Onze digitale verdediging brokkelt af: waarom onze CISO's opbranden

Wanneer mensen buiten ons vakgebied aan cybersecurity denken, zien ze vaak vooral techniek: firewalls, encryptie, phishingmails en anonieme hackers die digitale muren bestoken. Dat beeld klopt deels, maar het negeert één cruciale factor: de mens. En dan gaat het hier niet om de gemiddelde medewerker die af en toe door de verplichte e-learning moet lopen, maar om de professionals die elke dag aan de frontlinie staan: CISO's, security officers, SOC-analisten, incident responders en ethische hackers.

In die wereld achter de schermen speelt zich een stille crisis af: langdurige stress, constante mentale belasting en oplopende burn-outcijfers. De mensen die onze belangrijkste data en systemen beschermen, raken in hoog tempo uitgeput, en dat is geen simpel HR-dilemma maar een strategisch risico voor organisaties én de samenleving. Wanneer deze verdedigers te moe zijn om scherp te blijven, neemt de kans op fouten toe en worden onze digitale verdedigingslinies direct dunner.

Deze crisis is geen theoretisch risico, maar iets dat dagelijks voelbaar is in teams en organisaties. Er is veel discussie hierover op LinkedIn en ik krijg regelmatig de vraag of het nu ook daadwerkelijk zo erg gesteld is met dit aspect van specifiek de CISO-rol. Dat is de reden dat ik besloten heb om hierin te duiken en mij te baseren op (wetenschappelijke) publicaties, artikelen en podcasts. Geen puur wetenschappelijk artikel dus, maar wel een CISO-perspectief vanuit bijna 25 jaar ervaring in cybersecurity, waarin ik deze dynamiek keer op keer heb waargenomen: in mijn eigen teams, bij collega's en in de organisaties waar ik adviseer.

De vijf ontwikkelingen uit recent onderzoek en uit de praktijk die ik hier uit wil lichten, laten zien hoe groot het probleem inmiddels is. Samen maken ze duidelijk hoe persoonlijke druk, gedoe in de organisatie en gebrekkige strategie onze digitale weerbaarheid stap voor stap ondermijnen.

1. Cybersecurity-professionals staan onder extreme druk

De perceptie van cybersecurity als een reguliere kantoorbaan is een gevaarlijke misvatting. Hoewel het werk fysiek misschien niet veeleisend lijkt, is de psychologische realiteit vergelijkbaar met een constante staat van paraatheid in een digitale conflictzone. De druk is onophoudelijk, de dreiging alomtegenwoordig en de inzet onvoorstelbaar hoog. De werkomgeving van een cybersecurity-expert wordt in onderzoek treffend vergeleken met een "oorlogssituatie".^[1] Professionals staan continu onder hoogspanning, wetende dat een enkel moment van onoplettendheid of te traag reageren grote gevolgen kan hebben voor hun organisatie. Deze constante druk kan tot uitputting leiden.

Ik heb het in mijn omgeving helaas meerdere keren zien gebeuren, en onderzoek laat zien dat dit geen uitzondering maar regel is. Onderzoek toont aan dat de burn-outniveaus in onze sector soms zelfs hoger liggen dan die van eerstelijns zorgverleners, zoals artsen op de spoedeisende hulp.^[2] Met name de emotionele uitputting, een kernonderdeel van burn-out, is een veelvoorkomend en slopend aspect van het werk. Deze emotionele uitputting is niet alleen ingrijpend voor het individu, maar vormt ook een directe bedreiging doordat zijn of haar cognitieve functies, zoals aandacht en besluitvorming, verminderen, terwijl die juist cruciaal zijn voor effectieve cyberweerbaarheid.

2. De grootste bedreiging is geen hacker, maar een opgebrande CISO

De veiligheid van een organisatie is direct gekoppeld aan het welzijn van haar directie en management. Een Chief Information Security Officer (CISO) die mentaal op het randje balanceert, is een strategisch risico dat geen enkel bedrijf zich kan veroorloven. De aanhoudende stress en de grote verantwoordelijkheid creëren een onhoudbare situatie, met potentieel desastreuze gevolgen voor zowel het individu als de organisatie.

De professionele tol van deze crisis is zichtbaar in de alarmerende statistieken die verband houden met de CISO-rol:

• De gemiddelde ambtstermijn van een CISO bij een grote onderneming ligt op 18 tot 26 maanden, tegenover bijna vijf jaar voor de overige directieleden. Dat duidt op een hoge mate van verloop en instabiliteit voor de organisatie.^[9]
• Maar liefst 90% van de CISO's is bereid een salarisverlaging te accepteren in ruil voor minder stress. Gemiddeld zouden ze hiervoor $9.642 (ongeveer €8.200) per jaar willen inleveren.^[3]
• In Nederland meldt 56% van de CISO's in het afgelopen jaar burn-out te hebben ervaren of gezien, een duidelijke stijging ten opzichte van de 43% in het voorgaande jaar.^[4]

Deze cijfers worden verergerd door een gevoel van rolambiguïteit en een gebrek aan daadwerkelijke autoriteit. Iets dat tijdens sessies met alleen CISO's regelmatig gedeeld wordt. Veel CISO's voelen zich namelijk verantwoordelijk zonder het mandaat te hebben om fundamentele veranderingen door te voeren. Een CISO verwoordde deze frustratie als volgt: "You are excluded from the rest of the organization. Ambiguity in what is being asked of you and what is being provided. That's hard, the C is not real, you're not a chief."^[5]

Deze diepe frustratie vindt vaak haar oorsprong in de dynamiek tussen de security-afdeling (de CISO) en de directiekamer, waar deze kloof uiteindelijk de verdediging van de organisatie verder verzwakt. Je voelt als CISO dagelijks de verantwoordelijkheid, maar om daar ook daadwerkelijk iets mee te kunnen doen, ben je afhankelijk van de directie of het bestuur. Er zijn genoeg CISO's die, uit pure frustratie met dit proces, de handdoek in de ring gooien. De CISO's die keer op keer het gevecht aan blijven gaan, lopen het risico dat ze opbranden.

3. De kloof met de directie maakt de verdediging kwetsbaarder

Effectieve cybersecurity is geen geïsoleerde IT-functie, maar een strategische pijler die verankerd moet zijn in de top van de organisatie. Wanneer de CISO en de directie of het bestuur niet op één lijn zitten, ontstaat er een gevaarlijke kwetsbaarheid. Deze mismatch verzwakt de organisatie en verhoogt de druk op teams. Dit wordt ook ondersteund door zorgwekkende data:

• Hoewel 68% van de bestuurders cybersecurity primair als onderdeel van het IT-budget ziet, maakt 60% zich tegelijkertijd zorgen dat de bedreigingen geavanceerder zijn dan hun verdediging.^[6] Dit duidt op een discrepantie tussen de perceptie van het probleem en de toewijzing van strategische middelen.
• De afstemming tussen het bestuur en Nederlandse CISO's is dramatisch gedaald, van een piek van 80% in 2024 naar slechts 59% in 2025.^[4] Wat misschien wel een teken aan de wand is voor het groter worden van de kloof tussen directie en CISO.
• Als direct gevolg hiervan voelt 45% van de Nederlandse CISO's dat ze de middelen missen om hun doelen te kunnen bereiken.^[4]

Dit lijkt langzamerhand een vicieuze cirkel: de directie ziet security als een kostenpost, waardoor middelen beperkt blijven. De CISO kan hierdoor niet adequaat reageren op de toenemende dreigingen, wat leidt tot verhoogde stress en een grotere kans op een succesvolle aanval. Deze kloof culmineert in het meest tastbare risico: dataverlies, waarbij 92% van de CISO's die dataverlies meemaakten aangeeft dat vertrekkende werknemers een rol speelden, tegen 73% een jaar eerder.^[4] Een direct gevolg van een cultuur die zijn belangrijkste verdedigers opbrandt. Deze organisatorische frictie heeft echter ook een diep persoonlijke, emotionele uitwerking wanneer een aanval daadwerkelijk plaatsvindt, terwijl de directie op de hoogte was van de risico's en verzoeken van de CISO om meer middelen.

Wanneer onder deze omstandigheden een incident plaatsvindt, dan is het wrang dat deze CISO misschien wel zwart op wit bewijs heeft dat zijn verzoeken om meer middelen keer op keer niet zijn gehonoreerd, maar wat is dat waard? Hoewel een groot vakgebied, lijkt het soms wel een dorp waarbij iedereen weet wie de CISO was van organisatie X waar het fout is gegaan. Niet alleen een smet op de organisatie, maar ook op de persoon zelf, ook al waren alle processen gevolgd om de weerbaarheid te vergroten.

4. Een cyberaanval laat diepe emotionele littekens na

De nasleep van een ernstig cyberincident wordt vaak geanalyseerd in technische termen: dataverlies, downtime, financiële schade. Wat echter regelmatig over het hoofd wordt gezien, is de diepe psychologische uitwerking op de professionals die midden in de crisis stonden. Het doorstaan van een aanval is een traumatische ervaring die langdurige emotionele littekens kan achterlaten.

De emotionele reis van een professional tijdens een aanval begint met "ongeloof en wanhoop", gevolgd door een diep persoonlijk gevoel van "schuld en twijfel aan zichzelf".^[1] Psychologisch gezien is het echter opvallend dat midden in deze crisis ook gevoelens van "doelgerichtheid en zelfeffectiviteit" worden gerapporteerd. Dit is een klassieke stressrespons: de adrenaline en de focus op een concrete missie kunnen de onderliggende psychologische schade tijdelijk maskeren. Hoewel dit op korte termijn effectief is voor de incidentrespons, versnelt het vaak de emotionele uitputting op de lange termijn.

Wanneer de adrenaline wegebt, blijven de littekens achter. Het gerapporteerde "toegenomen cynisme" is meer dan alleen een stemmingswisseling; het is een symptoom van professionele desillusie.^[1] Dit cynisme, gecombineerd met "angst voor herhaling en gedachten over een carrièreswitch", kan leiden tot burn-out en verlies van expertise. Deze menselijke kosten blijven vaak onzichtbaar, en de oplossing vraagt niet om meer technologie, maar om een mensgerichte aanpak.

Uit ervaring herken ik die positieve én negatieve kanten van een crisis. Een bijna euforisch gevoel tijdens en na het incident, als dat redelijk positief is afgelopen, maar daarna volgt vooral een traject waarbij het niet gaat over het belang van de goede voorbereiding, het samenwerken en de professionaliteit van de security- en IT-teams, maar ook hoe het zover heeft weten te komen, of het voorkomen had kunnen worden en de persoonlijke vraag: "heb ík iets gemist of verkeerd gedaan?"

5. De oplossing is niet meer technologie, maar beter leiderschap

In de race om cyberdreigingen voor te blijven, is de automatische reflex vaak om te investeren in de nieuwste technologische oplossingen. Hoewel ik van mening ben dat technologie essentieel is voor een goede digitale weerbaarheid, pakt het de kern van de burn-outcrisis niet aan. De meest effectieve strategie om de veerkracht van security-teams te versterken, ligt in de menselijke en organisatorische dynamiek, met sterk en ondersteunend leiderschap als de spil.

Onderzoek toont aan dat bepaalde leiderschaps- en organisatorische factoren de stress tijdens een crisis aanzienlijk kunnen verlichten:

• Goed leiderschap en heldere interne communicatie zijn cruciaal voor het behouden van situationeel bewustzijn en focus, waardoor teams effectief kunnen blijven functioneren onder druk.^[1]
• Leidinggevenden die optreden als "poortwachters" voor hun incidentresponsteams door hen af te schermen van onnodige vragen van media of andere afdelingen, verlichten de stress aanzienlijk en stellen het team in staat zich te concentreren op de oplossing.^[1]
• Een proactieve leider die open communicatie en psychologische veiligheid stimuleert, creëert een omgeving waarin teamleden zich gesteund voelen en waardoor het risico op een burn-out wordt tegengegaan.^[7]
• Organisatorische interventies, zoals het bieden van sociale steun en het aanpassen van beleid om de werkdruk te beheersen, zijn significant effectiever gebleken dan maatregelen die enkel op het individu gericht zijn, zoals stressmanagementtrainingen.^[8]

Investeren in leiderschapsontwikkeling en een ondersteunende cultuur is geen 'soft skill' of een luxe; het zou onderdeel moeten zijn van de beveiligingsstrategie. Een team dat mentaal gezond en veerkrachtig is, vormt de sterkste verdediging tegen elke dreiging en dat kan ik beamen.

Conclusie: het is tijd om onze verdedigers te verdedigen

De paradox van moderne cybersecurity: we hebben menselijk specialisme keihard nodig om onze digitale wereld te beschermen, maar verzuimen de professionals in kwestie zelf te beschermen. We hebben een systeem gebouwd dat hen systematisch uitput, isoleert en opbrandt. De stille crisis van stress en burn-out is niet langer een bijzaak; het is een directe bedreiging voor onze collectieve veiligheid.

De bescherming van onze data en systemen begint bij de bescherming van de mensen die onze digitale assets bewaken. Nu we de menselijke kosten van onze digitale verdediging zien, is de echte vraag niet of we ons een datalek of -diefstal kunnen veroorloven, maar of we het ons kunnen veroorloven het welzijn van onze verdedigers te negeren. Dit vraagt om een eerlijk en open gesprek. Welke stappen zet jouw organisatie om security-professionals veerkrachtig te houden?

Vier stappen die je als bestuur deze maand kunt zetten

1. Zet dreigingen en maatregelen minstens vier keer per jaar op de bestuursagenda, als vast punt en niet pas als het misgaat.
2. Leg het mandaat vast. Beschrijf welke besluiten de CISO zelf neemt en welke naar het bestuur gaan.
3. Bouw de relatie op vóór de crisis. Wie tijdens een incident nog een voorstelrondje moet doen, is te laat. Wie elkaar al kent, heeft binnen een uur de juiste mensen aan tafel in plaats van na een dag.
4. Vraag je CISO niet alleen wat er nodig is, maar ook wat er is afgevallen omdat het niet paste in budget of tijd. Dat tweede lijstje is je werkelijke risicoprofiel.

De Cyberbeveiligingswet verschuift de verhouding. Sinds 15 augustus 2026 moet het bestuur de maatregelen uit de zorgplicht zelf goedkeuren, toezien op de uitvoering, en genoeg kennis hebben om risico's en beveiligingsmaatregelen te kunnen beoordelen. Wat die wet verder vraagt, staat in NIS2 uitgelegd. Wil je hierover doorpraten, met je bestuur of met Jeroen persoonlijk? Wij helpen besturen om technische risico's om te zetten in besluiten via Cyber Security Executive Services, en we ondersteunen CISO's via security advies en CISO-as-a-Service.

Bronnen

1. Virtanen, T. (2024). Psychological Effects of Continuity Threatening Cyber Incidents. European Conference on Cyber Warfare and Security.
2. Reeves, A., Pattinson, M., & Butavicius, M. (2023). Is Your CISO Burnt Out yet? Examining Demographic Differences in Workplace Burnout Amongst Cyber Security Professionals. Human Aspects of Information Security and Assurance.
3. Leonhard, W. (2020). Security Now! Transcript of Episode #754. Gibson Research Corporation, verwijzend naar het Nominet-onderzoek uit 2019/2020.
4. Proofpoint (2025). Voice of the CISO-rapport 2025.
5. Piazza, A., Vasudevan, S., & Carr, M. (2022). Am I hired as a Firefighter? Exploring the role ambiguity and board's engagements on job stress and perceived organizational support of CISOs.
6. Ernst & Young LLP (2025). 2025 EY Cybersecurity Study: Bridging the C-suite disconnect.
7. ASIS International. Tackling Burnout in the High-Stakes World of Security.
8. CDC. Module 8 Outline: Organizational approaches to reducing burnout risk.
9. Cybersecurity Ventures & Sophos (2026). 2026 CISO Report.

Over de auteur

Jeroen Schipper

Chief Security Advisor bij DEFION. Adviseert besturen en CISO's over cyberweerbaarheid, security-strategie en de menselijke kant van digitale verdediging, vanuit bijna 25 jaar ervaring in het vakgebied.

Gerelateerde diensten

Wil je security-leiderschap en bestuurlijk draagvlak versterken?

DEFION helpt besturen en CISO's om verantwoordelijkheid en mandaat op één lijn te brengen, vóórdat een incident die kloof pijnlijk blootlegt.

Neem contact op