Senior-Sicherheitsführung, wenn du sie brauchst
Ein Vollzeit-CISO kostet erfahrungsgemäss weit über CHF 200'000 pro Jahr. Die meisten KMU brauchen diese Kapazität nicht permanent, die Kompetenz aber trotzdem. Wir übernehmen die operative Sicherheitsverantwortung auf Mandatsbasis, 1 bis 4 Tage pro Woche, 3 bis 12 Monate. Nicht Beratung von aussen, sondern Führung von innen. Und wir bleiben, bis es steht.
Woran du merkst, dass die Sicherheitsführung fehlt
Selten fehlt es an Technik. Meist fehlt jemand, der entscheidet, priorisiert und nachweist.
Der Kundenfragebogen dauert Wochen
Ein Grosskunde oder die Cyber-Versicherung will Nachweise. Die Antworten liegen verstreut in Köpfen und Ordnern, und die IT sucht sie jedes Mal neu zusammen.
Niemand sagt, was zuerst kommt
Aus Audits und Herstellerempfehlungen ist eine lange Liste offener Punkte entstanden. Was davon das Geschäft wirklich schützt, hat niemand gewichtet.
Tools ohne Plan
Lizenzen kommen dazu, weil ein Vorfall oder ein Verkäufer Druck gemacht hat. Ob sie zusammenpassen oder doppelt laufen, prüft keiner.
Der Verwaltungsrat fragt, zurück kommt Technik
Die Frage lautet: Sind wir gut aufgestellt? Die Antwort besteht aus Patch-Ständen und Firewall-Regeln statt aus einer Einschätzung, auf die er entscheiden kann.
Risikoentscheide stehen nirgends
Manches wird bewusst nicht gemacht, und das ist oft richtig. Nur ist es nicht festgehalten. Im Ernstfall kann niemand zeigen, wer was warum entschieden hat.
KI läuft schon, Regeln gibt es keine
Mitarbeitende nutzen Copilot, ChatGPT und ähnliche Tools im Alltag. Welche Daten dort landen dürfen, hat noch niemand festgelegt.
Erkennst du zwei oder mehr davon? Dann fehlt meist nicht Personal in der IT, sondern die Führungsseite darüber. Genau die übernimmt ein Mandat.
Warum es wichtig ist:
Der Verwaltungsrat haftet. Seine Sorgfaltspflicht nach Art. 717 OR schliesst heute Cybersecurity ein, das nDSG sieht persönliche Bussen bis CHF 250'000 vor. Sicherheitsführung ist damit nicht mehr optional, sondern dokumentierter Sorgfaltsnachweis. Ein Interim-CISO bringt die Erfahrung ohne die Fixkosten und ohne langfristige Verpflichtung.
Was du erhältst:
- Risikomanagement aufbauen oder übernehmen
- Sicherheitsstrategie an Geschäftszielen ausrichten
- Security-Reporting an Geschäftsleitung und Verwaltungsrat
- Bestehende Massnahmen bewerten und richtig dimensionieren
- Incident Response koordinieren
- Lieferanten und Partner steuern
Was ein Mandat konkret abdeckt
Die drei Felder, in denen ein Fractional CISO den grössten Unterschied macht.
Risikomanagement
Ein Risikomanagement, das Entscheidungen ermöglicht statt Listen produziert.
- Risikoanalyse mit Business-Fokus
- Bewertungsmodelle für Entscheidungen
- Klare Schutzprioritäten
- Management-taugliche Risikoübersicht
Security-Reporting für GL und VR
Dokumentierter Sorgfaltsnachweis, verständlich für Nicht-Techniker.
- Board-taugliche Security-Berichte
- KPIs statt Fachjargon
- Nachweis der Sorgfaltspflicht
- Entscheidungsvorlagen
Incident Response
Vorbereitung und Koordination, bevor und während es brennt.
- Incident-Response-Plan
- Rollen und Eskalationswege
- Übung und Ernstfall-Koordination
- Lessons Learned
Was du nach einem Mandat in der Hand hast
Keine Folien für die Schublade, sondern Arbeitsmittel, die im Alltag bleiben.
Eine Prioritätenliste auf einer Seite
Die wenigen Massnahmen mit dem grössten Hebel, in klarer Reihenfolge. Der Rest ist bewusst zurückgestellt, nicht vergessen.
Ein Lagebild für den Verwaltungsrat
Kurz, ohne Fachjargon, mit einer klaren Empfehlung. So kann der VR entscheiden und seine Sorgfaltspflicht belegen.
Dokumentierte Risikoentscheide
Was ihr bewusst tragt, steht mit Begründung, Datum und verantwortlicher Person fest. Das hält bei Audit, Versicherung und Vorfall.
Nachweise auf Abruf
Fragebogen von Kunden und Versicherern beantwortet ihr aus einer gepflegten Grundlage, statt jedes Mal neu zu recherchieren.
Ausgaben am richtigen Ort
Doppelte oder wirkungslose Tools sind identifiziert und, wo sinnvoll, gestrichen. Das Budget fliesst in das, was schützt.
Rollen, die im Ernstfall greifen
Wer bei einem Vorfall was entscheidet, ist geklärt und geübt, bevor es nötig wird.
Zwei Wege zum Fractional CISO
Richtwerte zur Orientierung. Die Offerte richtet sich nach Pensum und Laufzeit.
Sicherheitsverantwortung ohne Vollzeitstelle. Eingebettet im Team, gegenüber GL und VR.
- Monatlicher Steuerkreis, Quartalsreport für den VR
- Pflege ISMS, Audit-Begleitung, Nachweise
- Lieferantenrisiko und Kundenfragebögen
- Awareness, Übungen, Vorfallsbereitschaft
Für Unternehmen mit eigener IT- oder Sicherheitsleitung. Kein eingebettetes Mandat, aber ein Senior an deiner Seite.
- Zweitmeinung zu Entscheiden und Offerten
- Coaching für deine IT- oder Sicherheitsleitung
- Vorbereitung von GL- und VR-Terminen
- Einordnung von Audits und Kundenanforderungen
Alle Preise in CHF, exkl. MwSt.
"ODCUS begleitet uns als Partner bei Fragestellungen und Herausforderungen rund um die IT und gewährleistet, dass die eingesetzten digitalen und technologischen Mittel sicher und geschützt sind."
Mandat oder Beratung?
Beim Fractional CISO übernehmen wir die Rolle und die Verantwortung, eingebettet in deine Organisation. Willst du die Führung behalten und nur punktuell Senior-Expertise dazuholen, ist Security Management & Operations der passende Weg, dieselbe Breite, aber als Beratung.
Der ODCUS-Unterschied
Kein Verkauf zusätzlicher Tools. Erster Schritt ist immer: Was habt ihr schon, was davon funktioniert, und was können wir streichen? Die meisten Mandate beginnen damit, Kosten zu senken und Schutz gleichzeitig zu verbessern. Und wer das Erstgespräch führt, führt auch das Mandat. Keine Übergabe an Junior-Berater.
Für wen das passt
- Unternehmen mit 50 bis 500 Mitarbeitenden ohne Vollzeit-CISO
- Nach einem Vorfall oder Audit
- Vor Zertifizierung oder regulatorischer Anforderung
- Wenn der Verwaltungsrat Sicherheit zur Chefsache macht
Referenzen aus der Praxis
- Aktives CISO-Mandat seit über 2 Jahren bei internationalem Industrieunternehmen (1'600 Mitarbeitende)
- Cybersecurity-Strategie nach NIST Framework 2.0 entwickelt und umgesetzt
- Zero-Trust-Programm aufgesetzt und gesteuert (Identity, Endpoints, Apps, Netzwerk, Daten)
- Ransomware-Recovery geleitet, Threat-Management während komplettem Wiederaufbau
- CISM-Prüfung bestanden (ISACA), Trainer bei heise Academy, Haufe Akademie, golem.de
Weiterlesen zum Thema
Passende Analysen aus unserem Blog.
Häufige Fragen
Häufige Fragen zum Fractional-CISO-Mandat.
Was ist der Unterschied zwischen einem Fractional CISO und einem IT-Sicherheitsbeauftragten?
Der IT-Sicherheitsbeauftragte ist oft eine interne Person mit begrenzter Zeit und Erfahrung. Ein Fractional CISO bringt Senior-Erfahrung aus vielen Mandaten, übernimmt die strategische Führung und berichtet direkt an Geschäftsleitung und Verwaltungsrat.
Wie schnell kann ein Mandat starten?
In der Regel innerhalb von zwei bis vier Wochen nach dem Erstgespräch. Wir starten mit einer kurzen Standortbestimmung und den dringendsten Themen.
Was passiert am Ende des Mandats?
Wir bauen so auf, dass es ohne uns weiterläuft. Am Ende steht ein funktionierendes Sicherheitsmanagement, dokumentiert und im Alltag verankert, nicht ein Bericht in der Schublade.
Wie viele Tage pro Woche braucht ein KMU?
Meist 1 bis 2 Tage pro Woche. Zu Beginn oder in intensiven Phasen mehr, später oft weniger. Wir passen die Kadenz dem tatsächlichen Bedarf an, nicht einem festen Paket.
Ab welcher Grösse lohnt sich ein Fractional CISO?
In unserer Erfahrung ab etwa 50 Mitarbeitenden, spätestens wenn ein Grosskunde, eine Cyber-Versicherung oder der Verwaltungsrat einen Sicherheitsnachweis verlangt. Darunter reicht oft punktuelle Beratung.
Was ist der Unterschied zu vCISO oder CISO as a Service?
Die Begriffe meinen im Kern dasselbe: externe Sicherheitsführung auf Mandatsbasis. Wichtiger als das Label ist, dass jemand die Verantwortung wirklich trägt und bleibt, bis es steht.
Wann reicht ein IT-Leiter für die IT-Sicherheit nicht mehr aus?
Wenn Entscheiden und Nachweisen liegen bleiben. Betrieb und Überwachung trägt eine gute IT lange. Sobald aber niemand mehr priorisiert, Risikoentscheide nirgends festgehalten sind und ein Kundenfragebogen drei Wochen Recherche kostet, fehlt nicht Personal in der IT, sondern die Führungsseite darüber. Genau die übernimmt ein Mandat.
Wer trägt die Verantwortung, wenn wir die Sicherheitsführung auslagern?
Die Geschäftsleitung, unverändert. Ein Mandat bereitet Entscheide vor, priorisiert, berichtet und dokumentiert. Welche Risiken ihr bewusst tragt, entscheidet ihr selbst. Anbieter, die euch die Verantwortung abnehmen wollen, versprechen etwas, das rechtlich niemand liefern kann.
Was kostet ein Fractional-CISO-Mandat?
Der CISO Retainer startet ab CHF 4'900 pro Monat, das CISO Sparring ab CHF 2'400 pro Monat, jeweils exkl. MwSt. Der genaue Preis hängt vom Pensum ab, also davon, wie viele Tage pro Woche ihr braucht und wie lange. Nach dem Erstgespräch bekommst du eine Offerte mit Pensum und Laufzeit. Richtwerte im Vergleich zu einer Festanstellung findest du im Beitrag Was kostet ein CISO in der Schweiz?
Sicherheitsverantwortung, die bleibt
Unverbindlich besprechen, ob ein Fractional-CISO-Mandat für dein Unternehmen passt. In 30 Minuten weisst du, wo du stehst.
