Veel organisaties praten over “de CISO” alsof het één ding is. In de praktijk zijn het er twee: er is de CISO-rol, een set verantwoordelijkheden die je organisatie moet beleggen, en er is de CISO-persoon, degene die die verantwoordelijkheden invult. Wie die twee door elkaar haalt, neemt vroeg of laat de verkeerde beslissing over werving, inhuur of opvolging. In dit artikel leg ik het onderscheid uit en geef ik aan wanneer een interim CISO inhuren wel en niet logisch is.
De CISO is een rol, geen functietitel
De Chief Information Security Officer is in de kern een governance-rol. De CISO vertaalt risico naar beleid, beleid naar maatregelen, en maatregelen naar iets dat aantoonbaar werkt richting directie, toezichthouders en certificerende instanties. Het zwaartepunt ligt op sturing, niet op techniek. Een CISO die vooral firewalls configureert is geen CISO maar een security engineer met een te dure titel.
Die rol bestaat in elke organisatie die informatie als bedrijfsmiddel serieus neemt, of je hem nu zo noemt of niet. De vraag is dus zelden of je de rol nodig hebt. De vraag is hoe je hem belegt: als vaste functie, als onderdeel van een bredere rol, of tijdelijk via een interim CISO.
Vast of interim: vier situaties
Het inhuren van een interim CISO is geen tweederangs oplossing voor wie geen vaste kracht kan vinden. Het is een bewuste keuze die in een aantal situaties juist beter past dan een vaste aanstelling.
1. Het overbruggen van een vacature. Je CISO vertrekt en de werving van een opvolger duurt maanden. In die periode kan de rol niet stilvallen, zeker niet in een organisatie die onder NIS2 valt of die een lopend certificeringstraject heeft. Een interim CISO houdt het stuur vast tot de vaste kracht er is.
2. Een afgebakend certificeringstraject. Je wilt naar ISO 27001 of NEN 7510 toe, of je moet aantoonbaar voldoen aan de BIO. Dat is een traject met een begin en een eind. Een ervaren interim die dit type traject eerder heeft gedaan, brengt je sneller en met minder omwegen naar de certificerende audit dan iemand die het naast een drukke staande functie erbij doet.
3. Een deadline die niet wacht. NIS2 is daar het duidelijkste voorbeeld van. Wachten op volledige duidelijkheid uit Den Haag is geen strategie, en de aantoonbaarheidseisen vragen voorbereiding die maanden kost. Een interim met focus haalt die voorbereiding binnen, terwijl je eigen mensen hun reguliere werk blijven doen.
4. Transitie of nasleep van een incident. Een fusie, een grote migratie of de afhandeling van een beveiligingsincident vraagt tijdelijk om meer capaciteit en meer ervaring dan de organisatie zelf in huis heeft. Dat is precies waar interim inhuur voor bedoeld is.
Wat een interim CISO toevoegt dat een vaste kracht vaak niet kan
Een interim brengt drie dingen mee die in een vaste rol moeilijker te organiseren zijn.
Het eerste is onafhankelijkheid. Een interim CISO heeft geen interne carrière te beschermen en geen jarenlange relaties om te ontzien. Dat maakt het makkelijker om de directie ook ongevraagd advies te geven, en om een bevinding te benoemen die intern liever onbesproken blijft.
Het tweede is snelheid. Iemand die ISMS-implementaties en certificeringsaudits heeft begeleid in de zorg, bij de overheid en in de industrie, herkent patronen. Waar een organisatie maanden zoekt naar de juiste structuur, kan een ervaren interim de bekende valkuilen overslaan.
Het derde is focus. Een interim wordt ingehuurd voor één opdracht en wordt niet weggetrokken door de waan van de dag. Dat klinkt vanzelfsprekend, maar het is vaak het grootste verschil met een interne functionaris die security erbij doet.
De valkuil: interim als brandblusser zonder mandaat
De meest gemaakte fout is dat een interim CISO wordt binnengehaald als brandblusser, maar zonder het mandaat om iets structureel te veranderen. Dan blus je het incident, schrijf je een rapport, en ligt de organisatie er na vertrek precies zo bij als ervoor.
Een interim CISO is alleen effectief met directe lijn naar de directie en met de bevoegdheid om besluiten af te dwingen die de organisatie raken. Beleg dat mandaat vooraf, in plaats van het gaandeweg te moeten bevechten. Vraag bij de inhuur niet alleen naar ervaring met de norm, maar ook naar ervaring met het organiseren van draagvlak. De norm is het makkelijke deel. Mensen meekrijgen is het werk.
Borg de rol voordat de persoon vertrekt
Het inherente risico van interim inhuur is dat kennis met de persoon de deur uitgaat. Daarom hoort kennisoverdracht vanaf dag één in de opdracht te zitten, niet pas in de laatste week. Een goede interim levert niet alleen een gecertificeerd managementsysteem op, maar ook een organisatie die het zelf kan dragen: ingerichte processen, eigenaren die hun rol kennen, en documentatie die aansluit op hoe er echt gewerkt wordt.
Zo blijft de rol staan, ook als de persoon vertrekt. En dat is uiteindelijk waar het om gaat. Je huurt geen persoon in, je belegt een verantwoordelijkheid.
Tot slot
Het verschil tussen de CISO-rol en de CISO-persoon bepaalt of inhuur slim of duur is. Heb je een afgebakend doel, een deadline of een transitie, dan is een interim CISO vaak de snellere en scherpere route. Wil je de rol permanent in de organisatie verankeren, dan ligt een vaste invulling meer voor de hand, mits je de tijd hebt om die in te vullen. In beide gevallen geldt: beleg eerst de rol helder, kies daarna pas de persoon.
Ronald Everduim is zelfstandig ISO-consultant en CISO-adviseur. Hij begeleidt organisaties in de zorg, overheid, industrie en het bedrijfsleven bij informatiebeveiliging en certificering.