Waarom worden zoveel cruciale securityfuncties tijdelijk ingevuld?

Het valt me al langer op hoeveel opdrachten voor freelance en interim CISO’s en ISO’s er voorbijkomen.

Vooral bij gemeenten en andere publieke organisaties zie ik veel van deze functies via externe inhuur ingevuld worden. Ook in de zorg en het onderwijs zie ik hetzelfde patroon.

Op zichzelf is daar niets vreemds aan. Externe expertise kan enorm waardevol zijn bij tijdelijke uitval, een verandertraject, een specifiek project of wanneer specialistische kennis nodig is.

Maar een CISO of ISO?

Dat zijn bij uitstek functies waarbij organisatiekennis, bestuurlijke relaties, kennis van risico’s en continuïteit belangrijk zijn.

En juist daar ontstaat wat mij betreft een interessante tegenstelling.

Hoe kan het dat we informatiebeveiliging steeds meer als een structurele bedrijfsfunctie zien, maar de mensen die daar richting aan moeten geven nog zo vaak tijdelijk inhuren?

Bij gemeenten is de beperkte securitycapaciteit goed zichtbaar

Er zijn geen landelijke cijfers die precies laten zien welk percentage van alle Nederlandse CISO's en ISO's in loondienst, freelance of interim werkt.

Maar als we specifiek naar gemeenten kijken, ontstaat wel een interessant beeld.

Uit het Formatieonderzoek Informatiebeveiliging bij Gemeenten 2024 blijkt dat kleine gemeenten gemiddeld slechts 1,14 fte totale informatiebeveiligingsformatie hebben. Bij middelgrote gemeenten is dat 1,77 fte. Pas bij grote gemeenten loopt dit op naar gemiddeld 5,58 fte.

Vooral bij de uitvoerende securitycapaciteit wordt het verschil zichtbaar. Kleine en middelgrote gemeenten beschikken gemiddeld over slechts 0,51 en 0,53 fte (T)ISO-capaciteit. Rollen worden daarom regelmatig gedeeld tussen gemeenten of gecombineerd met andere functies.

En dat terwijl de opgave niet kleiner wordt. BIO 2.0, ENSIA, de Cyberbeveiligingswet, leveranciersrisico's en een steeds complexer dreigingslandschap moeten ook binnen een kleine gemeente worden georganiseerd.

De cijfers over 2025 maken die spanning nog duidelijker. Gemeenten hebben hun informatiebeveiligingsformatie uitgebreid, maar die groei vertaalt zich nog nauwelijks naar een hoger volwassenheidsniveau. Geen van de 35 onderzochte gemeenten plaatst zichzelf op niveau 4 – beheerst – of 5 – geoptimaliseerd.

En dan wordt ook begrijpelijk waarom externe capaciteit zo aantrekkelijk is.

Waarom organisaties security tijdelijk inhuren

Als een organisatie maar beperkt securitycapaciteit beschikbaar heeft en een ervaren medewerker vertrekt, ziek wordt of simpelweg niet gevonden kan worden, ontstaat direct een probleem.

Informatiebeveiliging kan ondertussen niet wachten.

Dus wordt er ingehuurd.

Ook dat is niet theoretisch. De opdrachten liggen gewoon op straat.

Bijvoorbeeld een recente gemeentelijke opdracht voor een interim-CISO van 36 uur per week vroeg expliciet om iemand die voor continuïteit zorgt, structuur aanbrengt, bestuur en directie adviseert en de organisatie verder begeleidt bij onder andere BIO 2.0, ENSIA en NIS2.

Lees die opdracht nog eens los van het woord ‘interim’.

Continuïteit verzorgen.Bestuur en directie adviseren. Structuur aanbrengen. Informatiebeveiliging verder professionaliseren.

Dat klinkt niet als een tijdelijk securityvraagstuk.

Dat klinkt als een structurele bedrijfsfunctie die tijdelijk wordt ingevuld.

En precies daar zit volgens mij de kern.

Waarom blijven zoveel ervaren CISO’s en ISO’s dan extern werken?

Schaarste is natuurlijk een belangrijk deel van het antwoord.

Een ervaren CISO moet informatiebeveiligingsrisico’s begrijpen, maar ze ook kunnen vertalen naar directie en bestuur. De organisatie kennen. Stakeholders meenemen. Wet- en regelgeving begrijpen. Prioriteiten stellen. En ondertussen voldoende technische kennis hebben om de juiste vragen te kunnen stellen.

Die ervaring bouw je niet in een paar jaar op.

Maar schaarste alleen verklaart niet waarom externe inhuur zo hardnekkig blijft bestaan.

De markt heeft namelijk zelf een aantrekkelijk alternatief voor loondienst gecreëerd.

Als ervaren CISO of ISO kun je als zelfstandige voor verschillende organisaties werken, interessante opdrachten uitvoeren, veel autonomie hebben en daar vaak financieel goed voor worden beloond.

En er speelt nog iets.

Verschillende onderzoeken laten zien dat CISO’s opvallend kort in dezelfde functie blijven. ISACA verwijst naar een gemiddelde van 18 tot 24 maanden en onderzoek van Nominet kwam uit op gemiddeld 26 maanden.

Wat ik in gesprekken met CISO’s regelmatig terughoor, geeft daar nog een interessante verklaring voor.

Na 18 tot 24 maanden is er vaak juist veel bereikt.

De belangrijkste verbeteringen zijn doorgevoerd. Processen zijn ingericht. Certificeringen zijn behaald. De grootste risico’s zijn aangepakt.

En langzaam ontstaat binnen de organisatie het gevoel: we zijn er.

De volgende verbeteringen zijn minder zichtbaar. Budgetten worden lastiger. De bereidheid voor verdere verandering neemt af en het kost steeds meer moeite om dezelfde urgentie en buy-in te creëren.

Terwijl informatiebeveiliging natuurlijk nooit af is.

Voor de CISO verandert daarmee ook de opdracht. Van bouwen, veranderen en verbeteren naar onderhouden, optimaliseren en steeds opnieuw uitleggen waarom verdere verbetering noodzakelijk blijft.

En ergens anders ligt alweer een nieuwe organisatie met een duidelijke veranderopgave, urgentie en bestuurlijke aandacht.

Misschien is het dan ook niet zo vreemd dat juist ervaren CISO’s zich aangetrokken voelen tot interimwerk.

En zolang organisaties bereid zijn die expertise langdurig extern in te huren, blijft dat model aantrekkelijk.

Daarmee ontstaat bijna een cirkel:

Schaarste leidt tot externe inhuur.

Externe inhuur maakt zelfstandig werken aantrekkelijk voor ervaren professionals.

Daardoor blijven minder ervaren professionals beschikbaar voor vaste functies.

En organisaties worden opnieuw afhankelijk van externe inhuur.

Het probleem houdt zichzelf daarmee gedeeltelijk in stand.

Externe IT-inhuur is een veel breder probleem

Binnen de overheid zien we dezelfde ontwikkeling bij IT in bredere zin.

De Algemene Rekenkamer concludeerde in 2025 dat de Rijksoverheid door arbeidsmarktkrapte in de praktijk niet ontkomt aan tijdelijke IT-inhuur. Specialistische IT-expertise is soms simpelweg noodzakelijk voor de continuïteit van de bedrijfsvoering en dienstverlening.

Maar de Rekenkamer waarschuwt tegelijkertijd voor precies de keerzijde daarvan: hoge kosten en het risico dat organisaties te afhankelijk worden van externe kennis en kunde.

De cijfers zijn behoorlijk stevig.

In 2024 ging 15,4% van de totale personele uitgaven van de Rijksoverheid naar externe inhuur. Bij BZK was dat 21%. Bij de IT-organisaties Logius en SSC-ICT zelfs respectievelijk 48% en 34%.

De verklaring daarvoor is interessant: structurele arbeidsmarktkrapte, specialistische IT-expertise en de noodzaak om de continuïteit van de bedrijfsvoering en dienstverlening te waarborgen.

Maar minstens zo interessant is dat deze organisaties tegelijkertijd proberen om die afhankelijkheid terug te dringen door meer eigen personeel te werven en te behouden.

Met andere woorden:

Externe capaciteit blijft nodig, maar tegelijkertijd wordt geprobeerd om kennis en capaciteit weer structureel binnen de organisatie op te bouwen.

En volgens mij zit precies daar ook een belangrijk deel van de oplossing voor security.

De keuze is niet vast of extern

Ik ben absoluut niet tegen externe inzet.

Integendeel.

Een ervaren interim-CISO kan ontzettend waardevol zijn wanneer een organisatie tijdelijk leiderschap nodig heeft. Een externe specialist kan kennis toevoegen die je intern niet dagelijks nodig hebt. En een flexibele schil geeft organisaties de mogelijkheid om capaciteit op- en af te schalen.

Maar er ontstaat een ander vraagstuk wanneer tijdelijke inzet jarenlang noodzakelijk blijft om dezelfde bedrijfsfunctie draaiende te houden.

Want juist bij een CISO wil je kennis van de organisatie behouden.

Welke risico’s zijn bewust geaccepteerd? Waarom zijn bepaalde maatregelen wel of niet genomen? Welke leveranciers zijn kritisch? Waar zitten de grootste kwetsbaarheden? Welke afspraken zijn met bestuur en directie gemaakt?

Dat is kennis die je niet volledig overdraagt in een document wanneer een opdracht afloopt.

Misschien lossen we daarom al jaren het verkeerde probleem op

Als een CISO vertrekt, zoeken we een nieuwe CISO. Blijkt die moeilijk te vinden, dan huren we tijdelijk iemand in. Blijft een ISO-vacature te lang openstaan, dan schakelen we recruitment in of voegen we externe capaciteit toe.

Iedere afzonderlijke beslissing is volkomen logisch.

Maar het onderliggende probleem verandert niet. Ervaren securityprofessionals blijven schaars, terwijl de behoefte aan informatiebeveiliging alleen maar toeneemt. Zeker bij organisaties met een kleine interne bezetting kan het vertrek van één ervaren professional daardoor direct leiden tot nieuwe externe inhuur.

Als dat patroon zich blijft herhalen, heeft het weinig zin om alleen maar harder te zoeken naar dezelfde schaarse professionals om steeds weer opnieuw dezelfde vacature in te vullen.

Dan hebben we geen recruitmentprobleem meer.

Dan hebben we een capaciteitsprobleem.

En dat vraagt om een andere manier van kijken naar teamopbouw.

Niet alleen naar de vacature die vandaag openstaat, maar naar wat de organisatie op langere termijn nodig heeft. Welke kennis wil je zelf in huis hebben? Waar is senioriteit echt noodzakelijk? Welke medewerkers kunnen zich verder ontwikkelen? En welke expertise kun je juist flexibel organiseren?

De keuze is dus niet vast óf flexibel.

Een flexibele schil kan enorm waardevol zijn voor specialistische kennis, tijdelijke versterking of extra senioriteit. Maar als de behoefte niet meer tijdelijk is, is langdurige externe inhuur misschien niet meer de beste oplossing.

Een vast team waar dat kan. Een flexibele schil waar dat nodig is.

En vooral: externe expertise zo inzetten dat kennis wordt overgedragen en de eigen organisatie steeds sterker en zelfstandiger wordt.

Dat is ook hoe we vanuit CISO-Office naar teamopbouw kijken. Niet beginnen bij de vraag hoe we zo snel mogelijk een securityvacature kunnen invullen, maar bij wat er nodig is om een duurzaam, stabiel en schaalbaar securityteam op te bouwen.

Want de schaarste aan ervaren CISO’s en ISO’s lossen we niet op door allemaal harder uit dezelfde beperkte groep securityprofessionals te blijven werven.

Wel door slimmer om te gaan met de mensen en kennis die er zijn, interne securitycapaciteit op te bouwen en externe expertise in te zetten waar die daadwerkelijk waarde toevoegt.