Nederland kent momenteel geen samenhangend stelsel voor persoonsgebonden kwaliteitsborging van cyberprofessionals. Om inzicht te krijgen in mogelijke vormen van persoonscertificering – vergelijkbaar met die voor artsen, advocaten en notarissen – voerde Berenschot in opdracht van het Ministerie van EZK een verkennend onderzoek uit. Conclusie: een gelaagd en gefaseerd certificeringsmodel heeft de meeste kans van slagen.
Download direct het rapport
Relevantie niet altijd duidelijk
Een dergelijk model bestaat dan uit een lichte basisregistratie voor algemene professionaliteit, rolspecifieke certificering voor afgebakende specialismen en een expertstatus op basis van aantoonbare praktijkervaring en beoordeling door vakgenoten. “De bestaande kwaliteitsborging richt zich vooral op organisaties, producten en diensten, terwijl op persoonsniveau private, vaak internationale certificeringen dominant zijn”, stelt Luuk Stadhouders, managing consultant bij Berenschot. “Deze certificeringen verschillen sterk in inhoud, toetsingsvorm, ervaringsvereisten, kosten en eisen voor hercertificering én kennen veelal sterke commerciële prikkels. Daardoor is voor opdrachtgevers niet altijd duidelijk welk certificaat relevant of voldoende is voor een specifieke opdracht.” Dit wordt versterkt doordat veel organisaties niet beschikken over voldoende inhoudelijke cybersecuritykennis om certificeringen, ervaringsprofielen en specialistische expertise goed op waarde te schatten.
Kritische discipline
De wens voor persoonsgebonden kwaliteitsborging van cyberprofessionals hangt samen met het feit dat cybersecurity in de afgelopen jaren is uitgegroeid tot een discipline waarvan de continuïteit van vitale (bedrijfs)processen, bedrijfsvoering en publieke en private dienstverlening afhankelijk is. Andere beweegreden betreffen de toenemende complexiteit van cyberdreigingen, de grote vlucht van AI en nieuwe wet- en regelgeving: Cyberbeveiligingswet (NIS2), Wet weerbaarheid kritieke entiteiten, DORA (Digital Operational Resilience Act) en Cyber Resilience Act (CRA) en de AI Act.
Heterogeen vakgebied
Voor de verkenning baseerde Berenschot zich op een selectie van openbare bronnen, een globale vergelijking met twee landen en gesprekken met meerdere experts. Cybersecurity is een breed en heterogeen vakgebied. Rollen zoals pentester, incident responder, security architect, IT-auditor, CISO en security consultant verschillen wezenlijk in werkzaamheden, benodigde kennis, praktijkvaardigheden en verantwoordelijkheden. “Een generieke certificering kan daarom hooguit iets zeggen over een gemeenschappelijke basis, zoals integriteit, vertrouwelijkheid, risicobewustzijn, ethiek en permanente ontwikkeling”, aldus Il Shik Sloover, managing consultant bij Berenschot. “Die biedt echter beperkt bewijs dat iemand een specifieke technische, auditmatige of bestuurlijke taak deskundig kan uitvoeren. Vooral waar rol, vaardigheden en praktijktoetsing sterk samenkomen, zoals bij pentesten, lijkt rolspecifieke certificering kansrijker.”
Altijd een momentopname
Een belangrijk aandachtspunt is dat een certificaat altijd een momentopname is: de ontwikkeling van technologie, dreigingen, wetgeving en AI gaat sneller dan veel opleidingen, normenkaders en examens kunnen bijhouden. Stadhouders: “Een stelsel van persoonscertificering zou daarom niet uitsluitend op kennistoetsen moeten berusten, maar afhankelijk van het specialisme gebruik moeten maken van bijvoorbeeld praktijkexamens, simulaties, portfolio’s, referenties, peer review en ervaringsverificatie. Daarbij geldt wel dat periodieke hercertificering op basis van het verzamelen van opleidings- of CPE-punten slechts beperkt inzicht biedt in de daadwerkelijke ontwikkeling van kennis en vaardigheden.” Afgaand op de internationale vergelijking in dit verkennende onderzoek, lijkt aansluiting op Europese kaders voor Nederland meer voor de hand te liggen dan het ontwikkelen van een volledig losstaand nationaal stelsel.
Vervolgonderzoek naar meerwaarde
Een generiek cybersecurityregister, zoals voor artsen of advocaten, lijkt nu dan ook niet de meest logische route. ”Daarvoor is het onderliggende kwaliteitsprobleem nog onvoldoende scherp afgebakend en is de cybersecuritysector te divers”, verklaart Sloover. “Vervolgonderzoek bij enkele afgebakende hoog-risicospecialismen zou kunnen aantonen of onafhankelijke en praktijkgerichte certificering aantoonbaar meerwaarde biedt ten opzichte van bestaande instrumenten.” Tegelijkertijd zal kwaliteitsverbetering niet alleen moeten komen van certificering aan de aanbodzijde, maar ook van verdere professionalisering van opdrachtgeverschap en kennisontwikkeling aan de vraagzijde.
De uitkomsten van het verkennend onderzoek zijn eerder deze maand gepresenteerd op de ONE Conference in Den Haag. Het volledige rapport is hier te downloaden.
Dit verkennende onderzoek is uitgevoerd als onderdeel van werktafel 2 (Vraag & Aanbod) van het Digitaal Talent Nederland – Cyber programma. Het Digitaal Talent Nederland – Cyber programma, in opdracht van het Ministerie van Economische Zaken en Klimaat, wordt uitgevoerd door Platform Talent voor Technologie (PTvT) en het NCC-NL.