Jullie eerste security-verantwoordelijke, omdat een klant of investeerder erom vraagt.
Een scale-up of groeiend bedrijf dat security tot nu toe "erbij deed", tot een grote klant een securityvragenlijst stuurt, een investeerder bij de due diligence om beleid vraagt of een verzekeraar eisen stelt. Dan moet er voor het eerst iemand zijn die verantwoordelijk is. Binnen twee dagen heb je een ervaren vCISO of security officer op gesprek die het programma opzet; zoek je meteen iemand voor vast, dan werven we die net zo goed, al gaat dat niet in twee dagen.
Het moment
Tot nu toe ging het goed zonder. De CTO lette op de cloudinstellingen, een developer deed de pentest-bevindingen erbij, en MFA stond "bijna overal" aan. Dan komt het moment dat iemand van buiten vraagt wie verantwoordelijk is: een enterprise-klant die een securityvragenlijst van veertig pagina's stuurt vóór hij tekent, een investeerder die bij de due diligence om een securitybeleid en een incidentplan vraagt, een cyberverzekeraar die MFA en back-ups wil zien, of een eerste ISO 27001- of SOC 2-eis in een aanbesteding. Opeens is security geen technische hygiëne meer maar een commerciële voorwaarde, en is er niemand wiens naam eronder staat.
Wat een eerste security-verantwoordelijke doet
Niet alles tegelijk, en dat is precies het punt. De eerste maanden gaan over het fundament: een beeld van de risico's die er echt toe doen, een paar beleidsregels die het team daadwerkelijk volgt, toegang en back-ups op orde, een incidentplan dat één pagina lang is en werkt, en antwoorden op de vragen van klanten en investeerders die kloppen en elke keer sneller te geven zijn. Daarna komt de keuze of je naar een certificering toewerkt, en hoeveel security je structureel in huis wilt hebben. Een ervaren vCISO heeft dat bij meerdere groeibedrijven gedaan en weet welke stappen in welke volgorde horen, en wat bij jullie omvang overdreven is.
Wat er nu moet gebeuren
- Antwoord geven op wie er vraagt. De vragenlijst van de klant, het dossier voor de investeerder, de eisen van de verzekeraar: eerst het acute, met iemand die dit soort vragen al vaker beantwoordde.
- Risico's en basis op orde. Toegang, MFA, back-ups, logging, leveranciers; de dingen die elke vragenlijst en elke verzekeraar vooraan zet.
- Beleid dat past bij een bedrijf van jullie omvang. Geen map van een corporate, wel afspraken die het team begrijpt en volgt.
- Een plan voor het jaar erna. Certificering ja of nee, welke rol er structureel nodig is, en wat de interimmer achterlaat voor de eerste vaste security officer.
- De vaste rol invullen. Als het programma staat, is de volgende stap vaak een eigen security officer of engineer; de vCISO weet dan precies welk profiel.
Wie dit trekt
Groeibedrijven zoeken hier meestal een vCISO of parttime CISO die het programma opzet en het bestuur en de klanten te woord staat, een eerste security officer die de uitvoering doet, of een security engineer als de techniek het grootste gat is. Welke van die rollen het bij jou wordt hangt af van wie erom vraagt en wat er al ligt; daar beginnen we mee in de intake. Zoek je meteen iemand voor vast, dan is dat gewoon werving & selectie; tijdelijk is het interim. Allebei doen we al jaren.
Interim: binnen twee dagen, en wat het kost
Snel betekent bij ons niet slordig. We beginnen met een echte intake: wie vraagt erom, wat ligt er al, hoe groot is het team, wie moet deze persoon meekrijgen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht; bij een parttime vCISO, en dat is het meestal, kan de marge per uur hoger liggen, en ook dat zie je vooraf. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.
Zzp, en de Wet DBA
Een securityprogramma opzetten bij een bedrijf dat er nog geen heeft, is een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en een parttime vCISO voor meerdere bedrijven tegelijk is daar een schoolvoorbeeld van. Wordt de rol na het fundament een fulltime functie in de lijn, dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.
Vandaag bellen?.
Bel, of plan zelf een moment. Dan weet je binnen een kwartier of we kunnen helpen en wie daarvoor de juiste persoon is.
Bellen: 020 399 1●●●
Nu beschikbaar voor interim.
Een greep uit de interimmers die op dit moment kunnen starten. Anoniem tot je contact opneemt; tarief en beschikbaarheid staan erbij.
NIS2 / Cyberbeveiligingswet · DORA · SOX (ITGC)
- interim · €95k–100k bruto per jaar
ISO 27001 · ISO 27002 · NIS2 / Cyberbeveiligingswet
- Interim / ZZP · €120–130 per uur
ISO 27001 · NIS2 / Cyberbeveiligingswet · AVG/GDPR
- Arnhem-Nijmegen
- interim / zzp · €120–130 per uur
Veelgestelde vragen.
Wat is een vCISO en wanneer is dat genoeg?
Een vCISO is een ervaren CISO die een vast aantal dagen per week of per maand voor je werkt, vaak voor meerdere bedrijven tegelijk. Voor een groeiend bedrijf zonder eigen securityfunctie is dat meestal genoeg om het fundament te leggen, klanten en investeerders te woord te staan en te bepalen welke rol er daarna structureel nodig is. Wordt security een dagelijkse operatie, dan is een eigen security officer de volgende stap.
Hoe snel kunnen jullie iemand leveren?
Voor interim geldt: binnen twee dagen heb je je eerste kandidaat op gesprek; voor een vaste rol duurt het langer, omdat de beste kandidaten zelden actief zoeken en met de juiste argumenten in beweging moeten komen; wat realistisch is, bespreken we bij de intake. We beginnen met een intake over wie erom vraagt en wat er al ligt, en zoeken daarna in een netwerk van interimmers die we meestal al jaren kennen. Hebben we niemand die echt past, dan zeggen we dat ook.
Een klant stuurde een securityvragenlijst van veertig pagina's. Kan iemand die invullen?
Ja, en liever iemand die dat al vaker deed, want de eerste vragenlijst is de langzaamste. Een vCISO of security officer beantwoordt hem samen met jullie, legt de antwoorden vast zodat de volgende vragenlijst dagen in plaats van weken kost, en ziet meteen waar de echte gaten zitten. Dat laatste is vaak waardevoller dan het ingevulde formulier.
Zzp'er, detachering of vast: wat past bij een eerste security-verantwoordelijke?
Het fundament leggen is een opdracht met een kop en een staart, en een parttime vCISO voor meerdere bedrijven is een schoolvoorbeeld van een zzp-constructie met een modelovereenkomst. Wordt de rol daarna een fulltime functie in de lijn, dan zeggen we dat en werven we voor vast. Wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern.
Wat kost een vCISO?
Dat hangt af van de persoon en het aantal dagen, en je ziet het tarief van de professional altijd los van onze marge. Die marge is nooit meer dan € 15 per uur bij een fulltime opdracht; bij een parttime rol kan de marge per uur hoger liggen. Dat zie je vooraf, net als het tarief.
Moeten we meteen voor ISO 27001 of SOC 2 gaan?
Niet per se. Of een certificering nodig is hangt af van wie erom vraagt en hoe vaak. Een vCISO legt eerst het fundament en zegt daarna eerlijk of een certificering de volgende logische stap is, of dat een goed ingevulde vragenlijst en aantoonbare basismaatregelen voorlopig volstaan. Wordt het wel een certificeringstraject, kijk dan ook bij onze pagina over ISO 27001.
Hoe weten we welke vaste rol we daarna nodig hebben?
Dat is een van de dingen die de interimmer achterlaat: een beeld van hoeveel securitywerk er structureel is en welk profiel daarbij past. Vaak is dat een security officer of een security engineer, zelden meteen een fulltime CISO. Wij werven die vaste rol dan in dezelfde beweging, met de vCISO erbij in de gesprekken.
Werken jullie ook voor kleine bedrijven?
Ja, zolang security de kern van het werk is dat je zoekt. Groeibedrijven met twintig tot tweehonderd mensen zijn precies de organisaties waar een eerste security-verantwoordelijke het verschil maakt. Hoe klein het ook is, we beginnen met een intake en zeggen eerlijk wat bij jullie omvang past.
Voor het eerst iemand voor security?
Vertel wie erom vraagt en per wanneer. Zoek je een interimmer, dan zit je eerste kandidaat binnen twee dagen op gesprek — en hebben we niemand die past, dan zeggen we dat ook.