Warum niemand dir eine klare Zahl nennt
Die meisten Beiträge zu dieser Frage weichen aus. Was kostet ein CISO? "Kommt darauf an", "individuell", "am besten reden wir mal". Verständlich, aber es hilft dir null weiter, wenn du gerade ein Budget planst.
Also die kurze Version zuerst. Ein Vollzeit-CISO kostet ein Schweizer KMU realistisch deutlich mehr als CHF 200'000 pro Jahr, alles eingerechnet. Ein CISO as a Service kostet einen klaren Bruchteil davon. Und für die meisten Firmen mit 50 bis 500 Mitarbeitenden ist die Vollzeitstelle nicht die richtige Antwort, sondern die unnötig teure.
Warum das so ist, und wie du für deine eigene Situation die richtige Zahl findest, darum geht es hier. Ohne Angstverkauf, ohne Framework-Bingo, mit echten Zahlen.
Der Vollzeit-CISO: die Zahl, die niemand gern ausspricht
Fangen wir mit dem an, was du überhaupt vergleichen musst.
Öffentliche Lohndaten für die Schweiz zeigen für einen Chief Information Security Officer ein durchschnittliches Grundgehalt von rund CHF 154'800 pro Jahr, mit einer Spanne, die je nach Erfahrung und Branche bis über CHF 290'000 reicht (Quelle: Lohndaten jobs.ch). Und das ist nur das Grundgehalt.
Dazu kommt, was in solchen Vergleichen gern untergeht. Sozialabgaben, Pensionskasse, Bonus, Ferien, Weiterbildung, ein Arbeitsplatz. In unserer Erfahrung liegt der volle Arbeitgeberaufwand deshalb spürbar über der reinen Bruttolohnzahl, oft 20 bis 30 Prozent obendrauf. Rechne bei einer erfahrenen Fachkraft also mit einem Gesamtaufwand jenseits der CHF 200'000, in vielen Fällen näher an CHF 250'000.
Und dann ist die Person erst einmal da. Sie muss ausgelastet werden. In einem KMU mit 120 Mitarbeitenden gibt es aber selten 42 Stunden CISO-Arbeit pro Woche. Es gibt Phasen mit viel (ein Audit, ein Vorfall, eine Zertifizierung) und lange Strecken mit wenig. Du zahlst die Vollzeitstelle in beiden Phasen gleich voll durch.
Das ist der eigentliche Punkt. Ein Vollzeit-CISO ist nicht zu teuer, weil das Gehalt hoch ist. Er ist teuer, weil das meiste davon Leerlauf finanziert. Du kaufst Kapazität, die du nur ein paar Wochen im Jahr wirklich brauchst.
Dazu die zweite, unbequeme Realität: Du musst diese Person erst einmal finden. Erfahrene Sicherheitsverantwortliche sind auf dem Schweizer Markt rar, die Suche dauert Monate, und viele KMU sind für die guten Kandidaten schlicht nicht attraktiv genug. Eine unbesetzte Vollzeitstelle schützt niemanden.
CISO as a Service: wofür du eigentlich zahlst
Hier wird es interessant, denn viele verwechseln CISO as a Service mit "stundenweiser Beratung". Das ist es nicht, und der Unterschied entscheidet über den Wert.
Beim klassischen Beratungsmodell kaufst du Stunden. Jemand kommt, arbeitet ein Thema ab, schreibt eine Rechnung, geht wieder. Die Verantwortung bleibt bei dir liegen.
Bei CISO as a Service kaufst du das Gegenteil. Jemand übernimmt die Sicherheitsverantwortung als Funktion. Er sitzt in deinen Führungsrunden, kennt deine Risiken, spricht mit deinem Verwaltungsrat, steuert deine Dienstleister und trifft die Entscheidungen, für die intern sonst niemand die Kompetenz hat. Nur eben nicht in Vollzeit, sondern in dem Umfang, den dein Geschäft real braucht.
Deshalb sind die CISO-as-a-Service-Kosten auch anders aufgebaut. Du zahlst meist ein festes monatliches Retainer für einen definierten Umfang, nicht pro Stunde. Das macht die Ausgabe planbar, und es entkoppelt den Preis von der Anwesenheit. Gute Security misst sich nicht in Präsenzstunden.
Wie sieht so ein Monat aus? Ein fixer Rhythmus an Terminen (Führungsrunde, IT-Abstimmung, Risiko-Review), erreichbar für Entscheidungen dazwischen, und ein klares Mandat, wenn etwas brennt. Kein Schreibtisch, der acht Stunden am Tag besetzt sein will. Genau die Rolle, die ein KMU braucht, ohne den Ballast, den es nicht braucht.
Was der Unterschied zwischen Fractional CISO, vCISO und CISOaaS im Detail ist, haben wir separat aufgeschrieben. Für die Kostenfrage reicht: Du bezahlst Verantwortung und Urteilsvermögen, nicht Stuhlzeit.
Was den Preis wirklich treibt (nicht die Stunden)
Wenn Firmen uns nach dem Preis fragen, erwarten sie einen Stundensatz. Der ist aber die falsche Stellschraube. Vier Dinge bestimmen, was ein CISO as a Service tatsächlich kostet.
Wie reguliert deine Branche ist. Ein Finanzdienstleister unter FINMA-Aufsicht oder ein Zulieferer mit ISO-27001-Pflicht braucht mehr Steuerung als ein Handelsbetrieb ohne externe Anforderungen. Mehr Anforderungen bedeuten mehr Umfang und damit höhere Kosten. Das ist fair, weil es echtem Bedarf folgt.
Wo du gerade stehst. Eine Firma, die bei null anfängt, braucht in den ersten Monaten mehr Führung als eine, die eine bestehende Funktion nur stabil halten will. Aufbau kostet mehr als Betrieb, aber eben nur temporär.
Wie viel intern schon vorhanden ist. Hast du eine IT, die mitzieht, oder muss der CISO jede Massnahme selbst anstossen? Je mehr Substanz intern da ist, desto schlanker fällt der externe Anteil aus.
Ob eine Zertifizierung oder ein Audit ansteht. Ein ISMS-Aufbau oder eine anstehende Rezertifizierung erzeugt für ein paar Monate mehr Arbeit. Ein seriöser Anbieter fährt den Umfang danach wieder herunter, statt ihn dauerhaft hoch zu halten und dir zu verrechnen.
Merke dir eine Sache: Ein gutes Angebot skaliert mit deinem echten Bedarf, nach oben und nach unten. Wenn dir jemand einen fixen, hohen Umfang verkaufen will, obwohl deine Situation ihn nicht hergibt, ist das genau das Überzahlen, das wir bei KMU ständig sehen. Ein CISO, der seinen eigenen Umfang nicht kürzen will, wenn er nicht mehr gebraucht wird, arbeitet nicht für dich.
Wann sich welches Modell lohnt
Keine Ideologie, nur ein paar Faustregeln aus der Praxis.
Ein Vollzeit-CISO lohnt sich, wenn Security bei dir dauerhaft Vollzeit-Arbeit erzeugt. Das ist real, ab einer gewissen Grösse, bei hoher Regulierung, oder wenn Sicherheit Teil deines Produkts ist. Für die Mehrheit der Schweizer KMU trifft das schlicht nicht zu, und das ist keine Schwäche, sondern eine nüchterne Feststellung über den tatsächlichen Arbeitsanfall.
Ein CISO as a Service lohnt sich, wenn du Sicherheitsverantwortung brauchst, aber keine 100-Prozent-Stelle sinnvoll füllen kannst. Du willst jemanden, der die Richtung setzt, den Tool-Stack im Griff hat und im Ernstfall entscheidet, ohne dafür ein Vollzeitgehalt plus Nebenkosten zu tragen.
Es gibt auch den Mittelweg, und er wird oft übersehen. Ein externer CISO baut die Funktion auf, setzt die Richtung, bringt Ordnung in den Stack, und übergibt nach ein bis zwei Jahren an eine interne Person, die dann günstiger den laufenden Betrieb führt. Du zahlst die teure Erfahrung nur für die Phase, in der du sie wirklich brauchst, und danach das passende, schlankere Modell. Für wachsende Firmen ist das häufig die wirtschaftlichste Variante überhaupt.
Und manchmal ist die ehrliche Antwort: noch gar keiner. Wenn du nicht weisst, wo du stehst, ist der erste Schritt kein CISO, sondern eine nüchterne Bestandsaufnahme. Sonst kaufst du Führung für Probleme, die du noch nicht einmal benannt hast. Wie du dein Security-Budget richtig verteilst, bevor du überhaupt eine Rolle besetzt, ist ein Thema für sich, und meistens das lohnendere.
Die teuerste Variante ist keine von beiden
Jetzt der Teil, den die Gehaltsvergleiche übersehen.
Die teuerste Option ist nicht der Vollzeit-CISO und nicht der externe. Es ist der Zustand, in dem niemand die Rolle wirklich hat, aber alle so tun als ob. Die IT trägt den Security-Hut nebenbei, kauft ein Tool nach dem anderen, und niemand entscheidet, was echten Schutz bringt und was nur Budget verbrennt.
Wir sehen das bei fast jeder Bestandsaufnahme. Drei Werkzeuge für einen Job. Lizenzen für Funktionen, die nie konfiguriert wurden. Ein jährlicher Pen-Test, auf dessen Report nie jemand reagiert hat. Das summiert sich, oft auf mehr als ein CISO kosten würde, nur eben verteilt, unsichtbar und ohne dass jemand die Verantwortung dafür trägt. Warum der IT-Betrieb allein keine Security-Strategie ersetzt, haben wir an anderer Stelle ausführlicher beschrieben.
Ein Beispiel aus der Praxis, anonymisiert: ein mittelständischer Betrieb, gut zwei Dutzend Sicherheits- und Monitoring-Werkzeuge, drei verschiedene Anbieter, die sich in den Aufgaben überschnitten. Niemand konnte sagen, welches Tool welches Risiko abdeckt. Der erste Job war, den Wildwuchs zu sortieren, Doppeltes zu streichen und die verbleibenden Werkzeuge endlich richtig zu konfigurieren. Das Ergebnis: weniger Verträge, weniger Komplexität, und zum ersten Mal eine klare Aussage darüber, was tatsächlich geschützt ist.
Ein CISO, egal ob Vollzeit oder as a Service, verdient sein Geld meistens genau dort zuerst. Nicht durch mehr Ausgaben, sondern durch das Streichen der falschen. Mehr Schutz für weniger Geld ist bei uns kein Slogan, sondern schlicht das, was passiert, wenn zum ersten Mal jemand mit Kompetenz und Mandat die Sicherheitsausgaben ordnet. In unserer Erfahrung finanziert sich die Rolle in den ersten Monaten oft zu einem guten Teil selbst, allein durch das, was danach nicht mehr verlängert wird.
Der nächste Schritt
Bevor du über Stundensätze oder Retainer nachdenkst, beantworte eine einzige Frage: Wie viel Sicherheitsführung erzeugt dein Geschäft tatsächlich, Woche für Woche?
Ehrlich beantwortet zeigt dir diese Frage fast immer das passende Modell. Und sie verhindert den teuersten Fehler, nämlich eine Stelle zu besetzen, um ein Gefühl zu beruhigen, statt ein Problem zu lösen.
Wenn du die Zahl für deine Situation nicht sicher hinbekommst, rechnen wir sie in einem kostenlosen Erstgespräch mit dir durch. Kein Pitch, keine Verpflichtung, nur eine ehrliche Einordnung, was dein Geschäft wirklich braucht.
