Wat doet een CISO? Securityrollen uitgelegd

Een CISO, voluit chief information security officer, is de persoon die informatiebeveiliging in een organisatie bestuurt. De CISO brengt risico’s in beeld en vertaalt besluiten van de directie naar beleid en maatregelen. Ook rapporteert de CISO over hoe het ervoor staat. Het is een bestuurlijke rol, geen technische.

Niet elke organisatie heeft een fulltime CISO nodig. Voor veel organisaties in het MKB+ past een parttime invulling beter, bijvoorbeeld via CISO as a Service. U krijgt dan de kennis en het overzicht van een CISO, voor de tijd die uw organisatie nodig heeft.

Hieronder leest u wat een CISO doet en waar de rol thuishoort. Ook ziet u het verschil met andere rollen, en wanneer een fulltime CISO echt nodig is.

CISO betekenis: wat de afkorting inhoudt

CISO staat voor chief information security officer. In het Nederlands spreekt men ook wel van hoofd informatiebeveiliging. Het woord chief zegt waar de rol thuishoort: dicht bij de top, met een directe lijn naar de directie.

De CISO is eigenaar van het informatiebeveiligingsbeleid en van het managementsysteem eromheen. Hij configureert geen firewalls en installeert geen updates. Hij zorgt dat de risico’s bekend zijn, dat de juiste maatregelen gekozen worden en dat elke maatregel een eigenaar heeft.

In kleinere organisaties heet de rol soms anders, zoals security officer of coördinator informatiebeveiliging. De titel is minder belangrijk dan de vraag of iemand het mandaat heeft om dit onderwerp namens de directie te sturen.

Wat doet een CISO? De kerntaken

De invulling verschilt per organisatie, maar deze taken komen bijna altijd terug.

• Risico’s in beeld. Een actueel overzicht van de belangrijkste informatierisico’s, met voorstellen aan de directie over wat ermee gebeurt.
• Beleid en kaders. Het informatiebeveiligingsbeleid opstellen en bijhouden, en bepalen welke normen en wetten gelden, zoals ISO 27001, NEN 7510 of de Cyberbeveiligingswet.
• Toezicht op maatregelen. Bewaken dat maatregelen worden uitgevoerd en werken, en bijsturen als dat niet zo is.
• Rapportage aan de directie. In begrijpelijke taal: welke risico’s lopen we, wat doen we eraan en wat blijft open.
• Incidenten en continuïteit. Zorgen dat er een plan ligt voor incidenten en voor bedrijfscontinuïteit, en dat het crisisteam weet wat het moet doen.
• Leveranciers. Beoordelen welke leveranciers toegang hebben tot systemen of gegevens, en welke afspraken daarbij horen.
• Bewustwording. Medewerkers laten weten wat er van hen verwacht wordt en hoe ze iets melden.

Veel van deze taken komen samen in één aanpak van governance, risico’s en compliance. Hoe dat werkt, leest u in wat GRC is.

Waar de CISO in de organisatie staat

De CISO rapporteert bij voorkeur rechtstreeks aan de directie. Valt de rol onder de IT-afdeling, dan beoordeelt de CISO het werk van zijn eigen leidinggevende. Dat wringt, vooral als beveiliging en de snelheid van IT-projecten botsen.

De wet legt de eindverantwoordelijkheid nog hoger. Onder de Cyberbeveiligingswet, de Nederlandse invulling van NIS2, keurt het bestuur de beveiligingsmaatregelen goed. Bestuursleden moeten ook kennis hebben van de risico’s en met een certificaat aantonen dat zij daarover een training hebben gevolgd. Zo staat het in artikel 24 van de Cyberbeveiligingswet.

De CISO neemt die verantwoordelijkheid dus niet over. Hij stelt het bestuur in staat om haar te dragen, met heldere rapportages en voorstellen waarover besloten kan worden. Meer daarover leest u in bestuurdersaansprakelijkheid onder de CBW.

CISO, CIO en IT-manager: het verschil

De drie rollen worden vaak door elkaar gehaald, omdat ze allemaal met IT te maken hebben. Het verschil zit in waar ze verantwoordelijk voor zijn.

De CIO, de chief information officer, of de IT-manager zorgt dat de IT-voorzieningen werken en de organisatie verder helpen. De CISO kijkt naar de risico’s voor informatie, en die zitten ook buiten IT: in papieren dossiers, in afspraken met leveranciers en in wat medewerkers doen.

Die rollen hebben elkaar nodig, en ze schuren soms. Een nieuw systeem snel live zetten en het eerst goed beveiligen zijn allebei legitieme belangen. Daarom werkt het beter als de CISO naast de CIO staat dan eronder.

In kleinere organisaties combineert de IT-manager de twee rollen. Dat kan werken, zolang iemand anders periodiek toetst wat er gebeurt, bijvoorbeeld een externe CISO of een auditor.

De andere securityrollen: ISO, privacy officer, FG en engineer

Rond de CISO staan andere rollen. In grote organisaties zijn dat aparte functies, in het MKB+ vaak taken die bij een of twee mensen liggen.

De information security officer is de operationele tegenhanger van de CISO, in de praktijk vaak afgekort tot ISO. Dat is niet te verwarren met de ISO-normen. Waar de CISO het beleid bepaalt, zorgt de ISO dat het op de werkvloer gebeurt. Zie ook information security officer inhuren.

De functionaris gegevensbescherming (FG) is een rol uit de AVG. De FG houdt binnen de organisatie toezicht op de naleving van de privacyregels. Volgens Ondernemersplein moet u nagaan of een FG verplicht is als u bijzondere persoonsgegevens verwerkt of op grote schaal mensen volgt.

De FG werkt onafhankelijk en mag geen taken hebben die tot een belangenconflict leiden. Een CISO die zelf beveiligingskeuzes maakt, kan die keuzes moeilijk ook onafhankelijk toetsen. Een privacy officer is geen wettelijke functie, maar een praktische rol die de organisatie helpt de AVG na te leven. Zie privacy officer inhuren.

Welke kennis een CISO nodig heeft

Een goede CISO is een vertaler. Hij begrijpt de techniek goed genoeg om de juiste vragen te stellen. En hij kent de organisatie goed genoeg om risico’s in zakelijke taal uit te leggen.

• Risicomanagement. Risico’s beoordelen, afwegen en voorleggen, met een methode die herhaalbaar is.
• Normen en wetgeving. ISO 27001, en waar dat speelt NEN 7510, de Cyberbeveiligingswet, DORA en de AVG.
• Techniek op hoofdlijnen. Netwerken, cloud, identiteiten en logging, genoeg om met specialisten mee te praten.
• Communicatie. Een directie meenemen zonder jargon, en medewerkers zonder ze bang te maken.
• Rust bij incidenten. Prioriteren en besluiten als het misgaat, ook met onvolledige informatie.

Persoonscertificeringen zoals CISM of CISSP laten zien dat iemand de theorie beheerst. Ervaring met een audit, een incident of een directie die nee zei, zegt vaak meer.

Fulltime CISO of parttime: wat past bij u?

Een fulltime CISO past bij organisaties waar informatiebeveiliging dagelijks besluiten vraagt. Denk aan een grote zorgaanbieder, een organisatie met veel locaties of een softwarebedrijf met eisen van meerdere grote klanten.

Voor veel organisaties is dat te veel. Het werk komt in golven: een certificeringstraject, een nieuwe wet of een incident, en daartussen een vast ritme van rapporteren en bijsturen. Dan is een parttime CISO logischer. U huurt de kennis in voor een vast aantal dagen en schaalt op als er een traject loopt.

Vier vragen helpen bij de keuze:

• Valt u onder de Cyberbeveiligingswet of DORA, of werkt u in de zorg met NEN 7510?
• Vragen klanten regelmatig om aantoonbaarheid, zoals een certificaat of een ingevulde vragenlijst?
• Is er intern iemand met tijd en mandaat om het onderwerp te dragen?
• Hoe vaak moet de directie over beveiliging besluiten?

Herkent u de eerste twee en ontbreekt de derde, dan heeft u CISO-capaciteit nodig, maar niet per se een fulltime functie.

Zo zet u de CISO-rol goed neer

Of u nu iemand aanneemt of de rol inhuurt, deze stappen bepalen of de CISO effectief wordt.

Begin met het mandaat. Leg vast waarover de CISO besluit, waarover hij adviseert en aan wie hij rapporteert. Zonder die afspraak blijft het bij goede adviezen die niemand opvolgt.

Laat de CISO daarna een nulmeting doen: wat ligt er al, wat ontbreekt en wat vragen de wet en uw klanten? Daaruit volgt een plan met prioriteiten, dat de directie vaststelt.

Spreek vervolgens een vast ritme af. Een korte rapportage per kwartaal, met besluiten die worden vastgelegd, werkt beter dan een lange presentatie per jaar. Laat daarnaast periodiek toetsen of de afspraken werken, bijvoorbeeld met een interne audit.

Veelgestelde vragen over de CISO

Waar staat CISO voor?

CISO staat voor chief information security officer. In het Nederlands wordt ook wel hoofd informatiebeveiliging gebruikt. Het is de persoon die informatiebeveiliging namens de directie bestuurt.

Is een CISO verplicht onder NIS2?

Nee. De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, schrijft geen CISO voor. Wel moeten rollen en verantwoordelijkheden zijn vastgelegd en keurt het bestuur de maatregelen goed. Een CISO is een logische manier om dat te organiseren.

Wat is het verschil tussen een CISO en een FG?

De CISO stuurt informatiebeveiliging en maakt daarin keuzes. De FG houdt onafhankelijk toezicht op de naleving van de AVG. Omdat de FG ook keuzes van de CISO moet kunnen toetsen, liggen de twee rollen bij voorkeur niet bij dezelfde persoon.

Kan de IT-manager ook CISO zijn?

In kleinere organisaties kan dat, maar het vraagt een tegenwicht. De IT-manager beoordeelt dan immers zijn eigen werk. Laat de werking daarom periodiek toetsen door iemand van buiten, zoals een externe CISO of een auditor.

Wat is een parttime CISO of CISO as a Service?

Een ervaren CISO die u inhuurt voor een vast aantal dagen, in plaats van een fulltime functie. U krijgt dezelfde rol, met mandaat en een vast rapportageritme, maar alleen voor de tijd die uw organisatie nodig heeft.