Rekrytera CISO – Chief Information Security Officer
En CISO (Chief Information Security Officer) är den chef som bär det samlade ansvaret för bolagets informations- och cybersäkerhet: säkerhetsstrategi, riskhantering, incidentberedskap och efterlevnad av krav som NIS2, GDPR och ISO 27001. CISO:n rapporterar till VD eller CIO. Salesgroup rekryterar CISO:er till IT-, tech- och SaaS-bolag via Executive Search.
Vad gör en CISO?
En CISO äger informationssäkerhetsstrategin och ser till att bolaget både uppfyller regulatoriska krav och har ett skydd som motsvarar de faktiska riskerna. Ansvaret omfattar säkerhetsarkitektur, riskbedömning, incidenthantering, leverantörsbedömning, säkerhetsutbildning och rapportering till ledning och styrelse. CISO:n leder säkerhetsfunktionen – ofta SOC, GRC och security engineering – och arbetar tätt med CIO, CTO och juridik.
I tech- och SaaS-bolag är säkerhet dessutom en del av affären. Enterprise-kunder skickar säkerhetsfrågeformulär, kräver certifieringar som ISO 27001 eller SOC 2 och granskar incidentrutiner innan de skriver avtal. En bra CISO förkortar säljcykeln i stället för att förlänga den. I IT-tjänstebolag gäller samma sak för varje miljö konsulterna har åtkomst till hos kund.
Intervjuer sedan 2011
Presenterade kandidater sedan 2011
Rekryteringar sedan 2011
När behöver ert bolag en CISO?
- Säkerhet är ett delansvar i IT. IT-chefen eller CTO:n hanterar säkerheten vid sidan av, och ingen har tid att arbeta förebyggande.
- NIS2 och skärpta krav på ledningen. NIS2 lägger ett tydligare ansvar för cybersäkerhetsstyrning på ledningen och omfattar fler sektorer, bland annat delar av IT-tjänstebranschen. Ledningen behöver någon som kan svara för arbetet.
- Kunderna kräver det. Säkerhetsfrågeformulär, revisioner och leverantörskrav tar allt mer tid i era affärer.
- Certifiering ska genomföras. Ni siktar på ISO 27001 eller motsvarande och behöver en ägare för ledningssystemet.
- En incident har inträffat. Eller var nära – och det blev tydligt att ansvar och beredskap saknades.
- Tillväxt och förvärv. Fler system, fler leverantörer och fler människor med åtkomst gör attackytan större än organisationen hinner överblicka.
CISO, CIO eller IT-chef – vem äger säkerheten?
- CISO. Äger säkerhetsstrategi, risk och efterlevnad. Ska kunna granska och utmana IT-leveransen – därför ibland direkt under VD.
- CIO. Äger intern IT, data och IT-strategi. Ansvarar för att säkerhetskraven genomförs i systemen, men bör inte vara ensam ägare av riskbedömningen.
- CTO. Äger produktens teknik. I SaaS-bolag ansvarar CTO:n för säker utveckling och produktsäkerhet, med CISO:n som styrande funktion.
- IT-chef. Äger drift och förvaltning. I mindre bolag ligger säkerheten ofta här – vilket fungerar tills kraven från kunder och regelverk växer ifrån rollen.
Hör av er till mig!
Ska ni rekrytera en CISO eller reda ut vem som ska äga säkerheten hos er? Berätta om bolaget, era krav från kunder och regelverk och var säkerhetsarbetet står i dag, så föreslår jag hur vi lägger upp sökningen.
Skicka mail
Vad vi bedömer hos en CISO
Den vanligaste fallgropen är en CISO som kan säkerhet men inte kan få resten av bolaget att vilja arbeta säkert. Den näst vanligaste är motsatsen: en skicklig policyskribent utan teknisk trovärdighet. Vi bedömer:
- Riskbaserade prioriteringar. Hur kandidaten har valt vad som ska skyddas först – och vad som medvetet fått vänta.
- Incidenterfarenhet. Verkliga incidenter kandidaten har lett: beslut, kommunikation mot ledning och kunder, och vad som ändrades efteråt.
- Affärsspråk. Förmågan att presentera säkerhetsläget för styrelsen och svara på kunders säkerhetskrav utan att bromsa affären.
- Regelverk och ramverk. Praktisk erfarenhet av NIS2-arbete, GDPR och ISO 27001 – inte bara kännedom.
- Att bygga säkerhetskultur och team. Referenser om hur kandidaten fått utvecklare, IT och verksamhet att ta ansvar.
CISO-rekryteringar genomför vi som Executive Search inom ramen för vår chefsrekrytering inom IT/Tech: normalt 50–150 kartlagda profiler och 10–14 veckor från uppstart till signerat avtal. Kandidaterna kvalificeras med case kring riskbedömning och incidenthantering, kompetensbaserade intervjuer, TQ-tester och referenstagning. Vill ni förstå vad som står på spel, läs vad en felrekrytering kan kosta.
Fler roller inom IT-ledning
CIO
Äger intern IT, data och IT-strategi på ledningsnivå – och är ofta den CISO:n rapporterar till eller samarbetar närmast med.
CTO
Äger teknikstrategi, produktarkitektur och utvecklarorganisationen. I SaaS-bolag CISO:ns viktigaste partner för säker produktutveckling.
Vanliga frågor om att rekrytera en CISO
Vad är en CISO?
En CISO är bolagets högsta ansvariga för informations- och cybersäkerhet. Förkortningen står för Chief Information Security Officer. Rollen äger säkerhetsstrategin, bedömer risker, leder säkerhetsteamet och incidenthanteringen och rapporterar säkerhetsläget till ledning och styrelse. I ett tech- eller SaaS-bolag är CISO:n också den som står för säkerheten gentemot kunder och revisorer.
Ska CISO:n rapportera till CIO eller till VD?
Båda modellerna fungerar, men rapportering till VD ger mer oberoende. Det är vanligt i reglerade branscher och när säkerheten ska kunna granska IT-leveransen. Rapportering till CIO ger närmare integration med IT men risk för att säkerhet prioriteras ned mot leveranstakt. Valet påverkar kandidatprofil och nivå, så det bör vara bestämt innan sökningen startar.
Behöver vi en CISO på grund av NIS2?
Inte nödvändigtvis en CISO, men någon måste äga frågan på ledningsnivå. NIS2 lägger ett tydligare ansvar för cybersäkerhetsstyrning på ledningen och omfattar fler sektorer än tidigare, inklusive delar av IT-tjänstebranschen. Många bolag påverkas också indirekt via kundernas leverantörskrav. Om ingen i ledningen i dag kan svara för säkerhetsarbetet är det en stark signal.
Ska vi söka en CISO med teknisk bakgrund eller GRC-bakgrund?
Det beror på er säkerhetsmognad. En tekniskt orienterad CISO passar när grundskyddet – identiteter, molnmiljö, övervakning, incidentberedskap – behöver byggas. En GRC-inriktad CISO passar när grunden finns och fokus är styrning, riskhantering, revisioner och regelefterlevnad. I SaaS-bolag som säljer till enterprise-kunder behövs ofta båda, och då väger förmågan att bygga team tyngst.
Hur lång tid tar det att rekrytera en CISO?
Normalt 10–14 veckor från uppstart till signerat avtal, vilket är vår ram för Executive Search till ledningsgruppsroller. Kandidatmarknaden för erfarna CISO:er är trång, så tiden styrs av hur smal profilen är och hur snabbt ni kan fatta beslut när rätt kandidat finns. Kandidatens uppsägningstid tillkommer innan tillträde.
Vad kostar det att rekrytera en CISO?
Priset sätts per uppdrag. Det som påverkar är rollens nivå, hur brett kandidatfältet är, geografi, hur stor del av processen vi tar, tillval som arbetspsykologiska tester och om uppdraget är exklusivt. En CISO-rekrytering görs normalt som Executive Search med full kartläggning. Efter ett första samtal om rollen får ni ett konkret förslag.
Hur hittar ni CISO-kandidater när marknaden är så trång?
Genom kartläggning och direkt kontakt snarare än annonsering. I ett Executive Search-uppdrag kartlägger vi normalt 50–150 profiler – nuvarande CISO:er, säkerhetschefer och seniora säkerhetsarkitekter redo för nästa steg – och kontaktar dem personligen. Utgå från att er potentiella drömkandidat har flera alternativ, så mandat och budget måste vara tydliga från första samtalet.
Behöver ni rekrytera en CISO? Boka ett första samtal om rollen, rapporteringsvägen och vad säkerhetsarbetet ska uppnå.