Welcher Anbieter für ein externes CISO-Mandat ist der richtige?

Das Wichtigste in Kürze

• Anbieter für ein externes CISO-Mandat lassen sich in vier Modelle aufteilen: Einzelberater oder Kanzlei mit Beauftragtenmandat, spezialisierte Beratungshäuser mit vCISO-Retainer, Managed-Security-Anbieter mit vCISO als Zusatzleistung und europäische Compliance-Plattform mit benannten zertifizierten Experten.
• Die Auswahl entscheidet sich an einer Frage: Verkauft der Anbieter die Beauftragtenrolle oder die Steuerungsfunktion? Das Beauftragtenmandat hält die Rolle und pflegt die Dokumentation, das CISO-Mandat steuert Strategie, Risiken und Budget gegenüber der Geschäftsleitung. Der Preisunterschied zwischen diesen beiden Zuschnitten ist größer als der Preisunterschied zwischen Anbietern.
• Veröffentlichte Monatspauschalen reichen von rund 275 bis 8.500 Euro (Stand August 2026). Am unteren Ende steht das reine Beauftragtenmandat mit 4 bis 16 Stunden, am oberen der vCISO-Retainer mit 2 bis 6 Beratertagen. Nur ein kleiner Teil des Marktes veröffentlicht Preise überhaupt.
• Eine reine Software kann das Mandat nicht übernehmen. Die Durchführungsverordnung (EU) 2024/2690 verlangt in Anhang Nr. 1.2.3 mindestens eine Person, die den Leitungsorganen direkt verantwortlich ist; der BSI IT-Grundschutz verpflichtet in ISMS.1.A5 sogar zur Bestellung eines externen ISB, wenn die Rolle intern nicht besetzt werden kann.
• Kertos steht im vierten Modell. Der KI-Agent KAIA arbeitet als virtueller CISO im Tagesgeschäft, ein namentlich benannter zertifizierter Experte aus dem Kertos-Team übernimmt die Steuerung und das Reporting. Hosting und Zuständigkeit bleiben in Europa.

Was ein Angebot monatlich kostet, ist bei dieser Auswahl die letzte Frage und nicht die erste. Zwei Angebote mit 3.000 Euro Unterschied beschreiben in diesem Markt regelmäßig zwei verschiedene Produkte. Die folgenden Abschnitte ordnen die Modelle, nennen die Kriterien, an denen sich die Entscheidung tatsächlich festmacht, und sagen, wann eine interne Besetzung die bessere Wahl ist.

Welche Anbietermodelle für ein externes CISO-Mandat gibt es?

Einzelberater oder Kanzlei mit Beauftragtenmandat. Eine Person hält die Rolle des externen Informationssicherheitsbeauftragten (ISB), pflegt die Dokumentation und berichtet in festen Abständen. Abgerechnet wird als schmale Pauschale oder nach Stunden. Die operative Arbeit am ISMS bleibt weitgehend in Ihrem Haus.

Spezialisiertes Beratungshaus mit vCISO-Retainer. Der Schwerpunkt liegt auf der Steuerungsfunktion: Sicherheitsstrategie, Risikopriorisierung, Management-Reporting. Bezahlt werden Beratertage, nicht ein Ergebnis. Prüfen Sie, wie viele Tage im Retainer tatsächlich enthalten sind; hier entsteht die große Preisspanne am Markt.

Managed-Security-Anbieter mit vCISO als Zusatzleistung. Im Kern verkauft dieses Modell Technikbetrieb, also Monitoring, Detection und Response. Die CISO-Leistung ist der Aufsatz auf ein Sicherheitsprodukt. Das trägt, wenn Sie Betrieb und Überwachung ohnehin auslagern wollen, und trägt schwächer, wenn Ihr eigentlicher Bedarf Governance, Nachweise und Auditfähigkeit ist.

Europäische Compliance-Plattform mit benannten zertifizierten Experten. Software und Mandat kommen aus einer Hand. Die Nachweise entstehen laufend im System, in dem auch Risiken, Maßnahmen, Richtlinien und Dienstleister geführt werden; ein namentlich benannter Experte übernimmt Steuerung, Reporting und die Begleitung von Audits.

Woran erkennen Sie, welches Anbietermodell zu Ihnen passt?

An acht Kriterien, die im Angebotsvergleich oft gar nicht auftauchen, obwohl sie den Aufwand des ersten Jahres bestimmen.

Kriterium	Einzelberater oder Kanzlei	Beratungshaus mit vCISO-Retainer	Managed-Security-Anbieter	Europäische Plattform mit benannten Experten
Was verkauft wird	die Beauftragtenrolle	die Steuerungsfunktion	Technikbetrieb, CISO-Leistung als Aufsatz	Mandat und Nachweisführung in einem Umfang
Wer ist benannt	die beauftragte Person selbst	ein Berater des Hauses, im Tagesgeschäft wechselnd	je nach Vertrag, oft nicht namentlich	ein namentlich benannter zertifizierter Experte des Anbieters
Dokumentation und Nachweise	entstehen bei Ihnen, werden bewertet	Vorlagen und Bewertung, Pflege bleibt bei Ihnen	technische Nachweise stark, organisatorische schwach	entstehen im System, die Bewertung übernimmt der Experte
Audit und Kundenfragebögen	fachlich stark, Nachweise müssen zusammengesucht werden	Begleitung im Retainer, Nachweislage abhängig von Ihrer Pflege	im Standard meist nicht enthalten, im Angebot prüfen	Nachweise liegen vor, der benannte Experte begleitet
Reaktionszeit und Vertretung	abhängig von einer Person, Ausfall ist ein Risiko	Vertretung im Haus geregelt, Reaktionszeit vertraglich zu fixieren	SLA für den Betrieb, fachliche Stellungnahme separat	Vertretung im Expertenteam, feste Ansprechperson
Abrechnung	Pauschale mit Stundenkontingent oder nach Aufwand	Retainer nach Beratertagen	Lizenz plus Beratungsanteil	Mandat und Plattform in einem Umfang, Zusatzleistungen abgegrenzt
Wo die Daten liegen	beim Berater, Ablage oft E-Mail und Cloud-Ordner	beim Dienstleister, Tool je Mandat unterschiedlich	im Sicherheitsprodukt, Konzernsitz prüfen	europäisches Hosting, europäische Gesellschaft und Zuständigkeit
Typische Monatspreise	rund 275 bis 2.500 Euro	rund 3.600 bis 8.500 Euro	überwiegend auf Anfrage	nach Umfang, Plattform und Mandat gemeinsam kalkuliert

Vier Fragen trennen die Angebote schneller als jeder Preisvergleich: Verkauft der Anbieter die Beauftragtenrolle oder die Steuerungsfunktion? Wird die Dokumentation für Sie erzeugt oder nur bewertet? Wer ist namentlich benannt, und wie ist die Vertretung bei Ausfall geregelt? Was passiert im Audit oder bei einem Vorfall, und ist das im Retainer enthalten oder wird es nach Aufwand berechnet?

Für die letzte Frage liefert der BSI IT-Grundschutz eine Vertragscheckliste im Rang einer Basis-Anforderung. ISMS.1.A5 in der Edition 2023 verlangt für den Vertrag mit einem externen ISB drei Dinge: alle Aufgaben des ISB samt der damit verbundenen Rechte und Pflichten, eine geeignete Vertraulichkeitsvereinbarung sowie eine kontrollierte Beendigung des Vertragsverhältnisses einschließlich der Übergabe der Aufgaben an die Auftraggebenden. Diese drei Punkte gehören in jeden Vertrag, unabhängig vom Modell.

Was kostet ein externes CISO-Mandat, und was ist im Preis enthalten?

Die veröffentlichten Monatspauschalen reichen von rund 275 bis 8.500 Euro. Alle Zahlen unten stammen aus öffentlich einsehbaren Anbieterseiten und Gehaltsdatenbanken, erhoben am 13. August 2026.

Kostenblock	Spanne	Grundlage
Beauftragtenmandat, Pauschale	rund 275 bis 2.500 Euro pro Monat	veröffentlichte Pauschalpreise deutscher Anbieter, meist mit 4 bis 16 Stunden im Monat
vCISO-Retainer, Steuerungsfunktion	rund 3.600 bis 8.500 Euro pro Monat	veröffentlichte Retainer für 2 bis 6 Beratertage im Monat
Stundensatz beim Anbieter	159 bis 350 Euro	veröffentlichte Stundensätze deutscher Anbieter
Stundensatz freiberuflich	rund 106 Euro (Informationssicherheit), 120 Euro (Beratung und Management)	freelancermap, 3.114 Profile beziehungsweise Freelancer-Kompass 2025, n = 3.210
Unabhängiger Tagessatz-Anker	1.300 Euro im Mittel, 1.600 Euro auf Partnerebene	BDU, Honorare im Consulting 2025, veröffentlicht 15. Dezember 2025
Interne Stelle, Bruttojahresgehalt	ISB Median 61.100 Euro (53.100 bis 72.600), CISO Median 83.000 Euro (74.700 bis 97.500)	StepStone Gehaltsplaner, Stand 2026; ohne Lohnnebenkosten

Zwei Hinweise zur Einordnung. Erstens weist die BDU-Erhebung die Informationssicherheit nicht gesondert aus; sie ankert den Tagessatz, ist aber kein ISB-Benchmark. Zweitens veröffentlicht nur ein kleiner Teil des Marktes überhaupt Preise. Wer allein diese vergleicht, sieht eine Auswahl und keinen Markt. Holen Sie mindestens ein Angebot aus der Hälfte ein, die auf Anfrage kalkuliert. Eine vergleichbare Aufstellung für die Datenschutzrolle finden Sie unter was ein externer Datenschutzbeauftragter kostet.

Müssen Sie die Rolle überhaupt besetzen, und reicht dafür ein externes Mandat?

Eine allgemeine gesetzliche Pflicht, einen CISO zu benennen, kennt das deutsche Recht nicht. Die Pflicht entsteht über das Regelwerk, das für Sie gilt.

Regelwerk	Was gefordert wird	Externes Mandat zulässig
BSIG (in Kraft seit 6. Dezember 2025), § 30 Abs. 2	zehn Risikomanagementmaßnahmen für besonders wichtige und wichtige Einrichtungen; es wird keine Rolle benannt	keine Rollenvorgabe
BSIG, § 38 Abs. 1 und 2	die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen; Innenhaftung gegenüber der Einrichtung	ja, die Letztverantwortung bleibt aber beim Leitungsorgan
Durchführungsverordnung (EU) 2024/2690, Anhang Nr. 1.2.3	„Mindestens eine Person muss gegenüber den Leitungsorganen direkt für Fragen der Sicherheit von Netz- und Informationssystemen verantwortlich sein."	ja, verlangt wird eine benannte Person, nicht eine interne Stelle
ISO/IEC 27001:2022, Abschnitt 5.3 und Anhang A 5.2	Rollen und Verantwortlichkeiten für die Informationssicherheit zuweisen und kommunizieren	ja, das Audit prüft die Zuweisung und ihre Wirksamkeit, nicht den Anstellungsstatus
BSI IT-Grundschutz, ISMS.1.A4 und ISMS.1.A5 (Edition 2023)	die Institutionsleitung muss einen ISB benennen; A5 verpflichtet zur Bestellung eines externen ISB, wenn die Rolle nicht durch einen internen Mitarbeitenden besetzt werden kann	ja, ausdrücklich vorgesehen und im Bedarfsfall verpflichtend

Zwei Zeilen verdienen Aufmerksamkeit. Die Durchführungsverordnung (EU) 2024/2690 gilt als Verordnung unmittelbar und richtet sich unter anderem an Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, verwalteten Diensten, verwalteten Sicherheitsdiensten, Inhaltszustellnetzen, Online-Marktplätzen und Vertrauensdienste. Für SaaS- und Cloud-Unternehmen im NIS2-Anwendungsbereich läuft das faktisch auf eine benannte, gegenüber der Geschäftsleitung verantwortliche Person hinaus, obwohl das BSIG selbst keinen CISO fordert. Der Wortlaut wurde am 28. August 2026 auf EUR-Lex geprüft.

Und ISMS.1.A5 enthält einen Satz, den kaum ein Anbieter zitiert: Die Institutionsleitung muss einen externen ISB bestellen, wenn die Rolle nicht durch einen internen Mitarbeitenden besetzt werden kann. Wer den IT-Grundschutz anwendet und die Stelle nicht besetzt bekommt, hat also keine Wahl zwischen extern und gar nicht.

Ein Missverständnis gehört hier korrigiert, weil es in Angeboten vorkommt: Ein externes Mandat verlagert keine gesetzliche Verantwortung. § 38 BSIG verpflichtet die Geschäftsleitung selbst zur Umsetzung und Überwachung. Übertragen wird die Aufgabenwahrnehmung, dazu die vertragliche Zusage des Anbieters für das Ergebnis. Wer Ihnen eine Haftungsübernahme verspricht, beschreibt die Rechtslage falsch. Wie sich Rolle, Nachweise und Prüfung im NIS2-Kontext organisieren lassen, zeigt unsere Übersicht zur Vorbereitung auf NIS2.

Kann ein virtueller CISO das Mandat übernehmen?

Nur zum Teil, und die Grenze verläuft nicht dort, wo die meisten Angebote sie ziehen. Unter „virtual CISO", „vCISO" und „CISO as a Service" werden am deutschen Markt zwei sehr verschiedene Dinge verkauft.

Das eine ist ein Mensch im Teilzeitmandat, der nur deshalb virtuell heißt, weil er remote arbeitet. Das andere ist ein Softwareprodukt, teils KI-gestützt, das Risiken führt, Maßnahmen nachhält, Nachweise erzeugt und auf Lücken hinweist. Beides ist nützlich, und beides beantwortet unterschiedliche Fragen im Angebotsvergleich.

Ein Softwareprodukt kann die laufende Arbeit in einer Geschwindigkeit erledigen, die manuell nicht erreichbar ist: Integrationen ziehen den Ist-Stand aus den Systemen, Abweichungen fallen sofort auf, und die Nachweise sind aktuell statt einmal im Jahr zusammengetragen. Was es nicht kann, ist die Verantwortung gegenüber den Leitungsorganen tragen, die Anhang Nr. 1.2.3 der Durchführungsverordnung (EU) 2024/2690 beschreibt, oder die Stellungnahme unterschreiben, die ein Auditor oder ein Enterprise-Kunde verlangt.

Für den Angebotsvergleich heißt das: Fragen Sie bei jedem Angebot mit „vCISO" im Namen nach beidem. Welches System führt die Nachweise, und wer ist die Person, die im Ernstfall benannt ist und unterschreibt? Angebote, die nur das eine liefern, sind nicht schlecht, aber sie sind unvollständig, und der fehlende Teil landet bei Ihnen. Welche Software unter einem Mandat läuft, vergleicht unsere Übersicht zur Auswahl der passenden ISMS-Software.

Wann ist eine interne Besetzung die bessere Wahl?

In drei Konstellationen. Erstens, wenn Sicherheitsentscheidungen täglich im Produkt- oder Entwicklungsprozess anfallen und eine getaktete Präsenz zu langsam ist. Zweitens, wenn Ihr Geschäftsmodell selbst sicherheitskritisch ist, etwa bei kritischer Infrastruktur oder eigenem Rechenzentrumsbetrieb, weil die Rolle dann Vollzeit ausgelastet ist. Drittens, wenn große Kunden oder Investoren eine intern besetzte Funktion ausdrücklich verlangen; das ist eine vertragliche Anforderung und keine fachliche.

Kriterium	Externes Mandat	Interne Besetzung
Zeit bis zur Handlungsfähigkeit	zwei bis sechs Wochen bis zum Mandatsbeginn	45 Prozent der europäischen Unternehmen brauchen drei bis sechs Monate allein für eine Einstiegsposition (ISACA, State of Cybersecurity 2025, n = 740)
Kosten pro Jahr	rund 3.300 bis 102.000 Euro, je nach Zuschnitt und Stundenumfang	Bruttomedian 61.100 Euro für einen ISB, 83.000 Euro für einen CISO, zuzüglich Lohnnebenkosten, Weiterbildung und Zertifizierungen
Verfügbare Erfahrung	Querschnitt aus mehreren Mandaten und Branchen	eine Berufsbiografie; Spezialwissen wird zugekauft
Präsenz im Tagesgeschäft	getaktet; kurzfristige Einzelfragen brauchen einen definierten Kanal	täglich ansprechbar, nah an Produkt- und Entwicklungsentscheidungen
Vertretung bei Ausfall	je nach Modell im Team geregelt, vertraglich zu fixieren	Ausfall trifft die Funktion vollständig

In der Praxis ist die Reihenfolge häufig gemischt: Ein externes Mandat baut das ISMS auf und begleitet die erste Zertifizierung, danach übernimmt eine interne Kraft den Betrieb und der Anbieter bleibt für Audits, Vorfälle und die jährliche Überprüfung. Wer diesen Weg plant, sollte die geordnete Übergabe von Anfang an im Vertrag stehen haben.

Wo steht Kertos in diesem Vergleich?

Im vierten Modell, mit zwei Ebenen. Der KI-Agent KAIA arbeitet als virtueller CISO im Tagesgeschäft: Er führt Risiken, Maßnahmen, Richtlinien und Nachweise über mehr als 100 Integrationen laufend nach, beantwortet Fachfragen im Kontext Ihrer eigenen Daten und macht sichtbar, wo etwas fehlt, bevor ein Auditor danach fragt. Auf der zweiten Ebene übernimmt ein namentlich benannter zertifizierter Experte aus dem Kertos-Team das Mandat: Sicherheitsstrategie, Risikopriorisierung, Berichterstattung an die Geschäftsleitung und die Begleitung von Audits und Vorfällen. Die Zertifizierungen sind über das Team verteilt, nicht jede Person hält jede.

Abgedeckt werden ISO 27001, ISO 27701, ISO 42001, DSGVO, NIS2, EU AI Act, SOC 2, TISAX und C5, jeweils im selben System statt in getrennten Projekten. Plattform und Gesellschaft sind europäisch, das Hosting liegt auf europäischer Infrastruktur, und die Zuständigkeit bleibt im europäischen Rechtsraum. Das ist der Unterschied zwischen Datenresidenz und Datensouveränität: Ein Serverstandort in der EU sagt nichts darüber aus, welchem Recht die Muttergesellschaft unterliegt.

Belastbare Ergebnisse aus dem Modell: eine Bestehensquote von 100 Prozent in begleiteten Audits, rund 80 Prozent weniger manueller Aufwand, 98 Prozent Kundenzufriedenheit und bis zu 60 Prozent geringere Kosten gegenüber klassischer Beratung. AskUI hat die ISO-27001-Zertifizierung in 8 bis 10 Wochen erreicht, ohne externe Berater hinzuzuziehen.

Häufig gestellte Fragen

Was macht ein externer CISO und welche Aufgaben übernimmt er?

Er führt die Informationssicherheit auf Mandatsbasis, mit Steuerung als Kern der Rolle und nicht Technikbetrieb. Typisch sind sechs Aufgabenblöcke: Sicherheitsstrategie und Roadmap, Risikomanagement, Aufbau und Betrieb des ISMS nach ISO/IEC 27001 oder BSI IT-Grundschutz, die Übersetzung regulatorischer Anforderungen aus NIS2, TISAX, SOC 2 oder dem C5-Testat in konkrete Maßnahmen, die Berichterstattung an die Geschäftsleitung sowie die Begleitung von Audits, Kundenfragebögen und Sicherheitsvorfällen.

Was ist der Unterschied zwischen einem externen CISO und einem externen ISB?

Der ISB hält die formale Beauftragtenrolle, pflegt die Dokumentation und berichtet in festen Abständen. Der CISO steuert zusätzlich Strategie, Risiken und Budget gegenüber der Geschäftsleitung. Im deutschen Markt werden beide Zuschnitte unter dem Begriff „externer CISO" angeboten, was die Preisspanne von rund 275 bis 8.500 Euro im Monat erklärt. Fragen Sie im Angebot ausdrücklich nach, welcher der beiden gemeint ist.

Ist ein Informationssicherheitsbeauftragter Pflicht, und reicht dafür ein externer?

Eine allgemeine gesetzliche Pflicht gibt es nicht; sie entsteht über das Regelwerk, das Sie anwenden. Wer nach BSI IT-Grundschutz arbeitet, muss nach ISMS.1.A4 einen ISB benennen, und ISMS.1.A5 verpflichtet zur Bestellung eines externen ISB, wenn die Rolle intern nicht besetzt werden kann. Für ISO/IEC 27001 gilt das nicht in dieser Form: Abschnitt 5.3 verlangt nur, dass Rollen und Verantwortlichkeiten zugewiesen und kommuniziert werden. Ein externer ISB erfüllt die Anforderung, sofern der Vertrag den vollen Aufgabenumfang abdeckt und die Zuweisung dokumentiert ist.

Welche Vorteile hat ein externes Mandat gegenüber einer internen Besetzung?

Fünf, und jeder hat eine Kehrseite. Die Zeit bis zur Handlungsfähigkeit liegt bei Wochen statt Monaten. Die Kosten sind nach unten skalierbar, weil Sie Stunden und nicht eine Stelle kaufen. Die Erfahrung stammt aus mehreren Mandaten und Branchen. Der Blick von außen nimmt keine Rücksicht auf gewachsene Zuständigkeiten. Und der Umfang lässt sich an Projektphasen anpassen, etwa vor einer Zertifizierung. Die Kehrseiten sind die getaktete Präsenz im Tagesgeschäft und eine Vertretungsregelung, die vertraglich fixiert werden muss.

Wie schnell lässt sich ein externes CISO-Mandat besetzen?

Üblich sind zwei bis sechs Wochen bis zum Mandatsbeginn, abhängig von Vertragsprüfung und Onboarding. Zum Vergleich: Nach der ISACA-Erhebung State of Cybersecurity 2025 brauchen 45 Prozent der europäischen Unternehmen drei bis sechs Monate, um eine Einstiegsposition in der Informationssicherheit zu besetzen. Diese Differenz ist der eigentliche Grund, warum Unternehmen vor einer Zertifizierung oder einem NIS2-Termin extern gehen.

Übernimmt ein externer CISO die Haftung?

Nein. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen selbst umsetzen und überwachen, und sie bleibt auch beim Einsatz von Hilfspersonen letztverantwortlich. Ein Mandat überträgt die Aufgabenwahrnehmung und die vertragliche Zusage für das Ergebnis, nicht die gesetzliche Verantwortung.

Kann dieselbe Person Informationssicherheitsbeauftragter und Datenschutzbeauftragter sein?

Technisch ja, empfehlenswert ist es selten. Die Rollen können in Zielkonflikt geraten, weil der Datenschutzbeauftragte die Verarbeitungen überwacht, die der ISB mit absichert. Das Landesamt für Sicherheit in der Informationstechnik in Bayern rät von einer Personalunion ab; die Hinweise sind für Behörden geschrieben, die Begründung trägt aber auch im Unternehmen. Die Anbieterseite der Datenschutzrolle behandelt unser Vergleich der Anbietermodelle für den externen Datenschutzbeauftragten.