vragenlijst vraagt om contactpersoon voor security, wie moet dat zijn bij ons

De contactpersoon is een rol, geen naam op de vragenlijst

Vul degene in die intern verantwoordelijk is voor de beveiligingsmaatregelen, niet noodzakelijk de eigenaar of de directeur. In de praktijk is dat de persoon die ook betrokken is bij het proces voor het opsporen en verhelpen van kwetsbaarheden en bij de procedure voor het behandelen van beveiligingsincidenten — vaak dus dezelfde persoon die intern het aanspreekpunt is als er iets misgaat. Bij een klein bedrijf is dat vaak de ondernemer zelf of de IT-beheerder; bij een groter bedrijf een security officer of iemand met een vergelijkbare functietitel. Belangrijker dan de titel is dat deze persoon bereikbaar is en weet wat er speelt, want de klant gebruikt dit contact vooral bij een incident of een audit.

Zet liever een rol- of functiepostbus dan een privé-naam, als dat kan: dat voorkomt dat de vragenlijst verouderd raakt zodra iemand van functie wisselt. Een adres als "security@" of "ciso@" werkt voor de klant net zo goed als een naam, en is stabieler. Heeft de onderneming nog geen aparte functie hiervoor, dan is het gebruikelijk om de algemeen verantwoordelijke voor IT of bedrijfsvoering op te geven — zolang die persoon ook echt aanspreekbaar is op de inhoud, niet alleen op naam.

Waar dit vandaan komt: artikel 21 en de rol van governance

Artikel 21 lid 2 van de NIS2-richtlijn noemt geen contactpersoon als apart vereiste, maar de tien maatregelen die daar staan — waaronder risicobeheer, incidentafhandeling en bedrijfscontinuïteit — veronderstellen wel dat iemand ze intern draagt en aanspreekbaar is. Klanten die hiernaar vragen, toetsen dus eigenlijk of er beleid is voor risicoanalyse en de beveiliging van informatiesystemen en of dat beleid een eigenaar heeft. ISO/IEC 27001 werkt dit concreter uit: Annex A bevat maatregelen over rollen en verantwoordelijkheden binnen de informatiebeveiliging, en een aangewezen contactpersoon is daar vaak het zichtbare bewijs van. De Nederlandse Cyberbeveiligingswet, die de NIS2-richtlijn omzet en op 15 augustus 2026 in werking treedt, voegt op dit punt geen aparte eis toe boven wat er al in de richtlijn staat.