Een SOC opbouwen, en het daarna achterlaten bij je eigen mensen.
Na een incident, een verzekeraarseis of een NIS2-verplichting wil de organisatie zelf kunnen zien wat er in het netwerk gebeurt en erop reageren. Dat betekent logging die klopt, een SIEM of detectieplatform dat ingericht is, use-cases die echte aanvallen vangen, en mensen die weten wat ze met een melding moeten. Binnen twee dagen heb je een ervaren SOC-lead of detection engineer op gesprek die dat opbouwt en, en dat is de kern, achterlaat bij je eigen team. Zoek je iemand voor vast, dan werven we die net zo goed, al gaat dat niet in twee dagen.
Het moment
De aanleiding verschilt, de vraag niet. Een incident waarbij achteraf bleek dat de aanvaller weken binnen was en niemand het zag. Een verzekeraar of een grote klant die vraagt naar detectie en response. De Cyberbeveiligingswet die een werkende meldprocedure eist, en dus iets om mee te melden. Of een SIEM die vijf jaar geleden is gekocht, nog steeds alleen maar logs verzamelt, en nu vervangen moet worden door een platform dat wel iets doet. In alle gevallen wil de organisatie zelf kunnen zien wat er gebeurt en erop reageren, met eigen mensen, zonder voor altijd afhankelijk te zijn van een externe partij. En dan blijkt dat niemand in huis dit eerder heeft opgebouwd.
Wat er komt kijken bij een SOC dat werkt
Een SOC is geen tool en geen zaal met schermen. Het is logging uit de juiste bronnen (identiteit, endpoints, netwerk, cloud), een platform dat die logs begrijpt, use-cases die de aanvallen vangen die bij jullie organisatie passen in plaats van duizend standaardmeldingen, draaiboeken voor wat er gebeurt bij een melding, en analisten die die draaiboeken kennen. Wie klein begint, met een handvol detecties die ertoe doen en een proces dat echt gevolgd wordt, heeft binnen maanden iets dat werkt; wie groot begint, heeft binnen maanden een platform vol ruis en een team dat meldingen wegklikt. Een interim SOC-lead die dit vaker heeft gebouwd, kiest de kleine route en traint ondertussen de eigen mensen, zodat het SOC na het project van hen is.
Wat er nu moet gebeuren
- Doel en scope. Wat moet het SOC kunnen zien, binnen welke tijd reageren, en voor welke systemen eerst. De SOC-lead met de directie en IT, in de eerste weken.
- Logging en platform. De juiste bronnen aansluiten, het SIEM of detectieplatform inrichten of migreren, bewaartermijnen en kosten in de hand houden. SIEM- of detection engineer.
- Use-cases die ertoe doen. Detecties voor de aanvalspaden die bij jullie passen, getest tegen echte scenario's, met zo min mogelijk ruis. Detection engineer.
- Draaiboeken en oefenen. Wat doet een analist bij welke melding, wie wordt wanneer gebeld, hoe wordt er gemeld aan toezichthouder of klant. SOC-lead, geoefend met het team.
- Overdracht aan het eigen team. Analisten opgeleid, documentatie compleet, en een afspraak over hoe de detecties onderhouden worden. Dat is de opdracht; zonder dit deel heb je een nieuwe afhankelijkheid gekocht.
Wie dit trekt
Organisaties zoeken hier een SOC-lead of SOC-manager die het opbouwt en het team meeneemt, een detection engineer voor de use-cases, een SIEM-engineer voor het platform en de migratie, en daarna analisten die het draaiend houden. Welke van die rollen het bij jou wordt hangt af van wat er al staat en of je de analisten zelf al hebt; daar beginnen we mee in de intake. De analisten en de blijvende SOC-lead zijn vaak vaste rollen: werving & selectie; de opbouw is interim. Allebei doen we al jaren, en hier doen we ze het liefst in één beweging.
Interim: binnen twee dagen, en wat het kost
Snel betekent bij ons niet slordig. We beginnen met een echte intake: welke aanleiding, welke tooling staat er, wie zijn de mensen die het straks moeten doen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.
Zzp, en de Wet DBA
Een SOC opbouwen en overdragen is een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en dus past zzp hier goed, met een modelovereenkomst. De analisten die daarna dagelijks de meldingen afhandelen en de SOC-lead die blijft, zijn functies. Dan zeggen we dat. Meestal zijn dat vaste rollen via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.
Vandaag bellen?.
Bel, of plan zelf een moment. Dan weet je binnen een kwartier of we kunnen helpen en wie daarvoor de juiste persoon is.
Bellen: 020 399 1●●●
Nu beschikbaar voor interim.
Een greep uit de interimmers die op dit moment kunnen starten. Anoniem tot je contact opneemt; tarief en beschikbaarheid staan erbij.
NIS2 / Cyberbeveiligingswet · DORA · SOX (ITGC)
- interim · €95k–100k bruto per jaar
ISO 27001 · ISO 27002 · NIS2 / Cyberbeveiligingswet
- Interim / ZZP · €120–130 per uur
ISO 27001 · NIS2 / Cyberbeveiligingswet · AVG/GDPR
- Arnhem-Nijmegen
- interim / zzp · €120–130 per uur
Veelgestelde vragen.
Hoe snel kunnen jullie een SOC-lead of detection engineer leveren?
Voor interim geldt: binnen twee dagen heb je je eerste kandidaat op gesprek; voor een vaste rol duurt het langer, omdat de beste kandidaten zelden actief zoeken en met de juiste argumenten in beweging moeten komen; wat realistisch is, bespreken we bij de intake. We beginnen met een intake over de aanleiding, de tooling die er staat en de mensen die het straks moeten doen, en zoeken daarna in een netwerk van interimmers die we meestal al jaren kennen. Hebben we niemand die echt past, dan zeggen we dat ook.
Is een eigen SOC niet te duur voor een organisatie van onze omvang?
Dat hangt af van wat je eronder verstaat. Een zaal met schermen en 24/7-bezetting is voor de meeste organisaties overdreven; een klein team dat kantooruren dekt met een beperkte set detecties die ertoe doen, en een afspraak met een externe partij voor de nacht, is vaak precies goed. Een SOC-lead die dit vaker heeft gebouwd, zegt eerlijk wat bij jullie omvang past.
Kunnen jullie ook een SIEM-migratie doen?
Ja. Veel organisaties vervangen een oud SIEM dat alleen logs verzamelt door een platform dat ook detecteert. Een SIEM-engineer migreert bronnen en use-cases, houdt de kosten in de hand en zorgt dat er geen gat valt tijdens de overgang. Zeg bij de intake van en naar welk platform, dan stellen we mensen voor die daar aantoonbaar mee hebben gewerkt.
Zzp'er, detachering of vast: wat past bij het opbouwen van een SOC?
De opbouw en de overdracht zijn een opdracht met een kop en een staart, en dan past een zzp'er met een modelovereenkomst goed. De analisten die daarna dagelijks meldingen afhandelen en de SOC-lead die blijft, zijn functies; dan zeggen we dat en werven we die voor vast. Wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern.
Wat kost een interim SOC-lead?
Dat hangt af van de persoon en de opdracht, en je ziet het tarief van de professional altijd los van onze marge. Die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. De tariefbanden van wie nu beschikbaar is staan anoniem bij de interimmers op deze site.
Hoe zorgen jullie dat het SOC na het project echt bij ons team ligt?
Door de overdracht onderdeel van de opdracht te maken: analisten die meedraaien vanaf de eerste use-case, documentatie en draaiboeken die compleet zijn, en een afspraak over wie de detecties onderhoudt. Een SOC dat alleen de interimmer begrijpt is een nieuwe afhankelijkheid, en dat is precies wat je niet wilde kopen.
We hebben nog geen analisten. Kunnen jullie die ook vinden?
Ja, en het liefst parallel aan de opbouw, zodat ze meedraaien vanaf het begin en de interimmer ze kan opleiden. SOC-analisten werven is wat we al jaren doen; de interim SOC-lead kan de kandidaten inhoudelijk mee beoordelen.
Helpt een SOC ook voor NIS2 en de Cyberbeveiligingswet?
Ja. De meldplicht vraagt om incidenten binnen 24 uur te melden, en dat kan alleen als je ze ziet. Detectie en een geoefend meldproces zijn daarmee een directe invulling van de zorgplicht. Valt jouw organisatie onder de Cbw, kijk dan ook bij onze pagina over NIS2 en de Cyberbeveiligingswet.
Eigen detectie willen, niemand om het te bouwen?
Vertel wat er al aan logging en tooling staat en wat het SOC straks moet kunnen. Zoek je een interimmer, dan zit je eerste kandidaat binnen twee dagen op gesprek — en hebben we niemand die past, dan zeggen we dat ook.