Identity & Access Management (IAM): IGA, PAM en toegangsbeheer — rollen, certificeringen en carrière in 2026

Wat is Identity & Access Management (IAM)?

Identity & Access Management (IAM) — in het Nederlands vaak identiteits- en toegangsbeheer — is het geheel van beleid, processen en techniek waarmee een organisatie regelt wie toegang krijgt tot welke systemen en data, onder welke voorwaarden en voor hoe lang. De kernbelofte is simpel te formuleren en verraderlijk lastig te realiseren: de juiste persoon heeft op het juiste moment de juiste toegang — en niet meer dan strikt nodig.

Achter die ene zin gaat een heel vakgebied schuil. Een gemiddelde organisatie heeft duizenden gebruikers (medewerkers, inhuur, leveranciers en klanten), tienduizenden accounts en honderden applicaties, verspreid over eigen datacenters en meerdere clouds. Mensen komen in dienst, wisselen van functie en vertrekken; applicaties worden aangesloten en uitgefaseerd; toezichthouders en accountants willen kunnen aantonen dat toegang beheerst verloopt. IAM is de discipline die deze chaos beheersbaar maakt. Het vakgebied rust op drie bouwstenen die we verderop uitgebreid behandelen: Access Management (de dagelijkse authenticatie en toegang), Identity Governance & Administration (IGA) (het beheer en de governance van accounts en rechten) en Privileged Access Management (PAM) (de extra beveiliging van accounts met verhoogde rechten).

Waarom IAM in 2026 topprioriteit is

IAM is de afgelopen jaren verschoven van een IT-beheertaak op de achtergrond naar een strategisch securitydomein op directieniveau. Vier ontwikkelingen verklaren die opmars:

• Identiteit is de belangrijkste aanvalsroute. Phishing, credential stuffing en het overnemen van accounts (account takeover) zijn goedkoper en effectiever dan het uitbuiten van technische kwetsbaarheden. Zodra een aanvaller een geldige identiteit heeft, is hij "binnen" — en beweegt hij lateraal verder. Sterke authenticatie en strak rechtenbeheer zijn daarmee de eerste verdedigingslinie.
• De perimeter is verdwenen. Met thuiswerken, cloud en SaaS is er geen vaste bedrijfsmuur meer om achter te schuilen. In het Zero Trust-model wordt identiteit de nieuwe perimeter: elke toegangsaanvraag wordt geverifieerd, ongeacht waar hij vandaan komt.
• Wet- en regelgeving dwingt het af. Sinds de Cyberbeveiligingswet (NIS2) in Nederland van kracht is, en met DORA voor de financiële sector, zijn toegangsbeheer, het least-privilege-principe en multifactorauthenticatie geen best practices meer maar wettelijke verplichtingen.
• Niet-menselijke identiteiten exploderen. Serviceaccounts, API-sleutels, workloads, bots en — nieuw — AI-agents hebben óók identiteiten en rechten nodig. Het aantal machine-identiteiten overtreft in veel organisaties inmiddels ruimschoots het aantal mensen, en juist die accounts zijn vaak slecht beheerd.

Het gevolg: IAM is uitgegroeid tot een van de weinige securitydomeinen met een structureel tekort aan gekwalificeerde mensen — goed nieuws voor wie zich erin specialiseert.

De drie bouwstenen: Access Management, IGA en PAM

IAM klinkt als één ding, maar bestaat in de praktijk uit drie nauw verweven, maar duidelijk te onderscheiden bouwstenen. Wie in het vakgebied wil werken, moet het verschil goed begrijpen — vacatures zijn er namelijk vaak specifiek op één van de drie.

1. Access Management (AM)

Access Management gaat over de dagelijkse toegang van gewone gebruikers: hoe bewijst iemand dat hij is wie hij zegt te zijn, en krijgt hij vervolgens toegang tot de juiste applicaties? De kernbegrippen:

• Authenticatie — het vaststellen van de identiteit, tegenwoordig bij voorkeur phishingbestendig (passkeys, FIDO2) in plaats van alleen een wachtwoord.
• Multifactorauthenticatie (MFA) — het combineren van iets wat je weet, hebt en bent; onder NIS2 en DORA feitelijk verplicht.
• Single Sign-On (SSO) — één keer inloggen voor toegang tot vele applicaties, via protocollen als SAML, OAuth 2.0 en OpenID Connect.
• Conditional access / adaptieve toegang — de toegangsbeslissing laten afhangen van context (apparaat, locatie, risicoscore), de kern van Zero Trust in de praktijk.

2. Identity Governance & Administration (IGA)

IGA is de governance-laag en het domein waar security en GRC elkaar raken. Waar Access Management gaat over het moment van inloggen, gaat IGA over de vraag óf iemand die toegang überhaupt zou moeten hebben — en of dat nog steeds klopt. IGA beheert:

• De identiteitslevenscyclus (Joiner–Mover–Leaver, JML) — automatisch de juiste rechten toekennen bij indiensttreding, aanpassen bij functiewijziging en volledig intrekken bij vertrek. Vergeten "leaver"-accounts zijn een klassiek auditfalen én een groot risico.
• Rolgebaseerde toegang (RBAC) en attribuutgebaseerde toegang (ABAC) — rechten bundelen in rollen die bij een functie horen, in plaats van per gebruiker losse rechten uit te delen.
• Access-recertificering — periodieke campagnes waarin managers en systeemeigenaren bevestigen dat toegekende rechten nog nodig zijn.
• Functiescheiding (Segregation of Duties, SoD) — voorkomen dat één persoon conflicterende taken kan uitvoeren, precies zoals in de ERP- en SAP-audit, maar dan applicatie-overstijgend.

IGA is de laag waarop de IT-auditor het meest steunt: de recertificeringsrapporten, de JML-logging en de SoD-analyses vormen het bewijs dat toegang aantoonbaar beheerst is.

3. Privileged Access Management (PAM)

PAM richt zich op de gevaarlijkste accounts van allemaal: de accounts met verhoogde rechten, zoals domein- en systeembeheerders, root-accounts, databasebeheerders en serviceaccounts. Eén gecompromitteerd beheerdersaccount kan een hele organisatie platleggen. PAM beperkt dat risico met:

• Wachtwoordkluizen (vaulting) — beheerderswachtwoorden worden centraal opgeslagen, automatisch geroteerd en nooit door een mens gezien.
• Just-in-time-toegang — verhoogde rechten worden alleen tijdelijk en op aanvraag verleend, in plaats van permanent (standing privileges terugbrengen naar nul).
• Sessieopname en -monitoring — beheersessies worden vastgelegd voor forensisch onderzoek en verantwoording.
• Least privilege op endpoints — lokale beheerdersrechten wegnemen zonder de productiviteit te breken.

De kernprincipes: least privilege, Zero Trust en de identiteitslevenscyclus

Onder alle tooling en processen liggen enkele principes die in vrijwel elke IAM-vacature terugkomen. Wie ze beheerst, spreekt de taal van het vakgebied:

• Least privilege (minimale rechten). Iedere identiteit krijgt precies de rechten die nodig zijn om het werk te doen — niet meer. Dit is het hart van zowel NIS2 en DORA als van ISO 27001.
• Zero Trust ("never trust, always verify"). Geen enkele gebruiker, apparaat of netwerk wordt vertrouwd op basis van locatie; elke toegangsaanvraag wordt continu geverifieerd. Identiteit is daarin de spil. Lees onze uitleg over Zero Trust-architectuur.
• Need to know. Toegang tot data wordt niet alleen technisch, maar ook op basis van noodzaak beperkt — cruciaal voor de bescherming van persoonsgegevens onder de AVG.
• Joiner–Mover–Leaver. De identiteitslevenscyclus als leidend proces: rechten groeien en krimpen mee met de rol van de medewerker en worden bij vertrek volledig ingetrokken.
• Recertificering en attestatie. Toegang is nooit "af": periodiek moet worden bevestigd dat rechten nog kloppen. Dit is de brug tussen security en assurance.

Het wettelijk kader en de standaarden

Toegangsbeheer staat in vrijwel elk beveiligings- en compliancekader centraal. Een IAM-professional beweegt zich voortdurend tussen de volgende normen en wetten:

• ISO 27001:2022 — bevat expliciete controls voor toegangsbeleid, identiteitsbeheer, authenticatie-informatie en toegangsrechten (Annex A 5.15 t/m 5.18) én voor privileged access en veilige authenticatie (A 8.2 t/m 8.5). Feitelijk is IAM hier het grootste samenhangende controlecluster.
• NIS2 / Cyberbeveiligingswet — verplicht essentiële en belangrijke entiteiten tot toegangsbeleid, MFA en het least-privilege-principe als onderdeel van de zorgplicht.
• DORA — eist voor de financiële sector expliciet dat ICT-toegangsrechten volgens least privilege worden beheerd en periodiek herzien.
• AVG (GDPR) — vereist dat toegang tot persoonsgegevens wordt beperkt (dataminimalisatie op toegangsniveau) en gelogd; een terrein waarop IAM en de privacy officer samenwerken.
• SOX en ISAE 3402 — voor de financiële verslaggeving vormt logische toegangsbeveiliging de kern van de IT General Controls waarop de accountant steunt.
• NIST SP 800-63 en Zero Trust (NIST SP 800-207) — de technische onderbouwing voor digitale identiteit, authenticatieniveaus en het Zero Trust-architectuurmodel.

De tooling: het IAM-landschap in 2026

IAM is sterk tooling-gedreven, en werkgevers vragen bijna altijd om ervaring met specifieke platformen. Het landschap valt grofweg uiteen langs de drie bouwstenen:

• Access Management & workforce identity: Microsoft Entra ID (voorheen Azure AD) is voor veel organisaties de ruggengraat, gevolgd door Okta en Ping Identity voor SSO, MFA en conditional access.
• Identity Governance & Administration (IGA): SailPoint (IdentityIQ en Identity Security Cloud) is marktleider, met Saviynt, One Identity en de governance-modules van Microsoft Entra als belangrijke spelers.
• Privileged Access Management (PAM): CyberArk is de gevestigde leider, met Delinea, BeyondTrust en Wallix als sterke alternatieven.

Voor SAP-omgevingen sluit dit naadloos aan op de wereld van autorisatiebeheer en SoD die we behandelen in onze gids over ERP- en SAP-audit. Wie meerdere van deze platformen beheerst — bijvoorbeeld Entra ID plus SailPoint plus CyberArk — combineert schaarse vaardigheden en is daarmee extra gewild op de arbeidsmarkt.

De rollen: wie doet wat in IAM?

Rond identiteits- en toegangsbeheer draait een breed ecosysteem aan functies — van de engineer die de koppelingen bouwt tot de architect die de strategie uitzet. De belangrijkste titels die je in vacatures tegenkomt:

De grenzen zijn vloeiend. Bij een kleinere organisatie combineert één engineer alle bouwstenen; bij een grote onderneming of bank bestaan aparte teams voor Access Management, IGA en PAM, aangestuurd door een IAM-architect en een Business Information Security Officer of CISO. Wil je de lijnen tussen uitvoering, risico en onafhankelijke toetsing scherp krijgen, lees dan onze uitleg over het three lines model.

Wat verdien je in Identity & Access Management?

Omdat gekwalificeerde IAM-professionals schaars zijn, ligt de beloning aan de bovenkant van het securityspectrum. Onderstaande bandbreedtes geven een realistische indicatie voor de Nederlandse markt in 2026:

De exacte beloning hangt sterk af van de tooling en de complexiteit van de omgeving. Een gespecialiseerde SailPoint- of CyberArk-consultant met aantoonbare implementatie-ervaring zit aan de bovenkant; een startende access-managementmedewerker lager. Ter vergelijking kun je ook de bredere salaristrends in IT-security en compliance voor 2026 bekijken.

Vaardigheden en certificeringen die tellen

Werkgevers vragen doorgaans om een hbo- of wo-werk- en denkniveau en een combinatie van technische kennis en procesbegrip. De IAM-professional zit immers precies op het snijvlak van techniek, security, HR-processen en compliance. Daarbovenop maken de juiste certificeringen het verschil — in dit vakgebied vaak productgericht:

• Microsoft SC-300 (Identity and Access Administrator): de standaard voor wie met Entra ID werkt; behandelt identiteitslevenscyclus, authenticatie, conditional access en governance.
• Okta-certificeringen: Certified Professional en Certified Administrator voor organisaties die op Okta draaien.
• SailPoint-certificeringen: waardevol voor IGA-specialisten die met IdentityIQ of Identity Security Cloud werken.
• CyberArk-certificeringen (Defender, Sentry, Guardian): de referentie voor de PAM-kant van het vak.
• CISSP en CISA: vendoronafhankelijke, breed erkende certificeringen die de security- respectievelijk auditkant van IAM afdekken.
• Certified Identity and Access Manager (CIAM): een vakgericht examen dat specifiek op het IAM-domein inzoomt.
• Praktijkkennis: aantoonbare ervaring met RBAC-ontwerp, provisioning-koppelingen, JML-automatisering, access-recertificering en federatieprotocollen (SAML, OAuth 2.0, OIDC) weegt minstens zo zwaar als een titel.

Het carrièrepad: zo kom je het vak in

Er zijn meerdere routes naar een rol in Identity & Access Management. De meest voorkomende:

• Vanuit IT-beheer: systeem- en Active Directory-beheerders die veel met accounts en rechten werken, stappen over naar een IAM-engineer- of Access Management-rol.
• Vanuit security of GRC: een adviseur informatiebeveiliging of security officer die zich op toegangsbeheer specialiseert, groeit door naar IGA- of architectuurrollen.
• Vanuit audit: een IT-auditor die keer op keer toegangsbevindingen doet, maakt de overstap naar de inrichtende kant en wordt IAM-consultant of -architect.
• Doorgroei: vanuit engineer groei je via IGA- of PAM-specialist door naar IAM-architect, IAM-manager of technology risk-rollen, en uiteindelijk richting het CISO-domein.

Omdat IAM op het snijvlak van techniek, proces en compliance zit, is het een dankbaar vertrekpunt: de kennis is overdraagbaar naar vrijwel elke sector en de vraag blijft structureel hoog.

Welke werkgevers zoeken IAM-professionals?

De vraag is breed en groeit in vrijwel elke sector. Op IT Compliance Jobs zie je IAM-vacatures bij onder meer banken en verzekeraars (waar DORA en functiescheiding onder streng toezicht staan), bij de overheid en uitvoeringsorganisaties (gedreven door NIS2 en de Baseline Informatiebeveiliging Overheid), bij zorginstellingen onder NEN 7510, bij multinationals met complexe hybride omgevingen en bij consultancy- en systemintegrators die IAM-implementaties uitvoeren. Functietitels variëren van “IAM Engineer”, “Identity & Access Specialist” en “IGA Consultant” tot “PAM Engineer”, “IAM Architect” en “Product Owner Identity”. Door de aanhoudende druk vanuit NIS2, DORA en Zero Trust blijft de vraag de komende jaren naar verwachting hoog.

Conclusie: het fundament onder moderne security

Identity & Access Management is misschien minder zichtbaar dan een spraakmakende hack of een nieuw securityproduct, maar het is wél het fundament waarop moderne informatiebeveiliging rust. In een wereld zonder vaste perimeter is identiteit de nieuwe grens, en wie die grens kan bewaken — via sterke authenticatie, strak governance-beheer en beheerste privileged access — beschermt de kern van de organisatie. Het regelgevend kader (NIS2, DORA, ISO 27001, de AVG) geeft het vak gewicht, terwijl Zero Trust en de explosie aan machine-identiteiten zorgen voor een structurele, groeiende vraag naar specialisten. Of je nu instapt als IAM-engineer, je verdiept als IGA- of PAM-specialist of doorgroeit naar IAM-architect: dit is een niche met uitstekend perspectief en een schaarste die je onderhandelingspositie ten goede komt.

Klaar voor de volgende stap? Bekijk de actuele vacatures in IAM, informatiebeveiliging en compliance op IT Compliance Jobs en vind de organisatie die vandaag een identiteits- en toegangsspecialist zoekt.