Wie is verantwoordelijk voor informatiebeveiliging in een bedrijf?

De eindverantwoordelijkheid voor informatiebeveiliging ligt bij de directie of het bestuur van een organisatie. Zij zijn wettelijk en organisatorisch aansprakelijk voor de bescherming van informatie en de bijbehorende risico’s. In de praktijk wordt de uitvoering belegd bij een CISO of Security Officer, maar de uiteindelijke verantwoordelijkheid blijft altijd aan de top. Dit artikel beantwoordt de meest gestelde vragen over rollen, taken en verantwoordelijkheden rondom informatiebeveiliging in een bedrijf.

Wie heeft de eindverantwoordelijkheid voor informatiebeveiliging?

De eindverantwoordelijkheid voor informatiebeveiliging ligt bij de directie of het hoogste bestuur van een organisatie. Zij bepalen het beleid, stellen middelen beschikbaar en dragen de uiteindelijke aansprakelijkheid als er iets misgaat. Dit geldt ongeacht de omvang van de organisatie of de sector waarin zij actief is.

Veel organisaties maken de fout om informatiebeveiliging volledig te delegeren aan de IT-afdeling of een externe partij. Dat is begrijpelijk, maar onvoldoende. Informatiebeveiliging raakt niet alleen systemen, maar ook processen, mensen en beslissingen op strategisch niveau. Wetgeving zoals de NIS2-richtlijn maakt dit expliciet: bestuurders zijn persoonlijk verantwoordelijk voor het toezicht op en de naleving van cyberbeveiligingsmaatregelen binnen hun organisatie.

Directies die informatiebeveiliging serieus nemen, zorgen ervoor dat het onderwerp structureel op de agenda staat, dat er voldoende budget is en dat rollen en verantwoordelijkheden helder zijn belegd. Informatiebeveiliging is daarmee een bestuurlijke aangelegenheid, geen technische bijzaak.

Wat doet een CISO of Security Officer precies?

Een CISO (Chief Information Security Officer) of Security Officer is de functionaris die namens de directie de dagelijkse verantwoordelijkheid voor informatiebeveiliging draagt. Deze persoon vertaalt het beveiligingsbeleid naar concrete maatregelen, bewaakt de naleving ervan en rapporteert aan het management over risico’s en verbeterpunten.

De taken van een CISO of Security Officer zijn breed en omvatten doorgaans:

• Het opstellen en onderhouden van het informatiebeveiligingsbeleid
• Het uitvoeren of coördineren van risicoanalyses
• Het bewaken van de implementatie van beveiligingsmaatregelen
• Het organiseren van bewustwordingstrainingen voor medewerkers
• Het opvolgen van beveiligingsincidenten
• Het voorbereiden en begeleiden van interne en externe audits
• Het rapporteren aan de directie over de stand van informatiebeveiliging

In kleinere organisaties is de Security Officer vaak iemand die deze rol naast andere taken vervult. In grotere organisaties is het een fulltime functie. Wat de rol ook precies inhoudt: de Security Officer heeft geen eindverantwoordelijkheid, maar is de spil in de uitvoering. Hij of zij signaleert, adviseert en coördineert, maar de beslissingen over prioriteiten en middelen blijven bij de directie.

Wil je als Security Officer je kennis verdiepen? Via interactieve trainingen en workshops kunnen Security Officers hun vaardigheden verder ontwikkelen en praktijkervaringen uitwisselen.

Zijn medewerkers ook verantwoordelijk voor informatiebeveiliging?

Ja, medewerkers dragen een eigen verantwoordelijkheid voor informatiebeveiliging, maar binnen de kaders die de organisatie stelt. Elke medewerker is verantwoordelijk voor het naleven van het beveiligingsbeleid en het zorgvuldig omgaan met informatie waartoe hij of zij toegang heeft.

Informatiebeveiliging is geen taak die je volledig kunt centraliseren. Een medewerker die een phishingmail doorstuurt, een wachtwoord deelt of vertrouwelijke informatie onbeheerd achterlaat, vormt een risico voor de hele organisatie, ongeacht hoe goed de technische maatregelen zijn ingericht. Menselijk gedrag is dan ook een van de grootste risicofactoren op het gebied van informatiebeveiliging.

De organisatie heeft hierin een eigen verantwoordelijkheid: medewerkers moeten weten wat er van hen verwacht wordt. Dat vraagt om duidelijk beleid, regelmatige bewustwordingstrainingen en een cultuur waarin informatiebeveiliging serieus wordt genomen. Wanneer medewerkers begrijpen waarom bepaalde regels bestaan en wat de gevolgen zijn van onzorgvuldig handelen, neemt de naleving aanzienlijk toe.

Hoe wordt verantwoordelijkheid vastgelegd in ISO 27001?

Binnen ISO 27001 is het vastleggen van rollen en verantwoordelijkheden een expliciete eis. De norm vereist dat de directie aantoonbaar betrokken is bij het informatiebeveiligingsbeleid en dat verantwoordelijkheden voor specifieke taken en maatregelen duidelijk zijn toegewezen aan personen of functies binnen de organisatie.

ISO 27001 werkt op basis van een Information Security Management System (ISMS), een samenhangend stelsel van beleid, processen en maatregelen dat gericht is op de bescherming van informatie. Binnen dat systeem worden verantwoordelijkheden op drie niveaus vastgelegd:

1. Directieniveau: De directie stelt het beleid vast, wijst middelen toe en toont leiderschap op het gebied van informatiebeveiliging.
2. Operationeel niveau: De CISO of Security Officer is verantwoordelijk voor de dagelijkse uitvoering en bewaking van het ISMS.
3. Medewerkersniveau: Individuele medewerkers zijn verantwoordelijk voor de naleving van de voor hen geldende beleidsregels en procedures.

Naast deze interne verantwoordelijkheden vereist ISO 27001 ook dat verantwoordelijkheden richting leveranciers en externe partijen zijn vastgelegd. Denk aan afspraken over toegangsrechten, dataverwerking en beveiligingseisen in contracten. Door verantwoordelijkheden expliciet vast te leggen, worden impliciete aannames zichtbaar en beheersbaar. Dat maakt het systeem robuuster en aantoonbaar effectief, ook bij een externe certificeringsaudit.

Wat als er niemand formeel verantwoordelijk is?

Als er niemand formeel verantwoordelijk is voor informatiebeveiliging in een organisatie, ontstaan er blinde vlekken. Risico’s worden niet structureel geïdentificeerd, maatregelen worden niet consequent doorgevoerd en bij een incident is onduidelijk wie er aan zet is. Dit vergroot de kans op datalekken, compliance-problemen en reputatieschade aanzienlijk.

In de praktijk komt dit vaker voor dan verwacht, zeker bij kleinere organisaties waar informatiebeveiliging organisch is gegroeid zonder formele structuur. Iedereen doet een beetje mee, maar niemand heeft het overzicht. Het gevolg is dat er wel maatregelen bestaan, maar dat ze niet samenhangen, niet worden gecontroleerd en niet worden bijgehouden.

De eerste stap is altijd het benoemen van een verantwoordelijke, ook als dat iemand is die de rol tijdelijk of deeltijds oppakt. Vervolgens gaat het erom die verantwoordelijkheid te formaliseren: wat wordt er precies verwacht, welke bevoegdheden horen daarbij en hoe wordt er gerapporteerd aan de directie? Zonder die formalisering blijft informatiebeveiliging kwetsbaar, ongeacht welke technische maatregelen er al zijn genomen.

Organisaties die merken dat verantwoordelijkheden onduidelijk zijn of dat informatiebeveiliging te versnipperd is belegd, profiteren van een gestructureerde aanpak waarbij rollen, processen en maatregelen in samenhang worden ingericht.

Hoe Kwinzo helpt bij het inrichten van verantwoordelijkheden voor informatiebeveiliging

Wij helpen organisaties om informatiebeveiliging niet alleen op papier te regelen, maar ook echt te laten werken in de dagelijkse praktijk. Dat begint bij het helder beleggen van verantwoordelijkheden, zodat duidelijk is wie wat doet en wie waarop aanspreekbaar is.

Wat wij daarvoor bieden:

• Implementatiebegeleiding: We begeleiden het volledige traject van nulmeting tot certificering, inclusief het vastleggen van rollen en verantwoordelijkheden conform erkende normen zoals ISO 27001 en NEN 7510.
• Interne audits: Een onafhankelijke consultant voert de interne audit uit, zodat je een eerlijk en objectief beeld krijgt van hoe verantwoordelijkheden in de praktijk worden ingevuld.
• Trainingen en workshops: Maandelijkse sessies voor Security Officers om kennis te verdiepen en praktijkervaringen te delen.
• Eigen ISMS-tool: Een praktisch hulpmiddel om het managementsysteem, inclusief rollen en verantwoordelijkheden, overzichtelijk bij te houden.
• Functionaris Gegevensbescherming: Organisaties die ook een FG of DPO nodig hebben, kunnen bij ons terecht voor deze rol.

Onze aanpak is gebaseerd op slimme standaardisering gecombineerd met persoonlijke begeleiding, afgestemd op de omvang en volwassenheid van jouw organisatie. Wil je weten hoe verantwoordelijkheden voor informatiebeveiliging bij jou beter belegd kunnen worden? Neem contact op voor een vrijblijvend adviesgesprek.