Een vaste CISO aanstellen is een bestuursbesluit. De CISO bepaalt hoe uw organisatie met cyberrisico's omgaat, rapporteert aan directie of raad van bestuur en wordt onder NIS2 en DORA steeds nadrukkelijker onderdeel van de governance. De beste kandidaten reageren zelden op vacatures; zij hebben een baan en worden benaderd. Daarom werken organisaties voor deze positie met een headhunter. MVPeople Group is een hyper-niche recruitmentbureau voor cybersecurity in Amsterdam. Via ons label MVPermanent voeren wij executive search uit voor CISO's, Heads of Information Security en Deputy CISO's. Deze pagina gaat over het werven van een vaste CISO. Zoekt u iemand die op korte termijn tijdelijk de rol vervult, kijk dan bij interim CISO op /expertise/ciso.
In het kort
CISO executive search is de gerichte, discrete zoektocht naar een vaste Chief Information Security Officer, waarbij kandidaten actief worden benaderd in plaats van via een vacature te reageren. MVPeople Group voert CISO executive search uit via MVPermanent; zoekt u tijdelijk een CISO, dan levert MVPeople een interim CISO.
Executive search is een wervingsmethode voor senior posities waarbij het bureau de markt actief in kaart brengt en kandidaten persoonlijk benadert. Het verschil met reguliere werving is dat u niet afhankelijk bent van wie er toevallig op zoek is. Het doel is de beste beschikbare kandidaat voor uw situatie te vinden, ook als die persoon nog niet aan een overstap dacht.
Voor een CISO-positie betekent dat een gerichte zoektocht naar security leiders met de juiste combinatie van ervaring: sector, organisatieomvang, regelgeving en de fase waarin uw securityprogramma zich bevindt. Een CISO die een volwassen programma kan onderhouden, is een ander profiel dan iemand die vanaf nul een securityfunctie moet opbouwen.
Discretie is daarbij vaak essentieel, bijvoorbeeld wanneer de huidige CISO vertrekt en dat nog niet bekend is, of wanneer de positie onderdeel is van een reorganisatie.
Een interim CISO vult een positie tijdelijk in: om een vacature te overbruggen, een programma neer te zetten of na een incident snel orde te scheppen. Een interim CISO kan vaak binnen 2 weken starten. Die dienst leveren wij via MVPeople; zie /expertise/ciso en /services/mvpeople.
Een vaste CISO bouwt aan de lange termijn: een securitystrategie over meerdere jaren, een eigen team, een relatie met bestuur en toezichthouder en een cultuur waarin security vanzelfsprekend is. Dat vraagt een ander type kandidaat en een ander wervingsproces.
De twee sluiten elkaar niet uit. Veel organisaties zetten een interim CISO in terwijl de executive search voor de vaste CISO loopt. Zo blijft de functie bemenst en krijgt de vaste opvolger een overzichtelijke overdracht.
De NIS2-richtlijn, in Nederland geïmplementeerd via de Cyberbeveiligingswet, legt verantwoordelijkheid nadrukkelijk bij het bestuur. Bestuursorganen van essentiële en belangrijke entiteiten moeten de cyberbeveiligingsmaatregelen goedkeuren, toezien op de uitvoering en zelf een opleiding volgen, en zij kunnen aansprakelijk worden gesteld voor inbreuken op die verplichtingen.
Voor financiële entiteiten bepaalt DORA dat het leidinggevend orgaan de eindverantwoordelijkheid draagt voor het beheer van ICT-risico. In beide gevallen heeft het bestuur iemand nodig die cyberrisico vertaalt naar besluiten, rapportages en prioriteiten. Dat is de kern van de CISO-rol.
Gevolg is dat het profiel verschuift. Technische diepgang blijft nodig, maar het vermogen om op bestuursniveau te adviseren, budget te verantwoorden en tegenspraak te bieden weegt zwaarder dan tien jaar geleden.
Wij beginnen met een intake met de opdrachtgever en de belangrijkste stakeholders. Daarin leggen wij vast wat de CISO moet bereiken, aan wie hij of zij rapporteert, welk mandaat en budget er is en welke ervaring onmisbaar is. Dat resulteert in een positieprofiel dat u goedkeurt voordat wij de markt benaderen.
Daarna brengen wij de markt in kaart: welke security leiders passen bij het profiel, in welke organisaties werken zij en wat zou voor hen een reden zijn om over te stappen. Kandidaten benaderen wij persoonlijk en vertrouwelijk. Met geschikte kandidaten voeren wij diepte-interviews over hun aanpak, resultaten en leiderschapsstijl.
U ontvangt een shortlist met onderbouwing per kandidaat. Wij begeleiden de gesprekken, nemen referenties af en ondersteunen bij de arbeidsvoorwaarden en de overstap. Na de start houden wij contact met zowel u als de nieuwe CISO.
Een veelgemaakte fout is een sterke CISO aannemen in een positie zonder invloed. Waar de CISO rapporteert, aan de CIO, de CEO, de CFO of de CRO, bepaalt mede welke kandidaten interesse hebben en hoe effectief de CISO kan zijn. Een rapportagelijn onder de CIO kan prima werken, maar dan moet er een directe lijn naar bestuur of auditcommissie zijn voor escalaties.
Bespreek ook de verhouding met de tweede en derde lijn. Is de CISO eigenaar van het securityprogramma of toetst hij of zij vooral? Hoe verhoudt de rol zich tot risk management en compliance; zie /expertise/grc-compliance en /expertise/it-risk-management.
Wij adviseren u hier vooraf over, omdat ervaren CISO's deze vragen in het eerste gesprek stellen. Een helder antwoord vergroot de kans dat de beste kandidaat ja zegt.
Een sterke CISO combineert drie dingen: inhoudelijke geloofwaardigheid bij technische teams, het vermogen om risico's in bestuurstaal uit te leggen en leiderschap om een team en een organisatie mee te krijgen. Kandidaten komen vaak uit security management, IT-risk, IT-audit of consultancy.
Certificeringen zoals CISSP, CISM en CCISO laten zien dat iemand de vakinhoud beheerst, maar zeggen weinig over leiderschap. Daarom vragen wij naar concrete situaties: een begroting die verdedigd moest worden, een incident dat aan het bestuur werd uitgelegd, een team dat werd opgebouwd of omgevormd.
Wij beoordelen ook de fit met uw fase en cultuur. Een CISO uit een grote bank gedijt niet automatisch in een snelgroeiende scale-up, en andersom.
Bij CISO executive search benadert het bureau actief en vertrouwelijk de beste kandidaten in de markt, ook als zij niet op zoek zijn. Bij gewone werving bent u grotendeels afhankelijk van wie op een vacature reageert. Voor een positie met deze impact en zo weinig geschikte kandidaten is actieve benadering meestal de enige manier om echt te kunnen kiezen.
Nee, u kunt beide combineren. Een interim CISO via MVPeople vult de positie tijdelijk in en kan vaak binnen 2 weken starten, terwijl MVPermanent de vaste CISO werft. Meer over interim CISO's leest u op /expertise/ciso.
Een CISO executive search duurt doorgaans langer dan een interim-opdracht, omdat kandidaten een opzegtermijn hebben en meerdere gespreksrondes gangbaar zijn. Eerste cv's presenteren wij binnen 72 uur na de intake, en een getekend contract volgt doorgaans binnen 6 tot 10 weken. De totale doorlooptijd tot de startdatum hangt vooral af van de opzegtermijn van de gekozen kandidaat.
Ja, discretie is standaard bij CISO executive search. Wij benaderen kandidaten zonder uw naam te noemen totdat er wederzijdse interesse is, en publiceren geen vacature als u dat niet wilt. Dat is vooral belangrijk wanneer de huidige CISO nog in functie is.
Voor CISO executive search rekenen wij 30% van het bruto jaarsalaris, betaald in drie termijnen: bij de start, bij de shortlist en bij de plaatsing. Daarbij hoort een garantieperiode van 3 maanden. Ter indicatie: een vaste senior CISO verdient €120.000 tot €160.000 bruto per jaar (MVPeople Salarischecker 2026). Wij leggen de afspraken vast in het voorstel na de intake, zodat u vooraf weet waar u aan toe bent.
Als Lead Enterprise Architect Security design je de security-architectuur voor een grote organisatie. Je stuurt technische teams aan, adviseert het C-level en zorgt dat systemen schaalbaar, veilig en compliant zijn.
Je adviseert het management over security strategie, risico's en compliance. Je bouwt een robuuste security organisatie op en zorgt dat cybersecurity integraal onderdeel is van alle bedrijfsprocessen.
Leid het security team als strategische spil tussen technologie en bedrijfsdoelen. Je ontwerpt de security roadmap, managed risico's en zorg je dat cybersecurity integraal deel is van de organisatiecultuur.
Benieuwd hoe wij werven en selecteren? Lees meer over onze cyber security recruitment. Ben je zelf specialist en zoek je een freelance opdracht? Bekijk de cybersecurity opdrachten voor zzp'ers.
Laatst bijgewerkt op door Mathijs Visser, Co-founder en Lead Consultant MVPeople Group.
Plan een vertrouwelijk intakegesprek. Wij reageren binnen 4 uur en bespreken uw positie, mandaat en zoekprofiel.
