Dit jaar stuurde de betaalpagina van een grote Nederlandse overheidsorganisatie gegevens over betalingen door naar een Amerikaans bedrijf dat websitebezoek analyseert. Niemand had dat zo bedoeld. Er stond een standaard trackingscript op de site, een stukje code dat meet wat bezoekers doen, ook op de pagina's waar burgers betalen. Een ethische hacker zag het, de organisatie zelf niet. Het werd een datalek, gemeld bij de Autoriteit Persoonsgegevens.
Er kwam geen inbraak aan te pas, geen gestolen wachtwoord, geen gijzelsoftware. Een technisch team deed zijn werk, en niemand in het team of bij de leverancier vroeg wat er op een betaalpagina mag draaien.
Het lek zit zelden in de firewall
Dat zie je vaker dit jaar. Bij een telecomaanbieder belde een nepmedewerker van de helpdesk een collega en kreeg een wachtwoord plus de inlogcode erbij. Bij een logistiek bedrijf lekten mogelijk gegevens van klanten van webwinkels en banken mee. Loopt je klant risico, dan loop jij dat ook.
Het grootste jaarlijkse onderzoek naar datalekken (Verizon DBIR 2026) ziet hetzelfde. 31% van de datalekken begint met misbruik van een bekend lek in software, vaker dan met gestolen wachtwoorden. Zo'n lek dichten is werk van beheerders en engineers. Het securityteam ziet het pas als het te laat is.
Wat een control is
Een control is een afspraak waarvan je kunt laten zien dat hij werkt: wie mag waar inloggen, hoe snel een update erop moet, wie een wijziging bekijkt voordat die live gaat. In Nederland wordt dat op drie manieren getoetst.
ISO 27001 is een certificaat voor de manier waarop een organisatie beveiliging regelt. Veel bedrijven beginnen daar.
SOC 2 is een Amerikaanse standaard waarbij een auditor test of de maatregelen ook werken. Type I kijkt naar één dag, Type II naar minstens zes maanden. In Nederland heet zo'n rapport meestal een ISAE 3000-verklaring, getekend door een RE IT-auditor. Een Type II-audit kijkt naar wat engineers een half jaar lang écht deden: elke wijziging, elke toegang, elke update.
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Het is de Nederlandse versie van de Europese NIS2-richtlijn. Duizenden organisaties moeten nu wettelijk hun beveiliging op orde hebben, en hun bestuur moet de maatregelen zelf goedkeuren.
Vier profielen die daardoor meer waard worden
De developer die weet welke gegevens een pagina verlaten, en die het vraagt voordat er een script van een ander bedrijf bij komt.
De cloud engineer of beheerder die bijhoudt wie waar bij mag en of alles de laatste update heeft, alsof de auditor meekijkt. Bij een Type II-audit moet je dat ook echt kunnen laten zien.
De consultant die uitzoekt wat de auditor vond en daar een takenlijst voor het team van maakt.
En de security engineer, die nog steeds nodig is. Maar die kan dit niet alleen af.
Zo hoor je het in een gesprek
Vraag niet of de kandidaat ISO 27001 kent. Dat zegt iedereen. Vraag naar wat er gebeurde:
- 'Wat deed je de laatste keer dat een wijziging buiten het normale proces live moest?'
- 'Wie had bij je vorige werkgever toegang tot productie, en hoe wist je dat?'
- 'Welk punt uit een audit heb je zelf opgelost?'
Een sterk antwoord gaat over een ticket, een akkoord, een logboek. Een zwak antwoord gaat over snelheid.
Waar de concurrentie zit
Sinds 15 augustus werven duizenden organisaties tegelijk mensen, omdat dezelfde wet voor hen geldt. Wie alleen kijkt naar de titel security engineer, vecht met al die organisaties om een kleine groep. Wie kijkt naar kennis van controls, ziet een grotere groep: developers, beheerders en consultants die al werken zoals een auditor dat wil.
Pearson & Partners lokaliseert en kwalificeert engineers, beheerders en consultants die dit al kunnen. Meer over het vakgebied cybersecurity.
Bronnen: Kamervragen 2026Z11812 en antwoorden van 25 juni 2026; Verizon Data Breach Investigations Report 2026; Cyberbeveiligingswet, Stb. 2026, 187; NOREA over ISAE 3000.