Wat is een CISO en wat betekent de rol onder NIS2 in België?

Als senior eindverantwoordelijke stuurt de CISO de informatiebeveiligingsstrategie, het cyberrisicobeheer en de beveiligingsgovernance van een organisatie.

Laatst bijgewerkt: 2026. Redactionele verantwoordelijkheid: Readynez.

Wat doet een CISO?

De Chief Information Security Officer vertaalt digitale risico’s naar bestuurlijke keuzes. De functie gaat daardoor verder dan het beheren van firewalls, accounts of beveiligingstools. Een CISO bepaalt welke informatiebeveiligingsrisico’s aanvaardbaar zijn, welke maatregelen prioriteit krijgen en hoe de organisatie kan aantonen dat zij haar verplichtingen nakomt.

In de praktijk bewaakt de CISO het informatiebeveiligingsbeleid, de risicobeoordelingen, incidentrespons, security awareness, leveranciersrisico’s, technische controles en rapportage aan management of bestuur. De rol raakt IT, juridische zaken, compliance, operations, HR en in veel sectoren ook fysieke beveiliging. Een sterke CISO kan daarom technische bevindingen vertalen naar financiële impact, operationele risico’s en beslissingen over budget en verantwoordelijkheid.

De kern van de functie is governance. De CISO zorgt dat beveiliging niet afhankelijk blijft van losse projecten of individuele specialisten, maar wordt ingebed in besluitvorming, processen en meetbare controles. Frameworks zoals ISO/IEC 27001:2022, NIST Cybersecurity Framework 2.0 en ENISA-richtlijnen helpen om die structuur te geven, maar ze vervangen het oordeel van de organisatie niet. De CISO moet bepalen welke controls passen bij de sector, dreigingen, schaal en risicobereidheid van het bedrijf.

Waarom de Belgische context belangrijk is

In België is de CISO-rol sterker verbonden geraakt met regelgeving, bestuur en ketenverantwoordelijkheid. NIS2 verplicht organisaties niet altijd om letterlijk een functietitel “CISO” te creëren, maar de richtlijn verhoogt wel de druk om cyberrisico’s aantoonbaar te beheren. Voor essentiële en belangrijke entiteiten betekent dit dat maatregelen rond risicobeheer, incidentbehandeling, continuïteit, supply chain security, toegangsbeheer en beveiliging van netwerken en informatiesystemen bestuurlijk zichtbaar moeten zijn.

De Belgische omzetting van NIS2 en de rol van het Centre for Cybersecurity Belgium en CCB-CERT.be maken incidentmelding en coördinatie belangrijker. Besturen kunnen zich minder makkelijk beroepen op het idee dat cybersecurity uitsluitend een technisch IT-onderwerp is. Een CISO moet daarom zorgen voor duidelijke escalatiepaden, vooraf geoefende incidentprocedures en rapportage die bestuurders helpt om onderbouwde beslissingen te nemen.

Voorbeelden liggen voor de hand in sectoren zoals energie, transport, gezondheidszorg, digitale infrastructuur, financiële dienstverlening, overheidsdiensten en bepaalde leveranciers in kritieke ketens. Ook organisaties die zelf niet rechtstreeks onder NIS2 vallen, kunnen via klanten of contracten alsnog strengere eisen krijgen. Third-party risk wordt daardoor een vast onderdeel van de CISO-agenda, niet een bijlage bij procurement.

Rapportagelijnen: aan wie rapporteert een CISO?

Er bestaat geen universeel juiste rapportagelijn voor een CISO. De keuze bepaalt wel hoeveel onafhankelijkheid, budgetinvloed en bestuurlijke zichtbaarheid de functie krijgt. In Belgische ondernemingen komt rapportage aan de CIO nog steeds vaak voor, vooral wanneer de CISO historisch uit IT-security is gegroeid. Dat kan efficiënt zijn voor uitvoering, maar het kan spanning geven wanneer de CISO risico’s moet rapporteren over projecten waarvoor dezelfde IT-lijn verantwoordelijk is.

Rapportage aan de CEO of het directiecomité geeft de CISO doorgaans meer onafhankelijkheid en maakt cyberrisico onderdeel van ondernemingsrisico. In sterk gereguleerde omgevingen kan een lijn naar de CRO, risk committee of raad van bestuur logisch zijn, zeker wanneer cybersecurity wordt behandeld naast operationeel risico, compliance en continuïteit. De meest volwassen aanpak combineert vaak een functionele lijn naar bestuur of risk governance met nauwe operationele samenwerking met CIO en CTO.

CISO, DPO en security manager: verwante rollen, andere verantwoordelijkheden

De CISO en de Data Protection Officer werken vaak nauw samen, vooral onder de GDPR. Toch hebben ze verschillende opdrachten. De DPO bewaakt gegevensbescherming, privacyrechten, rechtmatigheid van verwerking en onafhankelijk advies over privacyverplichtingen. De CISO richt zich op informatiebeveiliging, cyberrisico, beveiligingsarchitectuur, incidentrespons en operationele controls.

De samenwerking is vooral belangrijk bij privacy-by-design, datalekken, toegangsbeheer, logging, encryptie, bewaartermijnen en leveranciersbeoordelingen. Een conflict ontstaat wanneer beveiligingsmonitoring meer persoonsgegevens verwerkt dan nodig, of wanneer privacy-eisen botsen met detectie- en auditbehoeften. In volwassen organisaties worden zulke spanningen niet ad hoc opgelost, maar via vooraf vastgelegde governance: duidelijke rollen, gezamenlijke risicoanalyses en beslissingen die worden vastgelegd.

Een security manager is meestal dichter betrokken bij dagelijkse uitvoering, teamcoördinatie en operationele controles. Een CISO kan die taken aansturen, maar hoort vooral het mandaat te hebben om beleid, risicobereidheid en prioriteiten op organisatieniveau te bepalen. In kleinere organisaties kan één persoon meerdere rollen combineren, maar dan moet de scope expliciet worden gemaakt om belangenconflicten en blinde vlekken te vermijden.

De eerste 90 dagen van een CISO

Een nieuwe CISO levert het snelst waarde wanneer de eerste maanden niet worden besteed aan losse toolaankopen, maar aan zichtbaarheid, prioritering en bestuurlijke afspraken. Veel organisaties hebben al beveiligingsmaatregelen, maar missen een actueel risicobeeld, eigenaarschap per risico en meetbare criteria voor verbetering. De eerste periode moet daarom vooral duidelijk maken waar de grootste blootstelling zit en welke beslissingen het bestuur moet nemen.

1. Breng de kritieke processen, kroonjuwelen, wettelijke verplichtingen en belangrijkste leveranciers in kaart.
2. Maak een eerste risk register met eigenaars, impact, waarschijnlijkheid, bestaande controles en ontbrekende beslissingen.
3. Controleer incidentrespons, back-upherstel, toegangsbeheer en kwetsbaarheden op directe verbeterpunten.
4. Definieer rapportagemetrics die bestuurders begrijpen, zoals risicoacceptatie, patch-achterstand, leveranciersrisico en incidentoefeningen.
5. Leg de risicobereidheid, escalatiepaden en besluitvormingsstructuur formeel vast.

Deze aanpak voorkomt een veelgemaakte valkuil: beginnen met technologie voordat duidelijk is welk risico moet dalen. Tools zijn nuttig wanneer ze passen in een programma met eigenaarschap, processen en metingen. Zonder dat kader ontstaat snel een stapel dashboards die weinig zegt over de echte weerbaarheid van de organisatie.

Vaardigheden en groeipad naar CISO

Een CISO heeft technische geloofwaardigheid nodig, maar de functie is geen puur technische eindpositie. De rol vraagt om risicomanagement, communicatie, beleidsvorming, leveranciersbeheer, crisisleiding en het vermogen om met bestuurders te spreken over keuzes onder onzekerheid. Veel CISO’s groeien door vanuit security engineering, security operations, governance risk and compliance, audit, architectuur of IT-management.

Een realistisch groeipad begint vaak met diepte in één domein en verbreedt daarna naar governance en leiderschap. Wie uit operations komt, moet leren werken met risicoacceptatie, auditbevindingen en bestuursrapportage. Wie uit compliance komt, moet voldoende technisch begrip opbouwen om architectuurkeuzes en dreigingsscenario’s te beoordelen. De sterkste profielen combineren beide kanten zonder te vervallen in jargon.

Certificeringen kunnen die ontwikkeling structureren, maar ze zijn geen garantie op CISO-competentie. CISSP is nuttig voor brede securitydomeinen en wordt vaak gevraagd in senior profielen; CISM past goed bij governance, risicobeheer en programmasturing. Voor professionals die zich willen verdiepen, kunnen een CISSP training of CISM training helpen om kennis te ordenen rond erkende examendomeinen. CRISC, ISO/IEC 27001 Lead Implementer of Lead Auditor en architectuurgerichte trajecten zoals Microsoft SC-100 kunnen aanvullend zinvol zijn afhankelijk van de richting van de rol.

Fulltime CISO, vCISO of security manager?

Niet elke organisatie heeft meteen een fulltime CISO nodig. Een KMO met beperkte complexiteit, weinig gereguleerde activiteiten en een klein IT-landschap kan soms beter starten met een parttime CISO of vCISO die governance opzet, prioriteiten bepaalt en interne teams begeleidt. Dat werkt alleen wanneer het mandaat duidelijk is en de organisatie niet verwacht dat één externe rol tegelijk beleid, uitvoering, monitoring en incidentrespons volledig draagt.

Voor een gereguleerde organisatie, een NIS2-relevante entiteit of een bedrijf met complexe toeleveringsketens is een interne CISO met formeel mandaat vaak logischer. De rol moet dan toegang hebben tot directie, budgetbesprekingen en strategische projecten. Een snelle scale-up kan tijdelijk baat hebben bij een interim CISO om structuur te brengen totdat een permanent team en governance zijn opgebouwd.

Bij hiring is de belangrijkste vraag niet alleen welke titel op het cv staat, maar welk probleem de organisatie wil oplossen. Een bedrijf dat vooral operationele detectie mist, heeft misschien eerst een security operations lead nodig. Een bedrijf met audits, klanteneisen, NIS2-druk en onduidelijke risicobesluiten heeft eerder CISO-capaciteit nodig.

Salaris en arbeidsmarkt in België

CISO-verloning in België hangt sterk af van sector, organisatiegrootte, internationale scope, rapportagelijn, gereguleerde status en de mate waarin de rol budget- en bestuursverantwoordelijkheid draagt. Een CISO in een gereguleerde onderneming met incidentmeldingsplichten, audits en complexe leveranciersketens heeft doorgaans een andere marktwaarde dan een security manager in een kleinere organisatie met vooral operationele taken.

Omdat salarisdata snel veroudert, is het verstandiger om Belgische bronnen te raadplegen dan internationale gemiddelden over te nemen. Lokale salarissurveys van Belgische recruitment- en HR-partijen, sectorbenchmarks, publieke vacaturedata en Belgische beloningsrapporten geven een realistischer beeld in euro. Let daarbij op het onderscheid tussen vast loon, bonus, bedrijfswagen, aandelenregelingen, wachtdienstvergoedingen en consultant- of interimtarieven.

De arbeidsmarkt laat ook zien dat CISO-titels niet overal hetzelfde betekenen. Sommige vacatures zoeken een strategische security executive, andere gebruiken de titel voor een senior security manager. Kandidaten en werkgevers doen er daarom goed aan om verantwoordelijkheden, rapportagelijn, budgetmandaat en incidentbevoegdheid expliciet te bespreken voordat salarisvergelijkingen worden gemaakt.

Veelvoorkomende valkuilen in de CISO-rol

De eerste valkuil is tool-first denken. Nieuwe platformen kunnen waardevol zijn, maar ze lossen geen onduidelijke risicobereidheid, zwak eigenaarschap of gebrekkige incidentprocedures op. Een CISO moet technologie koppelen aan concrete risicovermindering en meetbare controls.

Een tweede valkuil is te weinig aandacht voor leveranciers en ketens. Onder NIS2 en in moderne cloud- en SaaS-omgevingen bevinden belangrijke risico’s zich vaak buiten de eigen muren. Contractuele beveiligingseisen, assurance-rapporten, exitplannen en incidentmeldafspraken zijn daarom geen administratieve details, maar onderdeel van cyberweerbaarheid.

Een derde valkuil is rapporteren met technische metrics die het bestuur niet kan gebruiken. Aantallen kwetsbaarheden of alerts zijn pas relevant wanneer duidelijk is welke kritieke processen geraakt worden, welk risico blijft bestaan en welke beslissing nodig is. Goede CISO-rapportage maakt onzekerheid bestuurbaar.

Waar de CISO-rol naartoe groeit

De CISO wordt in België steeds meer een brug tussen technologie, wetgeving en ondernemingsbestuur. NIS2, GDPR, cloudafhankelijkheid, AI-toepassingen en geopolitieke dreigingen maken cybersecurity minder vrijblijvend. Organisaties hebben iemand nodig die dreigingen begrijpt, maar ook kan bepalen welke risico’s gedragen, verminderd, verzekerd of geëscaleerd moeten worden.

Wie zich richting deze rol ontwikkelt, bouwt best niet alleen certificeringen op, maar ook ervaring met incidenten, audits, budgetten, leveranciers, bestuurspresentaties en moeilijke prioriteiten. Readynez kan daarbij één onderdeel van het leertraject ondersteunen via gerichte security trainingen en bredere toegang via Unlimited Security Training. De praktische vooruitgang ontstaat wanneer opleiding wordt gecombineerd met verantwoordelijkheid in echte governance- en risicosituaties.

De meest effectieve volgende stap is het huidige beveiligingsmandaat helder maken: wie beslist over risico, wie voert uit, wie rapporteert en welke verplichtingen gelden voor de organisatie. Wie daarover wil sparren of een opleidingspad richting CISO wil bespreken, kan contact opnemen.

FAQ

Wat is de rol van een CISO?

Een CISO leidt de informatiebeveiligingsstrategie en zorgt dat cyberrisico’s worden beheerd op een manier die past bij de bedrijfsdoelen, wettelijke verplichtingen en risicobereidheid van de organisatie. De rol omvat beleid, governance, incidentrespons, leveranciersrisico, awareness, rapportage en afstemming met directie of bestuur.

Is een CISO verplicht onder NIS2?

NIS2 verplicht organisaties niet automatisch om de functietitel CISO te gebruiken. De richtlijn legt wel nadruk op risicobeheer, passende beveiligingsmaatregelen, incidentmelding en bestuurlijke verantwoordelijkheid. In veel organisaties maakt dat een formele CISO-rol of vergelijkbare security governance-functie praktisch noodzakelijk.

Welke kwalificaties zijn nodig om CISO te worden?

Een CISO heeft meestal ruime ervaring in cybersecurity, IT-risico, governance of security operations. Relevante certificeringen zoals CISSP, CISM, CRISC of ISO/IEC 27001 kunnen helpen, maar ervaring met leiderschap, incidenten, audits, leveranciers en bestuursrapportage is minstens zo belangrijk.

Wat is het verschil tussen een CISO en een DPO?

De CISO is verantwoordelijk voor informatiebeveiliging en cyberrisicobeheer. De DPO bewaakt gegevensbescherming en privacyverplichtingen onder de GDPR. Ze werken samen bij datalekken, privacy-by-design en beveiligingsmaatregelen rond persoonsgegevens, maar hun verantwoordelijkheden en onafhankelijkheid moeten duidelijk gescheiden blijven.

Wanneer is een vCISO geschikt?

Een vCISO is vooral geschikt voor organisaties die strategische securitykennis nodig hebben, maar nog geen fulltime CISO kunnen verantwoorden. Dat kan bij KMO’s, tijdelijke transformaties of scale-ups. Voor sterk gereguleerde organisaties of complexe NIS2-omgevingen is een interne CISO met formeel mandaat vaak beter passend.