Externer CISO: Aufgaben, Kosten und wann er sich lohnt

Viele Geschäftsführer stehen vor der gleichen Frage. Nämlich: Wer steuert bei uns die Informationssicherheit? Ein externer CISO liefert genau diese Führung. Und zwar als Dienstleistung, ohne eine teure Vollzeitstelle. Deshalb passt das Modell so gut zu österreichischen KMU. Denn dort fehlt oft das Budget für einen eigenen Chief Information Security Officer, aber der Druck durch NIS2 und Kundenanforderungen steigt.

Dieser Beitrag zeigt, was ein externer CISO leistet. Zunächst geht es um die konkreten Aufgaben. Danach um die Kosten mit Tagessatz und Retainer. Zum Schluss um die Frage, wann sich das Modell rechnet. Das Ziel ist eine klare Entscheidungsgrundlage. Also eine Antwort, mit der Sie planen können, statt weiter zu zögern.

Was ein externer CISO macht

Ein externer CISO übernimmt die Steuerung Ihrer Informationssicherheit. Dabei arbeitet er wie ein interner Sicherheitschef, nur als Dienstleister. Zunächst entwickelt er die Sicherheitsstrategie. Danach steuert er das Managementsystem. Und schließlich berichtet er an die Geschäftsführung. Somit bekommt Ihr Unternehmen erfahrene Führung, ohne eine feste Stelle zu schaffen. Der Begriff virtual CISO oder vCISO meint dasselbe.

Die Aufgaben sind breit gefächert. Zunächst geht es um die Strategie. Danach um den laufenden Betrieb. Zum Schluss um die Kontrolle. Genau diese Mischung macht die Rolle aus. Denn Technik allein reicht nicht. Vielmehr braucht Sicherheit klare Verantwortung an der Spitze.

Die Kernaufgaben im Überblick

• Sicherheitsstrategie: Ziele festlegen, Risiken bewerten, die passenden Maßnahmen priorisieren.
• ISMS-Steuerung: ein ISMS nach ISO 27001 aufbauen und in Betrieb halten.
• Risikomanagement: Bedrohungen erkennen, bewerten und mit Gegenmaßnahmen verknüpfen.
• Reporting: die Geschäftsführung verständlich über Lage und Fortschritt informieren.
• Vorfallkoordination: im Ernstfall die Reaktion leiten und die Meldewege steuern.

Führung statt Handwerk

Ein externer CISO ist kein Administrator. Denn er konfiguriert keine Firewall und spielt keine Updates ein. Vielmehr sorgt er dafür, dass die richtigen Dinge geschehen. Dabei übersetzt er Risiken in Entscheidungen für die Leitung. Und er hält den Kurs, auch wenn der Alltag drängt. Deshalb ergänzt er das bestehende IT-Team, statt es zu ersetzen. Wie diese Rolle im Detail aussieht, zeigt unser Service Virtual CISO. Für das Fundament sorgt oft ein sauber aufgebautes Informationssicherheits-Programm.

Warum KMU keinen Vollzeit-CISO brauchen

Ein eigener CISO in Vollzeit lohnt sich für die meisten KMU nicht. Denn die Rolle verlangt viel Erfahrung, aber selten volle Auslastung. Ein mittlerer Betrieb braucht die Steuerung vielleicht an acht bis sechzehn Stunden im Monat. Deshalb wäre eine feste Stelle teuer und unterbeschäftigt. Genau hier setzt der externe CISO an. Er liefert die gleiche Führung, aber nur im tatsächlich nötigen Umfang.

Das Kostenproblem der festen Stelle

Ein interner CISO kostet weit mehr als sein Gehalt. Dazu kommen Lohnnebenkosten, Recruiting und laufende Weiterbildung. Ein erfahrener Sicherheitschef ist am Markt zudem schwer zu finden. Somit dauert die Suche oft Monate. Und wenn die Person kündigt, steht das Wissen wieder in Frage. Ein externer CISO umgeht dieses Risiko. Denn der Dienstleister sichert die Kontinuität, auch bei Personalwechsel.

Bedarf schwankt, Kosten bleiben planbar

Der Aufwand für Sicherheit ist nicht konstant. Beim Aufbau eines ISMS ist er hoch. Im laufenden Betrieb sinkt er deutlich. Ein externer CISO passt sich diesem Verlauf an. In der Startphase arbeitet er intensiv. Danach genügt eine schlanke Betreuung. Somit zahlen Sie nur für den echten Bedarf. Dennoch haben Sie jederzeit einen erfahrenen Ansprechpartner. Wann sich das Modell für kleinere Betriebe rechnet, vertieft unser Beitrag zum vCISO für KMU.

Ein Beispiel macht das greifbar. Nehmen wir einen Maschinenbauer mit 90 Beschäftigten, der ISO 27001 erreichen will. Intern wäre ein Sicherheitschef nach der Zertifizierung kaum ausgelastet. Der externe CISO hingegen baut das System auf und begleitet danach den Betrieb. Zunächst mit vollem Einsatz, später mit wenigen Tagen im Quartal. Somit bleiben die Kosten im Rahmen. Und die Qualität stimmt trotzdem.

Dazu kommt ein zweiter Vorteil. Ein externer Partner bringt Wissen aus vielen Projekten mit. Deshalb kennt er typische Fehler und spart Ihnen Umwege. Er weiß, welche Maßnahmen wirklich Wirkung zeigen. Und er erkennt schnell, wo Aufwand vergeudet wäre. Somit fließt Ihr Budget in die richtigen Stellen. Genau das ist der Unterschied zwischen Aktivität und Fortschritt. Denn Sicherheit misst sich am Ergebnis, nicht an der Zahl der Maßnahmen.

Was ein externer CISO kostet

Die Kosten für einen externen CISO richten sich nach Umfang und Komplexität. Am Markt sind zwei Modelle üblich. Nämlich der Tagessatz und der monatliche Retainer. Beide haben ihre Berechtigung. Der Tagessatz passt zu klar begrenzten Projekten. Der Retainer passt zur laufenden Betreuung. Deshalb lohnt sich der Blick auf beide.

Tagessatz und Retainer

Zunächst der Tagessatz: Er liegt im deutschsprachigen Raum meist zwischen 1.600 und 2.500 Euro. Damit rechnen Sie einzelne Einsätze klar ab. Etwa eine Risikoanalyse oder die Begleitung eines Audits. Der Retainer hingegen bündelt ein festes Stundenkontingent pro Monat. Für österreichische KMU bewegt sich das oft zwischen 12.000 und 40.000 Euro im Jahr. Der genaue Betrag hängt vom Stundenumfang ab. Üblich sind vier bis sechzehn Stunden pro Monat.

Vergleich der Kostenmodelle

Zum Vergleich lohnt der Blick auf die Vollzeitstelle. Ein interner CISO kostet inklusive Nebenkosten schnell weit über 100.000 Euro im Jahr. Der externe CISO liegt für ein KMU meist deutlich darunter. Somit ist er nicht nur flexibler, sondern oft auch günstiger. Denn Sie zahlen für Führung, nicht für einen vollen Arbeitsplatz.

Was den Preis bestimmt

Mehrere Faktoren treiben den Aufwand. Zunächst die Größe und Struktur des Unternehmens. Danach der Reifegrad der bestehenden Sicherheit. Ein Betrieb ohne jedes System braucht mehr Startaufwand. Zudem spielt das Ziel eine Rolle. Eine Zertifizierung nach ISO 27001 verlangt mehr als eine reine NIS2-Grundlage. Deshalb sollten Sie vor dem Angebot den Umfang klar abstecken. Ein erster Überblick entsteht oft in einem IT-Security-Audit.

Rechnen Sie den Preis gegen den Nutzen. Ein Angriff kostet ein KMU oft ein Vielfaches der jährlichen Betreuung. Ausfälle, Datenverlust und Erpressung summieren sich schnell. Zudem drohen unter NIS2 empfindliche Bußgelder. Deshalb ist die Betreuung durch einen externen CISO keine reine Ausgabe. Vielmehr senkt sie ein konkretes Risiko. Somit zahlt sich die Investition meist schon bei einem verhinderten Vorfall aus. Genau diese Rechnung überzeugt viele Geschäftsführer.

Interner oder externer CISO im Vergleich

Die Wahl zwischen internem und externem CISO hängt vom Bedarf ab. Ein interner CISO ist täglich vor Ort und tief im Betrieb verankert. Hingegen bringt ein externer CISO Erfahrung aus vielen Projekten mit und bleibt unabhängig. Grundsätzlich führen beide Wege zum Ziel. Doch für den Mittelstand ist die Antwort meist eindeutig.

Die Stärken beider Modelle

Ein interner CISO kennt jede Nuance des Hauses. Er ist jederzeit greifbar und Teil der Kultur. Allerdings ist er teuer und schwer zu ersetzen. Zudem fehlt ihm oft der Blick von außen. Ein externer CISO hingegen sieht viele Unternehmen. Deshalb erkennt er Muster und blinde Flecken schneller. Er bleibt unabhängig von internen Interessen. Und er ist skalierbar, je nach Bedarf.

Ein Beispiel aus der Praxis

Ein Konzern mit tausenden Mitarbeitern braucht einen internen CISO. Der Bedarf ist dauerhaft hoch und rechtfertigt die Stelle. Ein Handelsbetrieb mit 120 Beschäftigten liegt anders. Hier deckt ein externer CISO den Bedarf vollständig ab. Er baut das System auf und hält es aktuell. Somit spart der Betrieb Kosten, ohne bei der Qualität zu verlieren. Genau diese Situation ist im Mittelstand die Regel.

Es gibt auch einen Mittelweg. Manche Betriebe nennen intern eine verantwortliche Person und holen einen externen CISO als Sparringspartner dazu. Somit verbindet sich Nähe mit Erfahrung. Der interne Ansprechpartner hält den Draht ins Haus. Der externe CISO liefert Methodik und Weitblick. Diese Kombination funktioniert oft besonders gut. Denn sie senkt das Risiko eines Wissensverlusts. Wie ein solches Vorgehen in eine langfristige Steuerung passt, zeigt der Aufbau einer Governance im Unternehmen.

Nutzen für NIS2 und ISO 27001

Ein externer CISO zahlt direkt auf NIS2 und ISO 27001 ein. Beide Rahmen verlangen klare Verantwortung an der Spitze. NIS2 nimmt die Geschäftsführung ausdrücklich in die Pflicht. Sie muss die Maßnahmen freigeben und überwachen. Genau diese Steuerung liefert ein externer CISO. Somit schließt er eine Lücke, die viele KMU sonst nicht füllen können.

NIS2 verlangt Governance

Das österreichische NISG 2026 gilt seit Oktober 2026. Erfasst sind Unternehmen aus 18 Sektoren. Die neuen Pflichten reichen von Risikomanagement bis zur Meldung von Vorfällen. Ein externer CISO strukturiert diese Aufgaben. Er baut die Governance auf und hält sie am Laufen. Zudem entlastet er die Geschäftsführung bei ihrer Aufsichtspflicht. Was diese Haftung konkret bedeutet, lesen Sie im Beitrag zur NIS2-Geschäftsführerhaftung. Ob Ihr Betrieb überhaupt betroffen ist, klärt der Beitrag zur NIS2-Betroffenheit. Die offiziellen Vorgaben bündelt die nationale Behörde nis.gv.at.

ISO 27001 braucht Führung

Auch eine Zertifizierung nach ISO 27001 verlangt Steuerung. Ein ISMS lebt von klaren Rollen und laufender Pflege. Ohne Verantwortung an der Spitze bleibt es Papier. Ein externer CISO übernimmt genau diese Rolle. Er führt das System durch den Aufbau. Danach begleitet er die interne Auditierung und die Zertifizierung. Wie dieser Aufbau abläuft, zeigt der Beitrag ISMS aufbauen in Schritten. Die europäische Perspektive dazu liefert die EU-Agentur ENISA.

Der doppelte Nutzen liegt auf der Hand. Ein sauberes ISMS deckt viele NIS2-Pflichten ab. Somit erschlagen Sie beide Themen mit einem Ansatz. Ein externer CISO sorgt dafür, dass die Struktur beiden Rahmen genügt. Praktische Basistipps für den Mittelstand bündelt die WKO-Seite zur IT-Sicherheit. Einen Überblick zu den neuen Pflichten gibt die WKO-Übersicht zu NISG 2026.

Beachten Sie zudem den Zeitfaktor. Denn der Aufbau einer belastbaren Governance dauert Monate, nicht Wochen. Deshalb ist ein früher Start ein echter Vorteil. Zunächst analysiert der externe CISO die Lage. Danach schließt er gemeinsam mit Ihnen die größten Lücken. Zum Schluss folgt die laufende Pflege. Somit gerät niemand kurz vor der Frist unter Druck. Genau deshalb lohnt sich die Entscheidung jetzt und nicht erst im nächsten Jahr.

So wählen Sie den richtigen Partner

Die Wahl des richtigen externen CISO entscheidet über den Erfolg. Denn die Rolle verlangt Vertrauen und Erfahrung. Denn ein guter Partner versteht Ihr Geschäft, nicht nur die Technik. Deshalb lohnt sich ein sorgfältiger Blick vor der Beauftragung. Zunächst auf die Qualifikation. Danach auf die Arbeitsweise. Zum Schluss auf die Unabhängigkeit.

Worauf Sie achten sollten

• Erfahrung im Mittelstand: Kennt der externe CISO die Realität von KMU, nicht nur die von Konzernen?
• Herstellerunabhängigkeit: Empfiehlt er die beste Lösung oder nur ein bestimmtes Produkt?
• Referenzen: Kann er Projekte in Ihrer Branche oder Größe belegen?
• Verständliche Sprache: Erklärt er Risiken so, dass die Geschäftsführung sie versteht?
• Klare Leistungen: Ist der Umfang der Betreuung im Vertrag sauber definiert?

Vorsicht bei reinen Verkäufern

Manche Anbieter verkaufen vor allem Technik. Der externe CISO ist dann nur ein Türöffner für Lizenzen. Genau das sollten Sie meiden. Denn Sie brauchen unabhängige Führung, keinen Vertrieb. Ein guter externer CISO bleibt neutral. Er misst sich am Fortschritt Ihrer Sicherheit, nicht am Umsatz mit Produkten. Deshalb ist die Herstellerunabhängigkeit ein zentrales Kriterium. Wie unabhängige Beratung insgesamt aussieht, zeigt unser Ansatz zur Informationssicherheit für den Mittelstand.

Ein strukturierter Start hilft bei der Entscheidung. Beginnen Sie mit einem klaren Erstgespräch. Klären Sie Ziele, Umfang und Erwartungen. Ein seriöser Partner nennt den Aufwand offen. Zudem sollte die Chemie stimmen, denn die Zusammenarbeit läuft über Monate. Wenn Sie diesen Weg gehen wollen, ist ein unverbindliches Erstgespräch der beste erste Schritt. Somit prüfen Sie beide Seiten, ob es passt.

Achten Sie außerdem auf einen klaren Übergabepunkt. Denn der externe CISO soll Wissen aufbauen, nicht horten. Deshalb gehört eine saubere Dokumentation zur guten Zusammenarbeit. Somit bleibt Ihr Unternehmen handlungsfähig, auch wenn sich die Betreuung ändert. Zudem sollten Sie regelmäßige Berichte einfordern. Denn nur so sehen Sie den Fortschritt schwarz auf weiß. Ebenso wichtig ist ein fester Ansprechpartner. Wechselnde Gesichter erschweren die Zusammenarbeit. Genau deshalb lohnt sich der Blick auf die Kontinuität des Anbieters.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was macht ein externer CISO genau?

Ein externer CISO steuert die Informationssicherheit als Dienstleistung. Er entwickelt die Strategie, führt das ISMS und berichtet an die Geschäftsführung. Zudem koordiniert er die Reaktion auf Vorfälle. Somit liefert er Führung, ohne dass Sie eine feste Stelle schaffen müssen.

Was kostet ein externer CISO für ein KMU?

Üblich sind zwei Modelle. Ein Tagessatz liegt meist zwischen 1.600 und 2.500 Euro. Ein monatlicher Retainer bewegt sich für KMU oft zwischen 12.000 und 40.000 Euro im Jahr. Der genaue Preis hängt vom Stundenumfang und der Komplexität ab.

Wann lohnt sich ein externer CISO statt eines internen?

Für die meisten KMU lohnt sich das externe Modell. Denn ein interner CISO in Vollzeit ist teuer und selten voll ausgelastet. Ein externer CISO liefert die gleiche Führung nur im nötigen Umfang. Somit bleiben die Kosten planbar.

Ist ein externer CISO dasselbe wie ein vCISO?

Ja, die Begriffe meinen dieselbe Rolle. Ein virtual CISO oder vCISO ist ein externer CISO, der die Sicherheit als Dienstleistung steuert. Der Unterschied liegt nur im Namen, nicht in der Aufgabe.

Hilft ein externer CISO bei NIS2?

Ja, und zwar direkt. NIS2 verlangt Governance und klare Verantwortung an der Spitze. Ein externer CISO baut diese Struktur auf und entlastet die Geschäftsführung. Zudem begleitet er die Meldepflichten und das Risikomanagement.

Kann ein externer CISO ein ISMS nach ISO 27001 aufbauen?

Ja, das ist eine seiner Kernaufgaben. Er führt das ISMS durch Aufbau, Betrieb und Zertifizierung. Danach hält er das System aktuell. Somit erreichen Sie die Norm, ohne internes Spezialwissen aufbauen zu müssen.

Wie finde ich den richtigen externen CISO?

Achten Sie auf Erfahrung im Mittelstand und auf Herstellerunabhängigkeit. Prüfen Sie Referenzen und die verständliche Sprache. Ein seriöser Partner nennt den Aufwand offen. Ein unverbindliches Erstgespräch zeigt schnell, ob es passt.

Fazit: Führung für die Sicherheit, ohne Vollzeitstelle

Zusammengefasst bringt ein externer CISO erfahrene Führung in Ihre Informationssicherheit. Und zwar zu planbaren Kosten und im tatsächlich nötigen Umfang. Für den Mittelstand ist das meist die bessere Wahl gegenüber einer teuren Vollzeitstelle. Denn Sie zahlen für Steuerung, nicht für einen vollen Arbeitsplatz. Zudem sichert der Dienstleister die Kontinuität, auch bei Personalwechsel.

Der Nutzen zeigt sich besonders bei NIS2 und ISO 27001. Beide verlangen klare Verantwortung an der Spitze. Ein externer CISO liefert genau diese Governance. Deshalb lohnt sich der Schritt für viele KMU. Der beste Einstieg ist ein offenes Erstgespräch über Ziele und Umfang.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren