CISO-as-a-Service: Braucht mein KMU einen Sicherheitsverantwortlichen?

Ein Vollzeit-CISO kostet über CHF 200'000 pro Jahr. Für viele KMU ist das unrealistisch. CISO-as-a-Service bietet dieselbe strategische Kompetenz ab 2 Tagen pro Monat. Wann lohnt sich das Modell?

Ihr Verwaltungsrat fragt nach der Cybersecurity-Strategie. Ihre Cyberversicherung verlangt einen benannten Sicherheitsverantwortlichen. Ein Kunde schickt Ihnen einen Sicherheitsfragebogen mit 120 Fragen. Wer in Ihrem Unternehmen beantwortet das? Ein Vollzeit-CISO mit Erfahrung kostet in der Schweiz mindestens CHF 200'000 pro Jahr, ohne Nebenkosten. Für ein KMU mit 80 bis 200 Mitarbeitenden ist das selten wirtschaftlich.

Was ein vCISO übernimmt

Ein virtueller CISO (vCISO) übernimmt dieselben Aufgaben auf Teilzeitbasis. Er erstellt Ihre Sicherheitsstrategie, rapportiert an die Geschäftsleitung, koordiniert Audits und Pentests, beantwortet Kundenfragebögen, führt Risikobeurteilungen durch und steuert die Incident Response. Der Unterschied: Er arbeitet für mehrere Unternehmen gleichzeitig und bringt dadurch breitere Erfahrung mit.

Wann sich das Modell lohnt

Das Modell lohnt sich besonders in drei Situationen. Erstens: Sie verarbeiten Personendaten oder Gesundheitsdaten und müssen nDSG-Compliance nachweisen. Zweitens: Sie arbeiten für regulierte Branchen (Finanzdienstleister, Gesundheitswesen, kritische Infrastruktur) und müssen Sicherheitsanforderungen Ihrer Kunden erfüllen. Drittens: Sie wachsen schnell und brauchen jemanden, der Sicherheit in neue Projekte, Cloud-Migrationen oder M&A-Prozesse einbringt.

Wann Sie keinen vCISO brauchen

Das Modell lohnt sich weniger, wenn Sie weniger als 30 Mitarbeitende haben und keine regulatorischen Anforderungen erfüllen müssen. In diesem Fall reicht oft ein jährliches Sicherheitsaudit mit konkretem Massnahmenplan. Auch wenn Sie bereits einen erfahrenen IT-Leiter haben, der Sicherheit abdecken kann, ist ein externer vCISO möglicherweise nicht nötig.

So starten Sie bei MilesGuard

Bei MilesGuard starten vCISO-Mandate ab 2 Tagen pro Monat. Im ersten Monat führen wir ein Security Assessment durch und erstellen eine Roadmap. Danach arbeiten wir die Massnahmen priorisiert ab, rapportieren quartalsweise an Ihre Geschäftsleitung und stehen bei Vorfällen als Eskalationskontakt bereit. Das Mandat wächst mit Ihrem Unternehmen und kann jederzeit angepasst werden.