Je wilt een security engineer inhuren, maar hoe weet je of je de juiste binnenhaalt? Security is geen gewone IT-rol. Je geeft iemand toegang tot precies de systemen die je wilt beschermen.
In dit artikel lees je waar je op moet letten bij het inhuren van een freelance security engineer. Welk profiel heb je nodig, welke certificeringen zeggen iets, en hoe regel je screening en toegang? Ook de Wet DBA komt aan bod.
Dit blog is voor opdrachtgevers: IT-managers, CISO's en CTO's die tijdelijk security-expertise nodig hebben. Het gaat over selectie, niet over prijzen. Wil je weten wat het kost? Lees dan ons blog over de kosten van een security engineer.
Waarom is een security engineer inhuren nu zo lastig?
Omdat de vraag harder stijgt dan het aanbod. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Ruim 8.000 organisaties moeten nu aantoonbaar voldoen aan eisen voor digitale weerbaarheid. In de financiële sector geldt daarnaast DORA. Al die organisaties zoeken tegelijk dezelfde schaarse specialisten.
De Cyberbeveiligingswet verplicht onder meer tot registratie, een risicoanalyse, passende maatregelen en het melden van incidenten binnen 24 uur. Bestuurders zijn er persoonlijk verantwoordelijk voor. Ook leveranciers krijgen via hun klanten vaak strengere eisen opgelegd.
Het gevolg: goede security engineers zijn snel weg. Wie te laat begint of te vaag zoekt, grijpt mis of neemt genoegen met minder.
Welk security-profiel heb je eigenlijk nodig?
Dat hangt af van je vraag, en "security engineer" dekt veel ladingen. Een specialist die je SIEM inricht, is iemand anders dan een pentester of een IAM-specialist. Begin daarom met het probleem dat je wilt oplossen, niet met de functietitel. Een scherpe vraag levert een betere match op.
De meest voorkomende profielen op een rij:
- Security engineer: bouwt en beheert beveiligingsmaatregelen, zoals firewalls, EDR en SIEM
- Cloud security engineer: beveiligt je cloudomgeving, met focus op configuratie en toegang
- IAM-specialist: regelt identiteiten, rechten en toegangsbeheer
- Pentester of ethical hacker: test je systemen door ze gecontroleerd aan te vallen
- Security architect: ontwerpt de beveiliging van je hele omgeving
- Interim security officer: helpt met beleid, risicoanalyse en compliance zoals NIS2
Voor NIS2-compliance heb je vaak een combinatie nodig. Een architect of officer voor de risicoanalyse en het beleid, en een engineer voor de technische maatregelen. Bepaal vooraf welk deel je extern wilt beleggen.
Welke certificeringen zeggen iets?
Certificeringen zijn in security een nuttig signaal, omdat ze vaak ervaring vereisen. Voorbeelden zijn CISSP en CISM voor bredere security- en managementrollen. OSCP laat praktische pentestvaardigheid zien. Cloudaanbieders hebben eigen security-certificeringen voor hun platform.
Een certificaat is wel een indicatie, geen garantie. Toets altijd door op concrete ervaring. Wat heeft iemand in een vergelijkbare omgeving gedaan? Welke incidenten heeft hij afgehandeld? Welke keuzes maakte hij, en waarom?
Let ook op de match tussen certificaat en rol. Een CISSP zegt veel over brede kennis, maar weinig over hands-on pentesten. Een OSCP zegt weer weinig over beleid en governance.
Hoe screen je een security engineer?
Grondiger dan een gewone IT'er. Een security engineer krijgt vaak toegang tot gevoelige systemen en data. Screening is onder de Cyberbeveiligingswet bovendien een erkende maatregel voor personeelsbeveiliging. Vraag daarom om een VOG en controleer referenties bij eerdere opdrachtgevers.
Praat in de intake ook over integriteit en werkwijze. Hoe gaat iemand om met vertrouwelijke informatie? Wat doet hij als hij iets vindt dat buiten de opdracht valt? Een goede security-professional heeft daar een helder en rustig antwoord op. Wil je weten hoe je zo'n gesprek voert? Lees ons blog over het beoordelen van een freelancer in een intake.
Hoe regel je toegang en vertrouwelijkheid?
Met duidelijke afspraken vóórdat iemand begint. Geef alleen de rechten die nodig zijn voor de opdracht, en trek ze direct in als de opdracht eindigt. Leg geheimhouding contractueel vast. Bij een pentest spreek je schriftelijk af wat wel en niet getest mag worden.
Een paar praktische punten:
- Werk volgens least privilege: niet meer toegang dan nodig
- Log wat de externe specialist doet in je omgeving
- Leg geheimhouding en aansprakelijkheid vast in de overeenkomst
- Spreek bij pentests een scope en tijdvenster af, schriftelijk
- Regel de offboarding: rechten intrekken, sleutels wisselen, data teruggeven
Dit zijn geen tekenen van wantrouwen. Een goede security engineer verwacht dit zelfs. Wie er moeilijk over doet, is een signaal om voorzichtig te zijn.
Hoe zit het met de Wet DBA bij security-inhuur?
Dat hangt sterk af van het soort opdracht. Een pentest is afgebakend en resultaatgericht, en past goed bij zelfstandigheid. Een engineer die maandenlang meedraait in je securityteam, of een interim security officer met een vaste rol, loopt meer risico op inbedding en gezag. Juist bij die langlopende rollen moet je opletten.
Stuur daarom op een afgebakend resultaat: een ingericht SIEM, een afgeronde risicoanalyse, een opgeleverd rapport. Vermijd dat de specialist feitelijk een vast teamlid wordt. Wil je weten hoe de beoordeling werkt? Lees onze gids over de 9 gezichtspunten van de Wet DBA.
Bij langlopende security-opdrachten kan tussenkomst verstandig zijn. Maedium zit er dan contractueel tussen en neemt het risico op zich. De specialist blijft zelfstandig ondernemer, zonder gezag of inbedding. Dat is een commerciële afspraak, geen juridische garantie: de Belastingdienst kijkt altijd naar de feitelijke praktijk.
Wat kost een freelance security engineer ongeveer?
Security hoort bij de duurdere IT-profielen. Indicatief ligt een freelance security engineer ergens tussen 65 en 115 euro per uur. Specialistische rollen en schaarse combinaties zitten aan de bovenkant. Zie dit als een range, niet als vaste prijs; het hangt af van ervaring, specialisme en markt.
Weeg het tarief af tegen het risico. Een goedkope specialist die een lek mist, is uiteindelijk de duurste keuze. In de financiële sector spelen extra eisen door DORA. Lees daarover ons blog over IT-inhuur in de financiële sector.
Veelgestelde vragen over een security engineer inhuren
Welk security-profiel heb ik nodig voor NIS2?
Vaak een combinatie. Voor de risicoanalyse en het beleid een security architect of interim security officer. Voor de technische maatregelen een security engineer. Bepaal eerst wat je al in huis hebt en welk deel je extern wilt beleggen.
Moet een security engineer een VOG hebben?
Het is sterk aan te raden. Een security engineer krijgt toegang tot gevoelige systemen en data. Onder de Cyberbeveiligingswet is screening een erkende maatregel voor personeelsbeveiliging. Vraag naast een VOG ook om referenties bij eerdere opdrachtgevers.
Zijn certificeringen zoals CISSP of OSCP genoeg?
Nee, ze zijn een indicatie, geen garantie. Kijk of het certificaat past bij de rol, en toets door op concrete ervaring. Een CISSP zegt veel over brede kennis, een OSCP over praktisch pentesten. Ervaring in een vergelijkbare omgeving weegt het zwaarst.
Hoe snel kan ik een security engineer inhuren?
Dat hangt af van het profiel en de markt. Sinds de Cyberbeveiligingswet is de vraag hoog en het aanbod krap. Begin daarom ruim op tijd. Een scherpe profielomschrijving en een bemiddelaar met een netwerk in security versnellen het proces.
Is een pentest DBA-proof?
Meestal goed te regelen, omdat een pentest afgebakend en resultaatgericht is. Er is een duidelijke scope, een eindrapport en een einddatum. Het risico zit vooral bij langlopende security-rollen waarin iemand feitelijk een vast teamlid wordt.
Conclusie: begin bij het probleem, niet bij de titel
Een goede security engineer inhuren begint met een scherpe vraag. Welk probleem wil je oplossen, en welk profiel past daarbij? Daarna toets je op ervaring boven certificaten, screen je grondig en leg je toegang en geheimhouding strak vast. Regel ook de Wet DBA, zeker bij langlopend werk.
Voor wie is dit het meest urgent? Voor organisaties die onder de Cyberbeveiligingswet of DORA vallen en nu snel moeten schakelen. Voor wie minder? Voor wie alleen een eenmalige, afgebakende pentest zoekt.
Mijn advies: begin eerder dan je denkt. In deze markt is tijd het schaarste goed.
Hulp bij het vinden van de juiste security-specialist?
Wil je sparren over welk security-profiel je nodig hebt, of de voorselectie uit handen geven? Plan een vrijblijvend gesprek met mij.
Let op: dit artikel is algemene voorlichting, geen juridisch advies. Tarieven zijn indicatief. Regelgeving rond de Wet DBA, NIS2 en DORA kan wijzigen; raadpleeg rijksoverheid.nl, ncsc.nl of belastingdienst.nl voor actuele informatie.
