Was kostet ein externer CISO in Österreich? Die Rechnung mit allen Nebenkosten

Die Frage nach den Kosten kommt selten am Anfang. Sie kommt, wenn die Entscheidung im Grundsatz schon gefallen ist: Ein Großkunde hat im Lieferantenfragebogen nach der verantwortlichen Person für Informationssicherheit gefragt, die NIS2-Betroffenheit ist geklärt, oder der Cyberversicherer will wissen, wer das Risikomanagement steuert. Dann steht die Geschäftsführung vor drei Optionen — und einer Zahl, die in Angeboten selten vollständig ausgewiesen wird.

Dieser Artikel stellt die Rechnung so auf, wie sie in der Budgetplanung tatsächlich gebraucht wird: Jahreskosten, alle Nebenkosten, und der Punkt, ab dem sich das Verhältnis dreht.

Die drei Optionen in Jahreskosten

Modell	Kosten pro Jahr	Startzeit	Steuerbarkeit
Externer CISO (Retainer)	ab 42.240 EUR	wenige Wochen	monatlich anpassbar
Angestellter CISO (Vollzeit)	rund 114.000 EUR	3–9 Monate	Dienstvertrag
Rolle unbesetzt, IT übernimmt nebenbei	0 EUR direkt	sofort	keine

Die erste Zeile ist der Einstiegswert eines laufenden Mandats: 3.520 EUR netto pro Monat, zwölf Monate. Die zweite Zeile ist der Punkt, an dem die meisten Kalkulationen zu kurz greifen — deshalb im Detail.

Was im Bruttogehalt noch nicht drinsteckt

kununu weist für Chief Information Security Officer in Österreich ein durchschnittliches Jahresbrutto von 88.300 EUR aus, basierend auf 121 Gehaltsangaben; die Spanne reicht von 62.700 bis 129.700 EUR. Das ist das, was auf dem Dienstvertrag steht. Für das Unternehmen ist es etwa drei Viertel der tatsächlichen Kosten.

Position	Satz	Betrag auf 88.300 EUR
Dienstgeber-Anteil Sozialversicherung	20,48 %	rund 18.080 EUR
Kommunalsteuer	3,00 %	2.649 EUR
Dienstgeberbeitrag zum FLAF (DB)	3,70 %	3.267 EUR
Zuschlag zum DB (DZ, Steiermark)	0,34 %	300 EUR
Mitarbeitervorsorge (Abfertigung neu)	1,53 %	1.351 EUR
Summe Lohnnebenkosten	29,05 %	rund 25.650 EUR
Vollkosten pro Jahr		rund 114.000 EUR

Zwei Einschränkungen gehören dazu. Der Dienstgeber-Anteil zur Sozialversicherung greift nur bis zur Höchstbeitragsgrundlage — bei höheren Gehältern sinkt der prozentuale Aufschlag entsprechend. Und die Sonderzahlungen, also 13. und 14. Gehalt, sind in den 88.300 EUR bereits enthalten, weil kununu auf 14 Bezüge rechnet.

Nicht enthalten sind dagegen: Arbeitsplatz und Ausstattung, Weiterbildung und Zertifizierungen (eine CISSP- oder ISO-27001-Lead-Auditor-Ausbildung liegt im vierstelligen Bereich pro Jahr), sowie die Urlaubs- und Krankenstandsvertretung. Wer den Vergleich sauber führen will, rechnet zusätzlich mit 5.000 bis 10.000 EUR pro Jahr.

Was das Recruiting kostet, bevor jemand anfängt

Die Position ist am österreichischen Markt knapp. Nach unserer Erfahrung aus Mandaten liegen zwischen der Entscheidung und dem ersten Arbeitstag typischerweise drei bis neun Monate — Ausschreibung, Auswahlverfahren, Kündigungsfrist der Kandidatin oder des Kandidaten. Kommt eine Personalberatung dazu, sind ein Viertel bis ein Drittel des Jahresbruttos als Honorar marktüblich, bei 88.300 EUR also rund 22.000 bis 29.000 EUR einmalig.

Im ersten Jahr liegt eine interne Besetzung damit realistisch bei 135.000 bis 150.000 EUR. Diese Zahl gehört in die Entscheidungsvorlage, weil sie den Vergleichszeitraum bestimmt: Das externe Mandat liefert ab Woche drei Ergebnisse, die interne Stelle ab Monat vier bis zehn.

Der Preis der dritten Option

Die häufigste Variante im Mittelstand steht in keiner Kostenstelle: Der IT-Leiter übernimmt Sicherheitsthemen zusätzlich zum Tagesgeschäft. Direkt kostet das nichts. Die Rechnung kommt an drei Stellen später.

Erstens beim Nachweis. NIS2 und das NISG 2026 adressieren die Leitungsebene direkt — sie muss Risikomaßnahmen freigeben und ihre Wirksamkeit überwachen. Ohne benannte Rolle und ohne Reporting fehlt die Grundlage dafür, und die Haftung der Geschäftsführung lässt sich nicht delegieren.

Zweitens bei der Priorisierung. Wer operative IT verantwortet, entscheidet im Zweifel für die Verfügbarkeit und gegen die Härtung. Dahinter steht ein struktureller Zielkonflikt: Dieselbe Person kann nicht gleichzeitig den Betrieb sicherstellen und ihn kritisch prüfen. Mit der fachlichen Qualifikation hat das nichts zu tun.

Drittens beim Vorfall. Die Kosten eines Ransomware-Falls im österreichischen Mittelstand bewegen sich im sechsstelligen Bereich, bevor Betriebsunterbrechung und Reputationsschaden mitgerechnet sind. Genau dieser Betrag ist die eigentliche Vergleichsgröße der dritten Spalte.

Ab wann kippt die Rechnung

Den Break-even bestimmt der Steuerungsbedarf. Die Mitarbeiterzahl taugt dafür nur als grobe Orientierung:

• Bis etwa 50 Mitarbeitende: Ein fixpreisbasierter Baustein trägt meist — eine Standortbestimmung, ein Maßnahmenplan, danach punktuelle Begleitung. Ein laufender Retainer lohnt sich, sobald ein Kunden-Audit oder eine NIS2-Betroffenheit dauerhaften Nachweisbedarf erzeugt.
• 50 bis 250 Mitarbeitende: Der klassische Bereich für das externe Modell. Genug regulatorischer Druck für eine benannte Rolle, zu wenig Volumen für ein sechsstelliges Jahresgehalt.
• Ab etwa 250 bis 500 Mitarbeitenden: Sobald ein eigenes Security-Team entsteht, das täglich Führung braucht, wird die interne Stelle wirtschaftlich. Das externe Mandat trägt dann noch die Übergangsphase und den Aufbau.

Ein zweiter Kipppunkt liegt beim Zeitbedarf. Ein Retainer rechnet sich, solange der Steuerungsaufwand unter etwa 40 Stunden im Monat bleibt. Darüber nähert sich die externe Lösung den Vollkosten einer internen Stelle an, ohne deren Vorteil der permanenten Verfügbarkeit zu bieten. Welches Modell zu welchem Profil passt, macht die Entscheidungsmatrix externer vs. eigener CISO entlang von vier Faktoren konkret.

Warum die Marktpreise so weit auseinanderliegen

Im DACH-Raum finden sich Angebote von 150 EUR bis 15.000 EUR pro Monat. Diese Spanne erklärt sich fast vollständig über zwei Größen: enthaltene Stunden und Seniorität der Person, die tatsächlich arbeitet.

Bei einem Monatspreis von 990 EUR und einem realistischen Beratersatz bleiben rund vier Stunden. Das reicht für eine Dokumentenprüfung und eine Signatur unter dem Lieferantenfragebogen. Es reicht nicht, um ein Risikoregister zu führen, Maßnahmen durchzusetzen und der Geschäftsführung eine belastbare Entscheidungsvorlage zu liefern.

Die zweite Frage lautet, wer im Mandat arbeitet. Bei größeren Anbietern verkauft ein Senior und liefert ein Junior. Bei der Beurteilung eines Angebots lohnt daher die direkte Frage: Wie viele Stunden pro Monat sind enthalten, wer erbringt sie, und was passiert bei einem Vorfall außerhalb des Kontingents.

Wie du die Rechnung für dein Unternehmen aufstellst

Vier Zahlen genügen für eine belastbare Entscheidungsvorlage:

1. Nachweisbedarf: Wie viele Kunden-Audits, Versicherer-Fragebögen und regulatorische Nachweise stehen pro Jahr an? Das bestimmt den Mindestumfang.
2. Steuerungsaufwand: Wie viele Maßnahmen laufen parallel, wie viele Dienstleister sind zu steuern? Daraus folgt der Stundenbedarf.
3. Vollkosten der internen Alternative: Jahresbrutto plus rund 30 % Nebenkosten plus Recruiting im ersten Jahr.
4. Zeitkosten des Wartens: Was passiert im Zeitraum bis zur internen Besetzung — und wer trägt in dieser Zeit die Verantwortung?

Der Umfang dessen, was ein externer CISO übernimmt, reicht von Governance-Aufbau und Risikosteuerung bis zum Reporting an Geschäftsführung und Aufsicht. Steht die Grundstruktur aus Rollen, Richtlinien und Risikoprozess noch nicht, ist der Einstieg über ein Cyber Governance Setup meist der günstigere Weg: sechs bis zwölf Wochen Aufbau, danach ein deutlich schlankerer laufender Betrieb.

Für den regulatorischen Rahmen, aus dem der Nachweisbedarf entsteht, ist die NIS2-Beratung der passende Einstieg.

Alle Beträge netto, Preisstand Oktober 2026. Die Gehaltsbasis stammt von kununu Österreich, die Nebenkostensätze aus den österreichischen Dienstgeberabgaben; der DZ-Satz ist bundeslandabhängig und hier für die Steiermark angesetzt.