Een cybersecurity specialist inhuren bij de overheid duurt langer en vraagt meer papier dan in het bedrijfsleven. Wie dat vooraf regelt, krijgt betere kandidaten en minder afhakers na de intake.
Dit stuk is voor CISO's, security managers en inkopers bij Rijk, gemeenten, provincies en waterschappen. Het gaat over de praktische kant: wanneer je moet aanbesteden, wat een kandidaat moet aanleveren, waar het vaak misgaat en wat je zelf kunt doen.
Waarom overheden nu securitycapaciteit inhuren
Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden. Voor overheidsorganisaties die onder de wet vallen, is daarmee een groot deel van de BIO2 wettelijk verankerd, via de Cyberbeveiligingsregeling sector overheid. Niet alle BIO-maatregelen vallen onder die wettelijke plicht. BIO2 versie 1.3 blijft de baseline; nieuw is dat het toepassen ervan voor deze organisaties een wettelijke plicht is.
De BIO2 is het basisnormenkader voor alle overheidslagen en is gebaseerd op ISO/IEC 27001:2023 en ISO/IEC 27002:2022. Organisaties die buiten de Cbw vallen, blijven via verplichte zelfregulering aan de BIO2 gebonden.
Voor veel organisaties betekent dat een inhaalslag: risicoanalyses opnieuw doen, maatregelen vastleggen, aantonen dat ze werken. Dat werk komt bovenop de gewone security-operatie. Ik verwacht daarom dat veel overheidsorganisaties tijdelijke capaciteit zoeken in GRC en compliance, informatiebeveiliging en security management.
Wanneer moet je Europees aanbesteden?
Dat hangt af van de geraamde waarde van de opdracht. Voor de periode 2026 en 2027 liggen de Europese drempels voor leveringen en diensten op 140.000 euro voor de centrale overheid en 216.000 euro voor decentrale overheden, exclusief btw. De bedragen staan in Gedelegeerde Verordening (EU) 2025/2152.
Een interimopdracht van een jaar of langer kan die grens bereiken. Reken dus de hele looptijd mee, inclusief verlengopties, voordat je kiest voor een snelle onderhandse route. Twijfel je, leg het dan voor aan je inkoopafdeling voordat je met kandidaten gaat praten.
Boven de drempel geldt bijna altijd gunning op beste prijs-kwaliteitverhouding. PIANOo, het expertisecentrum aanbesteden van de overheid, noemt dat het uitgangspunt; kies je voor de laagste prijs, dan moet je uitleggen waarom. In de praktijk betekent beste prijs-kwaliteit dat de kwaliteitsstukken van de kandidaat zwaar meetellen. Daar zit het probleem dat ik hieronder beschrijf.
Wat een kandidaat moet aanleveren
Bij een overheidsopdracht is een cv alleen niet genoeg. Een kandidaat moet vaak een cv van maximaal drie pagina's aanleveren, een kort plan van aanpak, een toelichting op de eisen en een motivatie. Dat is veel werk voor een freelancer die ook nog een lopende opdracht heeft.
Het plan van aanpak is het lastigste deel voor iemand van buiten. Consultants die al bij de organisatie zitten, weten precies wat de opdrachtgever verwacht. Zij kennen de lopende projecten, de mensen en de gevoeligheden. Een buitenstaander schrijft op basis van een uitvraag van een paar alinea's. Die achterstand haal je met een goed cv niet in.
Ik vind dat een gemiste kans voor de overheid zelf. Je wilt juist bij een nieuwe wettelijke plicht ook mensen binnenhalen die het elders al hebben ingericht. Als de uitvraag te weinig context geeft, wint vooral degene die er al zit.
Het maximumtarief: zeg het in het eerste gesprek
Bij overheidsaanbestedingen ligt het maximale uurtarief vast. Als een kandidaat nog iets meer wil, is er bijna geen ruimte. Dat is geen onderhandeling die je na de intake nog kunt voeren.
Mijn ervaring is dat je dat in het eerste gesprek met een kandidaat al eerlijk moet zeggen. Doe je dat niet, dan verlies je de kandidaat na de intake, als het voorwerk al gedaan is.
Als hiring manager kun je hier zelf aan bijdragen. Zet het maximumtarief en de voorwaarden zo vroeg mogelijk bij je bureau of inhuurdesk neer, samen met de eisen. Dan weet iedereen vanaf dag één waar de grens ligt.
Schijnzelfstandigheid en de inhuurconstructie
Sinds 1 januari 2025 handhaaft de Belastingdienst weer volledig op schijnzelfstandigheid, en het kabinet heeft in maart 2026 bevestigd dat dat zo blijft. Werkt een zzp'er in de praktijk als werknemer, dan moet de opdrachtgever alsnog loonheffingen afdragen. Daarnaast zijn er risico's voor het arbeids- en pensioenrecht.
Dat geldt voor de overheid net zo goed als voor een bank of een energiebedrijf. Een interim security officer die jarenlang dezelfde rol vervult, onder dezelfde leidinggevende, met dezelfde werktijden als het vaste team, is precies het soort situatie waar je goed naar moet kijken. Leg vast wat de opdracht is, wanneer die klaar is en hoe de professional zijn werk zelf inricht. Is de rol eigenlijk structureel, overweeg dan detachering of een vaste functie.
Wat je als opdrachtgever kunt regelen
Mijn advies: steek tijd in de uitvraag, want die bepaalt wie er reageert. Dit kun je zelf regelen:
- Schrijf in de uitvraag wat er in de eerste drie maanden af moet zijn, met welke BIO2-onderdelen en welke systemen. Dan kan een buitenstaander een plan van aanpak schrijven dat ergens over gaat.
- Houd de knock-out-eisen bij wat het werk echt vraagt. Elke extra certificaateis haalt kandidaten weg die het werk prima kunnen.
- Zet het maximumtarief, het aantal kantoordagen en de screeningseisen er vanaf het begin bij.
- Reserveer tijd om vragen uit de nota van inlichtingen goed te beantwoorden. Dat is de plek waar je buitenstaanders gelijk kunt trekken met de zittende consultants.
- Reken de totale looptijd door tegen de aanbestedingsdrempel voordat je de route kiest.
Zoek je een interim CISO voor de overgangsperiode, lees dan ook mijn stuk over een interim CISO inhuren en de timing.
Waar MVPeople helpt
We werken voor organisaties in de overheid en kennen de manier waarop een aanvraag daar loopt. Via MVPeople leveren we freelance en interim cybersecurity professionals uit ons netwerk van 7.000+ vetted experts, en we presenteren de eerste kandidaat binnen 4 uur. Dat helpt als de deadline kort na de publicatie ligt.
Staat er een uitvraag klaar of wil je eerst sparren over de eisen? Bel of mail me via de contactpagina. Dan kijken we samen of de eisen kloppen met wat de markt kan leveren.