talloze private aanbieders bieden in enkele maanden een vollédige omscholing naar functies als SOC-analyst, ethical hacker of security implementer.
• Leven lang ontwikkelen: Subsidies (o.a. TechMeUp), rentevrije leningen, werkgeverstrajecten en erkende certificeringen (CISSP, CISM, CCSP, OSCP) verlagen drempels voor beroepsbevolking.

Ruimte voor divers talent

Niet enkel ICT’ers, maar ook professionals uit zorg, politie, recht, operations, etc., kunnen via maatwerktrajecten worden omgeschoold, mits voldoende begeleiding, coaching en praktijkervaring.

Internationale werving en mobiliteit

Internationale recruitment

Nederlandse techbedrijven werven steeds actiever over de grens: engineers worden remote of fysiek uit Europa, Azië, Noord-Amerika aangetrokken via EOR-platforms, globale payroll-systemen en hybrid/hubmodellen. Dit brengt juridische/douanetechnische uitdagingen mee maar breidt het potentieel snel uit.

Nederlands beleid (2025)

De overheid faciliteert visaprocedures, erkent tekortenberoepen (“kennismigrantenbeleid”) en stimuleert internationale samenwerking via NCSC, ENISA, EU CSIRTs, GFCE, etc..

Publiek-Private Samenwerking (PPS)

Informatie- en kennisdeling

• Cyclotron: Snel delen van dreigingsinformatie, hulpmiddelen en lessons learned.
• Landelijk Dekkend Stelsel (LDS): Doorontwikkeling tot Cyberweerbaarheidsnetwerk (CWN) om samenwerking te formaliseren.
• Sectorale ISAC’s: Branchespecifieke informatie-sharing en crisisrespons.

Talentontwikkeling Binnen PPS

Zoektochten naar hybride oplossingen – bijvoorbeeld “Security Officers as-a-Service” – waarbij schaarse specialisten flexibel worden ingezet over meerdere organisaties.

Technologische ondersteuning (AI) in HR/strategische personeelsplanning

AI voor planning en matching

• AI-gedreven planning: Tools van Ortec, Shiftbase en Wiseup maken het mogelijk personeelsbehoefte te voorspellen, tekorten vroeg te signaleren en specialistische skills optimaal te plannen en verdelen.
• Recruitment en screening: AI-systemen screenen CV’s, signaleren bias in vacatureteksten, herkennen skills-gaps en geven gepersonaliseerde ontwikkeladviezen.

Risico’s en ethische aandachtspunten

Privacy, bias en uitlegbaarheid van algoritmen dienen geborgd te worden. AI mag ondersteunend zijn, maar niet de menselijke regie vervangen.

Arbeidsmarktimpact

AI kan repetitief werk wegvangen, maar vergroot tegelijk de vraag naar deep analytical, forensische en compliance skills in security. Leven Lang Leren (LLL) blijft dus noodzaak.

Diversiteit en inclusiviteit

Inspanningen en best practices

• Gerichte campagnes (All the Cyber Ladies, Women4Cyber, HackTheHague, HSD en Microsoft-initiatieven) om vrouwen, jongeren en minderheden warm te maken voor het vakgebied.
• Uniforme, toegankelijkere vacatureteksten gebaseerd op competenties in plaats van ‘het ideale profiel’.
• Promotie van deeltijdambten, flexibele werktijden en hybride werken om groepen te bereiken die nu ondervertegenwoordigd zijn.

Effectiviteit

Diversiteit levert bewezen hogere innovatiekracht en teamperformance op. Toch is de gendergap groot en verloopt de instroom nog traag. Op beleidsniveau is nu breed draagvlak voor actieve trajecten om aannamebeleid te inclusief te maken.

Internationale best practices

Lessons Learned

• Groot-Brittannië’s Cyber Retraining Academy: Succesvol inzij-instroom van werklozen naar security. Bredere selectie, snelle training, sterke coaching.
• Duitsland, VS: Strategisch gebruik van “cyber reservisten” (deeltijdpersoneel uit andere sectoren), zwaar inzetten op master-apprentice modellen en federale publiek-private partnerships.
• Internationale samenwerking via EU CSIRTs, ENISA, TF-CSIRT, FIRST en NCSC’s programma’s stelt Nederland in staat snel dreigingsinformatie, skills en trends uit het buitenland te adopteren.

Voorstel: maatregelen per termijn en impact

Uitwerking en verantwoording per termijn

Korte termijn: (0-2 jaar)

• Versnelde omscholing en bootcamps
  Het tekort biedt vooral op korte termijn kansen voor snelle omscholings- en bootcamptrajecten. Met subsidie (STAP, TechMeUp), werk- en leerprojecten en bijbehorende coaching kunnen volwassenen uit andere sectoren (zoals zorg, politie, juridische sector) in 5-8 maanden klaargestoomd worden voor starterrollen in cybersecurity (SOC-analyst, pentester, security implementer).
• Flexibilisering van externe inhuur
  Door gespecialiseerde dienstverleners tijdelijk en flexibel in te huren (‘Security Officer as-a-Service’, freelancers via platforms als Malt/Jellow) krijgen organisaties snel toegang tot diepgaande kennis, terwijl langdurig werven niet lukt of niet kostenefficiënt is.
• Internationale inhuur
  Soepele vergunningverlening (kennismigrantenregeling, snelle visaprocedures, remote first hiring) maakt internationale vacatures makkelijker vervulbaar en zorgt tevens voor diversiteit van denken, mits arbeidsvoorwaarden voldoende concurrerend zijn.
• AI voor personeelsplanning en recruitment
  Breed inzetbare AI-tools (van planning tot matching op skills, biasdetectie in vacatures, gap-analyse) zijn direct in te voeren en verhogen de vullingsgraad van openstaande plekken.
• Vergoot rollen- en instapdiversiteit
  Verlaag drempels: erken deelcertificering, erken mmeer zij-instroom (bijvoorbeeld via deeltijds werk, hybride functies) en stimuleer LLO (leven lang ontwikkelen) ook met fiscale impulsen.

Middellange termijn: (2-5 jaar)

• Doorlopende leerlijnen, projectonderwijs en praktijkervaring
  Intensieve samenwerking tussen onderwijs, bedrijven en sectoren over modules, stages en real-life projecten zorgen voor praktijkklare afgestudeerden. Inspelen op nieuwe technieken, zoals cloud, cryptografie, forensics, en landelijke stagepools voor mkb zorgen voor bredere instroom.
• Structuurdiversiteit: teams en inclusie
  Actieve programma’s, campagnes en HR-beleid, gericht op vrouwen, mensen met migratieachtergrond, herintreders, herintreders via deeltijd/ouderschap, etc. Tekst van vacatures en beoordeling op competenties en motivatie, niet alleen diploma’s. Functieprofielen worden ingericht zodat ook MBO’ers instapmogelijkheden hebben binnen security-functies.
• Incentives voor zij-instroom en LLO
  Met belastingvoordelen, subsidie voor opleidingen, modulaire leertrajecten, combinatie werk-leerbanen, structurele publiek-private doorstroomprogramma’s en begeleiding.
• Publiek-Private praktijkgemeenschappen
  Verdere doorontwikkeling van Cyclotron, LDS, sectorale ISAC’s en platforms als HSD. Structureel gezamenlijk opleiden, kennis delen, incident respons oefenen en gezamenlijk R&D initiëren.

Lange termijn: (5-10 jaar)

• Cybersecurity in nationale curriculum PO/VO/MBO
  Continue verbeterproces om vanaf jongste leeftijd te investeren in awareness, techniek, ethisch normbesef en een positief imago van het security beroep. Leerlijnen sluiten aan op vervolgopleidingen, trekkers zijn OCW, SLO, HSD, brancheorganisaties.
• Structurele Triple Helix samenwerking en wereldwijde profilering
  Continue samenwerking overheid, bedrijven en kennisinstellingen (triple helix-model) gericht op een leidende cybersecuritysector, beroepsnetwerken, internationale partnerships en innovatiehubs.
• Leven lang ontwikkelen:
  Structurele verankering van modulaire leertrajecten, standaardisatie en brede toegang tot micro- en nanodegrees: Nederland als innovatieve en toekomstbestendige markt.

Analyse van verwachte impact

• Directe verlichting tekorten: De snelle instroom via omscholing, internationale sourcen en freelance-inhuur vangt acute tekorten op in de (senior) beveiligingsrollen. Hierdoor wordt de huidige kwetsbaarheid beperkt voor organisaties die hun weerbaarheid anders niet kunnen verbeteren.
• Duurzame groei van talentpijplijn: Structurele verbetering volgt door effectieve aansluiting van onderwijs op de markt, meer praktijkopdrachten/stages en een bredere, diverse instroom. Middel en lange termijnmaatregelen verminderen uitval, verhogen innovatie en maken afhankelijkheid van schaarse specialistische kennis minder groot.
• Versterking innovatie, compliance en digitale autonomie: Nederland wordt minder afhankelijk van buitenlandse security-leveranciers, kan eigen cybersecurityinnovaties ontwikkelen, voldoet aan Europese en nationale wet- en regelgeving en vergroot de eigen digitale soevereiniteit.
• Ruimtelijke en maatschappelijke impact: Door bredere instroom creëren de maatregelen loopbaanperspectief voor kansengroepen, zorgen voor inclusieve teams en hogere retentie.

Aandachtspunten, knelpunten en randvoorwaarden

• Verankering en continuïteit
  De effectiviteit van alle maatregelen staat of valt met structurele en interdepartementale samenwerking van rijk, regio’s, bedrijfsleven, onderwijs en brancheorganisaties. Alleen dan kan een doorlopende leerlijn en een integrale arbeidsmarktaanpak van de grond komen.
• Human capital en cultuurverandering
  Cybersecurity moet niet alleen als technisch, maar ook als gedrag, cultuur en leiderschapsthema worden gezien. Imago verbeteren, communicatiekracht en organisatiebreed aandeelhouderschap zijn noodzakelijk.
• Technologische adoptie
  De inzet van AI-systemen vereist bewaking van belasting, privacy, uitlegbaarheid (explainable AI) en ethische kaders. HR blijft leidend, AI is ondersteunend.
• Flexibiliteit en schaalbaarheid
  Kleinere bedrijven/overheden hebben maatwerk nodig, bijvoorbeeld via shared services, security oficers as a service, pools en platforms. Een scala aan oplossingen (inclusief regionaal gedeelde rollen) voorkomt ongelijkheid en maximaliseert nationale digitale weerbaarheid.

Samenvattend

Het personeelstekort in de Nederlandse cybersecuritysector is geen exclusief technisch probleem, maar een cultureel, organisatorisch en maatschappelijk vraagstuk dat gezamenlijk, gestructureerd en toekomstgericht moet worden opgepakt. Alleen via een breed pakket aan maatregelen op de drie tijdshorizonnen – handig gecombineerd in lijn met de Nederlandse Cybersecuritystrategie en internationale best practices – kan Nederland de aansluiting houden op dreigingen, innovatie en compliance. De transitie van reactief probleemmanagement naar proactieve talentontwikkeling, diversiteit, publieke-private samenwerking en verantwoorde inzet van technologie is essentieel voor de weerbaarheid van de digitale samenleving.

Aanbevelingen

1. Versterking van publieke en private samenwerking

Breid platforms als Cyclotron en het Cyberweerbaarheidsnetwerk uit, zodat van mkb tot grootbedrijf en overheid iedereen de nieuwste kennis, tools en securityspecialisten snel kan vinden en inzetten. Leg meer focus op sectorale community’s en regionale hubs zodat gedeelde talent- en kennispools ontstaan.

2. Maximalisering van instroom, omscholing en diversiteit

Investeer in snelle, modulaire en praktijkgerichte opleidingen met sterke baangarantie, zowel voor jongeren als voor zij-instromers. Implementeer een ‘diversiteitstoets’ bij iedere wervingscampagne, en bied structureel outreachprogramma’s aan jonge talenten, vrouwen en ondervertegenwoordigde groepen aan. Maak omscholing aantrekkelijk met fiscale incentives.

3. AI als strategische versneller in HR en security

Inzet AI breed in recruitment, strategische personeelsplanning, skills-matching en workflow-optimalisatie. Monitor en evalueer periodiek de ethische en juridische aspecten, waarborg privacy en uitlegbaarheid.

4. Flexibilisering van arbeid en organisatie

Zet sterk in op flexibele contractvormen, projectwerk, remote en hybride modellen. Faciliteer de inzet van security officers-as-a-service en digitale freelancers, faciliteer nationale ‘talent pools’ en versterk samenwerking via platforms als Malt, Jellow, Freelance.nl.

5. Beleidsmatige borging en voortgangsmonitoring

Monitor en publiceer jaarlijks de arbeidsmarktdata, vacaturevervulling, skills-ontwikkeling en diversiteit binnen de sector. Baseer bijsturing op concrete outcome metrics en stel periodiek een onafhankelijke cyberarbeidsmarktadviesraad aan.

6. Internationale samenwerking

Maak van Nederland een aantrekkelijk vestigingsland voor internationaal cyber talent en participeer actief in Europese en wereldwijde cyber samenwerkingsplatforms (ENISA, EU CSIRTs, FIRST, GFCE), inclusief gezamenlijke innovatie- en uitwisselingsprogramma’s.

Door de urgentie, breedte en complexiteit aan te pakken met een gebalanceerd “actiepalet” van korte, middellange en lange termijnmaatregelen, kan Nederland zijn digitale soevereiniteit, innovatievermogen en weerbaarheid in de komende jaren daadwerkelijk versterken. De tijd van rapporten schrijven en op conferenties debatteren is voorbij: uitvoering, samenwerking en commitment van alle stakeholders staan centraal.