Seniore security- en IT-leiding, zonder vaste aanstelling
Wij nemen de rol van CISO of IT Manager rechtstreeks op ons, met verantwoordelijkheid voor het securityprogramma, de IT-strategie en de rapportage aan het bestuur, binnen de afgesproken scope. Interim voor een bepaalde periode, of fractioneel op basis van een doorlopende retainer.
Uw securityprogramma in ervaren handen
Een ervaren CISO kost in Nederland doorgaans €100.000 tot €160.000 per jaar, exclusief secundaire arbeidsvoorwaarden. Veel organisaties lopen reëel beveiligingsrisico en regelgevingsblootstelling zonder iemand in die rol, maar hebben het budget niet voor een fulltime aanstelling. Wij stappen rechtstreeks in de rol, runnen uw securityprogramma, rapporteren aan het bestuur en sturen het werk aan om aan uw wettelijke verplichtingen te voldoen, terwijl uw IT-team de dagelijkse werkzaamheden uitvoert.
De dienst staat ook bekend als CISO as a Service, uitbestede CISO of fractionele CISO. De vCISO beveelt niet alleen verbeteringen aan, maar leidt het securityprogramma binnen de afgesproken scope, coördineert de uitvoering, bewaakt de risico’s en rapporteert de resultaten aan het bestuur.
Of u nu voor het eerst een securityfunctie opzet, een vertrek opvangt of eigenaarschap nodig heeft voor een project of audit: wij stappen snel in. Wij opereren op ISO-niveau voor dagelijks securitybeheer of op CISO-niveau voor bestuurlijke rapportages en strategisch toezicht. Wij maken een nette overdracht wanneer u er klaar voor bent.
Toegewijd security-leiderschap op een cadans die past bij uw organisatie. Wij runnen uw programma, wonen bestuurs- en auditvergaderingen bij, beheren leveranciersrelaties en zorgen dat uw securitypositie zich blijft ontwikkelen, zonder de overhead van een vaste aanstelling.
Virtual CISO voor gereguleerde sectoren
Cyvra heeft kantoren in Nederland, het Verenigd Koninkrijk en Brazilië en werkt vooral met organisaties van 50 tot 5.000 medewerkers. De meeste klanten hebben serieuze wettelijke verplichtingen, maar hebben nog geen fulltime CISO nodig.
Sinds 17 januari 2025 geldt DORA voor financiële entiteiten in de EU, met een lichter regime voor kleinere instellingen. DORA vraagt onder meer een raamwerk voor ICT-risicobeheer, het melden van ernstige ICT-incidenten, jaarlijkse tests van de ICT-systemen achter kritieke of belangrijke functies en beheer van het risico bij ICT-leveranciers. De vCISO leidt dit programma, bereidt het bestuur voor op toezicht door DNB en AFM en houdt het bewijs op orde.
Beveiliging voor financiële dienstverlening →Op de enkele aanbieders na die formeel als kritieke ICT-derde aanbieder zijn aangewezen, geldt DORA voor de financiële instelling en niet voor de leverancier. De instelling blijft volledig verantwoordelijk voor wat zij uitbesteedt en legt eisen vast in contractclausules, auditrechten en due-diligencevragenlijsten. De vCISO beantwoordt die vragenlijsten en bouwt het programma dat uw klanten verwachten.
Wat DORA van financiële instellingen vraagt →Gezondheidsgegevens zijn bijzondere persoonsgegevens onder de AVG. NEN 7510 is de norm voor informatiebeveiliging in de zorg en geldt voor de IGJ als de verwachte standaard, ook zonder verplichte certificering. De vCISO bepaalt wie toegang heeft tot patiëntdossiers en klinische systemen, beheert het risico van leveranciers en verouderde systemen en houdt de documentatie klaar voor audits.
Beveiliging voor de zorg →Hotels verwerken betaalkaarten en bewaren gastgegevens in het PMS, op het gastennetwerk en in koppelingen met OTA’s. De vCISO coördineert de naleving van PCI DSS en de AVG en spreekt systeemleveranciers aan op hun beveiliging.
Beveiliging voor de horeca →Wat u krijgt in de eerste drie maanden
De minimale looptijd van drie maanden geeft ons de tijd om uw omgeving te leren kennen, de risico’s te beoordelen en een vaste governance-routine op te zetten. Wij nemen vanaf dag één de leiding, met prioriteiten op basis van urgentie en de risico’s die wij vinden. Wij delen deze periode op in drie fasen.
Inventarisatie van assets, een review van het bestaande beleid, een compliancetoets aan de regels die voor u gelden (zoals AVG, NIS2, DORA of PCI DSS), gesprekken met de belangrijkste afdelingen en een eerste risicobeoordeling die de urgentste hiaten laat zien.
Wij prioriteren de gevonden risico’s en leggen de verbeteringen, eigenaren en deadlines vast. De belangrijkste verbeteringen starten in deze fase, met uw team en uw leveranciers, binnen een plan dat aansluit op de risicobereidheid van het bestuur.
Wij volgen de uitvoering van het plan en presenteren de eerste formele rapportage: bedrijfsrisico, compliancestatus en voortgang van het plan. Daarna volgt de rapportage de cyclus van het bestuur, meestal per kwartaal.
IT-leiderschap op aanvraag, zonder een fulltime IT Manager in dienst te nemen
Het werven van een senior IT Manager duurt maanden en bindt u aan vaste kosten. Organisaties van alle omvang hebben vaak dat leiderschap nodig om transformaties te sturen, leveranciers te beheren of de functie door een overgang te loodsen. Wij nemen de rol rechtstreeks op ons, met eigenaarschap over strategie en uitvoering terwijl uw team de dagelijkse werkzaamheden afhandelt.
De eerste 90 dagen. In de eerste maand brengen wij uw omgeving, leveranciers, contracten, kosten, projecten en operationele risico’s in kaart en pakken wij bevindingen met een hoog risico direct op. In de tweede maand bepalen wij met het management de prioriteiten, eigenaren, budgetimpact en roadmap. In de derde maand komt de uitvoering op gang, staat de rapportage en bespreken wij de voortgang met het bestuur. Dit zijn gebruikelijke stappen: hoe snel verbeteringen landen, hangt af van het budget en van wie elk onderdeel uitvoert.
Wanneer uw IT Manager vertrekt, een grote migratie loopt of een project senior eigenaarschap nodig heeft, nemen wij de rol binnen enkele dagen op ons. Wij borgen de continuïteit met uw team en leveranciers en dragen netjes over wanneer u vast personeel aanneemt of het project afrondt.
Vaste toegewijde dagen per maand om uw IT-functie strategisch te runnen. Wij beheren uw roadmap, onderhouden leveranciersrelaties, leiden stuurgroepvergaderingen en houden uw infrastructuur afgestemd op bedrijfsprioriteiten, zonder fulltime salarisverplichtingen.
Security- en IT-certificeringen in ons team
Van eerste gesprek tot in de rol
30 minuten om uw situatie, hiaten en tijdlijn te begrijpen. Geen voorbereiding nodig van uw kant.
Wij stellen binnen 48 uur een structuur, niveau en startdatum voor. U beslist wat past.
De meeste opdrachten starten binnen twee weken na akkoord. Urgente interim-opdrachten kunnen binnen enkele dagen starten, afhankelijk van de scope en de afgesproken beschikbaarheid.
Virtual CISO: veelgestelde vragen
Wat is een virtual CISO (vCISO)?
Een virtual CISO vervult de rol van Chief Information Security Officer, of Information Security Officer, zonder bij uw organisatie in dienst te zijn. De vCISO leidt uw informatiebeveiligingsprogramma, rapporteert risico’s aan het bestuur en stuurt de naleving van regelgeving aan, op contractbasis en met de inzet die uw organisatie werkelijk nodig heeft. De dienst heet ook CISO as a Service, uitbestede CISO of fractionele CISO.
Wat kost een virtual CISO?
Wij werken niet met een vaste prijslijst. Het tarief hangt af van de omvang en complexiteit van uw organisatie, de regeldruk in uw sector, het niveau van dekking (ISO of CISO), het opdrachtmodel en de huidige volwassenheid van uw securityprogramma. Na een kennismakingsgesprek van 30 minuten ontvangt u binnen 48 uur een voorstel met scope en tarief. In onze gids over virtueel IT- en securityleiderschap vergelijken wij de kosten met een fulltime aanstelling.
Wat is de minimale looptijd?
Drie maanden. Daarna kan de opdracht doorlopen als fractionele retainer met vaste dagen per maand, of eindigen met een ordelijke overdracht aan een interne CISO of aan uw team.
Wat is het verschil tussen een interim en een fractionele CISO?
Een interim CISO dekt een afgebakende periode: een vertrek, het voor het eerst opzetten van de securityfunctie, of een specifiek project of een audit. Een fractionele CISO is doorlopend, met elke maand vaste dagen voor bestuurs- en auditvergaderingen, het beheer van securityleveranciers en de verdere ontwikkeling van het programma.
Vervangt een vCISO een interne CISO?
Een vCISO kan dezelfde strategische verantwoordelijkheden op zich nemen als een interne CISO. Scope, bevoegdheden en inzet worden in het contract vastgelegd, en de inzet wordt afgestemd op wat uw organisatie nodig heeft. Of het model volstaat, hangt af van de complexiteit van uw organisatie en de risico’s die u loopt. Veel organisaties beginnen met een fractionele vCISO en nemen een interne CISO aan zodra zij die schaal bereiken, waarbij de vCISO de overgang en de kennisoverdracht begeleidt.
Wat valt er binnen de vCISO-dienst?
De scope wordt in het contract vastgelegd en omvat governance, risicobeheer, compliance, coördinatie van leveranciers en de opvolging van beveiligingsmaatregelen. Continue monitoring, penetratietests, incidentrespons en onafhankelijke audits worden apart gecontracteerd; de vCISO coördineert die diensten waar nodig.
Kan de vCISO ook onze functionaris gegevensbescherming (FG) zijn?
Het zijn verschillende rollen. De FG houdt toezicht op de naleving van de AVG, adviseert de organisatie en is het aanspreekpunt voor de Autoriteit Persoonsgegevens en voor betrokkenen; de vCISO leidt het securityprogramma. De AVG staat toe dat de FG een medewerker is of een externe partij op basis van een dienstverleningsovereenkomst, en dat de FG andere taken vervult zolang die geen belangenconflict opleveren. Seniore rollen die bepalen hoe persoonsgegevens worden verwerkt, kunnen zo’n conflict veroorzaken. Daarom moet de combinatie van beide rollen per geval worden beoordeeld. Heeft u beide rollen nodig, vertel het ons dan in het kennismakingsgesprek en wij stellen de juiste structuur voor.
Wie is juridisch verantwoordelijk voor compliance?
De juridische verantwoordelijkheid voor compliance en gegevensbescherming blijft bij uw organisatie als verwerkingsverantwoordelijke, en onder DORA en NIS2 blijft het bestuur verantwoordelijk voor het goedkeuren van en toezicht houden op het cyberrisicobeheer. Daarom moet het vCISO-contract de scope, de aansprakelijkheidsgrenzen en de beroepsaansprakelijkheidsverzekering precies vastleggen. Wij adviseren een onafhankelijke juridische toets voor ondertekening.
Werkt Cyvra ook met organisaties buiten Nederland?
Ja. Wij hebben kantoren in Nederland, het Verenigd Koninkrijk en Brazilië. Wij ondersteunen Nederlandse organisaties met vestigingen in het Verenigd Koninkrijk, en Britse organisaties met activiteiten in de EU die aan NIS2 of DORA moeten voldoen.
Verder lezen: onze gids over virtueel IT- en securityleiderschap en NIS2 vergeleken met ISO 27001.
Klaar voor een gesprek?
Vertel ons wat u gedekt wilt hebben. Wij bevestigen of wij de juiste match zijn en schetsen een opdrachtstructuur binnen 48 uur.