wij hebben geen CISO, wie vul ik in bij wie verantwoordelijk is voor security

Geen functietitel nodig, wel een aanwijsbare rol

Artikel 21 lid 2 NIS2 vraagt niet om een CISO. Er staat nergens dat een functietitel verplicht is — de richtlijn vraagt om "passende en proportionele technische, operationele en organisatorische maatregelen", en om governance daarboven. Wat je moet kunnen invullen is wie er intern beslist over informatiebeveiliging en wie de directie erop aanspreekt. Bij een kleinere onderneming is dat vaak de directeur zelf, een IT-manager met beveiliging als deeltaak, of een externe partij die structureel is ingehuurd. Vul die rol in met naam of functie, niet met "niemand" en niet met een titel die er niet is.

Waar je op moet letten: het gaat de klant niet om de titel, maar om aantoonbaarheid. Kun je laten zien dat er iemand verantwoordelijk is voor beleid voor risicoanalyse en de beveiliging van informatiesystemen, en dat diezelfde of een andere aangewezen persoon ook het aanspreekpunt is bij beveiligingsincidenten? Dat is het bewijsstuk dat meestal wordt gevraagd: een organogram, een RACI-tabel, of gewoon een paragraaf in het beleidsdocument die de rol en de bevoegdheden benoemt. Heb je dat niet vastgelegd, dan is "nee" met een toelichting dat de directie deze verantwoordelijkheid draagt een eerlijker antwoord dan een verzonnen functie.

Waar dit uit volgt: artikel 21 lid 2 sub a NIS2 en Annex A 5.2 ISO 27001

Artikel 21 lid 2 sub a noemt "beleid inzake risicoanalyse en beveiliging van informatiesystemen" als eerste van de tien maatregelen, en governance is daar een impliciet onderdeel van: zonder aangewezen verantwoordelijke is beleid niet uitvoerbaar en niet controleerbaar. ISO/IEC 27001 maakt dit expliciet in Annex A 5.2, "information security roles and responsibilities", waar wél een rol wordt gevraagd maar geen specifieke titel. Vul je deze lijst in zonder ISO-certificaat, dan is het extra belangrijk dat de rolverdeling ergens op papier staat — dat scheelt bij de vraag of de onderneming ISO 27001-gecertificeerd is, waar je anders met lege handen staat.