Wat wij inbrengen
- De cybersecuritystrategie, het beleid en het besluitmodel opstellen ter vaststelling door de leiding, en toezien op de uitvoering.
- Het bestuur helpen de risicobereidheid vast te stellen en bij te houden, met de toleranties die haar meetbaar maken.1
- Het cyberrisicobeeld bijhouden en technische blootstelling vertalen naar heldere rapportage aan bestuur en directie.
- Securityprioriteiten afstemmen tussen business, IT, juridische zaken en externe partijen.
- Incidentvoorbereiding leiden via simulaties en tabletop-oefeningen, en de crisiscoördinatie ondersteunen wanneer dat nodig is.
- Securitybewustzijn en zichtbaar leiderschap in de hele organisatie aanjagen.
De rol
Het European Cybersecurity Skills Framework beschrijft de CISO als degene die de cybersecuritystrategie van de organisatie en de uitvoering ervan beheert, het hoger management informeert over cyberrisico’s en ervoor zorgt dat het hoger management die risico’s goedkeurt.2 Daarmee is de rol per definitie een brug: tussen het bestuur, dat onder NIS2 verantwoordelijk is voor de maatregelen,3 en de operationele en technische teams die ze uitvoeren.
Afgestemd op uw behoefte
Bij de intake spreken wij af wat de rol moet bereiken: de verantwoordelijkheden, de besluiten die de CISO voorbereidt, de rapportagelijn en de momenten waarop de CISO aanwezig is, zoals vergaderingen van bestuur en risico- of auditcommissie, contacten met de toezichthouder en incidenten. Afhankelijk van uw behoefte legt de opdrachtbrief een vaste maandprijs voor die rol vast, of een afgesproken aantal dagen per maand. Op afgesproken evaluatiemomenten bezien wij met u of de rol nog past, en passen wij haar aan naarmate het programma volwassener wordt of wanneer u een vaste CISO aanstelt.
Het resultaat
Een senior securityleider die aannames ter discussie stelt, investeringen richt, verantwoordelijkheid belegt en de cybersecurity-agenda in beweging houdt: een heldere agenda, zichtbaar eigenaarschap en bestuurlijke rapportage.
Wanneer deze dienst past
Wanneer een vaste CISO nog niet praktisch is, tijdens wisselingen in de leiding, bij het opbouwen van een securityprogramma, of wanneer een bestaande securityleider extra senior capaciteit nodig heeft.
Bronnen
-
NIST, The NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29, februari 2024, uitkomst GV.RM-02. doi.org/10.6028/NIST.CSWP.29 (opent in een nieuw tabblad) ↩︎
-
ENISA, European Cybersecurity Skills Framework (ECSF): Role Profiles, september 2022, rolprofiel Chief Information Security Officer (CISO). enisa.europa.eu (opent in een nieuw tabblad) ↩︎
-
Richtlijn (EU) 2022/2555 (NIS2), artikel 20, lid 1. eur-lex.europa.eu (opent in een nieuw tabblad) ↩︎
