klant vraagt wie onze CISO is maar wij hebben geen aparte functie daarvoor

Geen CISO in dienst is geen probleem

De vraag naar een CISO gaat niet over een titel op een visitekaartje, maar over de rol: wie is er verantwoordelijk voor informatiebeveiliging en cybersecurity, en wie kan de klant aanspreken als er iets is. Bij kleinere ondernemingen ligt die rol vaak bij de directeur, de IT-manager of iemand die het "erbij doet". Dat is een geldig antwoord, zolang je kunt aanwijzen wie het is en wat die persoon doet.

Beantwoord de vraag dus met de functie die de rol wél vervult, niet met "n.v.t.". Typische invulling: "de rol van CISO wordt vervuld door [functie], verantwoordelijk voor [taken]". Dat sluit aan bij wat klanten in de praktijk toetsen: niet de titel, maar of er toezicht is op risicoanalyse en de beveiliging van informatiesystemen en of de beveiligingsmaatregelen periodiek worden getoetst. Governance is het onderliggende thema, geen personeelsvraag.

Governance staat los van de functietitel

Artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555) noemt tien categorieën maatregelen, waaronder beleid inzake risicoanalyse en beveiliging van informatiesystemen — een CISO-titel komt in dat rijtje niet voor. ISO/IEC 27001 werkt met dezelfde logica: Annex A vraagt om toegewezen verantwoordelijkheden voor informatiebeveiliging (vaak onder A.5, organisatie van informatiebeveiliging), niet om een specifieke functienaam. De vragenlijst van de klant vertaalt die eis meestal naar "wie is de CISO" omdat dat de gangbare term is bij grotere organisaties, maar de onderliggende vraag blijft: is de verantwoordelijkheid toegewezen. Zodra dat is vastgelegd — al is het in een functieomschrijving van de directeur — is er een feitelijke basis voor een antwoord, ook zonder de titel zelf.