Solliciteer naar Informatiebeveiligingsspecialist

Voor onze opdrachtgever ICTU zijn wij op zoek naar een Informatie-beveiligingsspecialist.

Deze aanvraag is ook geschikt voor ZZP'ers!!
 

Start	z.s.m.
Einddatum	30-09-2028
Optie op verlenging	Nee
Uren per week	36
Locatie	Den Haag + Remote
Bijzonderheden	Deze aanvraag is ook geschikt voor ZZP'ers. 2 CV's kan ik aanbieden, echter 1fte wordt er gezocht
Tarief	ICTU heeft geen max. tarief gegeven, dus graag marktconform aanbieden.
Deadline	18-09-2026 om 09.00

Info m.b.t. DBA-proof:
 

1. Wat is de reden om een professional in te huren? Toelichting: De reden achter de inhuurbehoefte geeft een sterke indicatie over de aard van de opdracht.

Specifieke expertise: er is behoefte aan een specifieke deskundigheid die niet aanwezig is bij de opdrachtgever. De opdrachtgever heeft geen deskundigheid op het gebied van informatiebeveiliging (zie benodigde specifieke expertise in opdrachtomschrijving).

2. Voert de professional het geheel van het takenpakket van de interne medewerker uit? Ja/Nee

Nee, de werkzaamheden behelzen geen werkzaamheden die tot de kernwerkzaamheden van ICTU behoren. De werkzaamheden behoren op basis van huidige inzichten ook niet tot een functie die in de nabije toekomst ingevuld gaat worden door een eigen medewerker van ICTU.

3. Gaat personeel van de opdrachtgever de professional werkinhoudelijk aansturen? Ja/Nee en toelichten. Toelichting: hiermee wordt niet bedoeld overleg over de voortgang van het project.

Nee, professional is volledig zelfstandig in het bepalen van zijn werktijden en voert in onderlinge afstemming overleg over de tussentijdse en op te leveren resultaten. De professional realiseert volgens eigen inzicht/ volgens afgesproken kwaliteitsnormen de gedefinieerde (deel)resultaten). Er wordt geen werkinhoudelijke aansturing of leiding en gezag op de professional uitgeoefend.

4. Gaat Opdrachtgever de professional (periodiek) inhoudelijk beoordelen? Ja/Nee en toelichten. Toelichting: hiermee wordt niet bedoeld overleg over de voortgang van het project.

Nee, er worden geen functionerings- of beoordelingsgesprekken met de professional gevoerd. Er vindt periodiek overleg plaats op het behalen van de (deel)resultaten en een eindoverleg bij de oplevering van het eindresultaat.

5.Bepaalt de professional zelf hoe, wanneer en waar de opdracht wordt uitgevoerd? Ja/Nee en toelichten. Toelichting: mits passend binnen de bedrijfsvoering van de opdrachtgever.

Ja, de Professional deelt zijn werkzaamheden zelfstandig in. Hij verricht deze naar eigen inzicht. ICTU kan wel aanwijzingen en instructies geven omtrent het resultaat en de doorlooptijd van de werkzaamheden.

6. Is de professional vrij om zichzelf in de uitvoer van de opdracht te laten vervangen? Ja/Nee en toelichten

Ja, mits over dezelfde kennis en kunde beschikt en na overleg en goedkeuring ICTU

7.Zijn er binnen de afdeling ook interne medewerkers die dezelfde werkzaamheden uitvoeren? Ja/Nee

Nee, ICTU heeft geen medewerkers in dienst die dezelfde werkzaamheden uitvoeren en geen vacatures voor dezelfde werkzaamheden open staan.

8. Wie voorziet de middelen en materialen die nodig zijn voor de opdracht? Specificeer of van de professional verwacht wordt eigen gereedschap en materialen te gebruiken.

De professional voorziet zich van eigen middelen en materialen.

>>>

Opdrachtomschrijving
 

Omschrijf de context van het project/programma waarin de activiteiten plaatsvinden, wanneer en op grond waarvan is het project/programma afgerond en welke rol heeft de professional binnen het project/programma?

Beschrijving project/programma:  De activiteiten vinden plaats binnen het Portfolio ENIAMS. Doel van het portfolio betreft het ontwikkelen van informatievoorzieningen (IV) en ondersteunen van pilots ten behoeve van implementatie van Europese en Nederlandse Identity en Access Management (IAM) Stelsels. Deze Stelsels hebben betrekking op zowel subjecten (burgers en bedrijven) als objecten (onroerend goed en vastgoed). De opdrachten binnen dit portfolio betreffen een samenhangend geheel van stelsels, wet- en regelgeving en verordeningen, waaronder — maar niet uitsluitend — EDI, eIDAS, Toegang, Wdo, Reisdocumenten, SVM en Wtta. Deze opdrachten omvatten niet alleen de ontwikkeling en doorontwikkeling van informatievoorzieningen (IV) en ICT, maar ook activiteiten op het gebied van beheer, toezicht, handhaving, certificering en accreditatie.   Omschrijving einde project/programma:  De implementatie van de IV en ICT vergt naar verwachting meerdere jaren, waarbij de looptijd van het ICTU-programma is voorzien tot en met 2030, of eindigt zoveel eerder als informatiesystemen zijn opgeleverd en overgedragen aan de toekomstige beheerorganisatie, waarbij financiële en inhoudelijke decharge door de klant heeft plaatsgevonden.   Welke rol heeft de professional binnen het project/programma:  De in te zetten professional vervult binnen het Programma ENIAMS de rol van Informatiebeveiligingsspecialist.

Welke opdracht gaat de professional uitvoeren en welke activiteiten horen daarbij?

Met de herziene eIDAS-verordening ontstaat binnen de Europese Unie een stelsel van Europese Digitale Identiteitswallets. Lidstaten moeten binnen dit stelsel Person Identification Data, hierna PID, beschikbaar stellen waarmee natuurlijke personen zich digitaal kunnen identificeren. RvIG is aangewezen als de Nederlandse PID-provider. De formele uitvoering van deze rol is nog wel afhankelijk van de daarvoor vereiste Nederlandse aanwijzing, wettelijke grondslagen en registratie binnen de Europese vertrouwensstructuur. RvIG wil voor deze toekomstige taak beschikken over een eigen PID-beheersvoorziening. Een Voorfase wordt ingericht ten behoeve de ontwikkeling van deze PID-beheersvoorziening. De PID-beheersvoorziening wordt onderdeel van een nationale en Europese digitale vertrouwensketen. In deze fase wordt gezamenlijk met de beheerorganisatie documentatie opgesteld als voorbereiding op de realisatiefase. Als expliciete insteek voor de Voorfase dient onderzocht te worden welke technische bouwblokken uit bestaande generieke voorzieningen, waaronder de Verstrekkingsvoorziening, kunnen worden hergebruikt voor de MVP PID-beheersvoorziening. Na besluitvorming op basis van deze documentatie kan worden overgegaan naar de daadwerkelijke software-ontwikkeling van de PID-beheersvoorziening. Binnen dit traject is de informatiebeveiligingsspecialist het aanspreekpunt voor security vraagstukken t.a.v. de ontwikkeling van de software en bevindingen die uit security tooling komen. Daarnaast levert de professional security gerelateerde documentatie op en reviewt overige relevante documentatie, draagt zelfstandig bij aan bijv. risicoanalyse sessies en geeft securityadvies op het gebied van architectuur. De informatiebeveiligingsspecialist levert de overeengekomen werkzaamheden/resultaten op aan RvIG Programma Europese Digitale Identiteit (pEDI) in afstemming met de betrokken security officers van RvIG/pEDI. De professional is verantwoordelijk voor de zelfstandige uitvoering en kwaliteit van de werkzaamheden/resultaten binnen de kaders van de opdracht. De activiteiten die horen bij het realiseren van de opdracht zijn:   Zorgdragen voor het opleveren van de IB-documentatie t.b.v. de voorfase bij ICTU Een RvIG-specifieke Cbw/NIS2, ETSI/ PKIO-gap-analyse uitvoeren. Eén geïntegreerd normenkader ontwerpen en vaststellen met opdrachtgever, eigenaar en AD. Een bestuurlijk governance besluit maken. Opleveren van een volledige BIA. Een sourcing- en ketenbeheerkader maken (waarin de uitkomsten van de GAP-analyse, het ontwerp en de TCO is opgenomen). Een permanente trust- en assurance inrichten als nieuwe rol/taak en zorg voor structurele bezetting/kennis. Beheeracceptatie een harde voorwaarde maken voor productiegang.

Welke concrete resultaten dient de professional te behalen? Resultaten dienen concreet en meetbaar te zijn.

Welke deelresultaten zal de professional dienen te behalen gedurende de opdracht:  Deelresultaten: 2026: Opleveren IB-documentatie namens klant t.b.v. de voorfase bij ICTU Realisatie RvIG-specifieke Cbw/NIS2, ETSI/ PKIO-gap-analyse Opleveren vastgesteld geïntegreerd normenkader Opleveren bestuurlijk governance besluit en volledige BIA. Eindresultaat: 2027: Opleveren van een sourcing- en ketenbeheerkader (waarin de uitkomsten van de GAP-analyse, het ontwerp en de TCO is opgenomen). Inrichting van een permanente trust- en assurance inclusief structurele bezetting/kennis. Voorstel voor inrichten van beheeracceptatie als verplichte go/no-go-voorwaarde voor productiegang. Eventuele herstelwerkzaamheden/nazorg Wanneer is de opdracht afgerond en beëindigd:  De opdracht is afgerond wanneer de bovenstaande IB-documentatie is opgeleverd en geaccepteerd door de klant.

Hoe wat en wanneer zal het werk/de resultaten worden beoordeeld?  Detailleer de criteria en momenten voor feedback en beoordeling. Voorbeeld: maandelijkse voortgangsrapporten en een eindbeoordeling bij projectafsluiting.

De stand van zaken op het bereiken van de (deel-)resultaten wordt periodiek gemonitord en beoordeeld middels voortgangsoverleggen.

Wat is de kans dat de verwachte duur wordt overschreden, c.q. welke onzekerheden er zijn t.a.v. de verwachte duur?

De looptijd van het Programma ENIAMS is afhankelijk van besluitvorming bij klant en voortgang bij beheerorganisatie en andere ketenpartijen. Op basis van de huidige inzichten wordt de kans klein geacht dat de duur wordt overschreden. De verwachte duur van de opdracht (30-09-2028) kan mogelijk worden overschreden (tot eind 2028) i.v.m. mogelijke herstelwerkzaamheden / nazorg na livegang of vertraging.

Over welke specifieke kennis beschikt de professional, waarover het eigen personeel van de Opdrachtgever niet beschikt en waar een eventuele vervanger ook over zou moeten beschikken?

De professional beschikt over een specifieke combinatie van kennis en ervaring die binnen de organisatie van de opdrachtgever niet aanwezig is. Deze expertise is noodzakelijk voor de uitvoering van de opdracht. Zie hiertoe de eisen hierna.

 

Gewenste profiel
De informatiebeveiligingsspecialist beschikt over een gedegen technische achtergrond en heeft ervaring met het opstellen en uitvoeren van (verbeter)plannen ten behoeve van de informatieveiligheid. Daarnaast is de kandidaat bekend met het aanleveren van informatie ten behoeve van audits. Ook heeft de kandidaat een certificering voor IT-security, kennis en ervaring met standaardisatie, standaarden ISO 27001. Competenties Een proactieve werkhouding en oplossingsgericht denken; Effectief communiceren met een brede groep betrokkenen, van technisch specialisten, beheerders en ontwikkelaars tot projectmanagers (beleids-)adviseurs; Beheersing van de Nederlandse taal in woord en geschrift; Een teamspeler maar ook iemand die zelfstandig kan werken;
Eisen --> Deze dienen in het CV te zijn vermeld!
Minimaal een afgeronde WO richting informatica. Minimaal 5 jaar aantoonbare kennis en ervaring met NIS2 en normenkaders/standaarden BIO en ISO 27001. In bezit van afgeronde certificeringen CISSP, CISM; Kennis en ervaring met het uitvoeren van risicoanalyses en het oppakken van de daaruit voortkomende verbeterplannen;
Wensen --> Deze dienen in het CV te zijn vermeld!
Nr	Omschrijving	Gewicht	Beoordeling
1.	In de afgelopen 10 jaar meerdere jaren ervaring met ICT security vraagstukken binnen de overheid. --> in de betreffende periode(n) vermelden en het aantal jaar in de rechter kolom markeren.	20%	≥ 5 jaar = 10 punten > 4 jaar < 5 jaar = 8 punten > 3 jaar < 4 jaar = 6 punten > 2 jaar < 3 jaar = 4 punten > 1 jaar < 2 jaar = 2 punten
2.	De mate waarin de kandidaat aantoonbare ervaring heeft met het adviseren van securitymaatregelen in complexe omgevingen. Toetsing op basis van CV en schriftelijke toelichting. Dit kan tijdens een gesprek worden verdiept met praktijkvoorbeelden. --> in de betreffende periode(n) vermelden en het aantal punten in de rechter kolom markeren.	35%	Uitstekend (10 punten): De kandidaat toont overtuigend aan zeer ruime en diepgaande ervaring te hebben met het adviseren over strategische en tactische securitymaatregelen binnen enterprise-omgevingen of vitale infrastructuren. Uit de toelichting blijkt dat de kandidaat complexe dreigingslandschappen overziet, organisatiebrede security-architecturen of -beleid heeft vormgegeven en zware adviezen succesvol heeft afgestemd met zowel de techniek als het (top)management. Goed (8 punten): De kandidaat heeft gedegen ervaring met het adviseren van securitymaatregelen in complexe omgevingen. Er is zelfstandig geadviseerd over risico-analyses, compliance en technische/organisatorische maatregelen, waarbij de kandidaat heeft laten zien security-risico's effectief te kunnen vertalen naar concrete en werkbare oplossingen voor de business. Voldoende (6 punten): De kandidaat heeft ervaring met het adviseren van securitymaatregelen, maar de complexiteit van de omgevingen was beperkter (bijvoorbeeld kleinere infrastructuren of minder strenge compliance-eisen) of de rol van de kandidaat was voornamelijk gericht op de uitvoering van reeds vastgesteld securitybeleid in plaats van het zelfstandig initiëren van strategisch advies. Matig (2 punten): De ervaring met het adviseren van securitymaatregelen is beperkt of erg operationeel/lokaal van aard. De rol was hoofdzakelijk ondersteunend (bijvoorbeeld puur de administratieve opvolging van incidenten) en de kandidaat mist aantoonbare ervaring met het adviseren in een complexe infrastructurele of organisatorische dynamiek. Onvoldoende (0 punten): De ervaring met het adviseren van securitymaatregelen in complexe omgevingen ontbreekt volledig of wordt niet onderbouwd in de toelichting.
3.	Aantoonbare ervaring met security analyses binnen de overheid. Toetsing op basis van CV en schriftelijke toelichting. --> in de betreffende periode(n) vermelden en het aantal jaar in de rechter kolom markeren.	15%	≥ 5 jaar = 10 punten > 3 jaar < 4 jaar = 8 punten > 2 jaar < 3 jaar = 6 punten > 1 jaar < 2 jaar = 4 punten > 0 jaar < 1 jaar = 2 punten
4.	Kennis van het versleutelen van gegevens. --> in de betreffende periode(n) vermelden en het aantal jaar in de rechter kolom markeren.	10%	≥ 5 jaar = 10 punten > 4 jaar < 5 jaar = 8 punten > 3 jaar < 4 jaar = 6 punten > 2 jaar < 3 jaar = 4 punten > 1 jaar < 2 jaar = 2 punten

>>>

Graag ontvang ik het CV van mogelijk passende kandidaten. Hou bij aanbieden rekening met de onderstaande punten (zonder deze info kan het CV helaas niet mee worden genomen in de selectie!):

1.Nederlandstalig CV (Word doc.) van max 5 a 6 pagina's. Indien een Engelstalig CV nodig is dan staat dit in de aanvraag bij de eisen vermeld.

2.Motivatie gericht op de vacature. Dit kan kort d.m.v. ja de ervaring heb ik opgedaan / de werkzaamheden heb ik gedaan in de perioden x  bij de organisaties y. Dus puntsgewijs per eis, wens en werkzaamheden (graag deze ervaring & werkzaamheden in het CV vermelden in de betreffende perioden).

Naast de puntsgewijze motivatie van de wensen ook het aantal punten er bij vermelden; zie kolom beoordeling, dit geldt alleen voor de ICTU aanvragen!

3.Volledige naam + de officiële voorletters zoals in het paspoort staat
4.Woonplaats
5.Geboortedatum
6.Vakantieplannen in de komende 3 maanden

Met vriendelijke groet,

Michael Blaauw
FlexValue
+31613778889
michael@flexvalue.nl
www.flexvalue.nl