Binnen onze organisatie, een ziekenhuis in het westen van het land waar ik algemeen staffunctionaris ben, is een CISO aangesteld. Zijn werkzaamheden zijn uitsluitend beleidsmatig. I.g.v. uitvoerende taken doet hij een beroep op een netwerkbeheerder en een systeembeheerder, die in de praktijk de functie van technisch beveiligingsexpert bekleden, maar waarvan de functie (nog) niet is aangepast. Mij is door de Raad van Toezicht gevraagd om risicoanalyses omtrent cybersecurity te doen, waarbij bovenstaande aan het licht is gekomen. Ik krijg echter nergens helder of deze situatie wenselijk en/of verdedigbaar is richting de Autoriteit Persoonsgegevens in het geval van een incident. Zelf denk ik (gevoelsmatig) dat de situatie niet verdedigbaar is, omdat er in de formele zin geen techneuten zijn aangewezen die zich over de beveiliging buigen. Ik zou er voor willen pleiten dat de functie van beide beheerders wordt aangepast, maar ik kan dit onvoldoende onderbouwen en ben op zoek naar handvatten. Hoe doen andere ...