”`html
Ny tjänst: Puzzel söker Chief Information Security Officer – CISO i Stockholm – det här söker arbetsgivaren
Puzzel söker Chief Information Security Officer – CISO i Stockholm. Enligt annonsen ska rollen även fungera som Data Protection Officer (DPO) och ha ett helhetsansvar för informationssäkerhet, integritets-/privacy governance och security assurance, med fokus på kundförtroende, regelefterlevnad och hantering av säkerhets- och integritetsrisker i hela organisationen.
Rollen rapporterar till CTO, med en streckad rapportering till CEO. Tjänsten kan placeras i Stockholm, Oslo eller Köpenhamn, med en ungefärlig förväntan om 2–3 dagar i veckan på kontoret (hybrid). Annonsen beskriver att rollen kan passa en nuvarande CISO i en mindre organisation eller en Senior Security (& Compliance) Manager (eller motsvarande) i ett större bolag som vill ta klivet till sin första CISO-roll.
Ansvar och arbetsuppgifter
Annonsen beskriver ett brett uppdrag som spänner över styrning, risk, efterlevnad, operativt säkerhetsarbete och ledning. Centrala ansvarsområden är:
- Säkerhetsstyrning och riskhantering: definiera och förvalta säkerhetspolicys, standarder och ramverk för security risk management samt säkerställa att risker identifieras, bedöms, behandlas och eskaleras, inklusive governance för riskacceptans.
- Security assurance och compliance: leda säkerhetsgranskningar samt externa revisioner/attesteringar relevanta för verksamheten (exempel som nämns är ISO-standarder, SOC-rapporter och kunders assurance-krav) och säkerställa kontrollägarskap, evidenshantering och revisionsprocesser.
- Privacy governance (DPO): agera formell DPO där tillämpligt och driva integritetsstyrning, bland annat privacy-by-design, DPIA:er där det krävs, DSAR-governance, register över personuppgiftsbehandlingar samt leverantörs-/vendor-uppföljning ur integritetsperspektiv.
- Samarbete med Legal: arbeta nära juridikfunktionen för tolkning, avtalsåtaganden och regulatoriska notifieringar.
- Security engineering och operativ säkerhetsöversyn: ge strategisk riktning och översyn av produkt- och plattformssäkerhet, inklusive krav på säker utveckling (SDLC) och governance för sårbarhetshantering, samt säkerställa att lämpliga säkerhetskontroller och operativa säkerhetsrutiner finns på plats.
- Incidentberedskap och incidenthantering: äga ramverk för säkerhetsincidenter – förberedelser, eskalering, koordinering, kommunikation och lärande efter incident.
- Ledarskap och tvärfunktionell samverkan: leda säkerhets- och compliancefunktionen och skapa effektiva arbetssätt med produkt, engineering, operations, finance, legal och andra intressenter, samt kommunicera säkerhets- och integritetsläge, väsentliga risker och prioriteringar till ledning och relevanta forum.
Annonsen beskriver även mandat i rollen, bland annat att definiera säkerhets- och integritetsstandarder/krav internt, eskalera väsentliga risker via fastlagd governance samt rekommendera och – där policy medger – driva riskbaserade begränsningar för releaser eller förändringar vid kritiska säkerhets- eller integritetsfrågor.
Kravprofil: kompetens och erfarenhet
Krav
- Erfarenhet av att leverera ISO 27001-program (recertifiering anges som meriterande i detta krav), och helst även ISO 27701 eller motsvarande privacy management-program.
- Erfarenhet av SOC 2 “readiness” och stöd i testning, inklusive operativa processer för evidensinhämtning.
- Förmåga att leda tvärfunktionellt kontrollägarskap (control ownership).
- Trovärdighet gentemot engineering- och produktteam samt ett pragmatiskt angreppssätt till säkerhet i SDLC.
- Dokumenterad förmåga inom privacy governance och trygghet i att agera DPO i nära samarbete med Legal.
- Stark exekutiv kommunikation – kunna briefa CEO och “board sponsor” tydligt.
- Chefserfarenhet (direkt personalansvar). I rollen anges att ett team om tre personer rapporterar till CISO.
Meriterande
- Exponering för säkerhet kopplat till generativ/agentisk AI och motåtgärder mot hot.
- Erfarenhet från en SaaS-organisation med cirka 100–500 anställda.
Vilken typ av säkerhetsroll är det?
Det här är en ledande roll inom informationssäkerhet/IT-säkerhet och cybersäkerhet, med tydlig tonvikt på styrning, riskhantering och efterlevnad (security assurance), inklusive externa revisioner/attesteringar (ISO och SOC 2 nämns i annonsen). Rollen omfattar också integritetsskydd och regelefterlevnad inom privacy, eftersom CISO enligt annonsen även ska agera Data Protection Officer (DPO).
Annonsen beskriver dessutom ansvar för incidentberedskap och incidenthantering, samt strategisk översyn av produkt- och plattformssäkerhet (secure development och sårbarhetshantering). Det framgår däremot inte att rollen omfattar områden som fysiskt skydd, personalsäkerhet eller säkerhetsskydd.
Det här bör kandidater lyfta i ansökan
Utifrån annonsens krav och arbetsuppgifter bör kandidaten konkret kunna visa spårbar leverans inom styrning, assurance och integritet. Exempel på vad som är relevant att lyfta:
- Genomförda ISO 27001-initiativ, särskilt där du drivit recertifiering, policy- och kontrollstruktur samt arbetat med kontrollägarskap och evidens.
- Praktisk erfarenhet av SOC 2 readiness/testning och hur du etablerat “evidence practices” och fungerande revisionsspår i organisationen.
- Hur du byggt eller förbättrat ett riskhanteringsramverk: identifiering, bedömning, behandling, eskalering och riskacceptans-governance.
- Exempel på hur du samarbetat med produkt och engineering kring pragmatisk SDLC-säkerhet och sårbarhetshantering (governance och förväntningar, inte bara tekniska åtgärder).
- Privacy governance i praktiken: privacy-by-design, DPIA:er, DSAR-processer och leverantörsuppföljning – samt hur du arbetat tillsammans med Legal vid tolkningar och notifieringar.
- Incidentledning: hur du etablerat eller ägt incidentramverk, hanterat eskalering/kommunikation och drivit post-incident learning.
- Ledarskap: erfarenhet av personalansvar och hur du leder en säkerhets- och compliancefunktion samt rapporterar risker och prioriteringar till företagsledning.
Så söker du tjänsten
Annonsen beskriver intervjuprocessen som: inledande screening med Talent Acquisition, första intervju med CTO, en case-presentation och slutintervju med CEO. Det framgår inte av annonsen vilket sista ansökningsdatum som gäller. Det framgår också att arbetsgivaren inte kan erbjuda sponsring och att sökande behöver ha rätt att arbeta i landet där man söker rollen.
Sammanfattningsvis signalerar annonsen ett tydligt kompetensbehov inom informationssäkerhetsstyrning, revision/assurance (ISO/SOC 2), integritet (DPO) och incidentberedskap – i en CISO-roll med både strategiskt mandat och operativt genomslag i organisationens arbetssätt.
”`
