ze vragen wie onze CISO is maar wij hebben niemand met die titel

Geen CISO nodig, wel een aanspreekpunt voor beveiliging

Je kunt hier meestal gewoon "nee" invullen, zonder dat dit een tekortkoming is. Geen van de tien maatregelen in artikel 21 lid 2 van de NIS2-richtlijn schrijft een functietitel voor. De richtlijn regelt verplichtingen op organisatieniveau — governance, risicobeheer, incidentafhandeling — niet hoe je die intern verdeelt of hoe die rol heet. Een CISO ("Chief Information Security Officer") is één manier om dat in te vullen, vooral bij grotere organisaties, maar geen vereiste. Bij ISO/IEC 27001 ligt dat net zo: Annex A vraagt om vastgelegde verantwoordelijkheden voor informatiebeveiliging, niet om een specifieke titel op de loonstrook.

Wat je klant eigenlijk wil weten, is wie er intern verantwoordelijk is en aanspreekbaar bij een incident. Bij een kleinere onderneming is dat vaak de eigenaar zelf, de IT-manager, of iemand die beveiliging naast een andere rol doet. Vul dat in als antwoord op de achterliggende vraag: naam, functie, en eventueel hoe die persoon te bereiken is. Dat sluit ook aan bij wie er reageert als er een beveiligingsincident is — dat is meestal dezelfde persoon of hetzelfde team. Twijfel je of je klant genoegen neemt met "geen CISO, wel een verantwoordelijke"? Bevestig dat antwoord dan zelf niet blind met "ja" — dat is een inschatting die bij de indiener hoort, niet bij een automatisch ingevuld dossier.

Waar dit uit blijkt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt tien categorieën maatregelen, waaronder risicobeheer, incidentafhandeling en toegangsbeleid, maar geen rolbenaming. De Nederlandse Cyberbeveiligingswet, die deze richtlijn omzet en op 15 augustus 2026 in werking treedt, volgt dezelfde opzet. ISO/IEC 27001 Annex A vraagt in de sectie over organisatie van informatiebeveiliging om toegewezen verantwoordelijkheden, niet om een functietitel. Wil je nagaan of jouw onderneming zelf onder de NIS2-verplichtingen valt, dan is dat een aparte vraag die los staat van deze — kijk daarvoor naar of de onderneming als entiteit onder de NIS2-richtlijn valt.