In 2026 wordt er nog steeds gedebatteerd over de rapportagelijn van de chief information security officer (CISO). Ondanks meer dan twintig jaar aan grote cyberincidenten, toenemende regelgeving, forse investeringen in technologie en de groeiende aandacht voor cybersecurity in bestuurskamers, is deze discussie nog niet afgerond. Dit toont aan dat veel organisaties nog worstelen met de fundamentele vraag wat precies de rol van de CISO binnen de onderneming is.

De rapportagelijn is belangrijk omdat deze de autoriteit, zichtbaarheid en invloed van de beveiligingsfunctie binnen de organisatie bepaalt. Het geeft intern aan hoe serieus cybersecurity wordt genomen en beïnvloedt hoe effectief de CISO kan samenwerken met het managementteam. Toch is de rapportagelijn nooit de kernvraag geweest. De essentie is of de CISO voldoende organisatorische positie heeft om beslissingen te beïnvloeden over verschillende afdelingen heen, zoals IT, operations, juridische zaken, compliance, HR, inkoop, leveranciers en het steeds complexere ecosysteem van partners en digitale platforms.

Cybersecurity raakt vrijwel elk onderdeel van een organisatie en is daarmee per definitie een cross-functioneel thema. Zonder voldoende autoriteit en zichtbaarheid kan een CISO geen gedragsverandering binnen de organisatie bewerkstelligen of betekenisvolle verbeteringen doorvoeren. De aanhoudende discussie over de rapportagelijn in 2026 wijst erop dat veel organisaties cybersecurity nog steeds als een technisch probleem zien in plaats van een leiderschapsvraagstuk.

Deze discussie weerspiegelt een bredere governancekloof. In het verleden was informatiebeveiliging vooral een technische discipline binnen IT, gericht op het beschermen van infrastructuur zoals firewalls, toegangscontrole en netwerkmonitoring. Het was logisch dat de beveiligingsfunctie toen binnen IT viel. Tegenwoordig is cyberrisico echter veel breder en strategischer van aard. Cybersecurity beschermt digitale bedrijfsmodellen, klantvertrouwen, intellectueel eigendom, operationele veerkracht en in sommige sectoren zelfs nationale veiligheidsbelangen. Desondanks zijn de governance-structuren rondom cybersecurity in veel organisaties niet mee geëvolueerd.

Een universele rapportagelijn bestaat niet. Jaarlijks proberen onderzoeken de 'juiste' rapportagelijn voor de CISO vast te stellen, met uiteenlopende aanbevelingen zoals rapporteren aan de CEO, CRO of COO, en het belang van onafhankelijkheid van IT. In werkelijkheid verschilt dit per organisatie, afhankelijk van structuur, cultuur, volwassenheid en regelgeving. De rapportagelijn is slechts een middel om het doel te bereiken: een CISO met voldoende invloed om cybersecurity als strategisch bedrijfsrisico te managen.