L-03 · Externe Sicherheitsleitung
Virtual CISO: Sicherheitsleitung ohne Vollzeitstelle
Ein Virtual CISO ist ein externer Chief Information Security Officer, der die Informationssicherheit eines Unternehmens in vereinbartem Umfang leitet. SecTec übernimmt diese Rolle für Unternehmen in ganz Österreich, die keine eigene Stelle besetzen wollen oder können.
Rolle
Sicherheit braucht eine Stelle, die sie führt.
In vielen Unternehmen liegt Informationssicherheit nebenbei bei der IT oder bei niemandem. Ein Virtual CISO gibt dem Thema eine feste Zuständigkeit: Er setzt Ziele, steuert Maßnahmen und Dienstleister, bereitet Entscheidungen für die Geschäftsführung vor und hält das Managementsystem nach ISO 27001 in Gang.
Anders als ein Projekt endet die Rolle nicht mit einem Bericht. Umfang, Erreichbarkeit und Befugnisse vereinbaren wir schriftlich, damit klar ist, was der Virtual CISO entscheidet und was bei Ihnen bleibt.
Aufgaben
Was der Virtual CISO für Sie übernimmt.
Zielbild und Strategie
Wo Ihre Sicherheit in ein bis zwei Jahren stehen soll und in welcher Reihenfolge
Strategie
ISMS steuern
Risiken, Maßnahmen, Richtlinien und interne Audits im Takt halten
ISO/IEC 27001
Berichte an die Leitung
Lage, Fortschritt und offene Entscheidungen in verständlicher Form
§ 31 NISG 2026
Lieferanten und Dienstleister
Anforderungen an IT-Dienstleister und Cloud-Anbieter festlegen und prüfen
§ 32 Abs. 4 lit. d
Vorfälle führen
Im Ernstfall koordinieren, Entscheidungen vorbereiten, Meldungen anstoßen
§ 34 NISG 2026
Ansprechpartner nach außen
Für Kunden, Auditoren und Versicherer, die Fragen zur Sicherheit stellen
Nachweis
Ablauf
So beginnt die Zusammenarbeit.
Bedarf klären.
Welche Pflichten gelten, welche Erwartungen haben Kunden, was ist intern schon geregelt?
Ist-Stand aufnehmen.
Eine kurze Bestandsaufnahme zeigt die wichtigsten Lücken und Prioritäten.
Rolle vereinbaren.
Umfang, Termine, Erreichbarkeit und Befugnisse schriftlich festlegen.
Laufend steuern.
Regelmäßige Termine, Berichte an die Leitung, Anpassung des Umfangs bei Bedarf.
Wann ein Virtual CISO passt
- ISO 27001
- Sie müssen Pflichten aus dem NISG 2026 umsetzen und haben niemanden, der das Thema hauptverantwortlich führt.
- Kunden oder Ausschreibungen verlangen ISO 27001 oder ausgefüllte Sicherheitsfragebögen.
- Ihre IT ist ausgelagert, und niemand prüft, ob der Dienstleister das Richtige tut.
- Eine Vollzeitstelle wäre nicht ausgelastet oder lässt sich nicht besetzen.
Wann sich die Rolle lohnt und was sie kostet, vertiefen die Ratgeber vCISO für KMU und externer CISO: Aufgaben und Kosten.
Was bei der Geschäftsführung bleibt
Das NISG 2026 verpflichtet die Leitungsorgane, die Einhaltung der Risikomaßnahmen sicherzustellen und zu beaufsichtigen, und schreibt ihnen eigene Cybersicherheitsschulungen vor (§ 31).
Ein Virtual CISO übernimmt die Arbeit und die fachliche Führung, die Verantwortung bleibt bei der Leitung. Gute Berichte sind deshalb der Kern der Rolle: Die Geschäftsführung muss jederzeit wissen, wo das Unternehmen steht.
Weiterlesen
Ratgeber und verwandte Leistungen.
vCISO für KMU
Wann sich eine externe Sicherheitsleitung lohnt
Ratgeber
Externer CISO
Aufgaben, Umfang und Kosten der Rolle
Ratgeber
Pflichten der Geschäftsführung
Was § 31 NISG 2026 von der Leitung verlangt
Ratgeber
ISO 27001 Beratung
Managementsystem für Informationssicherheit aufbauen und zur Zertifizierung führen
Leistung · L-02
NIS2-Beratung
Betroffenheit klären, Pflichten umsetzen, Nachweis führen
Leistung · L-01
Datenschutz Beratung
Datenschutz-Management und externe Datenschutzbeauftragte
Leistung · L-04
Häufige Fragen zum Virtual CISO
Was ist ein Virtual CISO?
Ein externer Chief Information Security Officer, der die Informationssicherheit in vereinbartem Umfang leitet: Strategie, Steuerung der Maßnahmen, Berichte an die Geschäftsführung und Koordination im Vorfall.
Übernimmt der Virtual CISO die NIS2-Verantwortung der Geschäftsführung?
Nein. Nach § 31 NISG 2026 müssen die Leitungsorgane die Maßnahmen sicherstellen und beaufsichtigen. Der Virtual CISO erledigt die fachliche Arbeit und liefert der Leitung, was sie für diese Aufsicht braucht.
Was kostet ein Virtual CISO?
Das hängt vom vereinbarten Umfang ab, etwa von der Zahl der Termine im Monat und davon, ob ein ISMS erst aufgebaut werden muss. Nach dem ersten Gespräch erhalten Sie einen Vorschlag mit Umfang und Aufwand.
Kann der Virtual CISO auch Datenschutzbeauftragter sein?
Beide Rollen lassen sich extern besetzen. Ob eine Person beide übernehmen kann, prüfen wir im Einzelfall, weil der Datenschutzbeauftragte keine Aufgaben übernehmen darf, die zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Mehr unter Datenschutz Beratung.
Passt der Virtual CISO zu ISO 27001?
Ja. Die Norm verlangt, dass Rollen und Verantwortlichkeiten für Informationssicherheit festgelegt sind (Kapitel 5.3). Der Virtual CISO kann das ISMS aufbauen und anschließend betreiben.
Sicherheit mit festem Ansprechpartner.
Wir klären mit Ihnen, welcher Umfang zu Ihrem Unternehmen passt.
- Telefon
- +43 1 3058463
- kontakt@sectec.at