Meer vraag, minder flexibiliteit: het Nederlandse cybersecuritydilemma van 2026

Nederland worstelt al drie jaar met het aannemen van een Cyberbeveiligingswet die nieuwe beveiligingsverplichtingen oplegt aan zo’n 8000 organisaties. Terwijl de vraag naar cybersecurityspecialisten stijgt, worden organisaties tegelijkertijd geconfronteerd met aanhoudende risico’s rond de inzet van zzp’ers door de handhaving van de Wet DBA en de aanstaande hervorming van de Zelfstandigenwetgeving. Dat vergroot de druk op een arbeidsmarkt die nu al kampt met een structureel tekort aan cyberspecialisten.

Toen het Odido-datalek begin februari 2026 aan het licht kwam, lagen de persoonsgegevens van meer dan 6,5 miljoen mensen op straat – ongeveer een derde van de Nederlandse bevolking. Namen, adressen, bankgegevens en identiteitsdocumenten werden buitgemaakt nadat social engineeringaanvallen medewerkers van de klantenservice wisten te misleiden en multifactorauthenticatie volledig werd omzeild. Binnen enkele weken stond de volledige dataset op het dark web. Deze dataset bevatte ook de persoonsgegevens van vier zittende bewindspersonen, personen onder staatsbescherming en meer dan 16.000 medewerkers uit strategische sectoren – onder wie personeel van ASML en Philips. Het aantal meldingen van identiteitsfraude bij het Centraal Meldpunt Identiteitsfraude verdubbelde daarna ruimschoots.

Het datalek misbruikte mensen, geen geavanceerde technische kwetsbaarheid. En dat in een land dat zichzelf profileert als de digitale poort van Europa, een van de grootste datacentermarkten van het continent, en waar Den Haag is uitgegroeid tot een toonaangevende cybersecurity-hub, met een snelgroeiend bèta-technisch personeelsbestand in science, technology, engineering en mathematics (STEM). Dit artikel onderzoekt de kloof tussen die reputatie en de werkelijkheid van het Odido-lek.
Progressive maakt deel uit van SThree, de wereldwijde workforce consultancy in de STEM-sector (Science, Technology, Engineering en Mathematics). Samen met Computer Futures plaatst SThree vaste en interim-cybersecurityprofessionals bij organisaties in heel Nederland en daarbuiten – van security engineers en SOC-analisten (security operations centre) tot compliance- en risicospecialisten. De consultants van SThree werken midden in die markt, en wat volgt is gebaseerd op twee perspectieven vanaf de frontlinie, aangevuld met de meest recente data uit Nederland en het buitenland.

Meer cyberverplichtingen, te weinig specialisten
De Cyberbeveiligingswet (Cbw) – de Nederlandse implementatie van de Europese NIS2-richtlijn – heeft een moeizame weg naar het parlement afgelegd. De wet had er in 2023 moeten zijn, maar werd uitgesteld naar 2024 en bereikte uiteindelijk pas in juni 2025 de Tweede Kamer. Daarmee liep Nederland acht maanden achter op de implementatiedeadline van de EU. Op 23 maart 2026 debatteerde de Kamer over het wetsvoorstel, gevolgd door een stemming in april, waarbij de Cbw is aangenomen. De regering streeft naar inwerkingtreding in het tweede kwartaal van 2026.

Het uitstel van de Cbw komt volgens de overheid vooral door de omvang en complexiteit van het wetgevingstraject. Maar de gevolgen voor de arbeidsmarkt zijn nu al zichtbaar. Amir Jalali, Associate Sales Team Manager bij Computer Futures in Amsterdam, ziet de vraag verschuiven. “We zien een enorme toestroom van aanvragen voor deze vaardigheden, want bedrijven die niet aan de wet voldoen, riskeren boetes”, zegt hij. “Die wetgeving heeft de vraag naar specialisten echt versneld.” Wanneer de Cbw in werking treedt, moeten circa 8.000 organisaties tegelijkertijd aan complianceverplichtingen voldoen – allemaal concurrerend om dezelfde beperkte groep beschikbare specialisten.

Het tekort wordt structureel verergerd door een factor die uniek is voor de Nederlandse markt. Opdrachtgevers vragen steeds vaker om Nederlandstalige cybersecurityspecialisten, waardoor de groep beschikbare kandidaten nog kleiner wordt. “Door die taalvereiste wordt de groep beschikbare kandidaten in Nederland, en vooral in Amsterdam, nog kleiner dan hij al is”, legt Amir uit. “We hebben veel expats in dit vakgebied die uitstekend Engels spreken, maar niet over Nederlandse taalvaardigheid beschikken.” In een markt met veel beschikbare internationale professionals, maar waar taalvereisten niet onderhandelbaar zijn – vooral bij de overheid en in gereguleerde sectoren – geven de vacaturecijfers een vertekend beeld van de werkelijke uitdaging.

Klem zitten tussen twee vuren
De invoering van de Cbw valt samen met een periode waarin de regels rond het inhuren van zelfstandigen verder worden aangescherpt. Hoewel het kabinet in 2026 het verduidelijkingsdeel van de VBAR (Wet verduidelijking beoordeling arbeidsrelaties en rechtsvermoeden) heeft geschrapt, blijft de handhaving op schijnzelfstandigheid onder de bestaande Wet DBA onverminderd van kracht. Daarnaast wordt gewerkt aan een nieuwe Zelfstandigenwet, die zelfstandigen een duidelijkere juridische positie moet geven en naar verwachting vanaf circa 2028 het toekomstige kader voor arbeidsrelaties kan vormen.

Voor cybersecurity creëert deze ontwikkeling een reëel personeelsknelpunt: de Cbw vergroot de vraag naar gespecialiseerde expertise, terwijl opdrachtgevers tegelijkertijd voorzichtiger moeten omgaan met de inzet van zelfstandigen vanwege de fiscale, arbeidsrechtelijke en compliance-risico’s die verbonden zijn aan schijnzelfstandigheid. De Cbw bevat bovendien een zorgplichtbepaling die regelgevingsplichtige organisaties verplicht cybersecurity in hun hele leveranciersketen te waarborgen. Daardoor worden de organisaties buiten het directe toepassingsgebied van de wet meegesleurd in de complianceverplichtingen van hun opdrachtgevers. “Kleinere bedrijven hoeven niet zelf aan de wetgeving te voldoen, maar ze willen wel hun klanten behouden”, legt Amir uit. “En hun klanten móéten wél voldoen aan de wetgeving. Dus zien ze zich alsnog genoodzaakt om aan de regelgeving te voldoen.”

Franklin Parmentier, Staffing Consultant bij Progressive in Amsterdam, ziet die ontwikkeling elke dag in de markt. Grote bedrijven nemen cybersecurityspecialisten in vaste dienst om hun langetermijncompliance te waarborgen. Kleinere organisaties huren specialisten in op projectbasis: iemand die certificering regelt, compliance aantoont, en daarna periodiek terugkeert voor onderhoud. “Kleinere bedrijven huren doorgaans iemand in voor een kortere periode, iemand die het hele traject oppakt, zorgt dat alles compliant is, en daarna weer vertrekt”, zegt Franklin.

Beide modellen werken. Waar het om draait, is dat organisaties proactief capaciteit opbouwen en niet wachten tot een datalek of een wettelijke deadline hen dwingt tot actie – of dat nu gebeurt met vaste professionals, interim-specialisten inhouse of een combinatie van beide. Toch wachten de meeste organisaties nog steeds af tot de beslissing voor hen wordt genomen.

Waarom de menselijke factor het grootste risico blijft
Zowel Amir als Franklin wijzen, onafhankelijk van elkaar, menselijk gedrag aan als het meest onderschatte cybersecurityrisico in Nederland. Het Odido-lek is volgens hen bewijsstuk A.

“Als we kijken naar de recente Odido-cyberaanval, ging het om iemand van de klantenservice die per ongeluk informatie deelde die niet verstrekt had mogen worden”, zegt Amir. “Het menselijke element is het toegangspunt voor iedereen die data wil bemachtigen die niet van hen is.”

Franklin plaatst dat risico in een bredere context dan alleen één enkel datalek. Dat toegangspunt, stelt hij, bestaat in elke organisatie, ongeacht hoeveel technologie er wordt ingezet. “Je kunt de digitale wereld zo goed mogelijk beveiligen, maar vaak is het toch het menselijke element dat de deur wagenwijd openzet.” Hij verwijst naar de interne werkwijze van SThree, waar twee keer per jaar security-awarenesstesten worden uitgevoerd, als voorbeeld van de organisatiebrede aanpak die veel bedrijven nog missen. Het Verizon Data Breach Investigations Report 2025 onderstreept dat beeld: in 60% van de datalekken wereldwijd speelde het menselijke element een rol.

Voor Amir is de kern van het probleem cultureel. “Veel organisaties vergeten dat alle niveaus van hun personeel geïnformeerd en getraind moeten worden over cybersecurityrisico’s en hoe die te vermijden. Dat betekent in essentie dat de CEO hetzelfde kennisniveau moet hebben als een medewerker van de klantenservice.” Cybersecurity is dus een organisatiebrede gedragskwestie – en een die niet met technologie alleen valt op te lossen.

Op de vraag of kunstmatige intelligentie (AI) uiteindelijk cybersecurityprofessionals zou kunnen vervangen, reageren beide resoluut. “Als je een aanval wilt voorkomen, gebruik je technologie en AI”, erkent Amir. “Maar als je een aanval plant, gebruik je óók technologie en AI. Zo ontstaat er misschien een natuurlijke balans.” Franklin vult aan dat AI de technische kant efficiënter maakt, maar de specialist niet vervangt. “Er is altijd iemand nodig achter het scherm die controleert of alles klopt.”

De reactieve cyclus die meer kost dan ze oplevert
Het patroon dat Amir en Franklin schetsen, sluit naadloos aan bij wat het wereldwijde cybersecurityonderzoek van SThree in elke onderzochte markt laat zien: organisaties die cybersecurityinvesteringen verminderen of uitstellen, betalen uiteindelijk meer.

In Nederland is dat mechanisme duidelijk zichtbaar. Zodra budgetten onder druk komen te staan, proberen organisaties meer te doen met minder. Projecten lopen vertraging op – waaronder cruciale Cbw-complianceprojecten – en de uiteindelijke inhaalkosten vallen hoger uit dan de oorspronkelijke investering. “Wij zien dat wanneer organisaties naar de totale kostenbalans kijken, het vaak duurder is uitgevallen dan wanneer ze consistent waren blijven investeren”, zegt Amir.

Naast de financiële logica speelt ook psychologie een rol. Organisaties die nog geen datalek hebben meegemaakt, zien cybersecurity als een kostenpost – iets dat budget opslokt zonder omzet te genereren. “Maar zodra er een datalek plaatsvindt, wordt het ineens een van de belangrijkste onderwerpen op de agenda”, observeert Amir. “Er is ineens meer budget beschikbaar en meer goedkeuringen voor aanwerving.” Het geld komt dus wél beschikbaar – maar pas nadat de schade al is ontstaan, en tegen kosten die vele malen hoger liggen dan wat proactieve investering had gevraagd.

Franklin schetst de keuze waar elke Nederlandse CFO die overweegt te bezuinigen voor staat als een kwestie van langetermijnrisico, niet van kortetermijnbesparing. “Hoe zie je dit aflopen als je je specialisten wegbezuinigt? Hoe zorg je ervoor dat je de kennis behoudt? Want als je deze risico’s niet duidelijk in beeld hebt, kunnen de kosten aanzienlijk zijn.”

Wereldwijde data bevestigen dit beeld. Het IBM Cost of a Data Breach Report 2025 laat zien dat organisaties met een aanzienlijk tekort aan cybersecurityvaardigheden gemiddeld $5,22 miljoen per datalek betaalden – $1,57 miljoen meer dan organisaties zonder zo’n tekort. De ISC2 Cybersecurity Workforce Study bevestigde bovendien dat bezuinigingen inmiddels het tekort aan vaardigheden hebben ingehaald als de belangrijkste oorzaak van cybersecuritypersoneelstekorten wereldwijd. Nederland laat die trend misschien wel het duidelijkst zien.

Het tijdsvenster dat kleiner wordt
Het Nederlandse gezegde dat Franklin aanhaalt – “voorkomen is beter dan genezen” – vat de situatie precies samen. De Cbw komt eraan. Regels rond het inhuren van zelfstandig personeel worden strenger. Het Odido-lek heeft laten zien wat één social-engineeringaanval kan aanrichten voor de databeveiliging van een land. En de specialisten die organisaties nodig hebben om dit alles het hoofd te bieden, zijn schaarser dan ooit – en worden nóg schaarser door een taalfilter dat zelfs een brede internationale talentpool niet volledig kan compenseren.

Voor organisaties die nu al handelen en cybersecuritycapaciteit opbouwen via vaste professionals, interim-specialisten of een combinatie daarvan – in plaats van te wachten tot een wettelijke deadline of een datalek hen dwingt – is er nog tijd. Maar het tijdsventer wordt kleiner. Zoals Amir het zegt: “Het advies is altijd om ervoor te zorgen dat alles op orde is voordat je te horen krijgt dat het moet.”
Lees voor meer informatie over hoe STEM-personeelstrends de bedrijfsstrategie hervormen het SThree STEM Workforce Report 2025.