Technisch Compliance Officer (ZZP)

Voor een landelijke overheidorganisatie in Breda zoeken wij een Technisch Compliance Officer die het cybersecurity-auditbeleid van de grond af opbouwt en de organisatie aantoonbaar compliant maakt met geldende wet- en regelgeving.

Start: 31 december 2026, Locatie: Breda, Uren: 24 uur, Tarief: €100-110, Duur: 12 maanden, Verlenging: tot maximaal 3 keer 12 maanden, verwachte uiterste einddatum 31 oktober 2030, Reageren uiterlijk: 10 oktober 2026. De organisatie werkt aan een cyberveilige IT-infrastructuur die meerdere operationele domeinen verbindt en informatiegestuurd optreden mogelijk maakt. Het programma gaat een nieuwe fase in: meerdere projecten worden opgestart om het platform verder te ontwikkelen en de strategische ambities te realiseren.

Dat vraagt om iemand die onafhankelijk toetst of de ingevoerde maatregelen en processen ook daadwerkelijk doen wat ze moeten doen. De organisatie valt onder een directie die het innovatie- en verandervermogen centraal stelt. Vanuit die context werk je in de staf, waar beleid wordt vastgesteld en de organisatie wordt aangestuurd. Je bezoekt naast Breda regelmatig andere locaties om in direct contact te staan met projectteams, stakeholders en de programmaleiding.

Je voert onafhankelijke reviews uit, toetst of processen en maatregelen werken zoals bedoeld en beoordeelt of de organisatie voldoet aan de toepasselijke wet- en regelgeving op het gebied van cybersecurity. Je adviseert ook over hoe de governance-processen rond cybersecurity verder ontwikkeld kunnen worden en welke herstelmaatregelen passend zijn als er tekortkomingen aan het licht komen.

Audit- en compliancecyclus opzetten: De kern van het werk is het inrichten en uitvoeren van een volledige auditcyclus voor cybersecurity-compliance. Dat begint bij het vaststellen van de scope: welke systemen, processen en producten worden beoordeeld, aan welke kaders worden ze getoetst en welke criteria zijn doorslaggevend? Vervolgens stel je een auditplan op dat de gehanteerde frameworks, standaarden en testmethoden beschrijft, en voer je dat plan uit door bewijsmateriaal te verzamelen en metingen te verrichten.

Tegelijk werk je aan de infrastructuur voor toekomstige audits: je stelt het auditbeleid en de bijbehorende procedures, standaarden en richtlijnen op, en legt de methodieken vast die de organisatie duurzaam kan blijven gebruiken. Bevindingen leg je vast in rapportages over conformiteit, assurance en certificering, en je houdt bij of de aanbevolen herstelmaatregelen ook worden uitgevoerd. In de praktijk vraagt dat om een doorlopende reeks van afwegingen.

Welke gaps zijn het meest urgent en waarom? Wie is eigenaar van een bevinding zodra die op tafel ligt? Hoe geef je de scope van een audit precies genoeg vorm zodat er geen discussie over de criteria ontstaat? Hoe zorg je dat engineeringteams een aanbeveling niet alleen ontvangen, maar ook implementeren? En hoe houd je de integriteit van auditrecords overeind als je op meerdere locaties en met meerdere projectteams werkt? De antwoorden op deze vragen komen terecht in het auditplan en de auditrapportages die je oplevert.

Wat ga je doen? Je brengt compliance gaps in kaart en documenteert ze zorgvuldig, zodat de organisatie een helder beeld heeft van waar het risico zit en wat er moet verbeteren. Je werkt mee aan het ontwerpen, implementeren en testen van compliance-maatregelen voor cybersecurity, en je monitort lopende audits en bijbehorende trainingsactiviteiten gericht op hardening. Je stelt het auditbeleid van de organisatie op: de procedures, standaarden en richtlijnen die bepalen hoe audits worden uitgevoerd en gedocumenteerd.

Daarbij leg je ook de methodieken en werkwijzen vast die structureel worden ingezet voor systemaudits. Voor elke audit bepaal je de scope, de doelstellingen en de criteria. Je werkt dit uit in een auditplan dat de relevante frameworks, standaarden, methoden en tests beschrijft, en je neemt daarin ook de beveiligingsdoelstellingen en vereisten mee op basis van het risicoprofiel van het te toetsen systeem of proces. Je voert het auditplan uit, verzamelt bewijsmateriaal en metingen, en bewaakt de integriteit van alle auditdocumentatie.

De bevindingen werk je uit in rapportages over conformiteit, assurance en certificering, en je houdt toezicht op de opvolging van herstelmaatregelen. Je toetst of de organisatie voldoet aan de relevante wet- en regelgeving en normen op het gebied van cybersecurity, en je adviseert over de governance-processen en over passende herstelstrategieën wanneer er tekortkomingen zijn. Je ontwikkelt bewustwordingstrainingen voor medewerkers, gericht op het bereiken van compliance en het versterken van een cultuur van hardening binnen de organisatie.

Je bent het vaste aanspreekpunt richting de engineeringteams die maatregelen implementeren en onderhouden, en je werkt met hen samen aan een gestructureerd hardeningsproces.

Beoogde resultaten: Aan het eind van de opdracht liggen de volgende producten: Een Cybersecurity Audit Plan op, inclusief gehanteerde frameworks, standaarden, methodologie, procedures en audittests. Een Cybersecurity Audit Report op, met de bevindingen, conformiteitsbeoordelingen en aanbevelingen.

Samenwerking: Je werkt nauw samen met de engineeringteams die verantwoordelijk zijn voor het implementeren en onderhouden van de beveiligingsmaatregelen. Daarnaast onderhoud je contact met relevante autoriteiten en professionele gremia en deel je informatie met hen. Je opereert vanuit de staf en hebt regelmatig direct contact met projectteams en de programmaleiding op meerdere locaties.

Jouw profiel: Je bent gewend om onafhankelijk te oordelen in een omgeving waar belang en toetsing elkaar kruisen. Wanneer een engineeringteam een maatregel als voldoende beschouwt, maar jouw audit iets anders uitwijst, weet je hoe je dat gesprek voert zonder de samenwerking te beschadigen. Je stelt auditscopes en criteria vast voordat je begint met toetsen, en je bewaakt die afbakening ook als er gedurende het proces druk ontstaat om meer of minder te beoordelen.

Je werkt methodisch: de stap van bevinding naar rapportage naar opvolging is voor jou een herkenbaar en gestructureerd ritme. Bij het opzetten van beleid en procedures voor cybersecurity-audits hoef je geen inhoudelijke specialist te zijn op alle onderliggende technische gebieden; je begrijpt de materie goed genoeg om de risico's te duiden en de juiste deskundigen te betrekken. Bewustwordingstraining voor medewerkers ontwikkelen en het gesprek aangaan met technische teams over herstelmaatregelen zijn voor jou twee kanten van dezelfde opdracht.

Past deze opdracht bij jou? Dit is een langdurige opdracht van minimaal een jaar, volledig op locatie in Breda, waarvoor een VGB op niveau A vereist is. Je werkt 24 uur per week aan het opzetten van een auditstructuur die er nog niet is, in een omgeving waar cybersecurity rechtstreeks raakt aan operationele veiligheid. Als je dat soort werk het liefst zelfstandig en methodisch aanpakt, met ruimte om het beleid ook echt vorm te geven, sluit dit aan op wat je zoekt.

Gevraagde ervaring: Ervaring met informatiebeveiliging en cybersecurity, bijvoorbeeld met het beoordelen van risico’s, bedreigingen en beveiligingsmaatregelen. Ervaring met audits en complianceonderzoek: auditdoelen en -criteria bepalen, bewijs verzamelen en bevindingen rapporteren. Ervaring met het toetsen van systemen, software, hardware, diensten en processen aan beveiligingsrichtlijnen, standaarden, wet- en regelgeving. Ervaring met het herkennen en vastleggen van compliancehiaten en kwetsbaarheden.

Ervaring met het adviseren over en opvolgen van herstelmaatregelen en het monitoren van risico’s. Ervaring met het opstellen of verbeteren van beveiligingsbeleid, procedures, standaarden en auditmethoden. Ervaring met samenwerking met engineers of technische teams om beveiligingsmaatregelen in te voeren en systemen te hardenen. Ervaring met het opstellen van cybersecurity-auditplannen en auditrapporten. Ervaring met securitybewustzijn, training of voorlichting is ook relevant.

Aantoonbare werkervaring binnen de defensieorganisatie.