Wie u spreekt

Tim Waters

Bestuurlijk risicoregisseur voor het MKB. Oprichter van PuurSecure.

Ik help directeuren van MKB-bedrijven grip te krijgen op hun cyberrisico’s. Niet door het over te nemen, maar door de besturing in te richten en die elk kwartaal samen scherp te houden. Jij blijft aan het roer, ik zorg dat je weet waar de klippen liggen.

Daarvoor was ik ethisch hacker, docent aan de Hogeschool van Arnhem en Nijmegen en CISO voor het IT-bedrijf van drie gemeenten. Sinds 2025 werk ik zelfstandig, omdat ik merkte dat kleine organisaties op dit gebied vrijwel altijd worden overgeslagen. Daar ligt wat mij betreft de grootste winst.

Ik werk vanuit Didam, voor bedrijven in de Achterhoek, de Liemers en rond Arnhem en Nijmegen. Omdat het meeste op afstand gaat, net zo goed voor de rest van Nederland.

Hoe ik werk

Negen dingen waar je me aan mag houden

Geen waarden van een bedrijf, maar hoe ik het zelf doe. Als ik hiervan afwijk mag je het zeggen.

  1. Is wat ik nu doe het risico waard?

    Die vraag popt meerdere keren per dag op in mijn hoofd. Van een sectie in een leverancierscontract tot mountainbiken in de sneeuw. Niet om zoveel mogelijk risico te vermijden, maar om bewust te doen waar mijn grens ligt. Dat is ook precies wat ik bij een klant doe: niet per definitie alle risico’s wegnemen. Maar wel zorgen dat het bestuur weet welke risico’s ze lopen en daar iets van kan vinden.

  2. Als ik A zeg, wil ik B kunnen waarmaken.

    Ik beloof geen dingen die ik niet waar kan maken. En als dat toch voorkomt, dan zeg ik dat. Dat klinkt vanzelfsprekend, maar in mijn vak wordt nogal eens onterecht “veilig” of “in control” beloofd. Soms zelfs door mensen die daar helemaal niet over gaan. Dat betekent ook dat ik sommige beslissingen niet kan of wil nemen: ze moeten genomen worden waar ze horen.

  3. Passend veilig, niet maximaal veilig.

    Een kledingontwerper met zes mensen heeft andere beveiligingsmaatregelen nodig dan een onderaannemer van Defensie. De kunst is bepalen wat die organisatie nodig heeft. Niet te veel, maar ook niet te weinig.

  4. De uitvoering blijft bij jou.

    Ik richt de besturing in en houd die per kwartaal scherp. Ik ben geen virtual CISO die bij je op de gang loopt. Ik beslis ook niet voor je: ik stel voor, jij besluit. Dat is geen afstand nemen, dat is zorgen dat de verantwoordelijkheid ligt waar hij hoort. En het is kostenefficiënt: je doet het met het personeel dat je al hebt.

  5. Ik beloof een proces, geen uitkomst.

    Niemand kan je beloven dat je niet gehackt wordt. Wat ik wel kan beloven: dat je elk kwartaal kunt laten zien dat je je risico’s kent en erover hebt besloten. Dat is wat een grote klant, een verzekeraar of een toezichthouder eigenlijk wil zien.

  6. Wat ik zelf heb ingericht, audit ik niet.

    Ik ben erkend auditor voor het NIS2 Supply Chain-certificaat. Een harde grens daarbij: mijn eigen werk toetst een ander. Een slager die zijn eigen vlees keurt is niet geloofwaardig.

  7. Eerst begrijpen waarom iemand iets zegt, dan oordelen.

    Een IT-partij die “dat kan niet” zegt, heeft daar meestal een reden voor. Soms een goede. Die wil ik eerst horen voordat ik er iets van vind.

  8. Koersvast, tenzij de wereld verandert.

    Ik kies een strategie en houd me eraan. Wisselen doe ik als de situatie aantoonbaar anders is geworden, niet als iets minder interessant wordt. Dat vraagt wel dat ik af en toe een stap terug doe om te kijken of ik nog op de goede weg zit.

  9. Wat persoonlijk is, schrijf ik zelf.

    Mijn blogs en mijn mails aan jou komen van mij, niet van een taalmodel. Bij een offerte of rapportage mag AI meeschrijven, zolang ik het nalees en er met mijn naam onder sta. Jouw data blijft altijd op mijn systemen, en binnen Europa. Waarom dat zo is, staat in dit stuk.

Nu

Waar ik mee bezig ben

Stand: oktober 2026

  • ValueGuard staat in pilot en wordt gebruikt door een echte klant. Waardevolle feedback komt terug die de tool met sprongen beter maakt.
  • Elke week een BeveiligingsBrein-blog. En sinds deze zomer weer helemaal zelf geschreven zonder AI. Zoals het wat mij betreft hoort.
  • NIS2 Supply Chain-audits uitvoeren als erkend auditor, voor bedrijven die van hun grote klant moeten aantonen dat ze hun zaken op orde hebben.
  • Netwerken, netwerken, netwerken. Steeds meer ondernemers in de regio Achterhoek, Liemers en Arnhem-Nijmegen aan het kennen!
  • Trainen voor een halve marathon op de trails.
  • Spaans leren, zonder druk.
Wat mijn denken vormde

Een paar boeken

Geen leeslijst om indruk te maken. Dit zijn de boeken die ik nog regelmatig in mijn hoofd tegenkom, en waarom.

  • Sapiens Yuval Noah Harari

    Over hoe mensen in grote groepen gaan samenwerken door in dezelfde verhalen te geloven. Een bedrijf is ook zo’n verhaal. Risico’s beheersen helpt een organisatie dat verhaal op een geloofwaardige manier aantoonbaar in stand te houden.

  • The Shock Doctrine Naomi Klein

    Over wie er verdient aan een crisis. In mijn vak is dat herkenbaar: na elk groot incident staat er een rij leveranciers klaar met een oplossing. Maar ook: na een crisis wordt men met de neus op de feiten gedrukt en is er plots meer geld beschikbaar om "veilig te zijn". Vaak kun je veel geld besparen door vooraf te weten welke risico’s je loopt en hoe je een incident oplost als het zich voordoet.

  • Nothing to Envy Barbara Demick

    Een inkijkje in het leven van de gemiddelde Noord-Koreaan. Hoe mensen volledig overtuigd kunnen zijn dat hun land het beste van de wereld is, terwijl hun levensstandaard de laagste is. Leerde me dat alleen bewijs mensen tot soms noodzakelijke andere inzichten kan brengen.

  • Lentz Jurrien Rood

    Beschrijft hoe het Nederlandse persoonsbewijs tijdens de Tweede Wereldoorlog zo efficiënt was dat de Duitsers in Nederland weinig moeite hadden om Joden te kunnen vervolgen. Een systeem kan daarmee zijn oorspronkelijke doel voorbijschieten als niet alle risico’s van tevoren goed overwogen zijn.

  • Do Hard Things Steve Magness

    Eigenlijk een boek over sport, maar met een groot thema: moeilijke dingen doen gaat niet over doorbijten en harder gaan. Het gaat over weten wat je wilt, weten wat je nodig hebt op een bepaald moment en strategieën om door lastige momenten heen te breken. Exact de ingrediënten die je nodig hebt bij het voorbereiden op een crisis.

Buiten het werk

Het korte lijstje

Ik woon in Didam en loop het liefst door de bossen van Montferland, op weg naar die halve marathon. Ik blijf graag bij in de ICT door te hobbyen met computersystemen en AI. En ik probeer zo veel mogelijk thuis te zijn met de kinderen. Balans tussen werk en privé vind ik belangrijk.

Klinkt dit als iemand met wie je wilt werken? Een kennismakingsgesprek is kosteloos en duurt 45 minuten. Je spreekt mij, niet een accountmanager.

Neem contact op Bekijk CISO Essentials