Waarom de vraag naar CISO-diensten nu zo hard groeit

De vraag naar CISO-diensten groeit doordat organisaties door nieuwe regels als NIS2 verplicht zijn security op bestuursniveau te beleggen, terwijl veel bedrijven geen eigen CISO in huis hebben. IT-dienstverleners vullen dat gat steeds vaker in, en dat opent nieuwe carrièrepaden voor security-professionals die verder willen dan de operationele kant.

Je werkt al jaren in security. Je kent de tooling, je snapt de dreigingen, je lost de incidenten op. Maar steeds vaker vraagt een klant of werkgever iets anders van je: kun je dit ook aan een directie uitleggen?

Dat is geen toevallige verschuiving. Het is een structurele verandering in wat organisaties van security-mensen verwachten. Voor IT-professionals betekent dit een kans om door te groeien naar een strategische rol. Voor werkgevers betekent het dat ze anders moeten zoeken dan met een standaard vacaturetekst.

Wat drijft de groeiende vraag naar CISO-diensten?

De groei komt vooral van regelgeving en toenemende complexiteit. Organisaties die onder de Europese NIS2-richtlijn vallen, moeten aantoonbaar maken dat het bestuur verantwoordelijkheid neemt voor cybersecurity. Dat vraagt om iemand die dat namens hen kan dragen.

In Nederland is die verplichting inmiddels wettelijk verankerd. De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, is in 2026 in werking getreden. IT-dienstverleners vallen daar expliciet onder, met registratieplicht en zorgplichten rond beveiliging.

Daar komt AI bovenop. Bedrijven die AI inzetten lopen tegen nieuwe risico’s aan: datalekken, compliance-vragen, onduidelijke verantwoordelijkheden. Ze zoeken iemand die dat kan overzien, niet alleen iemand die een tool kan configureren.

84 procent van de IT-dienstverleners verwacht dat de vraag naar CISO-diensten het komende jaar verder stijgt, blijkt uit onderzoek van Sophos.

Dat is geen kleine trend. Het raakt de manier waarop organisaties security organiseren, en het raakt de vraag welke vaardigheden een security-professional nodig heeft om relevant te blijven.

Wat doet een CISO eigenlijk, en waarom is dat anders dan security-uitvoering?

Een CISO is verantwoordelijk voor het securitybeleid van een organisatie, niet voor de dagelijkse uitvoering ervan. Die rol praat met de directie, weegt risico’s af tegen bedrijfsdoelen, en legt uit waarom een investering in beveiliging nodig is. Dat is een andere vaardigheid dan een systeem beheren.

Het verschil zit in verantwoordelijkheid en schaal. Een security-specialist lost een incident op. Een CISO bepaalt hoe de organisatie met risico omgaat, welk beleid daarbij hoort en wie waarvoor verantwoordelijk is.

Dat vraagt om andere skills. Kennis van kaders zoals ISO 27001 of NIST helpt. Maar minstens zo belangrijk is of je een risico kunt vertalen naar een verhaal dat een bestuurder begrijpt.

Dat kun je niet uit een certificaat leren.

Veel organisaties hebben geen ruimte of budget voor een fulltime CISO. Daarom groeit de vraag naar een inhuur van een CISO op parttime of projectbasis, ook wel CISO as a service genoemd. Deze rol is daardoor ook goed te bereiken voor professionals die niet meteen een vaste bestuursfunctie ambiëren, maar wel toe zijn aan iets groters dan hun huidige rol.

Wat betekent dit voor jouw volgende stap als security-professional?

Wie nu vooral operationeel werkt, kan met de juiste ontwikkeling doorgroeien naar een adviserende rol. Bij die overstap draait het om drie dingen: risicokennis, communicatie richting bestuur, en ervaring met compliance-trajecten zoals NIS2.

Kijk eerst naar waar je nu staat. Werk je vooral technisch, in een SOC of als security engineer? Dan is de eerste stap niet meteen een CISO-titel, maar meer betrokkenheid bij beleidsvorming. Vraag om aan te schuiven bij een risico-overleg. Schrijf mee aan een rapportage voor het management.

Vaardigheden die zwaarder gaan wegen: kunnen werken met risicokaders, een risico-verhaal kunnen vertellen aan niet-technische mensen, en snappen hoe security zich verhoudt tot omzet en continuïteit. Dat laatste is precies waar veel technische profielen nog in groeien.

Dat kost tijd.

Wie deze overstap serieus overweegt, doet er goed aan breder te kijken dan het eigen vakgebied. In een eerder artikel over cybersecurity en IT-professionals gingen we al in op waarom werkgevers steeds vaker verder kijken dan een certificatenlijst. Diezelfde beweging zie je nu versterkt terug bij de vraag naar CISO-profielen.

Hoe zoeken organisaties eigenlijk naar CISO-talent?

Organisaties die een CISO zoeken, vertrouwen steeds minder op een cv-check en steeds meer op referenties, praktijkervaring en hoe iemand overkomt in een gesprek met de directie. Dat komt doordat de rol draait om vertrouwen, niet om een lijst technische vaardigheden.

Een cv laat zien wat iemand heeft gedaan. Het laat niet zien of iemand een risico kan uitleggen aan een bestuurder die geen securityachtergrond heeft. Daarom kijken werkgevers naar praktijkcases: heeft iemand eerder een organisatie door een compliance-traject geloodst? Kan iemand een maturity-assessment opzetten en de uitkomsten begrijpelijk presenteren?

Dat vraagt om een andere manier van zoeken. Niet alleen een vacaturetekst uitzetten, maar het netwerk raadplegen, kijken wie er spreekt op vakcommunity’s, en doorvragen naar concrete situaties in plaats van functietitels.

Precies daar zit onze rol als bemiddelaar. We kijken naar hoe iemand denkt over risico, hoe iemand communiceert, en of iemand past bij de cultuur van de organisatie, niet alleen naar wat er op een cv staat. Dat vraagt om gesprekken die verder gaan dan de standaardvragen. Wie kwaliteit zoekt in plaats van snelheid, herkent de signalen van goede IT-detachering juist in die diepgang.

Detavast als opstap naar een strategische securityrol

Een strategische rol zoals CISO of security-adviseur begin je zelden meteen vast. Detavast biedt een begeleide route: je start bij een organisatie via i-linked, met een vooraf grondig getoetste match, en groeit toe naar een vast contract zodra blijkt dat het wederzijds klopt.

Dat is geen testperiode. De match is al voor de start diepgaand getoetst, op vaardigheden én op cultuur. Detavast is de begeleide aanloop die daarna volgt, niet het testen of het wel gaat werken.

Voor een rol die draait om vertrouwen, zoals security-advisory, is dat waardevol. Een organisatie leert je in de praktijk kennen voordat ze je een bestuurlijke verantwoordelijkheid geven. Jij leert de organisatie kennen voordat je je daar voor jaren aan verbindt.

Dankzij opvolgend werkgeverschap telt de tijd die je bij i-linked hebt gewerkt al mee zodra de klant je overneemt. Dat verlaagt de drempel voor beide kanten. De organisatie hoeft niet meteen het volle risico van een vaste aanstelling te dragen, en jij bouwt ervaring op die blijft tellen.

Freelance CISO worden: een groeiend alternatief

Steeds meer organisaties zonder interne CISO kiezen voor een fractional of freelance invulling van de rol. Voor ervaren security-professionals is dat een volwaardig carrièrepad, geen tussenstap. Je werkt voor meerdere organisaties tegelijk, met wisselende vraagstukken en meer regie over je eigen agenda.

Dat vraagt wel iets anders dan een vaste baan. Je moet zelf opdrachten vinden, contracten regelen en de commerciële kant beheren naast het inhoudelijke werk. Veel freelancers besteden daar meer tijd aan dan ze zouden willen.

Daar zit een deel van onze rol als bemiddelaar: we nemen de administratieve en commerciële kant uit handen, zodat een freelance CISO zich kan richten op het werk zelf. Wie overweegt om die stap te zetten, doet er goed aan eerst helder te krijgen hoe de eigen positie als zelfstandige juridisch in elkaar zit, zeker gezien de aandacht die er momenteel is voor het beoordelen van schijnzelfstandigheid bij zzp-inhuur.

Veelgestelde vragen

Conclusie

De vraag naar CISO-diensten groeit doordat regelgeving en AI-risico’s organisaties dwingen security serieuzer op bestuursniveau te beleggen. Voor IT-professionals opent dit een route van operationeel werk naar strategisch advies. Voor organisaties betekent het dat ze anders moeten zoeken: niet op cv, maar op vertrouwen, praktijkervaring en persoonlijkheid.

Sta je zelf op het punt om die stap te overwegen, of zoek je als organisatie iemand die deze rol echt kan dragen? Dat gesprek begint zelden bij een vacaturetekst. Het begint bij de vraag wat je precies zoekt, en waarom.

Bronnen

1. MSPs say nearly half their customers rely on them for CISO …
2. MSPs Have Quietly Become Acting CISO for Nearly Half of
3. Sophos Report: 46% of MSPs Act as Customer CISOs
4. Sophos on X: “MSPs are increasingly filling the CISO role for their …
5. Los proveedores de servicios administrados han asumido …
6. Sophos – X