Virtual CISO Kosten 2026: Preise im Vergleich

Stand: August 2026. Alle Preise netto. Jede Zahl steht mit Quelle; Marktpreise sind Listenpreise aus eigener Erhebung öffentlicher Preisseiten.

Kurzantwort: Veröffentlichte vCISO-Mandate liegen im DACH-Markt bei 3.000 bis 8.000 €/Monat (Markteinschätzung der Ingenieurgesellschaft ISM, Februar 2026). Bei Cybervize kostet der Virtual CISO 3.600 bis etwa 8.500 €/Monat für 2 bis 6 Beratertage, die Lizenz der Cybervize-Plattform ist im Retainer enthalten; punktuelle Einsätze kosten 200 bis 350 €/Stunde. Unterhalb des vCISO-Segments gibt es externe Informationssicherheitsbeauftragte (ISB) ab 275 €/Monat, eine schmalere Leistung mit anderem Auftrag.

Die Ausgangslage: Die meisten Häuser haben keinen CISO

Nur 20 Prozent der mittelständischen Unternehmen in Deutschland beschäftigen einen CISO. Bei 47 Prozent liegt die Verantwortung für Cybersicherheit in einer Fachabteilung, meist in der IT (Deloitte, Cybersecurity im Mittelstand 2025, Befragung von 243 Unternehmen). Das ist selten Nachlässigkeit. Es ist oft eine nüchterne Rechnung: Eine CISO-Festanstellung kostet laufend 135.000 bis 200.000 € im Jahr (die Herleitung folgt unten), und der tatsächliche Bedarf liegt in vielen Häusern bei wenigen Tagen im Monat.

Genau für diese Lücke gibt es den Virtual CISO, auch vCISO oder externer CISO genannt: die CISO-Funktion in dem Umfang, den ein Unternehmen wirklich hat. Wer nach vCISO-Pricing sucht, findet hier die vollständige Antwort: unsere eigenen Preise, die veröffentlichten Preise des Marktes, die Abgrenzung zum günstigeren ISB-Segment, die sauber gerechnete Festanstellung und die Fälle, in denen ein vCISO nicht die richtige Wahl ist.

Was ein Virtual CISO bei Cybervize kostet

Am Markt sind drei Preismodelle üblich: die Monatspauschale (Retainer), der Tagessatz und der Stundensatz. Wir arbeiten mit Monatspauschalen und veröffentlichen sie, weil die Preisfrage keine Verhandlungseröffnung sein sollte. Stand August 2026:

• Basic, ab 3.600 €/Monat: etwa 2 Beratertage: Analyse der Sicherheitslage, NIS-2-Gap-Analyse, Risikobewertung mit Maßnahmen, monatlicher Termin mit der Geschäftsführung
• Standard, 4.900 €/Monat: etwa 3 Beratertage, bis zu 24 Stunden, engere Taktung: Abstimmung im Wochenrhythmus, zwei Geschäftsführungstermine pro Monat, Aufbau und Pflege des Compliance-Katalogs
• Senior, etwa 8.500 €/Monat: 5 bis 6 Beratertage, für Häuser mit mehreren Standorten, strengerer Aufsicht oder eigenem Sicherheitsprogramm

Für punktuelle Einsätze außerhalb der Pauschale gilt ein Stundensatz von 200 bis 350 €. Die Mindestlaufzeit beträgt 6 Monate, danach ist der Retainer monatlich kündbar. In jeder Stufe ist die Lizenz der Cybervize-Plattform enthalten: Risiken, Maßnahmen, Vorfälle und Nachweise liegen dort, nicht in Ordnern eines Dienstleisters; ein vollständiger Datenexport gehört zu den Konditionen.

Der Tagesbezug macht die Pauschalen vergleichbar. Der Basic-Retainer entspricht bei zwei Beratertagen 1.800 € pro Tag, der Senior-Retainer bei 5 bis 6 Tagen rund 1.400 bis 1.700 € pro Tag. Zur Einordnung: Übliche Tagessätze für Senior-Sicherheitsberatung liegen bei 1.600 bis 2.500 € (kmusec, Juni 2026); die BDU-Honorarstudie 2025 misst über alle Beratungsfelder durchschnittlich 1.300 € pro Tag, auf Partner-Ebene 1.600 €.

Aufs Jahr gerechnet: Basic 43.200 €, Standard 58.800 €, Senior etwa 102.000 €.

Was ein externer CISO im Markt kostet: veröffentlichte Preise

Eine belastbare Preisstudie für CISO-as-a-Service im DACH-Raum existiert nicht. Was existiert, sind öffentliche Preislisten. Wir haben sie ausgewertet (eigene Erhebung, Listenpreise, Stand August 2026):

• Cortina Consult: Externer ISB, Pauschale, ab 275 €/Monat (Quelle: cortina-consult.com)
• frag.hugo: Externer CISO/ISB, drei Pakete, 990 bis 2.490 €/Monat für 4 bis 16 Stunden (Quelle: fraghugo.de)
• Ingenieurgesellschaft ISM: Externer ISB, drei Mandate, 1.890 bis 5.890 €/Monat für 8 bis 24 Stunden (Quelle: ing-ism.de)
• Wermescher (Österreich): Externer CISO, Retainer, ab 3.520 €/Monat (Quelle: wermescher.com)
• Cybervize: vCISO-Retainer, Plattform inklusive, 3.600 bis etwa 8.500 €/Monat für 2 bis 6 Beratertage (Quelle: cybervize.de/de/preise)

Alle Anbieterpreise sind Listenpreise der jeweiligen Preisseiten, abgerufen im August 2026, netto. Die Leistungszuschnitte unterscheiden sich; ein Preisvergleich ersetzt keinen Leistungsvergleich.

Die Ingenieurgesellschaft ISM veröffentlicht zusätzlich eine Markteinschätzung (Februar 2026): vCISO-Mandate 3.000 bis 8.000 €/Monat, externe ISB-Mandate 1.400 bis 3.500 €/Monat. Unsere Basic- und Standard-Stufen liegen mittig in diesem vCISO-Band. Der Senior-Retainer liegt mit etwa 8.500 €/Monat über jedem konkret veröffentlichten Paketpreis, den wir gefunden haben; je Beratertag gerechnet steht er mit 1.400 bis 1.700 € am unteren Rand des üblichen Senior-Tagessatzbands. Wo 15.000 €/Monat als übliche vCISO-Größenordnung genannt werden, ist damit meist ein Interim-Mandat mit hoher Präsenz gemeint, dazu unten mehr.

Zwei Anmerkungen zur Einordnung dieser Übersicht. Erstens: Das sind Listenpreise; tatsächlich verhandelte Preise veröffentlicht niemand. Zweitens: Es fehlen die vielen Anbieter ohne Preisseite, darunter TÜV, DEKRA, DataGuard und secjur. Auch beim Software-Wettbewerb ist die Transparenz gemischt: fuentis nennt für seine ISMS-Software 379 bzw. 979 €/Monat, den CISO-as-a-Service-Teil nur auf Anfrage (fuentis.com, Stand August 2026); VamiGRC veröffentlicht keine Preise.

vCISO oder externer ISB: zwei Leistungen unter ähnlichem Etikett

Die Übersicht wirft eine berechtigte Frage auf: Warum 3.600 €/Monat zahlen, wenn externe Sicherheitsverantwortung ab 275 €/Monat zu haben ist? Weil hier zwei verschiedene Leistungen unter ähnlichen Namen verkauft werden, und der Unterschied selten erklärt wird.

Ein externer Informationssicherheitsbeauftragter (ISB) besetzt eine benannte Rolle: Er hält die Sicherheitsdokumentation aktuell, beantwortet Anfragen, berichtet in festen Intervallen und begleitet Audits. Typischer Umfang: wenige Stunden pro Monat. Für ein Haus, das eine formale Beauftragtenrolle mit überschaubarem Pflichtenkatalog braucht, ist das die wirtschaftlich richtige Wahl, und 275 bis 3.500 €/Monat sind dafür ein realistischer Rahmen.

Ein vCISO übernimmt dagegen die CISO-Funktion: Er verantwortet die Sicherheitsstrategie gegenüber der Geschäftsführung, priorisiert Risiken und Budget, steuert Maßnahmen und Dienstleister und sitzt im Ernstfall neben der Geschäftsleitung, nicht im Dokumentenarchiv. Typischer Umfang: 2 bis 6 Tage pro Monat. Das ist Führungsarbeit auf Zeit, keine gepflegte Ablage.

Der Preisabstand erklärt sich damit fast vollständig über Volumen und Rolle, kaum über den Stundenpreis: Das kleinste frag.hugo-Paket kostet 990 € für 4 Stunden, also 247,50 € pro Stunde. Unser Basic-Retainer entspricht bei zwei Beratertagen (16 Stunden, gerechnet mit 8-Stunden-Tagen) 225 € pro Stunde. Wer Angebote vergleicht, fragt deshalb zuerst: Wie viele Stunden oder Tage stecken drin, und welche Rolle wird ausgefüllt?

vCISO oder Festanstellung: die Rechnung, Position für Position

Der zweite Vergleichsmaßstab ist die Festanstellung. Diese Rechnung wird regelmäßig falsch aufgemacht, in beide Richtungen. Hier ist sie, jede Position mit Quelle:

Grundgehalt. Im deutschen Mittelstand liegt das CISO-Grundgehalt typischerweise bei 110.000 bis 160.000 € im Jahr. Suchmandate von Personalberatungen nennen 110.000 bis 150.000 € (WK Personalberatung, 2025/26); Vermittlungs- und Anzeigendaten liegen darunter (Robert Half Gehaltsübersicht 2026: Median 90.000 €; StepStone 2026: Median 83.000 €). Konzerne und stark regulierte Branchen zahlen mit variabler Vergütung 200.000 € und mehr.

Arbeitgeberabgaben. Häufig werden pauschal 30 oder sogar 42 Prozent aufgeschlagen. Das ist falsch: Wegen der Beitragsbemessungsgrenzen (2026: 101.400 € in Renten- und Arbeitslosenversicherung, 69.750 € in Kranken- und Pflegeversicherung) sind die Arbeitgeberanteile gedeckelt und summieren sich auf rund 20.000 € im Jahr, unabhängig davon, ob das Gehalt 130.000 oder 220.000 € beträgt. Bei 130.000 € entspricht das etwa 15 Prozent.

Laufende Vollkosten. Mit Arbeitsplatz, Weiterbildung und Werkzeugen ergeben sich 135.000 bis 200.000 € pro Jahr.

Erstes Jahr. Die Personalberatung kostet einmalig 25 bis 33 Prozent des Zieljahresgehalts (BDU-Marktstudie 2024: durchschnittlich 27,5 Prozent). Beispielrechnung mit offengelegten Annahmen: Gehalt 130.000 €, Arbeitgeberabgaben 20.000 €, Arbeitsplatz und Weiterbildung 8.000 €, Recruiting 27,5 Prozent von 130.000 € = 35.750 €. Summe im ersten Jahr: 193.750 €. Je nach Gehaltsniveau und Honorarsatz liegen die Erstjahreskosten bei rund 170.000 bis 250.000 €.

Die Position, die fast nie eingerechnet wird: Die durchschnittliche Verweildauer in der CISO-Rolle beträgt rund 39 Monate (Hitch Partners, 2025). Recruiting-Kosten sind damit kein Einmaleffekt, sondern kehren im Schnitt alle gut drei Jahre zurück.

Und jetzt der Teil, der in Artikeln von Anbietern selten steht: Auf den einzelnen Arbeitstag gerechnet ist die Festanstellung günstiger. 135.000 bis 200.000 € verteilt auf rund 220 Arbeitstage ergeben 610 bis 910 € pro Tag; ein vCISO-Tag kostet 1.400 bis 1.800 €. Der Unterschied: Bei der Festanstellung kaufen Sie alle 220 Tage, ob Sie sie brauchen oder nicht. Hat Ihr Haus real drei Tage CISO-Bedarf im Monat, also 36 Tage im Jahr, kostet der tatsächlich genutzte Tag in der Festanstellung effektiv rund 3.750 bis 5.600 € (135.000 bzw. 200.000 € geteilt durch 36). Die richtige Frage lautet deshalb nicht „Was kostet ein CISO?“, sondern „Wie viele Tage CISO-Arbeit haben wir wirklich?“. Der Schnittpunkt hängt von beiden Bandbreiten ab: Bei 135.000 € Vollkosten und 1.800 € je vCISO-Tag liegt er bei rund 6 Tagen im Monat, bei 200.000 € und 1.400 € je Tag bei rund 12 Tagen. Als Orientierung: Ab etwa acht Tagen dauerhaftem Bedarf lohnt sich die Rechnung im Einzelfall. Wenn Ihre Situation so aussieht, sagen wir Ihnen das im Erstgespräch.

Was die vCISO-Kosten wirklich treibt

Wo ein Mandat innerhalb der Spanne landet, entscheiden vier Faktoren. Keine Zuschlagstabelle, sondern Arbeitsmenge:

1. Umfang und Taktung. Wie viele Tage pro Monat gebraucht werden und wie oft an Geschäftsführung oder Aufsichtsrat berichtet wird.
2. Regulierungsdruck. Wer als wichtige oder besonders wichtige Einrichtung unter das NIS2UmsuCG fällt (in Kraft seit dem 6. Dezember 2025), trägt Registrierungs-, Nachweis- und Meldepflichten, die laufende Arbeit bedeuten. Zur Einordnung, weil an dieser Stelle gern mit Angst verkauft wird: Der Bußgeldrahmen reicht bis 10 Millionen € oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen und bis 7 Millionen € oder 1,4 Prozent für wichtige Einrichtungen. Das sind gesetzliche Höchstbeträge, keine Erwartungswerte. Öffentlich bekannte NIS-2-Bußgelder gibt es bisher nicht (Stand August 2026). Wie weit Höchstrahmen und Praxis auseinanderliegen, zeigt die DSGVO: 2025 wurden in Deutschland 249 Bußgelder mit zusammen 46,9 Millionen € bekannt, davon 45 Millionen in einem einzigen Fall; ohne diesen Ausreißer lag der Durchschnitt unter 8.000 € je Fall. Der Grund für einen vCISO ist nicht das maximale Bußgeld. Es ist die laufende Pflicht, die jemand kompetent verantworten muss.
3. Struktur. Mehrere Standorte, Werke, Tochtergesellschaften oder OT-Umgebungen bedeuten mehr Abstimmungs- und Assessment-Aufwand und zusätzliche Berichtswege.
4. Reifegrad und Werkzeuglage. Ein Haus mit gelebtem ISMS braucht Steuerung, ein Haus auf der grünen Wiese zuerst Aufbau. Und es macht einen messbaren Unterschied, ob der vCISO auf einer Plattform arbeitet, in der Risiken, Maßnahmen, Vorfälle und Nachweise bereits stehen, oder ob er jeden Monat Excel-Stände einsammelt. Im zweiten Fall bezahlen Sie Senior-Tagessätze für Dokumentensuche.

Was den Preis nicht seriös begründet: erfundene Schadensszenarien. Die belegten Größenordnungen sehen so aus: Der GDV beziffert den Durchschnittsschaden je versichertem Cyber-Fall auf 45.370 € (Auswertung über rund 261.000 Policen, überwiegend kleine und mittlere Unternehmen); Hiscox maß 2023 für Deutschland Median-Gesamtkosten von 16.050 € je Angriff. Am oberen Ende: Ransomware-Betroffene in der Größenklasse 100 bis 250 Beschäftigte zahlten für die Wiederherstellung ohne Lösegeld im Schnitt 638.536 US-Dollar (Sophos State of Ransomware 2025; befragt wurden nur tatsächliche Opfer, der Wert ist also eine Obergrenze). Nach einem Ransomware-Angriff waren Unternehmen im Schnitt rund drei Tage beeinträchtigt (Bitkom 2023); kam es zur Verschlüsselung, brauchten 47 Prozent länger als eine Woche zur Wiederherstellung (Sophos 2025). Der oft zitierte Wert von 3,87 Millionen € je Datenleck (IBM, 2025) stammt aus einer konzernlastigen Stichprobe und taugt nicht als Erwartungswert für den Mittelstand. Und welcher Anteil solcher Schäden durch einen vCISO „verhindert“ würde, kann niemand seriös beziffern. Ein vCISO ist keine Versicherung, sondern eine Funktion.

Sieben Fragen an jeden Anbieter, auch an uns

Stellen Sie diese Fragen jedem Anbieter, ausdrücklich auch uns:

1. Wie viele Beratertage stecken in der Monatspauschale, und was kostet damit der Tag?
2. Wer macht die Arbeit: die Person aus dem Verkaufsgespräch oder ein wechselndes Team? Wie ist Vertretung geregelt?
3. Was passiert mit Stunden, die in einem Monat nicht abgerufen werden?
4. Mit welchem Werkzeug wird gearbeitet, und was bleibt nach Mandatsende bei Ihnen? Bestehen Sie auf Datenexport und darauf, dass Dokumente und Nachweise Ihnen gehören.
5. Wie lang sind Mindestlaufzeit und Kündigungsfrist? (Bei uns: 6 Monate, danach monatlich kündbar.)
6. Wie werden Reise- und Nebenkosten abgerechnet?
7. Wer trägt am Ende die Verantwortung? Die ehrliche Antwort ist unbequem: Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagement-Maßnahmen umsetzen und ihre Umsetzung überwachen. Diese Pflicht bleibt bei Ihnen, egal wen Sie beauftragen. Ein Anbieter, der verspricht, Ihnen „die Haftung abzunehmen“, verspricht etwas, das er nicht halten kann.

Dazu ein Warnsignal, das keine Frage braucht: Anbieter, die mit maximalen Bußgeldern und Millionenschäden argumentieren statt mit Tagen und Leistungen.

Wann ein vCISO nicht die richtige Wahl ist

• Sie brauchen eine benannte Beauftragtenrolle mit wenigen Stunden im Monat. Dann ist ein externer ISB ab einigen Hundert Euro pro Monat die wirtschaftlichere Lösung. Dieses Segment bedienen wir nicht.
• Sie brauchen tägliche Führungspräsenz. Ein eigenes Sicherheitsteam will geführt werden, Gremien tagen wöchentlich, der Bedarf liegt dauerhaft bei acht und mehr Tagen im Monat: Dann ist die Festanstellung trotz höherer Gesamtkosten die richtige Entscheidung.
• Sie haben eine akute Vakanz oder stabilisieren nach einem Vorfall. Hohe Präsenz für einige Monate ist ein Interim-Mandat, keine vCISO-Pauschale. Interim-CISO-Einsätze liegen bei 8.000 bis 15.000 €/Monat, projektbezogen; bei uns ohne Plattform-Bindung.
• Sie haben einen eigenen CISO und suchen nur das Werkzeug. Dann lizenzieren Sie die Cybervize-Plattform direkt (Core ab 12.900 € pro Jahr, Professional ab 24.900 € pro Jahr). Senior-CISO-Begleitung ist dort zubuchbar, wenn Sie sie brauchen, und nicht im Lizenzpreis enthalten.
• Es gibt noch nichts zu steuern. Wenn Ihre IT vollständig bei einem Dienstleister liegt und weder Kunden noch Aufsicht Nachweise verlangen, ist Grundhygiene wichtiger als eine CISO-Funktion. Kaufen Sie die Funktion, wenn die Pflichten kommen.

Der Grund hinter unserem Preis: die Cybervize-Plattform

Bleibt die Frage hinter der Preisfrage: Was bekommen Sie für 2 bis 6 Tage im Monat? Bei uns arbeitet der vCISO auf der Cybervize-Plattform, deren Lizenz im Retainer enthalten ist. Das ist keine Zugabe, sondern der Grund, warum die Tage in Steuerung fließen statt in Verwaltung: Risiken, Maßnahmen, Vorfälle und Nachweise stehen in der Plattform, der Erfüllungsstand ist jederzeit zeigbar, gegenüber Geschäftsführung, Auditor oder Kunden. Und wenn das Mandat endet oder ein interner CISO übernimmt, bleiben Daten und Nachweise in Ihrem Haus statt im Ordner eines Dienstleisters.

Wenn Sie sehen möchten, worauf ein vCISO-Mandat bei uns aufsetzt: Buchen Sie eine kostenlose Demo der Cybervize-Plattform, 30 Minuten. Und wenn Sie den passenden Zuschnitt für Ihre Situation klären möchten, vereinbaren Sie ein Beratungsgespräch. In beiden Fällen bekommen Sie zuerst Zahlen, dann ein Angebot.