Puzzel söker CISO (DPO) i Stockholm – krav, ansvar & tips

Analys av Puzzels CISO-roll i Stockholm: även DPO, ISO 27001, SOC 2, SaaS-säkerhet och privacy governance. Krav, ansvar och vad du bör lyfta i ansökan.

Ny tjänst: Puzzel söker Chief Information Security Officer – CISO i Stockholm – det här söker arbetsgivaren

Puzzel söker Chief Information Security Officer – CISO i Stockholm. Enligt annonsen ska rollen även fungera som Data Protection Officer (DPO) och ha helhetsansvar för informationssäkerhet, privacy governance och security assurance – med fokus på kundförtroende, regelefterlevnad och hantering av säkerhets- och integritetsrisker i organisationen.

Tjänsten kan placeras i Stockholm, Oslo eller Köpenhamn, med en ungefärlig förväntan om 2–3 dagar i veckan på kontoret. CISO rapporterar till CTO, med streckad linje till CEO. Annonsen lyfter att rollen kan passa en befintlig CISO i en mindre organisation eller en senior säkerhets- och/eller compliancechef i en större verksamhet som vill ta steget in i en första CISO-roll.

Ansvar och arbetsuppgifter

Annonsen beskriver ett brett ansvar inom informationssäkerhet och IT-säkerhet, där både styrning, efterlevnad, teknisk säkerhetsinriktning och incidentförmåga ingår. Centrala delar är:

Säkerhetsstyrning och riskhantering: definiera och förvalta säkerhetspolicys, standarder och ramverk för säkerhetsriskhantering samt säkerställa att risker identifieras, bedöms, hanteras och eskaleras – inklusive governance för riskacceptans.
Security assurance och compliance: leda säkerhetsgranskningar och externa revisioner/attestationer som är relevanta för verksamheten (exempelvis ISO-standarder, SOC-rapporter och kundkrav), samt säkra kontrollägarskap, evidenshantering och revisionsprocesser.
Integritetsstyrning (privacy) och DPO-ansvar: agera formell DPO där det är tillämpligt och driva privacy governance, inklusive privacy-by-design, DPIA vid behov, DSAR-governance, register över behandlingar samt leverantörsuppföljning av privacy.
Samarbete med juristfunktion: arbeta nära Legal som partner och granskare för rättslig tolkning, avtalsåtaganden och regulatoriska notifieringar.
Säkerhetsengineering och operativ säkerhetsöversyn: ge strategisk riktning och översyn av produkt- och plattformssäkerhet, inklusive förväntningar på säker utveckling och governance för sårbarhetshantering, samt säkerställa lämpliga säkerhetskontroller och operativa säkerhetsrutiner.
Incidentberedskap och incidentledning: äga företagets ramverk för säkerhetsincidenthantering – från förberedelse och eskalering till koordinering, kommunikation och lärdomar efter incident.
Ledarskap och samverkan: leda security- och compliancefunktionen samt etablera effektiva arbetssätt med produkt, engineering, operations, finance, legal och andra intressenter; kommunicera säkerhets- och integritetsläge samt väsentliga risker och prioriteringar till ledning och relevanta forum.

Annonsen anger också att CISO har mandat att definiera säkerhets- och integritetskrav internt, eskalera väsentliga risker via etablerad governance och rekommendera (och enligt policy även verkställa) riskbaserade begränsningar vid releaser eller förändringar om kritiska säkerhets- eller integritetsproblem identifieras.

Kravprofil: kompetens och erfarenhet

Krav

Genomfört ISO 27001-program (erfarenhet av omcertifiering är meriterande enligt annonsen).
Helst även erfarenhet av ISO 27701 eller motsvarande program för privacy management.
Genomfört SOC 2-förberedelser (readiness) och stöttat testning, inklusive operativa processer för evidens.
Förmåga att leda tvärfunktionellt kontrollägarskap.
Trovärdighet gentemot engineering- och produktteam, samt ett pragmatiskt angreppssätt för SDLC-säkerhet.
Dokumenterad förmåga inom privacy governance och trygghet i att agera DPO i nära samarbete med Legal.
Stark exekutiv kommunikationsförmåga – kunna briefa CEO och en board sponsor tydligt.
Erfarenhet av direkt personalansvar; enligt annonsen har rollen tre direktrapporterande medarbetare.

Meriterande

Exponering för säkerhet kopplad till generativ/agentisk AI och motåtgärder mot relevanta hot.
Erfarenhet från en SaaS-organisation i storleksordningen cirka 100–500 anställda.

Vilken typ av säkerhetsroll är det?

Detta är en tydlig CISO-roll med tyngdpunkt på informationssäkerhet, IT-säkerhet och cybersäkerhet i en molnbaserad SaaS-miljö, där compliance och assurance (ISO 27001, SOC 2) är centralt. Rollen kombineras med integritets- och regelefterlevnadsansvar genom att CISO även ska agera DPO (där det är tillämpligt), vilket placerar tjänsten i gränslandet mellan säkerhetsstyrning, riskhantering och lag & rätt (privacy/GDPR-relaterad governance) utifrån det som framgår i annonsen.

Det här bör kandidater lyfta i ansökan

Utifrån annonsens krav och ansvarsområden bör kandidater vara konkreta och kunna visa spårbarhet från arbete till resultat. Exempel på saker att lyfta:

Hur du drivit eller förbättrat ett ISO 27001-ledningssystem (inklusive omcertifiering), och hur du arbetat med kontrollägarskap och evidensinsamling.
Erfarenhet av SOC 2 readiness: hur du byggt upp operativa processer för kontroller, testning och dokumentation.
Exempel på etablerade ramverk för säkerhetsriskhantering: riskidentifiering, riskacceptans, eskalering och rapportering till ledning.
Hur du samarbetat med produkt- och engineeringteam kring SDLC-säkerhet, sårbarhetshantering och styrning av produkt-/plattformssäkerhet.
Din incidentförmåga: hur du byggt incidentberedskap, drivit eskalering/kommunikation och säkrat lärande efter incidenter.
Privacy governance i praktiken: privacy-by-design, DPIA, DSAR-hantering, register över behandlingar och leverantörsgranskning – samt hur du arbetat nära jurister.
Ledarskap och exekutiv kommunikation: hur du briefat CEO/ledning och drivit prioriteringar med tydliga riskbilder och beslutsunderlag.

Så söker du tjänsten

Annonsen beskriver en intervjuprocess som består av: screening call med Talent Acquisition, första intervju med CTO, case-presentation och slutintervju med CEO. Hur själva ansökan ska skickas in (exempelvis via särskild länk eller e-post) framgår inte av annonsunderlaget här, och inte heller sista ansökningsdag.

Sammanfattningsvis signalerar annonsen ett tydligt kompetensbehov inom säkerhetsstyrning, revision/assurance (ISO/SOC), incidentledning och integritetsstyrning i en SaaS-verksamhet – med starkt fokus på tvärfunktionellt genomslag och kommunikation på ledningsnivå.