Wat is CISO as a Service?
CISO as a Service, ook wel virtual CISO of vCISO genoemd, is de inzet van een ervaren Chief Information Security Officer op parttime, interim- of contractbasis. In plaats van een fulltime medewerker aan te nemen, koopt een organisatie een vast aantal uren of dagen per maand in bij een externe specialist die op directieniveau meedenkt en stuurt. De CISO stelt beleid op, adviseert de directie, stuurt IT-teams en leveranciers aan en bewaakt de voortgang op compliance-trajecten zoals NIS2 compliance begeleiding en ISO 27001 implementatiebegeleiding. Voor veel MKB- en middelgrote organisaties is dit de enige realistische manier om aan bestuurlijke eisen rond informatiebeveiliging te voldoen, zonder een dure vaste aanstelling te creeren.
De dienst onderscheidt zich van losse consultancy doordat de CISO een structurele, terugkerende rol vervult in plaats van eenmalig advies te geven. Waar een security-consultant een project oplevert en vertrekt, blijft een externe CISO betrokken bij de doorlopende sturing, rapportage en bijstelling van het beveiligingsbeleid.
Waarom de Cyberbeveiligingswet CISO as a Service urgent maakt
Vanaf 15 augustus 2026 zijn de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten van kracht voor meer dan 8.000 organisaties in Nederland (Bron: Rijksoverheid.nl, juli 2026). De wet legt de verantwoordelijkheid voor cyberrisicobeheer expliciet bij het bestuur. Bestuurders moeten aantoonbare kennis hebben van risico's voor netwerk- en informatiesystemen, moeten risicobeheersmaatregelen zelf goedkeuren en moeten regelmatig in gesprek gaan met hun eigen CISO over de digitale weerbaarheid van de organisatie (Bron: RDI.nl, bestuurlijke verantwoordelijkheid en governance). Voor organisaties zonder interne CISO ontstaat hierdoor een governance-gat: er is niemand die het bestuur structureel van risico-informatie voorziet. CISO as a Service vult precies dit gat, zonder dat de organisatie meteen een vaste functie hoeft te creeren.
Ook binnen ISO 27001 is een aangewezen verantwoordelijke voor informatiebeveiliging geen vrijblijvend advies. Annex A 5.2 van de norm schrijft voor dat rollen en verantwoordelijkheden voor informatiebeveiliging worden gedefinieerd en toegewezen, met iemand die aantoonbaar eindverantwoordelijk is. Een externe CISO kan die rol vervullen tijdens een security audit en assessment of een certificeringstraject.
Fulltime CISO versus CISO as a Service
Een fulltime CISO in Nederland verdient gemiddeld tussen de 77.500 en 85.000 euro per jaar, met uitschieters tot bijna 100.000 euro afhankelijk van ervaring en sector (Bron: Glassdoor, juli 2026). Daar komen werkgeverslasten, secundaire voorwaarden en wervingskosten nog bovenop. Tegelijk is de arbeidsmarkt krap: in Nederland duurt het vervullen van een cybersecurityvacature gemiddeld 127 dagen, tegen 82 dagen voor een gemiddelde IT-functie. CISO as a Service biedt dezelfde sturing en ervaring, maar tegen een vast maandbedrag voor een afgesproken aantal dagen, met de mogelijkheid om snel op of af te schalen rond audits, certificeringen of incidenten. Voor organisaties die nog geen volledige capaciteit nodig hebben, is dit vaak een verstandiger startpunt dan meteen te werven op een vaste functie.
Wat een externe CISO doet
Een CISO as a Service-dienstverlener vervult grofweg dezelfde taken als een interne CISO, maar dan op basis van een vast aantal dagen of uren. Dat betekent: het opstellen en actueel houden van informatiebeveiligingsbeleid, het uitvoeren of aansturen van een cybersecurity risicoanalyse, het adviseren van de directie over investeringen en prioriteiten, het aansturen van IT-leveranciers en interne teams, en het rapporteren aan bestuur of raad van commissarissen. Bij organisaties die ook persoonsgegevens verwerken, werkt de externe CISO vaak nauw samen met een functionaris gegevensbescherming, omdat informatiebeveiliging en privacy elkaar op veel punten raken.
Varianten en prijsindicaties
CISO as a Service wordt in de praktijk in drie hoofdvormen aangeboden. Instapmodellen starten vanaf circa 8 uur per maand, gericht op beleid, risicobeoordeling en periodiek overleg met de directie, met instapprijzen vanaf ongeveer 950 euro per maand. Structurele inzet loopt op tot 1 tot 3 dagen per week, waarbij de CISO ook operationeel stuurt op leveranciers, projecten en ISMS-software voor het beheer van beleid en maatregelen. Interim-inzet is tijdelijk en voltijds, bijvoorbeeld tijdens een vacatureperiode, een reorganisatie of direct na een incident, en loopt af zodra een vaste opvolger is aangesteld of de acute situatie is opgelost. De juiste variant hangt af van organisatiegrootte, risicoprofiel en de vraag of er al interne security-capaciteit aanwezig is.
De markt voor CISO as a Service in Nederland
CISO as a Service wordt in Nederland aangeboden door een groeiend aantal gespecialiseerde security-consultancybureaus, vaak in combinatie met ISO 27001-implementatiebegeleiding of NIS2-trajecten. Het is geen niche meer: tientallen bureaus, van eenpitters tot grotere consultancypraktijken, richten zich specifiek op parttime en interim CISO-dienstverlening voor het MKB en de non-profitsector. Deze bureaus verschillen in specialisatie: sommige richten zich op een specifieke sector zoals zorg of onderwijs, andere op een specifieke norm zoals ISO 27001 of NIS2. Bij de keuze van een aanbieder is het daarom belangrijk te kijken naar sectorervaring en naar concrete referenties, niet alleen naar prijs.
Hoe het implementatietraject verloopt
Een traject start met een intake waarin de externe CISO in gesprekken met directie en IT de huidige risico's en volwassenheid in kaart brengt, meestal binnen 1 tot 2 weken. Daarna volgt een week waarin doelen, rapportagelijnen en het mandaat van de CISO expliciet worden vastgelegd, iets wat achteraf lastig te repareren is als het wordt overgeslagen. Vervolgens stelt de CISO in 2 tot 4 weken een beveiligingsbeleid en prioriteitenroadmap op, afgestemd op NIS2- of ISO 27001-doelen. Daarna begint de doorlopende fase: de CISO stuurt op vaste dagen of uren per maand op uitvoering, leveranciers en interne teams. Elk kwartaal rapporteert de CISO aan de directie, wat precies de bestuurlijke betrokkenheid invult die de Cyberbeveiligingswet vereist.
Veelgemaakte fouten
De meest voorkomende fout is te weinig uren inkopen. Organisaties kopen een minimaal aantal uren in en verwachten toch volledige sturing, waardoor de CISO in de praktijk alleen adviseert maar niet daadwerkelijk stuurt. De oplossing is vooraf, op basis van organisatiegrootte en risicoprofiel, te bepalen hoeveel dagen per maand nodig zijn en dit af te spreken op te schalen bij audits of incidenten. De tweede veelgemaakte fout is geen mandaat vastleggen: de externe CISO krijgt geen formeel mandaat of rapportagelijn naar de directie, waardoor beslissingen vertragen of niet worden opgevolgd. Leg daarom mandaat, escalatiepaden en rapportagefrequentie vooraf schriftelijk vast, net zoals bij een interne functie.
Is CISO as a Service geschikt voor jouw organisatie?
De dienst past bij organisaties die behoefte hebben aan directieniveau sturing op informatiebeveiliging, maar de omvang of het budget missen voor een fulltime aanstelling. Denk aan organisaties die onder de Cyberbeveiligingswet, ISO 27001 of een vergelijkbare norm vallen, waar geen interne collega mandaat en tijd heeft om security op directieniveau te trekken, en waar periodieke in plaats van dagelijkse sturing volstaat. Grote organisaties met een eigen security-afdeling hebben meestal meer baat bij een fulltime CISO, terwijl kleinere en middelgrote organisaties met CISO as a Service vaak sneller en goedkoper hetzelfde niveau van sturing bereiken.
Hoe je je voorbereidt
Voordat je een aanbieder spreekt, breng je eerst je huidige situatie in kaart: welke beveiligingsmaatregelen, beleidsstukken en verantwoordelijkheden zijn er al. Ga na welk wettelijk kader van toepassing is, de Cyberbeveiligingswet, ISO 27001, NEN 7510 of een andere norm, en stel op basis daarvan je urenbehoefte vast. Zorg voor bestuurlijk draagvlak: de directie moet de externe CISO mandaat en een vaste rapportagelijn geven, niet alleen een adviesrol. Verzamel bestaande risicoanalyses, eerdere audits en leveranciersoverzichten, en vraag aanbieders naar referenties en ervaring in jouw sector.
Veelgestelde vragen
Is CISO as a Service voldoende om aan de Cyberbeveiligingswet te voldoen?
Het is een belangrijk onderdeel, omdat de wet vraagt om bestuurlijk toezicht en een aanspreekpunt voor cyberrisico's, maar de wet stelt ook eisen aan de risicobeheersmaatregelen zelf. Een externe CISO werkt daarvoor vaak samen met een los traject voor NIS2 compliance begeleiding.
Kan een externe CISO ook de rol van functionaris gegevensbescherming vervullen?
Dat kan in sommige gevallen, maar de rollen zijn juridisch en inhoudelijk verschillend. Meestal werken een externe CISO en een functionaris gegevensbescherming naast elkaar, met eigen taken en rapportagelijnen.
Hoeveel uur per maand heb ik nodig?
Dat hangt af van organisatiegrootte, risicoprofiel en of je al interne security-capaciteit hebt. Instapmodellen beginnen vanaf circa 8 uur per maand, structurele programma's lopen op tot 1 tot 3 dagen per week.
Vervangt CISO as a Service een security audit?
Nee. Een security audit en assessment is een losse, vaak jaarlijkse toetsing, terwijl CISO as a Service doorlopende sturing en opvolging biedt tussen audits in.
Wat kost CISO as a Service ongeveer?
Instapmodellen vanaf circa 8 uur per maand beginnen rond de 950 euro per maand, structurele of interim-inzet ligt hoger, afhankelijk van het aantal dagen en de ervaring van de CISO.
