Ein Kunde schickt einen Sicherheitsfragebogen, der Versicherer will einen Verantwortlichen sehen, der VR fragt nach einem Bericht. Irgendwann steht die Frage im Raum: Was kostet ein CISO? Die schnelle Antwort: als Festanstellung in der Schweiz CHF 150'000 bis 250'000 pro Jahr, plus Nebenkosten. Die ehrlichere Antwort: Das Lohnband ist der kleinste Teil der Rechnung. Ein KMU mit 50 bis 500 Mitarbeitenden braucht selten eine Vollzeitstelle, und eine falsch dimensionierte Lösung kostet mehr als jedes Gehalt.
Ein Vollzeit-CISO kostet in der Schweiz CHF 150'000 bis 250'000 pro Jahr, plus Sozialleistungen und Rekrutierung. Ein KMU mit 50 bis 500 Mitarbeitenden hat aber selten Arbeit für fünf Tage Sicherheitsführung pro Woche. Ein Fractional CISO trägt dieselbe Verantwortung mit 1 bis 4 Tagen pro Woche, ab CHF 4'900 pro Monat. Am teuersten ist die falsch dimensionierte Lösung.
Was kostet ein Vollzeit-CISO in der Schweiz?
Das Lohnband für einen Chief Information Security Officer liegt in der Schweiz zwischen CHF 150'000 und 250'000 pro Jahr, abhängig von Branche, Region und Erfahrung (Lohndaten jobs.ch). Dazu kommen Sozialleistungen, Rekrutierungskosten und, in unserer Erfahrung, mehrere Monate Suche, bis die passende Person gefunden ist.
Das Lohnband ist aber nur die halbe Rechnung. Die andere Hälfte ist eine Frage, die in kaum einer Budgetdiskussion gestellt wird: Was macht diese Person die ganze Woche?
Sicherheitsführung in einem KMU kommt in Wellen. Ein Kundenaudit, ein Vorfall, der Aufbau eines ISMS: dann ist viel zu tun. Dazwischen besteht die Arbeit aus Steuerung, Reporting und Pflege, und das füllt bei 100 oder 200 Mitarbeitenden keine fünf Tage pro Woche. Ein erfahrener CISO merkt das nach wenigen Monaten. Entweder er geht wieder, und die Rekrutierung beginnt von vorn. Oder er beschäftigt sich selbst, und das wird richtig teuer: neue Tools und neue Projekte, die niemand bestellt hat. Die Alternative, jemanden Günstigeren einzustellen, löst das Problem auch nicht. Dann hat das Unternehmen einen Security-Administrator mit CISO-Titel, aber niemanden, der mit GL und VR auf Augenhöhe über Risiken spricht.
Wann lohnt sich ein Fractional CISO gegenüber der Festanstellung?
Sobald die Sicherheitsführung weniger als eine Vollzeitstelle füllt. Bei KMU mit 50 bis 500 Mitarbeitenden ist das der Normalfall. Ein Fractional CISO übernimmt dieselbe Verantwortung im Mandat, mit 1 bis 4 Tagen pro Woche. Der CISO Retainer startet bei CHF 4'900 pro Monat, also CHF 58'800 pro Jahr, und ist innert zwei Wochen startklar statt nach Monaten der Rekrutierung.
Die vier üblichen Modelle unterscheiden sich weniger im Stundensatz als darin, wofür du bezahlst:
| Modell | Kosten pro Jahr | Wofür du bezahlst |
|---|---|---|
| Festanstellung | CHF 150'000 bis 250'000 plus Nebenkosten | Volle Präsenz, auch in ruhigen Wochen |
| Interim CISO | Tagessätze auf Vollzeitbasis | Überbrückung von Vakanz oder Krise |
| Security-Beratung | Nach Aufwand | Empfehlungen, Umsetzung bleibt bei dir |
| Fractional CISO | Ab CHF 58'800, Festpreis | Verantwortung und Umsetzung, dimensioniert auf den Bedarf |
Der Unterschied zur Beratung ist dabei der wichtigste: Ein Berater empfiehlt und geht, die Verantwortung bleibt bei dir. Ein Fractional CISO trägt sie im Mandat selbst, gegenüber GL, VR und Auditoren. Was die Rolle im Detail abdeckt, haben wir im Artikel Was ist ein Fractional CISO beschrieben.
Der Ehrlichkeit halber: Ab einer gewissen Grösse dreht die Rechnung. Wer gegen tausend Mitarbeitende geht, mehrere Standorte führt und unter dichter Regulierung steht, füllt eine Vollzeitstelle und ist mit einer Festanstellung besser bedient. Ein Mandat ersetzt keine Sicherheitsabteilung, es ersetzt die Vollzeitstelle, die es im KMU nie gebraucht hätte.
Für Unternehmen, die bereits eine IT- oder Sicherheitsleitung haben, gibt es die kleinere Variante: CISO Sparring, zwei Tage pro Monat ab CHF 2'400, als Zweitmeinung und Vorbereitung von GL- und VR-Terminen. Kein eingebettetes Mandat, aber ein Senior an der Seite der Person, die intern verantwortlich ist.
Wovon der Bedarf abhängt
Ob ein Unternehmen einen Tag Sicherheitsführung pro Woche braucht oder vier, entscheiden vier Faktoren, und keiner davon ist die Mitarbeiterzahl allein.
Regulatorik. Wer der FINMA unterstellt ist, dem ISG untersteht oder als Zulieferer kritischer Infrastrukturen vertraglich in die Pflicht genommen wird, braucht einen regelmässigen Takt aus Reporting, Nachweisführung und Risikobewirtschaftung. Ohne solche Vorgaben reicht oft ein deutlich schlankeres Programm.
Kundenlandschaft. Ein KMU mit drei Grosskunden, die alle jährlich auditieren, hat mehr laufende Sicherheitsarbeit als eines mit hundert Kleinkunden, die kaum je nachfragen. Fragebögen, Audits und Vertragsklauseln sind in der Praxis der häufigste Treiber, nicht die Bedrohungslage.
Reifegrad. Ein ISMS im Aufbau frisst mehr Kapazität als eines in der Pflege. Deshalb starten viele Mandate mit mehr Tagen und werden nach dem ersten Jahr schlanker.
Interne IT. Eine starke IT-Leitung braucht Methodik und Rückendeckung, keine zweite operative Kraft. Eine ausgelastete Zwei-Personen-IT braucht jemanden, der auch anpackt.
Und dieser Bedarf ist nicht statisch. Ein Mandat lässt sich von einem Tag auf drei hochfahren, wenn das Audit ansteht, und danach wieder runter. Eine Festanstellung kann das nicht, sie kostet in der ruhigen Phase gleich viel wie in der Auditsaison.
Die Kosten, die in keinem Lohnband stehen
In den Budgetdiskussionen, die wir erleben, wird über das Lohnband gestritten und über drei Posten geschwiegen, die meist grösser sind.
Die Vakanz. Zwischen dem Entscheid, einen CISO zu suchen, und dem ersten Arbeitstag vergehen Monate. In dieser Zeit bleiben Kundenfragebögen unbeantwortet, Ausschreibungen laufen ohne belastbare Antworten zur Sicherheitsorganisation, und der VR bekommt weiterhin keinen Bericht. Bei vielen Ausschreibungen entscheidet die Sicherheitsorganisation mit, ob der Auftrag kommt. Die Vakanz kostet damit Umsatz, lange bevor der erste Lohn fliesst.
Das doppelte Bezahlen. Wer statt einer Anstellung eine klassische Beratung beauftragt, bekommt eine saubere Analyse mit Massnahmenliste. Umgesetzt wird davon oft wenig, weil niemand im Haus die Zeit und das Standing dafür hat. Zwei Jahre später kommt die nächste Beratung und analysiert dasselbe noch einmal. Bezahlt wird zweimal, verändert hat sich wenig.
Der Tool-Wildwuchs. Ohne Sicherheitsführung beantwortet jedes neue Problem ein neues Tool, jedes mit eigener Lizenz und eigenem Portal. In unserer Erfahrung sinken in den meisten Mandaten die Lizenzkosten, während die Abdeckung steigt, weil zuerst aufgeräumt und dann investiert wird. Wie das konkret geht, steht im Artikel Security-Tools konsolidieren.
Die meisten Unternehmen haben kein Sicherheitsproblem, sondern ein Dimensionierungsproblem: zu viele Tools, zu wenig Überblick, zu hohe Kosten für zu wenig echten Schutz. Vor dem Lohnband kommt darum eine andere Frage: Wie viel Sicherheitsführung braucht dein Unternehmen? Mehr Schutz. Weniger Tools. Weniger Kosten.
Wie das in der Praxis aussieht
Ein Beispiel, verdichtet aus Situationen, die wir in Mandaten immer wieder erleben, Details verfremdet: ein Schweizer Industrieunternehmen mit rund 150 Mitarbeitenden. Der Auslöser war ein Grosskunde, der ein Lieferantenaudit ankündigte und vorher einen Sicherheitsfragebogen schickte. Die IT-Leitung konnte die technischen Fragen beantworten, aber niemand konnte sagen, wer die Informationssicherheit verantwortet, welche Risiken bewusst getragen werden und was der Plan für die nächsten zwölf Monate ist.
Der erste Reflex der Geschäftsleitung war eine Stellenausschreibung. Nach mehreren Monaten ohne passende Kandidaten wurde daraus ein Mandat. Im ersten Quartal passierte wenig Spektakuläres: Bestandsaufnahme, Risikoregister, der Fragebogen wurde beantwortet, das Audit begleitet. Nebenbei stellte sich heraus, dass zwei Sicherheitstools seit der letzten M365-Erweiterung doppelt lizenziert waren und ein drittes seit einem Jahr niemand mehr angeschaut hatte. Der Auftrag des Grosskunden blieb im Haus, weil es zum ersten Mal jemanden gab, der die Sicherheitsorganisation erklären und vertreten konnte.
Das ist der Teil der Rechnung, den eine reine Gehaltsdiskussion nicht erfasst: Ein CISO kostet nicht nur, er verhindert Kosten und sichert Umsatz. Aber nur, wenn seine Kapazität zur Grösse des Unternehmens passt.
Welche Kosten kommen im Mandat auf dich zu?
Die Pakete sind Festpreise, damit die Budgetdiskussion einmal stattfindet und nicht jeden Monat: Das Cyber Assessment kostet einmalig CHF 1'900 und wird bei einem Folgemandat voll angerechnet. Der CISO Retainer startet bei CHF 4'900 pro Monat mit sechs Monaten Mindestlaufzeit, danach monatlich kündbar. CISO Sparring gibt es ab CHF 2'400 pro Monat für zwei Tage, der ISMS-Aufbau als 90-Tage-Programm zum Festpreis nach Scoping. Alle Details stehen auf der Übersicht der Pakete und Preise.
Auch das gehört in die Rechnung: Ein Mandat ersetzt nicht die Umsetzungszeit deines Teams. Wenn Massnahmen anstehen, braucht es Stunden aus der internen IT, und einzelne Anschaffungen können trotz Konsolidierung nötig bleiben. Ein seriöses Mandat macht diese Aufwände sichtbar, bevor sie anfallen, statt sie in Nebenkosten zu verstecken.
Ob sich diese Rechnung für dein Unternehmen lohnt, hängt an der Ausgangslage: Compliance-Druck, Kundenanforderungen, Zustand der heutigen Sicherheitslandschaft. Die Frage, was ein CISO kostet, lässt sich darum erst seriös beantworten, wenn klar ist, wie viel CISO es überhaupt braucht. Genau dafür ist das Erstgespräch da.
Häufige Fragen
Was kostet es, keinen CISO zu haben?
Meist nichts Sichtbares, bis es sichtbar wird: ein Kundenfragebogen, der eine Ausschreibung verzögert, ein Audit ohne Ansprechpartner, ein Vorfall, bei dem niemand entscheidet. Diese Kosten stehen in keinem Budget, sie tauchen als verlorene Aufträge und hektische Wochen auf. Wer sie beziffern will, schaut am besten auf die eigenen offenen Kundenanfragen zur Sicherheit.
Warum Festpreis statt Stundensatz?
Weil ein Stundensatz den falschen Anreiz setzt: Je länger das Problem lebt, desto mehr wird verrechnet. Ein Festpreis zwingt uns, den Aufwand vorher realistisch zu schätzen, und gibt dir ein planbares Jahresbudget, das du gegenüber GL und VR vertreten kannst.
Reicht auch ein Sparring statt eines vollen Retainers?
Wenn intern jemand die Sicherheitsarbeit trägt, ja. Das Sparring liefert Zweitmeinung, Methodik und Vorbereitung für GL- und VR-Termine, die Umsetzung bleibt bei deiner IT-Leitung. Sobald niemand intern die Verantwortung tragen kann oder will, ist der Retainer das passendere Modell.