Ny tjänst: Puzzel söker Chief Information Security Officer – CISO i Stockholm – det här söker arbetsgivaren
Puzzel söker Chief Information Security Officer – CISO i Stockholm. Enligt annonsen ska rollen även fungera som Data Protection Officer (DPO) och ha ett helhetsansvar för informationssäkerhet, integritets- och privacy governance samt säkerhetsgranskning (security assurance). Fokus ligger på att säkerställa kundförtroende, regelefterlevnad och effektiv hantering av säkerhets- och integritetsrisker i organisationen.
Tjänsten kan placeras i Stockholm, Oslo eller Köpenhamn, med en ungefärlig förväntan om 2–3 dagar i veckan på kontoret. Rollen rapporterar till CTO med en “dotted line” till CEO. Annonsen beskriver att rollen kan passa en nuvarande CISO i en mindre organisation eller en senior säkerhets- och/eller compliancechef i en större verksamhet som vill ta steget till sin första CISO-roll.
Ansvar och arbetsuppgifter
Annonsen beskriver ett brett CISO-uppdrag där styrning, risk och compliance kombineras med operativt säkerhetsöversyn och incidentberedskap. Centrala ansvarsområden är:
- Säkerhetsstyrning och riskhantering: definiera och förvalta säkerhetspolicyer, standarder och ramverk för säkerhetsriskhantering samt säkerställa att risker identifieras, bedöms, hanteras och eskaleras, inklusive styrning av riskacceptans.
- Security assurance och regelefterlevnad: leda säkerhetsgranskningar och externa revisioner/attesteringar (exempelvis ISO-standarder, SOC-rapporter och kundkrav) samt säkerställa kontrollägarskap, evidenshantering och processer för revisionsdialog.
- Privacy governance (DPO-ansvar): agera formell dataskyddsombud (där tillämpligt) och driva privacy-by-design, DPIA:er vid behov, DSAR-styrning, register över behandlingar samt leverantörsuppföljning kopplad till integritet.
- Samarbete med Legal: arbeta nära juristfunktionen som partner och granskare för juridiska tolkningar, avtalsåtaganden och regulatoriska notifieringar.
- Security engineering och operativ säkerhetsöversyn: ge strategisk riktning och översyn av produkt- och plattformssäkerhet, inklusive förväntningar på säker utveckling (SDLC) och styrning av sårbarhetshantering.
- Incident readiness och incidenthantering: äga ramverket för säkerhetsincidenter, inklusive förberedelse, eskalering, koordinering, kommunikation och lärande efter incident.
- Ledarskap och samverkan: leda säkerhets- och compliancefunktionen och etablera arbetssätt tillsammans med produkt, engineering, operations, finance, legal och andra intressenter, samt kommunicera säkerhets- och integritetsläge till ledning och relevanta forum.
Annonsen anger även att CISO har mandat att definiera säkerhets- och integritetsstandarder och krav inom bolaget samt att eskalera väsentliga risker och, enligt policy, rekommendera eller införa riskbaserade begränsningar vid exempelvis releaser eller förändringar när kritiska säkerhets- eller integritetsfrågor identifieras.
Kravprofil: kompetens och erfarenhet
Krav
- Erfarenhet av att leverera ISO 27001-program (gärna med erfarenhet av omcertifiering/re-certification).
- Helst erfarenhet av ISO 27701 eller motsvarande program för privacy management.
- Erfarenhet av SOC 2 “readiness” och stöd vid testning, inklusive operativa processer för evidens (evidence processes).
- Förmåga att leda tvärfunktionellt kontrollägarskap (cross-functional control ownership).
- Trovärdighet gentemot engineering- och produktteam, med pragmatisk säkerhet i SDLC.
- Dokumenterad förmåga inom privacy governance och att kunna agera som DPO i nära samarbete med Legal.
- Stark förmåga att kommunicera med ledning, inklusive att kunna briefa CEO och “board sponsor” tydligt.
- Direkt chefserfarenhet; i rollen har kandidaten personalansvar för ett team om tre personer.
Meriterande
- Exponering mot säkerhet kopplad till generativ/agentisk AI och motåtgärder mot relevanta hot.
- Erfarenhet från en SaaS-organisation med cirka 100–500 anställda.
Vilken typ av säkerhetsroll är det?
Det här är en ledande roll inom informationssäkerhet/IT-säkerhet och cybersäkerhet, med tydlig tyngdpunkt på styrning (governance), riskhantering och säkerhetsgranskning (assurance) i en molnbaserad SaaS-miljö. Att rollen också är DPO enligt annonsen innebär att integritets- och dataskyddsfrågor blir en central del av uppdraget, inklusive processer som DPIA:er och hantering av DSAR.
Rollen är tvärfunktionell och spänner från policy och revision (ISO/SOC) till kravställning på produkt- och plattformssäkerhet, sårbarhetshantering samt incidentberedskap och incidentledning.
Det här bör kandidater lyfta i ansökan
Utifrån annonsens krav och ansvarsområden kan det vara klokt att konkretisera följande i ansökan:
- Exempel på genomförda ISO 27001-program, gärna med tydlig roll, scope, arbetssätt och resultat (inklusive omcertifiering om relevant).
- Konkreta erfarenheter av SOC 2 readiness/testning och hur evidensinsamling, kontrollägarskap och uppföljning organiserats i praktiken.
- Hur du har drivit riskhantering: identifiering, bedömning, åtgärdsplaner, eskalering och styrning av riskacceptans.
- Exempel på samverkan med produkt- och engineeringteam kring SDLC-säkerhet, sårbarhetshantering och pragmatisk kravställning.
- Erfarenhet av incidenthantering: hur ramverk, eskalering, kommunikation och “lessons learned” har byggts upp eller förbättrats.
- Privacy governance i praktiken: privacy-by-design, DPIA:er, DSAR-styrning, register över behandlingar och leverantörsuppföljning – samt hur samarbetet med Legal fungerat.
- Ledarskap: hur du leder en säkerhets-/compliancefunktion, skapar arbetssätt tvärfunktionellt och rapporterar säkerhetsläge och väsentliga risker till ledning.
Så söker du tjänsten
Ansökan sker via Puzzels rekryteringsprocess (exakt ansökningsväg framgår inte i den text som Säkerhetsvärlden tagit del av). Annonsen beskriver följande intervjuprocess:
- Inledande screening med Talent Acquisition
- Första intervju med CTO
- Casepresentation
- Slutintervju med CEO
Sista ansökningsdag framgår inte i annonsen. Annonsen anger också att Puzzel inte kan erbjuda sponsring för rollen, och att kandidaten behöver ha rätt att arbeta i det land där man söker tjänsten.
Sammanfattningsvis signalerar annonsen ett tydligt kompetensbehov inom informationssäkerhetsstyrning, revision/assurance (ISO 27001 och SOC 2) samt dataskydd och privacy governance i en SaaS-verksamhet, kombinerat med ledarskap och förmåga att driva säkerhetsfrågor nära både teknik och företagsledning.
