Wat doet een externe CISO voor een MKB-bedrijf?

Een CISO, ook wel Chief Information Security Officer, stuurt binnen een organisatie op informatiebeveiliging: welke risico’s je loopt, welke maatregelen daarbij horen en of die ook echt werken. In het MKB is dat zelden een functie voor vijf dagen per week. Een externe CISO vult de rol in voor een vast aantal dagen per maand.

Hieronder staat wat die rol inhoudt en waarin hij verschilt van je IT-beheerder.

Kort samengevat

• Een externe CISO stuurt op beleid, risico’s, leveranciers en incidenten. Het beheer van je systemen blijft bij je IT-partij.
• De Cyberbeveiligingswet schrijft geen CISO voor. Die legt het goedkeuren van de maatregelen bij het bestuur, en dat kun je niet uitbesteden.
• De wet geldt sinds 15 augustus 2026 voor ongeveer 8.000 organisaties in achttien sectoren, vanaf 50 medewerkers. Sector en omvang moeten allebei kloppen.
• Een externe CISO levert een informatiebeveiligingsbeleid op, brengt je risico’s in kaart en rapporteert aan de directie.

Wat doet een externe CISO precies?

Een externe CISO stuurt op vier dingen: je beleid, je risico’s, je leveranciers en je incidenten. Hij beantwoordt vragen als: welke gegevens hebben we, wie kan erbij, en wat gebeurt er als ons ordersysteem drie dagen plat ligt.

Hij installeert zelf niets. Hij bepaalt wat er moet gebeuren, spreekt af wie het doet en controleert of het gedaan is. Daarnaast doet een CISO het vertaalwerk: de beveiligingsvragenlijst van een klant, de incidentprocedure die je verzekeraar opvraagt, de vragen van een auditor.

Een externe CISO heb je bij ons al vanaf één dag per maand, met een vast aanspreekpunt. Zo ziet CISO as a Service er in de praktijk uit.

Wat is het verschil tussen een externe CISO en je IT-beheerder?

Je IT-beheerder houdt je systemen draaiend: updates, accounts, storingen. Zijn werk is uitvoerend en dagelijks. Een CISO kijkt een niveau hoger en stelt de vraag of de juiste dingen gebeuren. Waarom hebben zes mensen beheerdersrechten? Wanneer is de back-up voor het laatst teruggezet in plaats van alleen gemaakt? Welke leverancier heeft toegang tot ons netwerk?

Die twee rollen vullen elkaar aan. Het is bovendien ongemakkelijk om je eigen IT-partij te laten beoordelen of zijn werk veilig genoeg is. Een externe CISO doet dat wel, en laat het toetsen met een security scan of pentest.

Verplicht de Cyberbeveiligingswet een CISO?

Nee. De Cyberbeveiligingswet noemt de functie van CISO nergens. Die verplicht organisaties die eronder vallen tot een zorgplicht, een meldplicht en een registratieplicht, en laat in het midden wie dat werk doet.

De wet geldt sinds 15 augustus 2026. Je valt eronder als je aan twee voorwaarden tegelijk voldoet: je zit in een van de achttien aangewezen sectoren, en je hebt 50 tot 249 medewerkers of een jaaromzet vanaf 10 miljoen euro. Het NCSC rekent op ongeveer 8.000 organisaties. Buiten die sectoren geldt de wet niet, hoe groot je ook bent.

Val je er wel onder, dan meld je een ernstig incident binnen 24 uur bij het CSIRT en registreer je je in het entiteitenregister. De rest staat in onze blog over NIS2-verplichtingen voor het MKB en op de pagina over NIS2-compliance. De wet komt ook via de keten langs. Klanten die er wel onder vallen moeten hun leveranciers beoordelen en sturen daarom vragenlijsten rond.

Wat levert een externe CISO op in de eerste drie maanden?

Hoe snel het gaat hangt af van waar je begint en van wat er in je organisatie al ligt. Dit is waar we naartoe werken:

1. Een informatiebeveiligingsbeleid: waarin staat wat je beschermt, wie waarover beslist en welke regels gelden.
2. Een overzicht van je gegevens, systemen en leveranciers, met per onderdeel wat er misgaat als het uitvalt of uitlekt. Daarmee staan je risico’s in kaart.
3. Een lijst met maatregelen op volgorde van risico, met per maatregel een naam erbij. Geen twintig punten tegelijk.
4. Een incidentprocedure.
   Wie belt wie, wie praat met de klant, wie zet systemen uit. Een procedure die nooit is doorlopen werkt op de dag zelf niet.
5. Een rapportage aan de directie: waar je stond, wat er is gedaan en wat er open staat.

Wat blijft de verantwoordelijkheid van de directie?

Het goedkeuren van de maatregelen, en toezien op de uitvoering. Zo staat het in de Cyberbeveiligingswet: het bestuur keurt de maatregelen goed die onder de zorgplicht worden genomen, en ziet toe op de uitvoering. De wet vraagt daarnaast dat bestuurders genoeg kennis hebben om risico’s en maatregelen te beoordelen. Een externe CISO bereidt die besluiten voor en legt ze uit in gewone taal. Het besluit blijft bij de directie. Daarom is een NIS2-directietraining voor veel besturen de eerste stap.

Wanneer is een externe CISO nog te vroeg?

Als de basis nog niet staat. Back-ups die je ook echt hebt teruggezet, tweefactorauthenticatie op je mail, updates die draaien en persoonlijke beheerdersaccounts: dat regel je zonder CISO. Wij komen gedeelde beheerdersaccounts en default wachtwoorden nog geregeld tegen in productie. Daar ligt dan je winst.

Een externe CISO wordt zinvol zodra er richting nodig is. Meestal als klanten of verzekeraars eisen stellen, je voor een certificering gaat, je onder de Cyberbeveiligingswet valt, of niemand kan uitleggen wie waarover beslist.