Laufende Verantwortung · vCISO
Externer CISO / vCISO für dein Unternehmen
Erfahrene Sicherheitsführung als externe Funktion: Ein externer CISO übernimmt Strategie, Risikosteuerung und Reporting für dein Unternehmen — planbar im Budget, mit klarer Verantwortung gegenüber Eigentümern und Aufsicht. vCISO und CISO as a Service für den österreichischen Mittelstand.
- Monats- bis Jahresbegleitung
- ab 3.520 EUR / Monat (netto, als Retainer)
Wann relevant
Wann sich das lohnt.
- Du brauchst Top-Expertise in Sicherheitsführung, ohne die Vollzeit-Gehaltskosten eines internen CISO zu tragen.
- Dein Unternehmen braucht flexible, skalierbare Unterstützung — die mit deinen Anforderungen mitwächst.
- Du musst Datenschutz- und Sicherheitsvorschriften (NIS2, DSGVO, branchenspezifisch) einhalten und brauchst eine belastbare Antwort gegenüber Eigentümern oder Aufsicht.
- Du willst Cyber-Risiken proaktiv identifizieren und mindern — bevor ein Vorfall dich dazu zwingt.
- Eine CISO-Position ist vakant oder schwer zu besetzen — du willst die Funktion auslagern, statt monatelang zu rekrutieren.
- Kunden, Versicherer oder Aufsicht verlangen einen benannten Sicherheitsverantwortlichen — die Rolle muss nachweisbar besetzt sein.
Leistungsumfang
Was wir übernehmen.
Bewertung
Wir bewerten Kultur, Prozesse und Technologien aus Security-Governance-Sicht. Inkl. Interviews mit technischen, geschäftlichen und leitenden Teams sowie Prüfungen zu Information-Asset-Management, Datenklassifizierung, Bedrohungs- und Schwachstellen-Management und Drittanbieter-Steuerung.
Strategieentwicklung
Wir entwerfen eine umfassende Sicherheitsstrategie, die auf die spezifischen Bedürfnisse und Risiken deines Unternehmens zugeschnitten ist — inklusive Richtlinien und Verfahren zur Informationssicherheit.
Beaufsichtigung & Umsetzung
Auf Basis der Bewertung bieten wir kontinuierliche Unterstützung: Schließen von Dokumentationslücken, priorisierte Maßnahmenpläne, Umsetzungsbegleitung und langfristige strategische Beratung.
Schulungen & Awareness
Sicherheitsbewusstsein ist ein wesentlicher Teil. Wir empfehlen und unterstützen Schulungen für alle Benutzergruppen — von sicheren Codierungspraktiken bis zu Phishing-Awareness. Auf Wunsch auch kontrollierte Phishing-Kampagnen.
Incident Response & Continuity
Cybersecurity Incident Response Plan und Business Continuity Planning — wer entscheidet was, wann, wie informiert? Strukturierte Vorgehensweise für Reaktion und Eskalation, bevor sie gebraucht wird.
Sicherheit der IT-Umgebung
Leitfäden zur System-Härtung und Netzwerk-Gestaltung, inklusive Sicherheits-Schutzmaßnahmen und Kontrollen zur Vorfall-Überwachung — für Start-ups wie für gewachsene Mittelständler.
Ergebnis
Was dir das bringt.
- Du lernst deine Cybersecurity-Unternehmensrisiken besser kennen — und kannst sie steuern.
- Low-hanging Fruits werden rasch und kosteneffizient implementiert.
- Eine Kultur der Cybersecurity-Awareness wird im Unternehmen geschaffen.
- Klare regulatorische Einordnung (NIS2, DSGVO) und ein belastbarer Maßnahmenplan.
- Externe Verantwortlichkeit mit kalkulierbarem Budget — keine versteckten Personalkosten.
- Eine benannte, ansprechbare Sicherheitsführung — nachweisbar gegenüber Kunden, Versicherern und Aufsicht.
Kostenvergleich
Was die Alternative kostet.
Die relevante Rechnung stellt das Mandat nicht gegen andere Anbieter, sondern gegen die Optionen, die du sonst hast: die Rolle intern besetzen oder sie offen lassen. Alle Beträge netto, auf Jahressicht.
| Kriterium | Externer CISO | Angestellter CISO | Nebenbei über die IT |
|---|---|---|---|
| Kosten pro Jahr | ab 42.240 EUR (12 × 3.520) | rund 114.000 EUR Vollkosten | 0 EUR direkt — Kosten entstehen im Schadensfall |
| Startzeit | wenige Wochen nach Erstgespräch | 3–9 Monate Recruiting | sofort |
| Seniorität | 20+ Jahre Sicherheitsführung, branchenübergreifend | marktabhängig — die Rolle ist knapp | IT-operativ, ohne Governance-Mandat |
| Skalierung | monatlich anpassbar | Dienstvertrag | nicht steuerbar |
| NIS2-/NISG-Nachweis | benannte Rolle + Reporting an die Leitung | benannte Rolle | Lücke — niemand ist zuständig |
Die dritte Spalte ist der Normalfall im Mittelstand: Die IT übernimmt Sicherheitsthemen zusätzlich zum Tagesgeschäft. Das kostet zunächst nichts und hält, bis ein Auditor, ein Cyberversicherer oder ein Vorfall nach der verantwortlichen Rolle fragt. Wie sich die Modelle entlang von Kosten, Verfügbarkeit und Erfahrungsbreite unterscheiden, macht die Entscheidungsmatrix externer vs. eigener CISO konkret.
Ablauf
So gehen wir vor.
- 01
Bestandsaufnahme
In der Onboarding-Phase erfassen wir deine aktuelle Infrastruktur, deine Prozesse und deinen Sicherheits-Reifegrad — organisatorisch wie technisch.
- 02
Strategie & Maßnahmenplan
Wir leiten eine maßgeschneiderte Sicherheitsstrategie ab und erstellen einen priorisierten Maßnahmenplan — schriftlich, nachvollziehbar.
- 03
Umsetzungsbegleitung
Quick-Wins werden zügig umgesetzt. Längerfristige Themen begleiten wir laufend, mit klaren Reviews und Eskalation bei Bedarf.
- 04
Reporting & Steuerung
Regelmäßige Berichte zu Fortschritt, KPIs und offenen Risiken — verständlich aufbereitet für Geschäftsführung und Aufsicht.
FAQ
Häufige Fragen.
Was kostet ein externer CISO in Österreich?
Ein externes CISO-Mandat läuft als monatlicher Retainer — ohne Vollzeit-Gehalt und ohne versteckte Personal-Nebenkosten. Die laufende Betreuung beginnt bei 3.520 EUR pro Monat (netto), also 42.240 EUR im Jahr, und skaliert mit Größe, Reifegrad und regulatorischem Druck. Ein angestellter CISO liegt in Österreich bei rund 114.000 EUR Vollkosten pro Jahr. Der Einstieg gelingt oft über einen fixpreisbasierten Baustein (NIS2 Strategiebriefing oder Cyber Reality Check), aus dem sich der laufende Betreuungsumfang ableitet. Ein konkretes Angebot folgt nach einem kurzen Erstgespräch.
Was kostet ein angestellter CISO in Österreich im Vergleich?
Der kununu-Durchschnitt für einen Chief Information Security Officer in Österreich liegt bei 88.300 EUR brutto im Jahr (aus 121 Gehaltsangaben). Dazu kommen rund 30 % Lohnnebenkosten aus Dienstgeber-Sozialversicherung, Kommunalsteuer, DB/DZ und Mitarbeitervorsorge — in Summe etwa 114.000 EUR Vollkosten pro Jahr, noch ohne Recruiting, Einarbeitung und Weiterbildung. Ein externes Mandat startet bei 42.240 EUR im Jahr und ist monatlich anpassbar.
Ab welchem Budget rechnet sich ein externer CISO?
Sobald eine verantwortliche Rolle nachweisbar besetzt sein muss, eine Vollzeitstelle das Budget aber sprengt. Praktisch beginnt dieser Bereich im Mittelstand bei etwa 50 bis 250 Mitarbeitenden: genug regulatorischer Druck durch NIS2 / NISG 2026, Kunden-Audits oder Cyberversicherer, aber zu wenig Volumen für ein sechsstelliges Jahresgehalt. Darunter trägt oft ein fixpreisbasierter Einstieg, darüber wächst das Mandat mit oder geht in eine interne Stelle über.
Was ist der Unterschied zwischen externem CISO, vCISO und „CISO as a Service"?
Die Begriffe meinen dieselbe Leistung: erfahrene Sicherheitsführung als externe, planbare Funktion statt einer Vollzeitstelle. „vCISO" und „CISO as a Service" betonen das flexible, skalierbare Modell; „externer CISO" betont die klare Verantwortungsübernahme gegenüber Eigentümern und Aufsicht.
Ab welcher Unternehmensgröße ist ein externer CISO sinnvoll?
Sobald Sicherheits- und Compliance-Anforderungen — etwa NIS2 / NISG 2026, Kunden-Audits oder DSGVO — eine verantwortliche Rolle verlangen, eine Vollzeitstelle aber wirtschaftlich nicht trägt. Typisch im Mittelstand und in wachsenden technologiegetriebenen Unternehmen.
vCISO oder angestellter CISO — was lohnt sich?
Ein angestellter CISO bindet Vollzeit-Gehalt, Recruiting und Halteaufwand. Ein externer CISO liefert vergleichbare Seniorität als planbare Funktion, startet schnell und wächst mit dem Bedarf. Für viele österreichische Mittelständler ist das externe Modell der pragmatische Einstieg, bis Größe und Risikoprofil eine interne Stelle rechtfertigen.
CISO auslagern — wann ergibt das Sinn?
Die CISO-Funktion auszulagern lohnt sich, wenn die Verantwortung für Informationssicherheit klar besetzt sein muss, eine interne Vollzeitstelle aber wirtschaftlich nicht trägt — etwa bei unbesetzter Position, schnell steigenden Compliance-Anforderungen oder begrenztem Budget. Welche Kriterien für oder gegen das Auslagern sprechen, zeigt die Entscheidungsmatrix externer vs. eigener CISO.
Anbieter für einen externen CISO — worauf solltest du achten?
Entscheidend sind nachgewiesene Seniorität in der Sicherheitsführung, eine belastbare Methodik (ISMS, Risikomanagement, NIS2 und ISO 27001), Mittelstands- und Branchenerfahrung sowie Unabhängigkeit vom Produktverkauf. Achte zudem auf die klare Rollenabgrenzung: Ein externer CISO steuert und verantwortet die Sicherheitsführung — die Haftung der Geschäftsführung bleibt bestehen.
Erst Governance aufbauen oder direkt einen externen CISO?
Beides ist möglich. Fehlt die Grundstruktur aus Rollen, Richtlinien und Risikoprozess, beginnt ein Cyber Governance Setup mit dem gezielten Aufbau in 6–12 Wochen und geht übergabefähig in den laufenden CISO-Betrieb über. Läuft die Governance bereits, steigt der externe CISO direkt in Steuerung und Reporting ein.
Wie schnell kann ein externes CISO-Mandat starten?
Nach Erstgespräch und kompakter Bestandsaufnahme startet die laufende Begleitung meist innerhalb weniger Wochen. Quick-Wins werden früh umgesetzt, längerfristige Themen laufend begleitet.
Hintergrund
Einen externen CISO auslagern: Modell, Verantwortung, Grenzen
Die Rolle des Chief Information Security Officer lässt sich als externe Funktion vergeben — als externer CISO, vCISO oder CISO as a Service. Für den österreichischen Mittelstand ist das oft der pragmatische Weg zu seniorer Sicherheitsführung, ohne eine Vollzeitstelle zu schaffen, die Budget und Arbeitsmarkt nicht hergeben.
Was ein externer CISO übernimmt
Ein externer CISO verantwortet die strategische Sicherheitsführung und die Steuerung darüber — von Aufbau und Pflege eines Informationssicherheits-Management-Systems (ISMS) über Risikobewertung und -behandlung, Richtlinien und Prozesse bis zum regelmäßigen Reporting an Geschäftsführung und Aufsicht. Die operative IT bleibt im Haus oder bei bestehenden Dienstleistern; der externe CISO gibt ihr Richtung, Prioritäten und Kontrolle.
- Aufbau und Betrieb des ISMS sowie der Sicherheitsrichtlinien
- Risikobewertung, Maßnahmenplanung und Priorisierung
- Steuerung von Lieferanten- und Drittparteien-Risiken
- Incident-Response- und Business-Continuity-Vorbereitung
- Reporting und Entscheidungsvorlagen für Geschäftsführung und Aufsicht
vCISO, CISO as a Service oder eigene Stelle?
Die Begriffe vCISO und CISO as a Service beschreiben dasselbe flexible Modell: erfahrene Sicherheitsführung als planbare Funktion, skalierbar mit Reifegrad und Risikoprofil. Ein angestellter CISO bindet Vollzeit-Gehalt, Recruiting und Halteaufwand und ist am Markt knapp. Für viele Unternehmen trägt das externe Modell so lange, bis Größe und Risikoexposition eine interne Stelle wirtschaftlich rechtfertigen. Die Entscheidungsmatrix externer vs. eigener CISO macht die Abwägung anhand von Kosten, Verfügbarkeit und Erfahrungsbreite konkret.
Verantwortung steuern, Haftung bleibt bei der Geschäftsführung
Ein externer CISO bringt Methodik, Erfahrung und Steuerungskraft. Die rechtliche Verantwortung für Cybersicherheit bleibt bei der Geschäftsführung: NIS2 und das österreichische NISG 2026 adressieren die Leitungsebene direkt — sie muss Risikomaßnahmen freigeben und überwachen. Ein externer CISO bereitet diese Entscheidungen auf, macht Risiken sichtbar und liefert die Nachweise; Freigabe und Haftung verbleiben oben. Vertiefend dazu: warum sich Haftung nicht delegieren lässt und warum Governance schwerer wiegt als Tools.
Externer CISO und NIS2 / NISG 2026
Fällt dein Unternehmen unter NIS2 beziehungsweise das NISG 2026, braucht es belastbare Risikomaßnahmen, Meldeprozesse und eine nachweisbare Sicherheitsorganisation. Ein externer CISO richtet diese Anforderungen ein und hält sie im Betrieb. Den regulatorischen Rahmen und die konkreten Pflichten deckt die NIS2-Beratung ab; für eine schnelle Standortbestimmung eignet sich das NIS2 Strategiebriefing.
Wo die Grenzen liegen
Ein externer CISO ersetzt keine operative IT-Mannschaft und keinen 24/7-Betrieb. Er steuert, priorisiert und verantwortet die Sicherheitsführung, während Umsetzung und Tagesbetrieb bei internen Teams oder spezialisierten Dienstleistern liegen. Damit das Modell trägt, braucht es auf Unternehmensseite einen klaren Ansprechpartner und die Bereitschaft der Leitungsebene, Entscheidungen zu treffen und Maßnahmen freizugeben. Wo niemand entscheidet, hilft auch die beste externe Führung wenig — wie das Cybersecurity-Entscheidungsproblem zeigt.
Anbieter auswählen
Bei der Auswahl zählen Seniorität, eine belastbare Methodik (ISMS, ISO 27001, Risikomanagement), Mittelstandserfahrung und Unabhängigkeit vom Produktverkauf, damit Empfehlungen dem tatsächlichen Risiko folgen. Ebenso wichtig ist die persönliche Erreichbarkeit: Sicherheitsführung lebt von Kontinuität und einem festen Ansprechpartner. Weitere Beiträge rund um Aufbau und Betrieb sammelt der Themen-Hub vCISO & Aufbau.
Andere Leistungen
Auch interessant
Cyber Reality Check
Strukturierte Standortbestimmung in 1–2 Tagen. Management-Report mit Top 10 Risiken.
NIS2 Strategiebriefing
Halbtags-Workshop mit Geschäftsführung und IT-Lead. Reifegrad-Einschätzung und schriftliche Empfehlung. Fixpreis 2.480 EUR.
Risk Management Workshop
Risikomanagement mit Methode statt Tool-Automatik — für Unternehmen, die ISO 27001 über ein GRC-Tool umgesetzt haben, aber noch keinen externen Risk-Profi an Bord hatten. 1-Tages-Workshop.
NIS2 Beratung
GAP-Analyse, Umsetzungs-Roadmap und laufende Begleitung zur NISG-Compliance — modular über Monate bis Jahresprojekt.
Cyber Governance Setup
CISO-Funktion in 6–12 Wochen aufbauen — Governance, Rollen, Prozesse. Übergabefähig in vCISO-Betrieb.
Security Risk Assessments
Strukturierte Bewertung der IT-Sicherheitslage. Klare Prioritäten statt Toollisten.
Interim Projektmanagement
Erfahrene Projektleitung für IT- und Sicherheitsvorhaben — temporär, fokussiert.