ISO

Wat is een Information Security Officer (ISO)?

Een Information Security Officer (ISO) is de functionaris die binnen een organisatie de informatiebeveiliging op tactisch niveau bewaakt, coördineert en verbetert: hij vertaalt het beleid van directie en CISO naar risicoanalyses, maatregelen, controles en rapportages. In omgevingen met industriële automatisering is de ISO een sleutelrol tussen IT, OT, compliance en management. De ISO richt zich op de bescherming van gegevens en systemen, maar ook op de continuïteit van kritieke productieprocessen in SCADA, PLC’s, het control network en de historian.

Let op de afkorting: ISO staat ook voor de International Organization for Standardization, de uitgever van normen als ISO 27001 en ISO 22301. Dit artikel gaat over de functie; de normenorganisatie komt verderop kort aan bod.

🧠 Wat doet een Information Security Officer?

De taken van de ISO zijn te groeperen in zes gebieden:

1. Beleid en strategie
   • Ontwikkelt en onderhoudt het informatiebeveiligingsbeleid en de onderliggende richtlijnen
   • Zorgt voor aansluiting op ISO 27001, IEC 62443, de BIO en NIS2
2. Risicoanalyse en maatregelen
   • Voert risicobeoordelingen en een Business Impact Analysis (BIA) uit en beheert het risicoregister
   • Bepaalt samen met eigenaren passende technische en organisatorische maatregelen
3. Implementatie en controle
   • Adviseert over de beveiligingsarchitectuur, zoals het Purdue Model en het zones-en-conduits-model
   • Stemt met IT en OT af over toegangsbeheer, encryptie, back-ups en patchmanagement
4. Bewustwording en training
   • Initieert security-awareness-programma’s en phishingoefeningen
   • Stimuleert een beveiligingscultuur waarin medewerkers incidenten en twijfelgevallen melden
5. Toezicht en compliance
   • Voert interne controles en audits uit en volgt bevindingen op
   • Bereidt externe audits voor, zoals voor ISO 27001-certificering of de BIO; bij Amerikaanse overheidsopdrachten ook kaders als FISMA
   • Rapporteert aan de directie of de CISO
6. Incidentmanagement
   • Treedt bij incidenten op samen met het CSIRT of een OT SOC
   • Houdt toezicht op de uitvoering van het incidentresponsplan en op forensisch onderzoek

De ISO is daarmee geen technicus die zelf firewalls configureert, maar de regisseur die zorgt dat de juiste mensen de juiste maatregelen nemen en dat dit aantoonbaar is.

🔄 Wat is het verschil tussen ISO, CISO, OSO en FG?

Beveiligingsrollen worden in de praktijk door elkaar gebruikt. Het onderscheid zit vooral in het niveau waarop iemand werkt:

In kleinere organisaties combineert één persoon de rollen van CISO en ISO. De FG is een wettelijke functie uit de artikelen 37 tot en met 39 van de AVG: verplicht voor overheidsorganisaties en voor organisaties die op grote schaal personen monitoren of bijzondere persoonsgegevens verwerken. De FG mag andere taken hebben, zolang die geen belangenconflict opleveren. Wie zelf beveiligingsmaatregelen ontwerpt, kan daar moeilijk onafhankelijk toezicht op houden; de combinatie ISO plus FG vraagt daarom om een zorgvuldige afweging.

🏭 Waarom is de rol van de ISO in OT anders?

In een kantooromgeving staat vertrouwelijkheid vaak voorop. In industriële processen gaan beschikbaarheid en veiligheid voor: een uitgevallen besturing kan productieverlies, milieuschade of letsel veroorzaken. De ISO moet die andere prioriteit begrijpen en vertalen naar beleid.

Voor OT is IEC 62443-2-1 het belangrijkste kader voor de ISO. De tweede editie uit augustus 2024 beschrijft de eisen aan het beveiligingsprogramma van de asset owner, ordent die in programma-elementen, schrapt overlap met het ISMS van ISO 27001 en voegt een volwassenheidsmodel toe. De norm erkent ook dat oude, niet meer ondersteunde systemen niet alle eisen kunnen halen en staat compenserende maatregelen toe. Een goede start is een volledige asset-inventarisatie: zonder overzicht van besturingen, firmwareversies en verbindingen valt er weinig te beveiligen.

📜 Welke normen en wetten bepalen het werk van de ISO?

ISO 27001 schrijft geen functietitel voor: de norm eist alleen dat rollen en verantwoordelijkheden zijn toegewezen en gecommuniceerd. Toch kiezen de meeste gecertificeerde organisaties voor een benoemde ISO of CISO, omdat auditors één aanspreekpunt voor het ISMS verwachten. Organisaties die nog een certificaat op de versie van 2013 hadden, moesten uiterlijk 31 oktober 2025 zijn overgestapt.

De normenorganisatie ISO is de International Organization for Standardization, opgericht op 23 februari 1947 en gevestigd in Genève. Leden zijn nationale normalisatie-instituten uit ruim 170 landen; Nederland wordt vertegenwoordigd door NEN. De korte naam is afgeleid van het Griekse isos (gelijk), zodat de afkorting in elke taal hetzelfde is. Informatiebeveiligingsnormen zoals de 27000-reeks ontwikkelt ISO samen met de IEC in de commissie ISO/IEC JTC 1/SC 27.

🧭 Hoe richt u de ISO-rol in de praktijk in?

Een effectieve ISO valt of staat met mandaat en positie. Een beproefde aanpak:

1. Leg mandaat en positie vast — de ISO hoort in de tweede lijn van het Three Lines Model van het IIA (2020): de eerste lijn (management en operations) is eigenaar van de risico’s, de ISO adviseert en houdt toezicht, en interne audit toetst als derde lijn onafhankelijk. Zorg voor een directe escalatielijn naar de directie.
2. Maak verantwoordelijkheden expliciet — een RACI-matrix voor beleid, risicoacceptatie, wijzigingen en incidenten voorkomt dat IT en OT naar elkaar wijzen.
3. Draai een vaste jaarcyclus volgens PDCA — risicoanalyse en risicobehandeling (ISO 27001 clausule 6.1), een actuele verklaring van toepasselijkheid, interne audit (9.2) en directiebeoordeling (9.3).
4. Koppel aan continuïteit — stem af met bedrijfscontinuïteit en ISO 22301, zodat herstelplannen ook voor OT gelden.
5. Bereid de meldplicht voor — onder de meldplicht van de Cyberbeveiligingswet gaat binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindrapport naar het CSIRT en de toezichthouder. De ISO zorgt dat die keten werkt, ook buiten kantooruren.
6. Betrek het bestuur — sinds 15 augustus 2026 moet het bestuur van een Cbw-entiteit de maatregelen goedkeuren, toezien op de uitvoering en zelf een training volgen. De ISO levert daarvoor de rapportages en het trainingsmateriaal.

Een typische kwartaalrapportage aan de directie bevat de status van de top-risico’s, openstaande auditbevindingen, incidenten en bijna-incidenten, de voortgang van de patch- en awarenessprogramma’s en de risico’s die bewust zijn geaccepteerd.

🎓 Welke kennis en certificeringen heeft een ISO nodig?

Een ISO combineert kennis van normen en risicomanagement met voldoende technisch begrip om met engineers te kunnen praten. Veelgebruikte certificeringen:

• CISSP (ISC2) en CISM (ISACA) — brede, managementgerichte securitycertificaten
• ISO 27001 Lead Implementer of Lead Auditor — voor het inrichten en toetsen van een ISMS
• GIAC GICSP — sinds 2013 het bekendste leveranciersonafhankelijke certificaat voor industriële besturingssystemen
• ISA/IEC 62443 Cybersecurity Certificates — vier specialisaties, van fundamentals tot risk assessment

Een vergelijking staat in het artikel over OT-securitycertificeringen. Minstens zo belangrijk zijn communicatieve vaardigheden: de ISO moet een risico in euro’s en productie-uren kunnen uitleggen aan de directie en in technische termen aan een monteur.

❓ Veelgestelde vragen

Is een Information Security Officer verplicht?

Een Information Security Officer is in Nederland niet als functietitel wettelijk verplicht. ISO 27001, de BIO en de Cyberbeveiligingswet eisen wel dat verantwoordelijkheden voor informatiebeveiliging aantoonbaar zijn belegd, en in de praktijk vervullen een ISO of CISO die taak.

Wat is het verschil tussen een ISO en een CISO?

De CISO is eindverantwoordelijk en werkt op strategisch niveau: visie, budget en governance richting bestuur. De Information Security Officer werkt op tactisch niveau en vertaalt dat beleid naar risicoanalyses, maatregelen, controles en rapportages. In kleinere organisaties vervult één persoon beide rollen.

Mag de ISO ook functionaris gegevensbescherming zijn?

Dat kan alleen als er geen belangenconflict ontstaat, want de AVG eist dat de functionaris gegevensbescherming onafhankelijk toezicht houdt. Een ISO die zelf maatregelen ontwerpt of beslist over de verwerking van persoonsgegevens, beoordeelt dan zijn eigen werk. Veel organisaties houden beide rollen daarom gescheiden.

Aan wie rapporteert een Information Security Officer?

Een Information Security Officer rapporteert meestal aan de CISO, of rechtstreeks aan de directie als er geen CISO is. Belangrijk is een onafhankelijke escalatielijn naar het hoogste management, zodat risico’s niet blijven hangen bij de IT- of productieafdeling die ze zelf moet oplossen.

Wat doet een ISO bij een OT-incident?

Bij een OT-incident coördineert de Information Security Officer tussen operations, IT, het OT SOC en externe partijen, en bewaakt hij de uitvoering van het incidentresponsplan. Hij zorgt ook dat meldplichtige incidenten op tijd bij het CSIRT en de toezichthouder terechtkomen. De beslissing om een installatie stil te leggen blijft bij operations, omdat veiligheid van het proces voorgaat.

Welke opleiding heeft een Information Security Officer nodig?

Een Information Security Officer heeft meestal een hbo- of wo-achtergrond in informatica, informatiekunde of techniek, aangevuld met certificaten als CISSP, CISM of ISO 27001 Lead Implementer. Wie in de industrie werkt, vult dat aan met OT-kennis, bijvoorbeeld via GICSP of de ISA/IEC 62443-certificaten.

📌 Samengevat

De Information Security Officer (ISO) bewaakt en coördineert de informatiebeveiliging op tactisch niveau, in zowel IT als OT, en vertaalt het beleid van directie en CISO naar risico’s, maatregelen en aantoonbare controles. Met kennis van ISO 27001, IEC 62443-2-1, de Cyberbeveiligingswet en de werking van industriële installaties is de ISO de verbindende schakel tussen kantoor en fabrieksvloer.