Een information security officer (ISO) zorgt dat het informatiebeveiligingsbeleid ook echt wordt uitgevoerd. De CISO bepaalt de koers en zit aan tafel bij het bestuur. De ISO houdt de beveiliging elke dag op orde.
In vacatureteksten lopen de twee titels door elkaar, en dat maakt kiezen lastig. Huur je de verkeerde, dan heb je een strateeg die tickets afhandelt of een uitvoerder die ineens de raad van bestuur moet adviseren.
Wat doet een information security officer?
De ISO is de uitvoerder en bewaker van informatiebeveiliging. Het werk is breed, maar draait steeds om twee vragen: waar zitten onze risico's, en werken de maatregelen die we hebben afgesproken?
In de praktijk ziet het takenpakket er meestal zo uit:
- risicoanalyses uitvoeren of begeleiden, samen met de eigenaren van systemen en processen;
- beleid en procedures bijhouden, bijvoorbeeld voor toegangsbeheer, leveranciers en back-ups;
- beveiligingsincidenten opvolgen en zorgen dat de lessen ook in het beleid terechtkomen;
- interne en externe audits voorbereiden en bevindingen afhandelen;
- awareness organiseren, zodat medewerkers weten wat er van ze verwacht wordt;
- rapporteren aan de CISO, de security manager of rechtstreeks aan de directie.
De ISO is vaak ook het aanspreekpunt voor IT-teams en leveranciers. Firewalls inrichten doet hij zelden zelf, maar hij moet snappen wat een engineer bedoelt en kunnen inschatten of een maatregel het risico echt afdekt.
ISO of CISO: waar zit het verschil?
Het verschil zit in mandaat en publiek. De CISO is eindverantwoordelijk voor de securitystrategie, adviseert het bestuur en verdedigt het budget. De ISO werkt een niveau daaronder. Hij vertaalt de strategie naar beleid en maatregelen en controleert of iedereen zich eraan houdt.
Twijfel je bij een functieprofiel? Kijk dan met wie iemand het meest praat. Zijn dat de raad van bestuur, de toezichthouder en de externe accountant, dan is het een CISO-rol. Zijn het proceseigenaren, IT-teams en auditors, dan zoek je een ISO.
Kleinere organisaties combineren de twee rollen soms in één persoon. Dat kan prima, zolang helder is welke pet iemand op heeft als hij aan het bestuur rapporteert over zijn eigen werk. Grote organisaties hebben juist meerdere ISO's, per divisie of per domein, die allemaal aan één CISO rapporteren. Zoek je die eindverantwoordelijke, lees dan eerst mijn stuk over een interim CISO inhuren.
Wat de Cyberbeveiligingswet en DORA ervan vragen
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse invulling van NIS2. Het bestuur keurt de maatregelen uit de zorgplicht goed, houdt toezicht op de uitvoering en moet genoeg kennis hebben om risico's en maatregelen te beoordelen. Bestuurders volgen daarvoor een passende training.
Het NCSC beschrijft op zijn pagina over de zorgplicht tien maatregelen, van risicoanalyse en incidentrespons tot beveiliging van de toeleveringsketen en het periodiek toetsen of je maatregelen werken. Welke maatregelen passend zijn, bepaalt een organisatie zelf. Zoals ik de wet lees, hoef je geen CISO of ISO met die titel aan te stellen.
Toch pleit juist die bestuursplicht voor een ISO. Een bestuur dat maatregelen goedkeurt en de uitvoering moet bewaken, heeft iemand nodig die dat werk dagelijks volgt en er eerlijk over rapporteert.
In de financiële sector ligt het strakker vast. Onder DORA draagt het leidinggevend orgaan de eindverantwoordelijkheid voor het ICT-risico. De AFM verwacht een onafhankelijke rol voor het beheer van ICT-risico's, met een controle- en auditfunctie die voldoende onafhankelijk zijn gepositioneerd. Bij een bank of verzekeraar moet je dus ook bepalen waar de ISO in het three lines of defence model hangt: in de eerste lijn naast IT, of in de tweede lijn als toezichthouder.
Welk ISO-profiel past bij jouw sector?
De taken zijn overal vergelijkbaar. De normen waar de ISO mee werkt, verschillen per sector.
- Overheid. Voor essentiële entiteiten in de sector overheid is de BIO2 sinds 15 augustus 2026 wettelijk gekoppeld aan de zorgplicht uit de Cyberbeveiligingswet. Een ISO bij een overheidsorganisatie moet die baseline dus van binnen en van buiten kennen. Meer over de inhuur zelf lees je bij cybersecurity voor de overheid.
- Financiële sector. Hier zoek je iemand die DORA kent en weet hoe een toezichthouder naar de scheiding tussen de lijnen kijkt. Ervaring met ICT-risicobeheer en leveranciersrisico weegt zwaar.
- Zorg. Zorgaanbieders moeten aantoonbaar aan NEN 7510 voldoen. De huidige versie is van december 2024 en bestaande certificaten moeten uiterlijk 20 februari 2027 zijn omgezet. Een ISO die die overstap al eens heeft begeleid, heeft nu een flinke voorsprong. Hoe NEN 7510 zich verhoudt tot de nieuwe wet, staat in NEN 7510 onder de Cyberbeveiligingswet.
Wanneer huur je een ISO interim in?
Interim werkt het best als het werk duidelijk is en de capaciteit ontbreekt. Denk aan een vaste ISO die vertrekt terwijl er een audit aankomt, een stapel open bevindingen die niemand oppakt, of een Cbw- of DORA-traject waarvoor het beleid wel klaar is maar de uitvoering stokt.
Een interim ISO moet in die situaties vanaf dag één zelfstandig draaien. Vraag daarom in het gesprek door op een vergelijkbare opdracht: welke norm, welke omvang, en wat lag er toen hij vertrok?
Gaat het om iets wat nog moet ontstaan, zoals een securityfunctie vanaf nul, dan is een ISO meestal niet de eerste stap. Dan heb je eerst iemand nodig die de koers bepaalt en het bestuur meekrijgt.
Interim of vast: mijn advies
Mijn advies: bepaal eerst wie straks aan het bestuur rapporteert of de maatregelen werken, en kies daarna pas de titel. Ligt die rapportage bij een CISO, dan heeft die CISO een ISO nodig die het werk doet. Is er geen CISO, dan moet je ISO sterk genoeg zijn om rechtstreeks met de directie te praten. Dat vraagt een ander, zwaarder profiel.
Voor het dagelijkse werk op lange termijn kies ik eerder voor vast. Het is een rol die beter wordt naarmate iemand de organisatie kent. Interim is sterk als overbrugging of voor een traject met een einddatum. Een combinatie werkt ook: een interim ISO die het fundament legt terwijl je een vaste kracht werft.
Een ISO nodig?
Bij MVPeople leveren we interim en freelance security officers via MVPeople freelance en interim, en via MVPermanent als je liever vast werft. Op de pagina information security officer inhuren lees je welke profielen we leveren. Zoek je eerder iemand voor governance en normen, kijk dan bij GRC en compliance.
Wil je sparren over het profiel? Bel of mail me, dan zetten we samen de rol scherp voordat je hem uitzet.
