Je CISO of security officer vertrekt, en de stoel mag niet leeg.

Het moment

Het begint met een gesprek dat je niet had gepland: je CISO heeft een andere baan, of de security officer die alles in zijn hoofd heeft valt voor maanden uit. De opzegtermijn is een maand, hooguit twee, en een goede opvolger vinden kost in deze markt eerder vier maanden dan vier weken. In de tussentijd staat de ISO-surveillance gepland, stuurt een grote klant zijn jaarlijkse vragenlijst, wil de accountant weten wie de toegangsrechten heeft beoordeeld, en komt er een phishingmail binnen die iemand moet afhandelen. Niemand in de organisatie wil die stoel erbij nemen, en terecht.

Wat er in de tussentijd moet blijven draaien

Een securityfunctie heeft een ritme dat niet wacht op een vacature. De risicoanalyse en het maatregelenregister moeten bijgehouden worden, anders ben je ze bij de volgende audit kwijt. Incidenten moeten beoordeeld en, als het nodig is, binnen de wettelijke termijn gemeld worden. Leveranciers en klanten blijven vragen stellen. Projecten die security-input nodig hebben lopen vast of, erger, lopen door zonder. En het bestuur verwacht iemand die kan zeggen hoe de organisatie ervoor staat. Een interimmer die dit vaker heeft gedaan neemt dat ritme in de eerste week over, zonder dat je er een inwerktraject van drie maanden voor hoeft te organiseren.

Wat er nu moet gebeuren

1. Overdracht vóór het vertrek. Wat ligt waar, welke afspraken lopen, welke wachtwoorden en toegangen moeten over. Als de vertrekkende collega er nog is, is dit de week om het te doen, met de interimmer erbij.
2. De lopende verplichtingen op een rij. Audits, certificeringen, meldplichten, contractuele toezeggingen aan klanten. De interimmer maakt die lijst in de eerste dagen en zet er data bij.
3. Beslissen wat wacht en wat niet. Niet alles hoeft door; sommige projecten kunnen een kwartaal stil. Dat is een gesprek tussen de interimmer en de directie.
4. De opvolger vinden. Een interimmer die de rol draait weet na een paar weken precies wat het profiel van de vaste opvolger moet zijn. Dat scheelt een mislukte werving.
5. Overdragen aan de opvolger. Een interimmer die goed is laat de rol beter achter dan hij hem aantrof, met een overdrachtsdocument dat de opvolger echt gebruikt.

Wie dit trekt

Voor de CISO-rol zoeken organisaties een interim CISO die het bestuur, de toezichthouder en de klanten te woord kan staan; voor de uitvoerende rol een interim security officer of ISO die het managementsysteem draaiend houdt; en soms een security manager die het team aanstuurt tot er een nieuwe leidinggevende is. Welke van die rollen het bij jou wordt hangt af van wie er wegvalt en wat die persoon werkelijk deed; daar beginnen we mee in de intake, en vaak blijkt dat anders dan de functietitel. De opvolger voor vast is gewoon werving & selectie; de overbrugging is interim. Allebei doen we al jaren, en graag in één beweging.

Interim: binnen twee dagen, en wat het kost

Snel betekent bij ons niet slordig. We beginnen met een echte intake: wie valt weg, wat deed die persoon echt, wat loopt er, wie moet de interimmer meekrijgen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.

Zzp, en de Wet DBA

Een rol overbruggen tot de opvolger er is, is een opdracht met een duidelijk einde, en een ervaren interim CISO bepaalt zelf hoe hij dat werk doet. Toch kijken we hier scherper dan bij een project: wie maandenlang in de lijn meedraait, bij het managementteam zit en het team aanstuurt, zit dicht tegen een functie aan. Bij de intake toetsen we dat eerlijk en leggen we de opdracht zo vast dat de Belastingdienst, die sinds 2025 weer handhaaft op schijnzelfstandigheid, er een opdracht in herkent: resultaat, eigen aanpak, geen gezag. Is het in werkelijkheid een functie, dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.