Veel vacatures voor een Chief Information Security Officer (CISO) vragen om een schaap met vijf poten. Volgens Orange Cyberdefense is dat niet alleen onrealistisch, maar ook onverstandig omdat de beveiligingsopdracht per organisatie verschilt. Daarom werkt Matthijs van der Wel-ter Weel, CISO en strategisch adviseur bij Orange Cyberdefense, aan een model dat momenteel acht specifieke CISO-rollen onderscheidt. Werkgevers bepalen daarmee eerst welke rol bij hun situatie past en kunnen vervolgens veel gerichter een vacature opstellen.

Een functietitel, acht opdrachten

Een scale-up zonder securityteam zoekt iemand die de basis legt. Een bank moet aan strenge regelgeving voldoen. Een bedrijf na een cyberaanval moet vertrouwen herstellen, en een multinational met een volwassen beveiligingsorganisatie wil risico’s beheersen en het bestuur adviseren. Vier opdrachten die vragen om vier verschillende leiders.

“Een vacature waarin de CISO alles moet kunnen, zegt vaak vooral dat de organisatie zelf nog niet heeft bepaald wat de CISO moet komen oplossen”, zegt Van der Wel-ter Weel. Organisaties schuiven die keuzes vervolgens door naar de kandidaat, die aan een steeds langere lijst eisen moet voldoen.

Het model onderscheidt de volgende acht rollen:

• Founding security leader: bouwt een beveiligingsfunctie vanaf nul op.
• Operational CISO: brengt controle en voorspelbaarheid in een IT-georiënteerde organisatie.
• Compliance and risk CISO: zorgt dat een organisatie aan wet- en regelgeving voldoet en risico’s beheerst.
• Transformational CISO: begeleidt een groot veranderprogramma of een fusie, vaak voor drie tot vijf jaar.
• Post-breach CISO: herstelt het vertrouwen na een cyberincident.
• Steady-state CISO: houdt een volwassen beveiligingsprogramma stabiel en betaalbaar.
• Commercial CISO: ondersteunt de verkoop aan klanten in gereguleerde sectoren.
• Enterprise risk CISO: stuurt op cyberweerbaarheid als bestuurlijke verantwoordelijkheid binnen een groot concern.

Om duidelijk te maken waarin de acht rollen verschillen, kijkt Van der Wel-ter Weel naar vier zaken: de ontwikkelingsfase van de organisatie, hoe volwassen de beveiliging is, welke positie de CISO binnen de organisatie heeft en wat deze moet bereiken.

Ook de positie van de CISO binnen de organisatie verschilt. Volgens het Global CISO Leadership Report 2026 van Hitch Partners rapporteert 32 procent van de CISO’s bij bedrijven met minder dan 500 medewerkers rechtstreeks aan de CEO, tegenover 3 procent bij bedrijven met meer dan 10.000 medewerkers. Het onderzoek richt zich voornamelijk op de Noord-Amerikaanse markt. De cijfers laten zien dat rapportagelijnen sterk uiteenlopen. Volgens Orange Cyberdefense moeten de verantwoordelijkheden, bevoegdheden en toegang tot het bestuur aansluiten bij de opdracht.

Veel ervaring, maar wel de juiste?

Een ervaren CISO is niet automatisch de juiste CISO. Iemand die een organisatie door een grote cyberaanval heeft geholpen, kan uitstekend zijn in crisismanagement. Maar het jarenlang leiden van een stabiele beveiligingsafdeling vraagt om andere vaardigheden. Hetzelfde geldt voor het opbouwen van een beveiligingsteam of het zorgen dat een organisatie aan alle regels voldoet. Toch kijken werkgevers bij de selectie vaak vooral naar eerdere functies, certificeringen en jaren ervaring.

Hoe sterk de CISO-functie kan verschillen, blijkt ook uit de beloning. Onderzoekers van IANS Research en Artico Search onderscheiden drie typen CISO’s: strategisch, functioneel en tactisch. Daarbij kijken ze onder meer naar hoeveel toegang de CISO heeft tot de directie en het bestuur. Uit hun onderzoek (State of the CISO 2025) blijkt dat strategische CISO’s 57 procent meer totale beloning ontvangen dan functionele CISO’s en twee keer zoveel als tactische CISO’s. Ook de grootte van de organisatie en de sector spelen een rol.

In drie stappen naar een passende CISO

Volgens Orange Cyberdefense begint de zoektocht naar een nieuwe CISO met drie keuzes. Die helpen werkgevers om een functieprofiel op te stellen dat aansluit bij wat hun organisatie daadwerkelijk nodig heeft.

1. Bepaal wat de CISO moet bereiken

Breng eerst in kaart welke uitdagingen de nieuwe CISO moet aanpakken. Gaat het om het herstellen van de beveiliging na een cyberaanval, het behalen van een certificering of het verder professionaliseren van de beveiligingsorganisatie? Benoem bij voorkeur drie concrete resultaten en bepaal binnen welke termijn die moeten worden bereikt. Sommige opdrachten zijn tijdelijk, terwijl andere vragen om langdurig leiderschap.

2. Geef de juiste positie en bevoegdheden

De opdracht bepaalt ook hoeveel ruimte de CISO nodig heeft om beslissingen te nemen. Moet deze rechtstreeks met het bestuur kunnen overleggen? Welke verantwoordelijkheden krijgt de CISO en over welke mensen en middelen kan die beschikken? Door dit vooraf vast te leggen, wordt duidelijk welke van de acht CISO-rollen het beste bij de organisatie past.

3. Zoek ervaring die bij de opdracht past

Pas daarna begint de zoektocht naar kandidaten. Kijk daarbij verder dan functietitels, certificeringen en jaren ervaring. Heeft iemand eerder vergelijkbare uitdagingen aangepakt? En heeft die kandidaat laten zien de gewenste resultaten te kunnen bereiken? Houd er bovendien rekening mee dat de behoefte aan een bepaald type CISO kan veranderen naarmate de organisatie zich ontwikkelt.

Volgens Van der Wel-ter Weel begint goed cybersecurityleiderschap dan ook bij de keuzes die een organisatie zelf maakt. “Je kunt de beste CISO op de markt binnenhalen, maar als die niet past bij de uitdagingen van je organisatie, schiet je er weinig mee op. Als je geen duidelijke keuzes durft te maken dan loop je het risico dat zowel de CISO als de organisatie vastlopen”, besluit Van der Wel-ter Weel.

Ook het securityteam verandert

De keuze voor een CISO staat niet los van de inrichting van het securityteam. In een vervolgartikel onderzoekt Van der Wel-ter Weel hoe AI en automatisering het werk van cybersecurityprofessionals veranderen. Hij beschrijft vijf belangrijke functies binnen het securityteam van 2028 en laat zien wat die ontwikkeling betekent voor het aannemen en bijscholen van medewerkers.