Wie cybersecurity serieus neemt, merkt al snel dat techniek alleen niet genoeg is. In gesprekken met CISO’s komt steeds terug dat leiderschap draait om mensen, keuzes en kaders—niet alleen om tools. Chris Wheeler, CISO bij Resilience, zet in op een aanpak waarin CISO-inzichten vertrouwen centraal staan: vertrouwen is het fundament om security-advies te laten landen bij de business én om teams mee te krijgen in moeilijke beslissingen.
In dit artikel bespreken we de belangrijkste thema’s uit zijn loopbaan en visie: hoe militaire training doorwerkt in leiderschap, waarom risicokwantificatie helpt om het gesprek met de board te voeren, en welke rol opkomende agentic AI speelt bij beveiligde adoptie. We verbinden dit met praktische lessen die je vandaag kunt toepassen in je eigen organisatie.
Vertrouwen als kern van CISO-leiderschap
Wheeler ziet één eigenschap als doorslaggevend: het vermogen om vertrouwen op te bouwen. Dat geldt in twee richtingen. Enerzijds moet de CISO genoeg vertrouwen krijgen van businessleiders om strategisch cybersecurity-advies te kunnen geven, bijvoorbeeld wanneer security moet afwegen tegen groei of efficiëntie. Zonder dat draagvlak wordt elk advies snel een discussie over “prioriteiten”, in plaats van een gezamenlijk plan.
Anderzijds vraagt zijn rol om vertrouwen in de organisatie zelf, inclusief het securityteam. Omdat een CISO onmogelijk alles technisch kan kennen tot op detailniveau, draait het om het stellen van de juiste vragen en het inzetten van de juiste mensen. Volgens Wheeler is dit precies waarom recruitment en teamopbouw zwaarder wegen dan je op het eerste gezicht zou denken.
Van militaire training naar moderne securityteams
Wheeler startte zijn cybersecurity-pad in de Amerikaanse marine. Daar kwam hij niet alleen in aanraking met “information warfare” en praktische cyber-oefeningen, maar ook met een leiderschapsfilosofie. Een terugkerende les was dat je uiteindelijk leidt: of je nu nog aan het begin van je carrière staat of verder richting senioriteit beweegt.
Wat hij meeneemt richting de commerciële wereld is de noodzaak om aan te passen. Bedrijfscybersecurity verschilt van militaire context door drie punten: technologische ontwikkeling gaat razendsnel, omgevingen worden complexer, en de rol van de security leader vraagt steeds vaker om vaardigheden die verder gaan dan techniek alleen—namelijk businessanalyse.
Daaruit volgt zijn leiderschapsmodel: een leider moet het geheel kunnen begrijpen, maar minstens zo belangrijk is dat hij of zij anderen helpt specialiseren. “Alleen expert zijn” is niet het doel; het doel is een team opbouwen dat weet waar het in uitblinkt en hoe het als geheel werkt.
Waarom securityleiders niet per se “alles zelf” moeten doen
In zijn visie is de moderne security leader niet degene die elke stap zelf uitvoert, maar degene die de juiste samenwerking organiseert. Dat betekent: weten wanneer je iets zelf oppakt, en wanneer je het team laat werken met duidelijke begeleiding.
Die begeleiding wordt extra belangrijk doordat cybersecuritywerk verschuift. Wheeler noemt generatieve AI als een factor die automatisering toegankelijker maakt. Net zoals je niet langer altijd een traditionele programmeur hoeft te zijn om codewerk te doen, hoef je volgens hem niet per se een klassieke “security engineer” te zijn om bij operations waarde toe te voegen.
In plaats daarvan kijkt hij vooral naar toekomstgericht denken: mensen moeten AI kunnen meenemen in hun dagelijkse werkwijze, en zich kunnen aanpassen naarmate de omgeving verandert. Dat vraagt ook om sociale vaardigheden en emotionele intelligentie, omdat cohesie en wederzijds vertrouwen bepalend zijn voor het teamfunctioneren.
Risicokwantificatie: van beveiligingskeuzes naar financiële taal
Voor beslissingen binnen een organisatie helpt een security leader als bruggenbouwer. Wheeler benadrukt dat CISO’s niet alleen technologie moeten begrijpen, maar ook de wiskundige basis en principes achter hun vak: risicodenken op een onderbouwde manier.
Een concreet thema is risicokwantificatie. Wheeler zegt dat CISO’s hier allemaal beter in kunnen worden, zelfs als je niet perfect kunt voorspellen. Wat belangrijk is: weten hoe je waarschijnlijkheid redelijk inschat, hoe je onzekerheid beschrijft, en hoe je die uitkomsten steeds vaker kunt vertalen naar financiële impact. Daarmee wordt het gesprek met de board realistischer.
Het gaat volgens hem niet om het voorkomen van elk incident—dat is simpelweg onmogelijk. De taak is om aanvallen te beperken tegen wat voor de business echt telt, en om business continuity te beschermen.
Als je wilt begrijpen hoe bestuur en security elkaar raken, kan het relevant zijn om ook te kijken naar hoe andere partijen het gesprek met board-niveau structureren. Bijvoorbeeld met benaderingen rond data, bewijsvoering of besluitvorming op basis van concrete signalen, zoals uitgewerkt in artikelen over AI-gedreven beveiliging en het vertalen van data naar actie.
Mentors, signposts en het nut van een home lab
Naast vertrouwen en risicodenken hamert Wheeler op één praktische gewoonte: bouwen aan nieuwsgierigheid via een eigen testomgeving. Als “praktisch advies” noemt hij het opzetten van een home lab. Dat kan meer zijn dan alleen hardware; je kunt experimenteren met processen en technologie die je vervolgens in je professionele context kunt toetsen.
Zijn punt is niet om alles na te bootsen alsof je een corporate omgeving vervangt. Het gaat om het blijven oefenen met concepten, het verkennen van valkuilen en het opdoen van handelingsruimte. Juist generatieve AI maakt het volgens hem makkelijker om te simuleren en te experimenteren met ideeën voordat je ze inzet in productie.
Vermijd perfectionisme: kies voor risk-first beslissingen
Een interessante spanning die Wheeler beschrijft, is het perfectionisme dat traditional security-rollen soms met zich meebrengen. Dat kan doorwerken in hoe je communiceert met medewerkers en partners in de business. Als je alles als absoluut moet beveiligen (“perfect”), wordt risicoafweging moeilijk en komen realistische maatregelen niet tot stand.
Voor risk-first CISO’s is die insteek volgens hem essentieel: je kunt niet uitgaan van absolute zekerheden, maar je kunt wel keuzes onderbouwen met kwantitatieve of financieel geïnformeerde maatregelen. Tegelijkertijd vraagt dat om empathie—partnerschap in plaats van afvinkzekerheid.
Empathie en balans: voorwaarden voor samenwerking
Wheeler koppelt securitykwaliteit direct aan relatiebeheer. Het bouwen van relaties met teams waarmee je samenwerkt is cruciaal voor business resilience. Dat vraagt luisteren, soms compromissen sluiten en informatie delen—zodat issues sneller op tafel komen en acties tijdig kunnen worden genomen.
Ook persoonlijke balans valt onder zijn advies. Neem tijd, blijf beschikbaar voor je gezin en hobby, en voorkom burn-out. “De workload is alleen complexer aan het worden”, maar die complexiteit is geen reden om jezelf op te branden. Volgens Wheeler verhoogt balans juist je vermogen om goede, risk-informed keuzes te maken.
Agentic AI: sneller, breder en met nieuwe guardrails
Wheeler spreekt zijn zorg uit over de opkomst van agentic AI. Zijn kritiek is niet uitsluitend gericht op kwaadwillenden, maar vooral op het feit dat organisaties moeten bijbenen met een veilige en veerkrachtige adoptie. Zowel bovenin (boards en investeerders) als onderin (ontwikkelaars en power users) ontstaat vraag.
Zijn securityteam werkt aan een secure enablement-achtige benadering: luisteren naar medewerkers, vertrouwen opbouwen, zelf experimenteren en vervolgens guardrails inzetten op basis van risico. Zo krijgen teams ruimte om AI te gebruiken zonder dat security het blokkerend principe wordt.
Wat hij daarbij bijzonder vindt: veel nieuwe controlemaatregelen zijn nog steeds geworteld in zero trust. Daardoor neemt de focus toe op IAM, data-inventarisatie en dataclassificatie, én op automatisering binnen de hele keten. Met andere woorden: agentic AI verandert de snelheid van gebruik, maar het fundament blijft—identiteit, zicht op data en gecontroleerde uitvoering.
Security is meer dan technologie: één samenstelling van vaardigheden
Uiteindelijk vat Wheeler zijn visie samen in een brede formule. Succes in cybersecurity ontstaat volgens hem uit een combinatie van technologie en securityprincipes, plus businessacumen en empathie. Daardoor is zijn insteek minder “tool-first” en meer “systeem-first”: je kiest kaders, bouwt teams, maakt risico’s bespreekbaar en helpt de organisatie om veilig te bewegen met de snelheid van de markt.
Als je dit vertaalt naar dagelijkse praktijk, kom je steeds terug op dezelfde basisvragen: Hebben we wederzijds vertrouwen tussen business en security? Kunnen we risico’s redelijk kwantificeren en vertalen? Durven we te leren via experimenten? En hebben we guardrails die teams daadwerkelijk helpen?
Conclusie
De boodschap van Chris Wheeler is helder: CISO-inzichten vertrouwen zijn niet alleen een zachte waarde, maar een operationele noodzaak. Vertrouwen maakt het mogelijk om security-advies te laten landen, om je team te laten presteren en om risicobeslissingen te nemen zonder terug te vallen op perfectionisme. Met risicokwantificatie, empathisch partnerschap en een veilige manier om met agentic AI te experimenteren, bouw je aan beveiliging die meegroeit met verandering—zonder je menskant te verliezen.
