Externer CISO für KMU: Aufgaben, Kosten, Alternativen

Ein KMU braucht selten einen CISO als Person, aber fast immer die Funktion: jemanden, der Sicherheit für die Geschäftsleitung steuert, beim IT-Partner nachprüft und regelmässig berichtet. Ob dafür eine interne Stelle, ein externes CISO-Mandat oder eine laufende Sicherheitsbegleitung passt, hängt von Grösse und Anforderungen ab. Sie brauchen also keinen Titel, sondern eine Funktion, die zuverlässig erfüllt wird.

Dieser Beitrag richtet sich an Inhaber und Geschäftsleitungen von KMU mit 20 bis 250 Mitarbeitenden, nicht an die IT. Er erklärt, was ein externer CISO macht, vergleicht drei Modelle mit öffentlichen Marktzahlen und hilft beim Entscheid.

Die kurze Antwort

Die meisten KMU brauchen keinen Vollzeit-CISO, aber jemanden, der Sicherheit für die Geschäftsleitung steuert. Meist zeigt sich das in einem Moment: Ein Grosskunde schickt einen Sicherheitsfragebogen, der Verwaltungsrat fragt nach der Zuständigkeit, oder die Versicherung verlangt Nachweise. Der Fragebogen der Zurich für ihre KMU-Cyberversicherung fragt etwa direkt: «An wen rapportiert der IT Chef oder ist er Mitglied der Geschäftsleitung?» Je nach Grösse und Anforderungen genügt dafür ein externes Mandat oder eine laufende Begleitung im Quartalstakt. Eine interne Stelle wird sinnvoll, wenn die Aufgabe dauerhaft einen grossen Teil eines Pensums füllt.

Was ein CISO macht, in der Sprache der Geschäftsleitung

CISO steht für Chief Information Security Officer. Im Konzern führt diese Person die Informationssicherheit und berichtet direkt an die Geschäftsleitung. Übersetzt auf ein KMU sind es fünf Aufgaben:

• Risiken einordnen und priorisieren. Welche Angriffe würden das Geschäft am härtesten treffen, und was kommt deshalb zuerst?
• Massnahmen planen und beim IT-Partner einfordern. Aus Prioritäten werden Aufträge mit Termin, und jemand prüft nach, ob sie erledigt sind.
• Richtlinien und Notfallplan. Kurze Regeln, die Mitarbeitende verstehen, und ein Plan, wer im Ernstfall was entscheidet.
• Nachweise für Kunden, Versicherer und Verwaltungsrat. Fragebogen beantworten, Belege bereithalten, Lücken offen benennen.
• Berichterstattung an Geschäftsleitung und Verwaltungsrat. Regelmässig, verständlich und mit den Entscheiden, die anstehen.

Die Verantwortung übernimmt ein CISO nicht. Das Bundesamt für Cybersicherheit (BACS) hält in seinen Empfehlungen zur Zusammenarbeit mit IT-Providern fest, dass «die Verantwortung nicht ausgelagert oder delegiert werden kann». Das gilt für einen internen wie für einen externen CISO. Mehr dazu im Beitrag Security Governance ist Chefsache.

CISO, Informationssicherheitsbeauftragter, IT-Leiter: der Unterschied

Für die Geschäftsleitung genügt eine Frage: Wer steuert, wer kontrolliert, wer betreibt?

• CISO: steuert. Legt fest, was in der Sicherheit Priorität hat, und berichtet an Geschäftsleitung und Verwaltungsrat.
• Informationssicherheitsbeauftragter: kontrolliert. Der Begriff ist in Behörden und deutschsprachigen Standards verbreitet, mit Schwerpunkt auf Richtlinien, Prüfung und Nachweisen. In KMU ist es oft dieselbe Funktion wie der CISO, mit kleinerem Pensum.
• IT-Leiter oder IT-Partner: betreibt. Hält die Systeme am Laufen, spielt Updates ein, betreibt Backups und setzt Massnahmen technisch um.

Wichtig ist die Trennung: Wer die Systeme betreibt, sollte nicht selbst prüfen, ob sie sicher sind. Das ist kein Misstrauen gegenüber dem IT-Partner, sondern ein Grundsatz aus der Buchhaltung: Wer die Bücher führt, revidiert sie nicht. Wie sich die Rollen verteilen, zeigen die Beiträge Wofür Ihr IT-Dienstleister verantwortlich ist und Ihr IT-Partner schützt Ihre Systeme. Wer schützt Ihr Unternehmen?

Drei Modelle im Vergleich

Die meisten Anbieterseiten vergleichen ihr eigenes Mandat nur mit der teuren Vollzeitstelle. Dort fehlt meist eine dritte Option: die laufende Sicherheitsbegleitung. Sie erfüllt dieselbe Funktion wie ein externer CISO, aber im Quartalstakt und durch ein Team statt einer Einzelperson. Die Geschäftsleitung entscheidet, das externe Team bereitet vor und prüft nach, der IT-Partner setzt um.

Die Kostenzeile beruht auf öffentlichen Angaben Schweizer Anbieter (Quellen am Ende).

Was der Markt kostet

Interne Stelle

Für die Rolle CISO gibt es in der Schweiz keine belastbare Lohnstatistik. Die kursierenden Zahlen stammen von Anbietern externer Mandate: über 200'000 Franken pro Jahr, bei einem Anbieter rund 180'000 bis 280'000 Franken. Unabhängig belegt ist das nicht.

Belegt sind Löhne für verwandte Fachrollen. Laut Robert Half verdient ein Security Specialist in der Schweiz im Median 145'500 Franken pro Jahr, die mittlere Hälfte liegt zwischen 121'000 und 165'250 Franken. ITBoard nennt für einen Security Engineer auf mittlerer Stufe einen Median von 118'000 Franken. Ein CISO mit Führungsverantwortung dürfte darüber liegen. Dazu kommen Arbeitgeberbeiträge, Weiterbildung, Werkzeuge und eine Stellvertretung für Ferien und Krankheit.

Externes CISO-Mandat

Öffentlich ausgeschriebene Mandate für KMU liegen bei rund 2'400 bis 5'000 Franken pro Monat, exklusive MWST, Stand November 2026. Dafür erhalten Sie in der Regel ab zwei Tagen pro Monat, der genaue Preis hängt vom Pensum ab. Ein Anbieter nennt Jahresmandate von 30'000 bis 120'000 Franken. Üblich sind Mindestlaufzeiten von drei bis sechs Monaten, danach ist das Mandat monatlich kündbar.

Laufende Sicherheitsbegleitung

Für dieses Modell gibt es keine vergleichbare öffentliche Marktspanne. Der Umfang hängt von Grösse und Ausgangslage ab, ein Angebot entsteht in der Regel nach Erstgespräch und Bestandsaufnahme. Was Cybersicherheit ein KMU insgesamt kostet, zeigt der Beitrag Was Cybersicherheit ein KMU kostet.

Welches Modell passt zu Ihnen?

Drei Fragen helfen.

Wie viele Mitarbeitende haben Sie?

Laut einem Schweizer Anbieter unter Berufung auf eine BSI-Studie braucht die Sicherheitsfunktion im Schnitt 12 Stunden pro Woche: rund 4 Stunden bei unter 50 Beschäftigten, rund 8 bei 51 bis 250 und rund 16 bei über 250. Das Original der Studie haben wir nicht gefunden, die Werte sind deshalb nur grobe Richtgrössen. Sie zeigen aber: Unter 250 Mitarbeitenden füllt die Aufgabe selten eine ganze Stelle.

Verlangt jemand formelle Nachweise?

Ein Sicherheitsfragebogen eines Grosskunden lässt sich mit sauberer Dokumentation beantworten. Verlangt ein Kunde oder Regulator dagegen ISO 27001, ist das ein Projekt mit Audit, das über Monate deutlich mehr Kapazität braucht.

Haben Sie intern jemanden für IT?

Eine IT-Leitung im Haus trägt die Umsetzung, die Sicherheitsfunktion steuert und prüft. Liegt die ganze IT beim Partner, braucht es jemanden, der ihm Aufträge gibt und nachprüft.

Unsere Einschätzung

Das sind Faustregeln, keine starren Grenzen. Ein KMU mit 40 Mitarbeitenden, das für einen Grosskunden ISO 27001 braucht, ist mit einem Mandat besser bedient. Die Modelle schliessen sich auch nicht aus: Nach einem Zertifizierungsprojekt mit externem CISO kann eine laufende Begleitung den Stand halten.

Wie das aussehen kann, zeigt ein typisches Szenario: Ein Industriezulieferer mit 45 Mitarbeitenden erhält von einem Grosskunden einen umfangreichen Sicherheitsfragebogen. Kurz darauf fragt der Verwaltungsrat, wer im Unternehmen eigentlich für Informationssicherheit zuständig ist. Die Geschäftsleitung prüft zuerst eine eigene Stelle und merkt, dass die Aufgaben einige Tage im Monat füllen, aber keine Vollzeitstelle. Sie entscheidet sich für eine laufende Begleitung: Eine Standortbestimmung klärt den Ist-Zustand, der Fragebogen wird mit belegten Antworten beantwortet, und der Verwaltungsrat erhält einmal pro Quartal einen kurzen Bericht über Lage, Lücken und Fortschritt.

So arbeitet die Sicherheitsfunktion mit Ihrem IT-Partner

Die Sicherheitsfunktion gibt Aufträge und prüft nach. Der IT-Partner setzt um. Die Geschäftsleitung entscheidet. Vertrag und Freigaben bleiben direkt zwischen Ihnen und dem IT-Partner. So sieht ein Quartal in einer laufenden Begleitung aus:

• Woche 1 bis 2: Prüfen. Prüfung der von aussen sichtbaren Systeme und Abgleich, was seit dem letzten Quartal umgesetzt wurde.
• Laufend: Menschen und Zugänge. Phishing-Simulationen, kurze Lernmodule, Warnung bei Datenlecks.
• Woche 9 bis 10: Berichten. Ein Report von zwei bis drei Seiten, lesbar ohne IT-Wissen.
• Woche 11 bis 12: Entscheiden. Gespräch mit der Geschäftsleitung, 60 bis 90 Minuten. Danach erhält der IT-Partner klare Aufträge.

Im ersten Jahr kommen feste Meilensteine dazu: Richtlinien und Notfallplan, eine Notfallübung am Tisch mit Geschäftsleitung und IT-Partner, eine Prüfung des Vertrags mit dem IT-Partner und eine Jahresbilanz mit Dokumentation für Versicherer und Kundenaudits. Ein externer CISO arbeitet nach demselben Prinzip, ist aber häufiger vor Ort. Warum ein einmaliges Projekt nicht reicht, erklärt Security-Management statt Einmalprojekt.

Worauf Sie bei der Auswahl achten

• Unabhängigkeit vom IT-Betrieb. Bietet Ihr IT-Partner selbst einen «CISO as a Service» an, prüft er am Ende seine eigene Arbeit. Wollen Sie den Stand zuerst einmalig unabhängig prüfen lassen, ist eine Zweitmeinung zur IT-Sicherheit der kleinere Schritt.
• Berichtsformat für die Geschäftsleitung. Lassen Sie sich einen Musterbericht zeigen. Verstehen Sie ihn ohne IT-Wissen, und taugt er als Nachweis für Ihren Versicherer? Was Versicherer verlangen, steht im Beitrag Voraussetzungen für eine Cyberversicherung.
• Mindestlaufzeit und Kündigung. Üblich sind drei bis sechs Monate, danach monatlich kündbar.
• Erreichbarkeit im Notfall. Wer nimmt nachts oder am Wochenende ab, und innert welcher Frist?
• Stellvertretung. Wer übernimmt, wenn Ihre Ansprechperson ausfällt?

Häufige Fragen

Was macht ein externer CISO?

Ein externer CISO übernimmt die Steuerung der Informationssicherheit auf Mandatsbasis, ohne Festanstellung. Er ordnet Risiken ein, legt Prioritäten fest, gibt dem IT-Partner Aufträge und prüft deren Umsetzung. Zudem erstellt er Richtlinien und Notfallplan und berichtet regelmässig an Geschäftsleitung und Verwaltungsrat. Die Verantwortung bleibt dabei bei der Geschäftsleitung.

Braucht ein KMU einen CISO?

Selten als Vollzeitstelle, aber fast immer als Funktion. Jemand muss Sicherheit für die Geschäftsleitung steuern und nachprüfen, was der IT-Partner umsetzt. Kleinere KMU sind mit einer laufenden Begleitung im Quartalstakt oft gut bedient. Verlangen Kunden, Versicherer oder Verwaltungsrat formelle Nachweise, kann ein externes CISO-Mandat sinnvoll sein.

Was kostet ein externer CISO in der Schweiz?

Öffentlich ausgeschriebene Mandate liegen im November 2026 bei rund 2'400 bis 5'000 Franken pro Monat, je nach Pensum. Ein Anbieter nennt Jahresmandate von 30'000 bis 120'000 Franken. Eine interne Vollzeitstelle kostet laut Anbietern über 200'000 Franken pro Jahr. Eine Lohnstatistik für CISO gibt es nicht; Security Specialists verdienen laut Robert Half im Median 145'500 Franken.

Der nächste Schritt

SAFEROUTE. bietet die laufende Sicherheitsbegleitung als Security-Management an. Die Aufgabe ist dieselbe wie die eines externen CISO, im Quartalstakt und mit einem Team, einer eigenen Assessment-Plattform und in KMU erprobten Vorlagen im Hintergrund. Wir prüfen jedes Quartal, berichten verständlich an Geschäftsleitung und Verwaltungsrat und geben Ihrem IT-Partner klare Aufträge. Die Verantwortung bleibt bei Ihnen, die Arbeit nehmen wir Ihnen ab.

Von einer eigenen Vollzeitstelle raten wir den meisten KMU ab. Die Aufgaben füllen sie nicht aus, und mit allen Nebenkosten kostet sie rund 200'000 bis 250'000 Franken pro Jahr. Umgesetzt ist damit noch nichts, die Massnahmen selbst kommen dazu. Passt ein anderes Modell besser, sagen wir das offen: etwa wenn eine Zertifizierung nach ISO 27001 ansteht und Auditoren eine feste Person verlangen, oder wenn der Sicherheitsaufwand dauerhaft mehr als zwei Tage pro Woche beträgt. Dann empfehlen wir ein CISO-Mandat oder eine interne Stelle.

Der Einstieg ist die Cyber-Risiko Standortbestimmung. Sie kostet CHF 2'950 pauschal (exkl. MWST) und liefert Risikoübersicht und priorisierten Massnahmenplan, eine Grundlage für jedes der drei Modelle. Für das Security-Management gilt: Ein konkretes Angebot erhalten Sie nach dem Erstgespräch.

Wer zuerst grob wissen will, wo das Unternehmen steht, beginnt mit dem Selbstcheck. Im Erstgespräch klären wir in 30 Minuten Ihre Ausgangslage und sagen Ihnen, welches Modell zu Ihnen passt, auch wenn es nicht unseres ist.

Quellen

• Zurich Versicherung: Fragebogen Cyberversicherung KMU, Frage 3.1.
• Bundesamt für Cybersicherheit BACS: Empfehlungen für die Zusammenarbeit mit IT-Providern.
• Robert Half: Security Specialist Salary, Schweiz, Salary Guide 2027, abgerufen am 2. November 2026.
• ITBoard: Security Engineer Lohn Schweiz, Datenstand August 2026.
• Marktpreise externe CISO-Mandate und Stundenwerte: eigene Auswertung öffentlich ausgeschriebener Angebote von drei Schweizer Anbietern, Stand 2. November 2026.