Van CISO naar Projectleider — vier jaar bij een Veiligheidsregio

De stap die ik niet zag aankomen

Twaalf jaar bij IPS — eerst Service Engineer, later General Manager en aandeelhouder — leek de logische lijn. Een mooi bedrijf, fijne collega's, een marktpositie die we elk jaar verstevigden. En toch was het ergens in 2021 zo dat ik 's avonds naar buiten liep en dacht: als ik nu nóg vijf jaar hetzelfde doe, ben ik er aan toe om ergens iets weg te smijten.

Een vacature voor CISO bij Veiligheidsregio Brabant-Noord kwam langs. Op papier vreemde keuze: commercieel naar overheid, brede IT-management naar smal infosec, Rotterdamse markt naar Brabantse meldkamer-wereld. Maar precies daarom voelde het kloppen.

Wat een CISO bij een Veiligheidsregio is

Een Veiligheidsregio is een samenwerkingsverband van gemeenten, brandweer, GHOR en (gedeeltelijk) politie. Bij ons werken meldkamer-medewerkers, brandweer-officieren, OR-vertegenwoordigers, ambtenaren openbare orde — een diverse club. De ICT-omgeving is alles bij elkaar: meldkamer-systemen (LCMS, GMS), kantoor-IT, kazerne-IT, voertuig-IT, sensoren in het veld.

Als CISO ben je verantwoordelijk voor het beleid en de toetsing op informatiebeveiliging. Maar belangrijker nog: je bent vertaler. Tussen NIS2, BIO, AVG aan de ene kant, en de brandweer-officier die "gewoon zijn handterminal wil pakken" aan de andere kant.

Wat anders is dan commercieel

1. Het besluitvormingsproces is trager — en met goede reden

In een commercieel bedrijf was een investering van 50.000 euro een gesprek aan een tafel, de volgende week was de inkoop rond. Bij de overheid loopt diezelfde investering via offerte-aanvraag, mandaten, soms een Algemeen Bestuur. Dat is in eerste instantie frustrerend.

Maar wat ik geleerd heb: dit trage proces is geen bug, het is een feature. Het is de prijs die we als samenleving betalen om te voorkomen dat één persoon op een dinsdag besluit dat de meldkamer voortaan via een Amerikaanse cloud-provider draait. Het irriteert me nog steeds, maar ik begrijp het inmiddels.

2. De stakeholders snappen je vak niet, en dat is hun goed recht

In de commerciële IT-wereld praatten mijn klanten over "AD-replicatie" en "VPN-throughput". Hier zit ik in vergaderingen met brandweer-officieren die snel uitleg willen, wethouders die alleen het politieke risico zien, en juristen die elk woord wegen op AVG-implicaties.

Dat dwingt je om echt te leren uitleggen. Niet met jargon dat zegt "ik weet er meer van dan jij", maar met analogieën die snijden. Als je het niet kunt uitleggen aan een 65-jarige burgemeester, snap je het zelf misschien ook niet helemaal.

3. Het maatschappelijke effect is concreter

Een klantvraag bij IPS klonk meestal als "kunnen jullie onze Exchange-migratie regelen". Belangrijk werk, maar niet iets waar je 's nachts aan denkt.

Bij de Veiligheidsregio loopt het anders. Een meldkamer-systeem dat omvalt betekent dat 112-meldingen niet door komen. Een datalek in onze persoonsgegevens kan betrekking hebben op de mensen die net in een ambulance zaten. Het is niet abstract.

Waarom ik na drie jaar CISO de overstap maakte

Begin 2024 kwam de vraag of ik Projectleider ICT wilde worden. Geen functietitel die normaal gesproken op je verlanglijstje staat als je drie jaar CISO bent geweest. Maar:

1. Als CISO doe je vooral toezien dat. Als projectleider bouw je.
2. De rol gaf me toegang tot het hele ICT-domein — niet alleen de security-laag.
3. Een project hééft een einde. Beleid is oneindig. Daar wilde ik even weg van.

Sinds 2024 ben ik betrokken bij grotere ICT-projecten binnen onze regio: vernieuwing meldkamer-infrastructuur, koppelingen met landelijke systemen, vervangingen van end-of-life apparatuur in kazernes. Het is concreter werk, met heldere mijlpalen en een opleverdatum.

Wat hetzelfde bleef

Een veelgehoord vooroordeel: "bij de overheid kun je rustig achterover leunen". Het is, om het netjes te zeggen, niet helemaal accuraat. De drukke maanden bij IPS waren niet drukker dan de drukke maanden hier. Wat wel anders is: hier zit minder commerciële tijdsdruk, maar méér bestuurlijke en politieke druk.

En wat echt hetzelfde is: of je nu in een commercieel bedrijf zit of bij de overheid, de echte uitdaging is altijd hetzelfde — krijg je je collega's mee, en heb je een verhaal dat klopt voor zowel de techneut als de eindverantwoordelijke.

Tot slot, een paar dingen die ik dacht maar fout had

• "De overheid is conservatief". Op infrastructuur misschien — terecht. Maar in onze regio loopt cloud-adoptie, zero-trust en SaaS-strategie qua tempo niet onder bij wat ik in commercieel-IT zag.
• "Bij de overheid ben je een radertje". Voor mijn gevoel juist het tegenovergestelde. Met een team van ~25 ICT'ers voor een hele regio met 19 gemeenten heb je veel directe verantwoordelijkheid.
• "Iedereen wacht zijn pensioen af". Met grote regelmaat ben ik de jongste in de kamer, maar de gemiddelde betrokkenheid is hoger dan ik gewend was.

Conclusie

Vier jaar verder ben ik blij dat ik in 2022 die sprong heb gemaakt. Niet omdat de overheid beter is dan commercieel of andersom — het zijn gewoon andere werelden — maar omdat het me als professional rekt. Anders praten, anders denken, anders bouwen. En daarbij, twee avonden per week, op de pieper als vrijwillig brandweerman in mijn eigen gemeente.

Vragen, opmerkingen, of zit je zelf met een soortgelijke overweging? Mail me, ik praat er graag over.