Externer CISO (vCISO): die CISO-Funktion besetzt, ohne die Stelle zu schaffen

Ein vCISO (Virtual CISO) ist ein externer Chief Information Security Officer, der die CISO-Funktion eines Unternehmens als Mandat besetzt statt als Vollzeitstelle. Bei Cybervize läuft das Mandat dauerhaft, umfasst zwei bis sechs Tage im Monat und kostet ab 3.600 €/Monat; die Plattform OdySecure ist enthalten. Der vCISO führt die Tätigkeiten durch und informiert die Geschäftsleitung laufend. Pflichten und Verantwortung bleiben bei Ihrem Unternehmen und seiner Geschäftsleitung.

CISO as a Service bezeichnet dasselbe wie vCISO: Die CISO-Funktion wird als laufende Leistung von außen besetzt statt mit einer eigenen Stelle. Wir bieten das als vCISO-Mandat an. Es kostet ab 3.600 €/Monat, die Plattform OdySecure ist enthalten.

Cybervize bietet vCISO-Pakete ab 3.600 €/Monat (Basic-Retainer mit ca. 2 Tagen pro Monat) bis ca. 8.500 €/Monat (Senior-Retainer mit 5-6 Tagen pro Monat). Stundensätze für punktuelle Einsätze liegen bei 200-350 €/Stunde. Veröffentlichte Retainer für externe CISO- und ISB-Mandate im DACH-Raum reichen von unter 1.000 €/Monat für schmale ISB-Pakete bis rund 8.000 €/Monat für umfassende vCISO-Mandate; übliche Tagessätze für Senior-Security-Beratung liegen bei 1.600 bis 2.500 € (eigene Erhebung öffentlicher Preislisten, Stand August 2026). Unser Pricing ist transparent. Den vollständigen Kostenvergleich finden Sie im Beitrag Virtual CISO Kosten.

Für ein Beispielszenario mit rund 200 Mitarbeitern passt in der Regel das Standard-Paket zu 4.900 €/Monat. Darin enthalten sind zwei C-Level-Meetings pro Monat, zwei kurze Abstimmungsgespräche pro Woche, wöchentliche Reports per Dashboard oder Mail, Aufbau und Pflege eines Compliance-Katalogs und der Zugang zur Sicherheitsplattform OdySecure. Der Vergleich: Ein angestellter CISO verursacht im Mittelstand laufende Vollkosten von 135.000 bis 200.000 € pro Jahr, im ersten Jahr mit Recruiting 170.000 bis 250.000 €. Der vCISO-Retainer liegt bei 58.800 €/Jahr. Genauere Kalkulation siehe Pricing-Pillar-Beitrag.

Für kleinere und mittelständische Unternehmen gibt es vier kostengünstigere Alternativen zum Vollzeit-CISO: (1) vCISO (Virtual CISO), externer CISO auf Retainer-Basis, ab 3.600 €/Monat; (2) Fractional CISO, anteilige CISO-Funktion, oft 1-2 Tage pro Monat; (3) Interim CISO, temporäre Vollzeit-Übernahme bei Vakanzen; (4) vCISO mit eigener ISMS-Plattform, so arbeitet Cybervize: Die Plattform OdySecure ist im Mandat enthalten, die Nachweise entstehen dort. Für die meisten Mittelständler ist das vCISO-Modell die kosteneffizienteste Alternative: Sie erhalten C-Level-Cybersecurity-Führung ohne die 135.000 bis 200.000 € laufenden Vollkosten eines festangestellten CISO im Jahr.

CISO (Chief Information Security Officer) ist die strategische Cybersecurity-Führungsrolle auf C-Level, klassisch als Festanstellung. vCISO (Virtual CISO) ist dieselbe Rolle als externer, flexibler Service auf Retainer-Basis, typischerweise remote, oft branchenübergreifend tätig. ISO (Informationssicherheitsbeauftragter) ist die deutsche Bezeichnung der operativen Rolle nach BSI-IT-Grundschutz und ISO 27001, oft eine Stufe unter dem CISO und stärker auf Umsetzung als auf Strategie ausgerichtet. Cybervize stellt sowohl vCISO- als auch ISB-Mandate, je nach gewünschtem Umfang.

Im DACH-Markt agieren mehrere Dutzend Anbieter externer CISO Services, von Großberatungen bis zu mittelstandsspezialisierten Boutique-Anbietern wie Cybervize. Wichtige Auswahlkriterien für den Mittelstand: nachweisbare Branchenerfahrung, Coverage für NIS-2, DORA und ISO 27001, transparente Retainer-Preise im Bereich 3.600-8.500 €/Monat, strukturierter Onboarding-Prozess und ein eigenes Plattform-Tooling für ISMS und Management-Reporting. Cybervize arbeitet für Mittelstand und Konzern, mit Schwerpunkt im deutschsprachigen Raum und darüber hinaus, und verbindet vCISO-Mandate mit einer ISMS-Plattform mit KI-Unterstützung. Pricing und Vergleich finden Sie weiter unten auf dieser Seite.

Der vCISO-Service eignet sich besonders für mittelständische Unternehmen, die Cybersecurity-Expertise auf C-Level benötigen, aber keine Vollzeitposition finanzieren möchten. Auch für Unternehmen in Wachstumsphasen oder mit temporärem erhöhten Sicherheitsbedarf ist der Service ideal.

Der Zugang zur Plattform OdySecure ist Bestandteil des Mandats, eine separate Lizenz fällt nicht an. Die Plattform ergänzt die Arbeit Ihres vCISO: Sie unterstützt Risikobewertungen, hält Compliance-Anforderungen nach und schlägt Maßnahmen vor. Darüber steuert Ihr vCISO das ISMS und das Reporting an die Geschäftsführung.

Für Fragen ja, für die Funktion nicht. Ein Assistent erklärt Anforderungen und schlägt Maßnahmen vor. Die Umsetzung führen, Prioritäten mit der Geschäftsleitung abstimmen und im Vorfall entscheiden, wer was meldet, braucht eine Person. Im vCISO-Mandat ist das ein Senior-CISO, und der Assistent in OdySecure arbeitet ihm zu.

Der vCISO startet in der Regel innerhalb von 14 Tagen nach Auftrag. Nach einem strukturierten Onboarding mit Bestandsaufnahme werden Maßnahmen priorisiert und die Plattform auf Ihre Anforderungen konfiguriert.

Wir haben Erfahrung in zahlreichen Branchen, darunter Finanzdienstleistungen, Gesundheitswesen, produzierendes Gewerbe, öffentlicher Sektor und Technologieunternehmen. Unsere Expertise deckt branchenspezifische Sicherheitsanforderungen und Compliance-Vorgaben ab.

Ein festangestellter CISO ist eine Vollzeitposition mit laufenden Vollkosten von 135.000 bis 200.000 EUR pro Jahr. Ein vCISO (Virtual CISO) bietet dieselbe strategische Cybersecurity-Führung auf C-Level, aber als flexiblen, externen Service. Sie erhalten einen erfahrenen CISO auf Abruf, der Ihre Sicherheitsstrategie erarbeitet und umsetzt, ohne die Fixkosten einer Festanstellung. Besonders für den Mittelstand ist das die kosteneffiziente Alternative.

Ein externer CISO bringt branchenübergreifende Erfahrung aus zahlreichen Unternehmen mit und ist sofort verfügbar, ohne langwierige Rekrutierung. Als externe Führungskraft agiert er unabhängig und objektiv bei Sicherheitsbewertungen und Audits. Besonders bei Vakanzen, während der Suche nach einem permanenten CISO oder bei akutem Compliance-Bedarf wie NIS-2 oder ISO 27001 ist ein externer CISO die schnellste Lösung.

Ja. Der vCISO ist nicht auf Mittelstand begrenzt. Konzerne nutzen dasselbe Mandat: Wir besetzen die CISO-Funktion dauerhaft, die Plattform OdySecure ist enthalten. Was sich ändert, ist die Ausbaustufe: Konzern-Module der Plattform (Multi-Entity-Rollout, prüffähige Konzernreports, Multi-Country) und projektbezogener Tagessatz statt €/Monat-Retainer. Wenn Sie nur eine kurzfristige Vakanz überbrücken müssen, ist der Interim CISO der richtige Weg, nicht der vCISO.

Der vCISO ist ein dauerhaftes Mandat: Wir besetzen Ihre CISO-Funktion laufend im Monatsrhythmus, die Plattform OdySecure ist im Mandat enthalten. Der Interim CISO ist eine kurzfristige Überbrückung einer konkreten Vakanz oder Krise (CISO-Abgang, Audit-Vorbereitung, Post-Incident-Stabilisierung), projektbezogen, meist ohne Plattform. Beide Linien sind eigenständig: man kann mit Interim CISO starten und später zu vCISO wechseln, oder direkt vCISO buchen.

Wir beraten remote und standortübergreifend, auch Unternehmen mit mehreren Standorten. Vor Ort sind wir, wenn ein Termin es erfordert.