Evolving Expectations and Structural Constraints of Cybersecurity Leadership: A Transatlantic Longitudinal Analysis of CISO Job Advertisements

Elke moderne organisatie vertrouwt op een bewaker om haar digitale leven te beschermen: de Chief Information Security Officer, of CISO. Deze persoon staat op het snijvlak van technologie, bedrijfsstrategie en risicobeheer, met de taak om gevoelige gegevens te beschermen tegen onzichtbare dreigingen. Om deze baan goed uit te voeren, is een zeldzame mix van vaardigheden nodig: diepgaande technische kennis om te begrijpen hoe systemen werken, en sterke leiderschapscapaciteiten om die risico's aan bedrijfsexecutives uit te leggen en moeilijke beslissingen te nemen. Er is echter een hardnekkig probleem in de manier waarop bedrijven deze leiders werven. Vaak komen de functieomschrijvingen die geschreven zijn om kandidaten aan te trekken niet overeen met de realiteit van wat de rol daadwerkelijk vereist of de ondersteuning die de organisatie bereid is te bieden. Deze mismatch kan ervoor zorgen dat nieuwe medewerkers zich verward, onondersteund en overweldigd voelen nog voordat ze hun eerste werkdag beginnen.

Een team van onderzoekers uit München zette zich schouder aan schouder om deze discrepantie te onderzoeken door te kijken naar de werkelijke vacatures voor CISO-posities in twee belangrijke regio's: de Verenigde Staten en de DACH-regio, die Duitsland, Oostenrijk en Zwitserland omvat. Ze verzamelden een enorme collectie van 720 vacatures en vergeleken advertenties uit 2023 met nieuwere exemplaren uit 2026. Hun doel was niet alleen om vaardigheden te tellen, maar om te zien of de beloften in deze advertenties overeenkwamen met wat experts weten over de druk en verantwoordelijkheden van de functie. Ze onderzochten alles, van de vereiste diploma's en jaren ervaring tot de rapportagestructuur — aan wie de CISO rapporteert — en het budget dat zij beheren. Door deze advertenties te behandelen als een venster naar wat bedrijven werkelijk van hen verwachten, brachten de onderzoekers een verhaal aan het licht van evoluerende eisen en structurele tegenstrijdigheden die de beveiliging van hele organisaties in gevaar kunnen brengen.

De studie laat zien dat hoewel de vraag naar CISOs groeit, de manier waarop bedrijven de rol definiëren vaak inconsistent en soms tegenstrijdig is. In de Verenigde Staten benadrukken vacatures steeds vaker zakelijk inzicht, financieel beheer en strategisch leiderschap. Bedrijven daar vragen vaker om een CISO die de taal van de boardroom spreeelt, een budget kan beheren en beveiliging kan integreren in het algemene bedrijfsplan. In contrast hiermee blijven advertenties in de DACH-regio zwaar focussen op technische expertise. Hoewel deze advertenties ook leiderschap vermelden, leggen ze een veel grotere nadruk op het vermogen van de kandidaat om complexe technische systemen en specifieke beveiligingsstandaarden te beheren. Deze regionale splitsing suggereert dat Amerikaanse bedrijven de CISO zien als een strategische executive, terwijl Europese bedrijven de rol vaak nog steeds primair zien als een senior technische expert.

Misschien wel zorgwekkender dan deze regionale verschillen is een structurele paradox die in de loop van de tijd is ontstaan. De onderzoekers ontdekten dat vacatures steeds vaker meer verantwoordelijkheid vragen zonder de noodzakelijke autoriteit toe te kennen om die te kunnen vervullen. In 2026 gaf een aanzienlijk groter aantal advertenties expliciet aan dat de CISO toezichthoudende taken zou hebben, wat betekent dat zij verantwoordelijk zou zijn voor het aannemen en aansturen van een team. Echter, dezelfde advertenties vermelden zelden dat de CISO controle zou hebben over het budget dat nodig is om dat team te betalen of de benodigde tools aan te schaffen. Het is alsof een bedrijf een manager vraagt om een huis te bouwen en de arbeiders aan te nemen, maar weigert de sleutels van de bankrekening te geven of de autoriteit te geven om materialen te kopen. Dit gebrek aan duidelijkheid creëert een situatie waarin leiders worden verwacht resultaten te leveren, maar hen de middelen worden ontzegd om dat te doen, een dynamiek die volgens de onderzoekers leidt tot verwarring en burn-out.

De menselijke kosten van deze onduidelijke verwachtingen worden steeds moeilijker te negeren. De studie merkte op dat hoewel vacatures steeds vaker vragen om "stressbestendigheid" en het vermogen om onder druk te werken, ze bijna nooit uitleggen welke ondersteuningssystemen aanwezig zijn om de CISO te helpen bij het beheersen van die stress. Er is weinig sprake van coaching, leiderschapstraining of duidelijke protocollen voor het omgaan met de intense druk die gepaard gaat met een cybercrisis. Sterker nog, de advertenties laten vaak na te specificeren of de CISO vierentwintig uur per dag beschikbaar moet zijn tijdens een noodsituatie, ondanks het feit dat cyberaanvallen op elk moment kunnen plaatsvinden. Deze stilte laat kandidaten gissen naar de ware aard van de baan, wat potentieel kan leiden tot een mismatch tussen wat de persoon verwacht en wat het bedrijf eist.

Een ander cruciaal bevinding betreft de weg naar de top. Voor een CISO om effectief te zijn, is een directe lijn van communicatie naar de hoogste niveaus van het leiderschap nodig, zoals de CEO of de raad van bestuur. De onderzoekers ontdekten dat in de DACH-regio vacatures vaker een directe rapportagelijn naar topbestuurders specificeren, met een aanzienlijk hogere prevalentie van direct rapporteren vergeleken met de Verenigde Staten. In de VS wordt de CISO vaker beschreven als iemand die indirect rapporteert via een andere afdeling, zoals de Chief Information Officer. Deze indirecte structuur kan een belangenconflict creëren, aangezien de persoon die verantwoordelijk is voor beveiliging mogelijk rapporteert aan de persoon die verantwoordelijk is voor de technologie-systemen die zij juist moet auditeren. De studie suggereert dat deze rapportage-arrangement de bekwaamheid van de CISO kan verzwakken om de waarheid te spreken tegenover de macht en noodzakelijke beveiligingsmaatregelen te pleiten.

De data tonen ook een verschuiving in de kwalificaties waar bedrijven naar op zoek zijn. In het verleden gaven vacatures sterk de voorkeur aan kandidaten met puur technische diploma's. Tegen 2026 was er een merkbare verschuiving naar het waarderen van bedrijfskundige diploma's en uitgebreide professionele ervaring. Bedrijven beginnen te beseffen dat het leiden van een beveiligingsteam meer vereist dan alleen weten hoe je moet coderen; het vereist begrip van hoe een bedrijf geld verdient en hoe je mensen aanstuurt. Toch, zelfs terwijl de eisen voor ervaring en opleiding strenger zijn geworden, is de transparantie over salaris en middelen niet meegegroeid. Veel vacatures vermelden nog steeds vage salarisranges of laten compensatiedetails geheel weg, en in de DACH-regio liggen de vermelde salarissen vaak onder de internationale benchmarks. Dit gebrek aan duidelijkheid kan hooggekwalificeerde kandidaten ontmoedigen om te solliciteren, waardoor organisaties met minder opties blijven zitten om deze cruciale rollen in te vullen.

Uiteindelijk betogen de onderzoekers dat de manier waarop bedrijven vacatures schrijven een signaal is van hun organisatorische intentie. Wanneer deze advertenties vaag, tegenstrijdig of niet overeenstemmend zijn met de realiteit van het werk, leggen ze de basis voor falen nog voordat het wervingsproces überhaupt is begonnen. De studie beweert niet dat elke CISO precies deze omstandigheden ervaart, maar het belicht een wijdverbreid patroon waarbij de belofte vóór de aanstelling niet overeenkomt met de operationele realiteit. Om dit op te lossen, stellen de auteurs voor dat organisaties eerlijker en specifieker moeten zijn in hun vacatures. Ze moeten de reikwijdte van de autoriteit, de beschikbare middelen en de ware aard van de uitdagingen waarmee de CISO te maken krijgt, duidelijk definiëren. Door dit te doen, kunnen bedrijven kandidaten aantrekken die werkelijk voorbereid zijn op de rol en een fundament leggen voor effectief leiderschap dat zowel de organisatie als de mensen binnen de organisatie beschermt.