Een security team opbouwen: welke rollen je eerst nodig hebt

Waar begin je met een security team?

Je begint zelden met een rij vacatures. Je begint met de vraag wie nu al een deel van het werk doet. De ECSF-handleiding van ENISA opent met een analyse van de huidige situatie: welke kennis en rollen er al zijn, en waar de tekorten zitten. Die eerste stap komt vóór elke keuze over functies.

Buiten het team heeft al iemand een rol in informatiebeveiliging. Het NCSC schrijft dat iedereen in de organisatie er een rol of belang bij heeft, bijvoorbeeld bij het screeningsbeleid, awarenesstrainingen, het doorvoeren van patches en het accepteren van risico's. Beveiliging is dus van de hele organisatie. Het team maakt dat bruikbaar, maar het is niet het enige onderdeel dat iets doet.

In het ECSF-voorbeeld heeft het bedrijf een jurist die de naleving al beheert en interesse heeft in privacy en cybersecurity. Het heeft ook een ICT-architect met ervaring in veilige netwerken. Met gerichte training kunnen zij de rollen van legal officer en architect invullen. Alleen de strategische rol ontbreekt dan nog, en daarvoor komt een vacature. Maak dus eerst een lijst van wie je al hebt. Welke werkzaamheden bij welke rol horen, staat in het rollenoverzicht voor security, risk en compliance. Staat de strategische rol open, dan helpt een security vacature schrijven om die functie scherp te omschrijven.

Welke rollen onderscheidt de ECSF?

Het European Cybersecurity Skills Framework (ECSF) van ENISA is uitgegeven in september 2022 en bevat twaalf rolprofielen voor cybersecurityprofessionals. De tabel zet de profielen naast wat ze doen en naast onze rolgids, waar die bestaat.

De ECSF-handleiding noemt de profielen een flexibel hulpmiddel dat je in je eigen context gebruikt. Het is geen vaste functielijst die iedere organisatie moet overnemen. De handleiding beschrijft een vijfstappenaanpak: de situatie analyseren, doelen en tekorten vaststellen, passende onderdelen uit de profielen kiezen, die aanpassen en toepassen. Profielen mogen worden samengevoegd of verdeeld over personen, dus de tabel is een bouwset en geen organigram.

Welke rollen heb je als eerste nodig?

De handleiding werkt een voorbeeld uit van een klein cloudbedrijf dat zijn cybersecurity wil verbeteren. Het bedrijf komt met de ECSF tot vijf sleutelrollen: een strategisch cybersecuritymanager (CISO), een cybersecurity legal officer, een cybersecurity architect, een paar cybersecurity implementers en een cyber incident responder. Dat is een voorbeeld, geen verplichte lijst. Afhankelijk van strategie, eisen, behoeften en budget kun je de rollen aan verschillende personen toewijzen of samenvoegen tot één of enkele personen.

Denk bij de opbouw in fasen. Het is een denkmodel, geen volgorde die voor elke organisatie klopt.

1. Koers en verantwoording. Eén aanspreekbaar iemand is eigenaar van de koers, laat een risicoanalyse uitvoeren, zet een incidentproces op en rapporteert aan het bestuur. Dat kan een Information Security Officer of Security Manager zijn. Het ECSF-voorbeeld noemt die rol een strategisch cybersecuritymanager. Zie Information Security Officer en het verschil tussen ISO en CISO.
2. Uitvoerend vermogen. Een Security Engineer (in het ECSF het profiel Cybersecurity Implementer) richt maatregelen in en beheert ze, bijvoorbeeld samen met IT-beheer.
3. Detectie en incidentafhandeling. Een SOC-analist of Cyber Incident Responder werkt intern of via een externe dienst. Moet de incidentafhandeling rond de klok draaien, zoals in het ECSF-voorbeeld, dan is één persoon niet genoeg. Je kiest dan tussen intern organiseren, een externe dienst of een mix van beide. Meer over dit vakgebied staat bij security operations.
4. Ontwerp, risico en compliance. Een Security Architect, een Risk Manager en een Compliance Officer of Privacy Officer bepalen hoe de systemen en processen veilig worden ingericht en hoe risico's worden beoordeeld. In kleinere organisaties kan één persoon meerdere van deze rollen vervullen. Zie ook risk management.
5. Specialismen. Dreigingsinformatie, forensisch onderzoek, pentesten en bewustwordingstrajecten kun je inkopen of per project inhuren. Ook hier is het een afweging, geen regel.

Een generalist met brede ervaring kan een organisatie ver brengen, maar hij of zij is een enkelvoudig punt van uitval. Bij ziekte, vakantie of vertrek staat het werk stil. Leg daarom vast hoe het werk wordt overgedragen: documentatie, wie wie vervangt en welke externe partij kan invallen. Let ook op het verschil tussen een leidinggevende en een uitvoerende rol. De CISO zorgt voor strategie, mandaat en rapportage, de engineer voor de uitvoering. Neem je eerst een uitvoerende rol aan zonder iemand die het bestuur kan adviseren, dan loopt het werk vast op keuzes die niet bij de engineer liggen.

Wat vraagt de Cyberbeveiligingswet van je team?

De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden. De wet legt een zorgplicht op aan entiteiten die onder de wet vallen. Artikel 21 noemt ten minste tien onderdelen: beleid voor risicoanalyse en beveiliging van informatiesystemen, incidentbehandeling, bedrijfscontinuïteit met back-ups, herstelplannen en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, beleid voor het beoordelen van de effectiviteit, cyberhygiëne en opleiding, cryptografie, beveiliging van personeel, toegang en assets, en waar gepast multifactorauthenticatie en beveiligde communicatie. Zie de wettekst van de Cyberbeveiligingswet en NIS2 en de Cyberbeveiligingswet voor de volledige tekst en context.

Het bestuur moet de maatregelen goedkeuren. Artikel 24 vraagt dat elk bestuurslid kennis en vaardigheden heeft om risico's voor de beveiliging van netwerk- en informatiesystemen te beoordelen, dat die kennis aantoonbaar actueel blijft en dat het lid een certificaat van deelname aan een training heeft. Een bestuurslid moet daaraan voldoen binnen twee jaar na de inwerkingtreding van het tweede lid, en een nieuw benoemd lid binnen twee jaar na benoeming.

Voor de meldplicht van significante incidenten gelden termijnen. Een vroegtijdige waarschuwing volgt onverwijld en uiterlijk binnen 24 uur na kennisname, een melding onverwijld en uiterlijk binnen 72 uur. Een eindverslag komt uiterlijk één maand na de melding. Met de zelfevaluatie van de Rijksinspectie Digitale Infrastructuur (RDI) kun je nagaan of de wet voor je organisatie geldt.

Voor je eerste aanname betekent dit iemand die de risicoanalyse en de maatregelenlijst kan opzetten, het incidentproces met de termijnen kan laten werken en het bestuur zo kan informeren dat het de maatregelen kan goedkeuren. De wettekst schrijft geen functietitel voor en ook geen teamgrootte. De eis gaat over wat er moet gebeuren, niet over hoe de functie heet.

Hoe regel je mandaat, budget en functiescheiding?

Het NCSC noemt in het artikel over effectieve informatiebeveiliging signalen dat een CISO minder mandaat en budget heeft dan nodig is. De CISO valt onder de IT-organisatie, waardoor digitale weerbaarheid als IT-probleem wordt gezien. De securityorganisatie heeft geen eigen budget en vraagt dat telkens apart aan. Het bestuur heeft geen duidelijke behoefte om geïnformeerd of betrokken te worden. En de CISO heeft geen security team ter ondersteuning, bijvoorbeeld omdat de organisatie nog klein is of omdat de rol alleen bestaat om aan kaders te voldoen. Herken je één van die signalen, dan is het mandaat het eerste om te regelen.

Het NCSC beschrijft het three lines of defense model met drie rollen. De (eind)verantwoordelijke is eigenaar van een bedrijfsproces en draagt ook de verantwoordelijkheid voor de beveiliging daarvan. De risicomanager of kadersteller analyseert risico's, adviseert de verantwoordelijke en ondersteunt bij maatregelen. De onafhankelijke auditor controleert de effectiviteit van het risicomanagement en de informatiebeveiliging en rapporteert aan het bestuur. Het NCSC schrijft dat dit een model is, dat niet vastligt waar de CISO hoort, en dat functiescheiding helpt om verantwoordelijkheden helder te houden en belangenverstrengeling te voorkomen. Volgens het NCSC is de adviserende en uitvoerende rol van een CISO niet te combineren met de controlerende auditrol. Zie het three-lines-model voor de uitgebreide uitleg.

Het NIST Cybersecurity Framework 2.0 behandelt rollen en middelen in de functie GOVERN, categorie Roles, Responsibilities, and Authorities (GV.RR). Onderdeel GV.RR-03 vraagt om voldoende middelen die passen bij de cybersecurityrisicostrategie en de rollen en beleid. Zie het NIST Cybersecurity Framework voor de overige onderdelen.

In een kleine organisatie is volledige functiescheiding soms niet haalbaar. De afweging is dan waar je het minimum legt. Een mogelijkheid is om de controlerende rol extern te beleggen, bijvoorbeeld bij een auditor of via een periodieke externe toets. Regel vóór je de functie opent aan wie de CISO of security manager rapporteert, welk budget er is, wie beslist over het accepteren van een risico en hoe het bestuur wordt betrokken. Een functie zonder mandaat levert frustratie op, bij de medewerker en bij de organisatie. Meet het team aan de hand van uitkomsten, zoals hoe snel een incident wordt afgehandeld en of het bestuur de rapportage gebruikt, en niet aan het aantal mensen. Lees meer over die verantwoordelijkheid op de pagina over security leadership en in het artikel over het werk van een CISO.

Zelf opleiden, aannemen of inhuren?

Je hebt drie wegen om een rol in te vullen. Kies per rol, niet voor het hele team.

Opleiden past als er iemand in huis is die al een deel van de kennis heeft. In het ECSF-voorbeeld leiden de jurist en de ICT-architect bij, zodat ze hun rol kunnen vervullen. Iemand uit beheer, audit of juridische zaken kan met gericht opleiden een security-rol invullen. Gebruik de kernkennis en kernvaardigheden uit het ECSF-profiel als checklist voor het opleidingsplan. Zie het artikel over omscholen naar cybersecurity voor de kant van de kandidaat.

Aannemen kies je voor de rol die het meest ontbreekt, niet voor het ideale eindbeeld. Schrijf de vacature op die rol. Het artikel over een security vacature schrijven helpt je daarbij.

Inhuren past bij een afgebakende opdracht met een duidelijk resultaat, zoals een pentest, een audit of een inrichtingsproject. Doet iemand het werk van een vaste medewerker onder jouw aansturing, dan loop je risico's rond schijnzelfstandigheid. Lees daarvoor inhuren van een security professional als zzp'er.

Wie je ook aanneemt of inhuurt, toegang, mandaat en overdracht horen bij het plan voor de eerste weken. Het artikel over onboarding van een security professional beschrijft die stappen. Meer voor werkgevers staat op de werkgeverspagina en in de kennisbank.