CISO

Wat is een CISO?

Een CISO (Chief Information Security Officer) is de hoogste functionaris voor informatiebeveiliging in een organisatie: hij of zij bepaalt de beveiligingsstrategie, stuurt het cybersecuritybeleid aan en adviseert het bestuur over digitale risico’s. De CISO vertaalt dreigingen en wettelijke eisen naar een programma van maatregelen, budget en rapportages. In industriële bedrijven strekt die rol zich steeds vaker uit van kantoorautomatisering (IT) tot productie- en procesbesturing (OT).

De CISO waakt over vertrouwelijkheid, integriteit en beschikbaarheid van informatie, en in OT ook over de continuïteit en veiligheid van het fysieke proces.

🎯 Wat doet een CISO?

De kerntaken van een CISO zijn:

• Strategie en beleid - stelt de cybersecuritystrategie en het beveiligingsbeleid op en laat die door de directie vaststellen
• ISMS - ontwikkelt en onderhoudt het ISMS (Information Security Management System), meestal volgens ISO 27001
• Risicomanagement - laat risicobeoordelingen uitvoeren (bijvoorbeeld op basis van ISO 27001, NIS2 en IEC 62443) en houdt het risicoregister bij
• Rapportage - rapporteert over dreigingen, incidenten en compliance aan directie of raad van bestuur
• Incidentrespons - coördineert de aanpak van ernstige incidenten, samen met het SOC en het CSIRT
• Awareness - zorgt voor bewustwordingsprogramma’s, trainingen en phishing-simulaties
• Samenwerking - werkt met IT, OT, juridische zaken, HR, inkoop, auditors en externe toezichthouders

📊 Welke verantwoordelijkheden heeft een CISO per domein?

🧠 Waar zit de CISO in de organisatie?

De rapportagelijn bepaalt hoeveel invloed een CISO heeft. Enquêtes onder CISO’s laten al jaren zien dat ongeveer een derde aan de CIO rapporteert en een vergelijkbaar of groter deel rechtstreeks aan de CEO, met een duidelijke trend naar directe toegang tot het bestuur.

• Onder de CIO - kort lijntje met IT, maar risico op belangenconflict: de CISO moet dan kritiek leveren op de afdeling van de eigen baas
• Onder de CEO of directie - meer onafhankelijkheid en zichtbaarheid; gebruikelijk in gereguleerde sectoren zoals finance, zorg en energie
• Onder risk of CFO - past bij organisaties die security vooral als bedrijfsrisico benaderen

Onafhankelijk van de lijn werkt de CISO nauw samen met IT-, OT- en securityteams, inclusief SOC, SIEM en ISMS-beheer. Onder de CISO staan vaak een Information Security Officer voor de tactische uitwerking en, in de fabriek, een OSO voor de dagelijkse uitvoering. De functionaris gegevensbescherming (FG) uit de AVG is een aparte, onafhankelijke rol.

⚖️ Is een CISO wettelijk verplicht?

Nee, geen enkele Nederlandse of Europese wet schrijft de functietitel CISO voor. Wel moeten verantwoordelijkheden aantoonbaar belegd zijn:

Het belangrijkste verschil met vroeger: onder de Cyberbeveiligingswet ligt de eindverantwoordelijkheid uitdrukkelijk bij het bestuur. Toezichthouders kunnen maatregelen ook tegen individuele bestuurders richten. De CISO is daardoor minder de “eigenaar” van security en meer de adviseur die het bestuur in staat stelt die verantwoordelijkheid waar te maken.

🛠️ Welke tools en standaarden gebruikt een CISO?

• Normen en frameworks - ISO 27001, ISO 27002, IEC 62443, NIST CSF
• Detectie en respons - SIEM, SOAR, EDR en het SOC
• Inzicht in assets en kwetsbaarheden - CMDB en vulnerability management
• GRC-platforms - ondersteuning van governance, risk en compliance
• Continuïteit - business continuity, disaster recovery en het risicoregister
• Beleid - voor toegangsbeheer, back-ups en incidentmanagement

🏭 Wat doet een CISO in een OT-omgeving?

In industriële netwerken houdt de CISO ook toezicht op:

• SCADA- en PLC-beveiliging - inclusief beheer van engineeringwerkstations en remote access
• Segmentatie en netwerkarchitectuur - bijvoorbeeld volgens het Purdue Model en het zone- en conduitmodel uit IEC 62443
• Risico’s voor productie en veiligheid - een cyberincident kan hier leiden tot stilstand, milieuschade of letsel
• Change management - samen met engineering en operations, zodat patches en firewall-wijzigingen het proces niet verstoren

Het grootste verschil met IT is de prioriteit. In IT staat vertrouwelijkheid vaak voorop; in OT gaan beschikbaarheid en veiligheid voor. Een CISO die IT-regels één-op-één naar de fabriek kopieert, bijvoorbeeld automatisch patchen of agressief scannen, kan zelf een storing veroorzaken. Daarom wijzen veel industriële bedrijven een OT-securitymanager aan die aan de CISO rapporteert, of richten ze een gezamenlijke stuurgroep in met de plant manager.

🧭 Hoe richt u de CISO-rol praktisch in?

Een werkbare aanpak voor een middelgroot industrieel bedrijf:

1. Mandaat vastleggen - leg in een functiebeschrijving vast dat de CISO over IT én OT gaat, aan wie hij rapporteert en welke escalatiebevoegdheid hij heeft
2. Bestuur betrekken - laat het bestuur de verplichte Cbw-training volgen en plan minimaal elk kwartaal een security-agendapunt
3. Nulmeting - breng assets, risico’s en volwassenheid in kaart, bijvoorbeeld met een volwassenheidsmodel
4. Rollen verdelen - CISO voor strategie, ISO voor beleid en controle, OSO en OT security engineers voor uitvoering in de fabriek
5. Roadmap en budget - een plan voor twee à drie jaar, gekoppeld aan de grootste risico’s
6. Oefenen - test het incident response plan minstens jaarlijks met een tabletop-oefening waarin IT, OT en directie meedoen
7. Meten en rapporteren - een vaste set KPI’s, zoals patchachterstand, MFA-dekking, aantal kritieke kwetsbaarheden en tijd tot detectie

Kleinere organisaties zonder fulltime budget huren vaak een virtuele CISO (vCISO) in voor enkele dagen per maand. Dat werkt, mits er intern iemand is die de dagelijkse opvolging bewaakt.

✅ Welke competenties heeft een goede CISO?

• Analytisch vermogen en overzicht - van technisch detail tot bedrijfsrisico
• Kennis van regelgeving én technologie - van firewalls tot OT-risico’s en de Cyberbeveiligingswet
• Communicatie - van boardroom tot werkvloer, zonder jargon
• Ervaring met frameworks - zoals ISO 27001, IEC 62443 en NIST CSF
• Risicodenken - risico’s omzetten in bedrijfsbeslissingen met een prijs en een eigenaar

❓ Veelgestelde vragen

Wat is het verschil tussen een CISO en een CIO?

Een CIO is verantwoordelijk voor de informatievoorziening en de IT-organisatie als geheel. Een CISO richt zich specifiek op de beveiliging daarvan en moet de keuzes van de CIO soms kritisch beoordelen. Daarom rapporteert een CISO bij voorkeur niet uitsluitend aan de CIO.

Wat is het verschil tussen een CISO en een ISO?

Een CISO werkt op strategisch niveau: visie, budget en advies aan het bestuur. Een Information Security Officer (ISO) werkt tactisch en vertaalt het beleid naar risicoanalyses, maatregelen en controles. In kleinere organisaties combineert één persoon beide rollen.

Is een CISO verplicht onder NIS2 of de Cyberbeveiligingswet?

Nee, NIS2 en de Cyberbeveiligingswet schrijven geen CISO-functie voor. Ze maken het bestuur eindverantwoordelijk voor cybersecurity en eisen passende maatregelen, training van bestuurders en een meldproces. In de praktijk benoemen de meeste organisaties een CISO om die verplichtingen uit te voeren.

Is een CISO persoonlijk aansprakelijk bij een cyberincident?

In Nederland ligt de wettelijke verantwoordelijkheid onder de Cyberbeveiligingswet bij het bestuur, niet bij de CISO. In de Verenigde Staten zijn CISO’s wel persoonlijk vervolgd: de SEC klaagde in oktober 2023 de CISO van SolarWinds persoonlijk aan wegens misleidende uitspraken over de beveiliging. De rechter verwierp in 2024 het grootste deel van de aanklacht en de SEC liet de resterende zaak in november 2025 vallen, maar de zaak maakte het persoonlijke risico van de rol zichtbaar. Duidelijke afspraken over mandaat en rapportage beschermen zowel de CISO als het bestuur.

Wat is een virtuele CISO (vCISO)?

Een virtuele CISO is een externe specialist die de CISO-rol parttime vervult, vaak enkele dagen per maand. Dit is gangbaar bij mkb-bedrijven die wel onder de Cyberbeveiligingswet vallen maar geen fulltime CISO kunnen betalen. De vCISO stelt beleid en roadmap op; de uitvoering blijft bij eigen medewerkers of leveranciers.

Valt OT-security onder de CISO?

Steeds vaker wel, omdat de Cyberbeveiligingswet en NIS2 geen onderscheid maken tussen IT en OT. Veel industriële bedrijven leggen de eindverantwoordelijkheid bij de CISO en de uitvoering bij een OT-securitymanager of OSO in de fabriek. Doorslaggevend is dat engineering en operations meebeslissen over maatregelen die het proces raken.

📌 Samengevat

De CISO is de strategische spil van informatiebeveiliging: hij vertaalt dreigingen en wetgeving naar beleid, maatregelen en rapportages, en stelt het bestuur in staat zijn eindverantwoordelijkheid onder NIS2 en de Cyberbeveiligingswet waar te maken. In industriële bedrijven omvat die rol ook OT, waar beschikbaarheid en veiligheid voorgaan en samenwerking met engineering onmisbaar is.