Zum Inhalt springen

Sicherheitsstrategie ohne
Vollzeit-CISO-Budget.

Blue Team

Ein CISO kostet über CHF 200'000 pro Jahr. Die meisten KMU mit 50 bis 250 Mitarbeitenden brauchen keinen Vollzeit. Wir übernehmen Ihre Sicherheitsstrategie, koordinieren Board-Reporting und stehen im Ernstfall als Incident Commander bereit.

Die Lücke zwischen Risiko und Ressourcen

KMU mit 50 bis 250 Mitarbeitenden stehen vor einem strukturellen Problem: Die Angriffsfläche und der regulatorische Druck sind vergleichbar mit grossen Unternehmen, das Budget für eine dedizierte Sicherheitsfunktion fehlt. Ein Vollzeit-CISO kostet laut Glassdoor und ERI Economic Research Institute über CHF 200'000 pro Jahr, ohne Nebenkosten.

Die Folge: Sicherheitsentscheide werden vom CEO oder IT-Leiter nebenher getroffen, Policies sind veraltet oder fehlen ganz, und im Ernstfall fehlt die Struktur für eine koordinierte Incident Response. Die ISG-Meldepflicht mit 24-Stunden-Frist für kritische Infrastrukturen macht das Problem sichtbar.

CISO as a Service schliesst diese Lücke. Wir bringen Strategie, Erfahrung und Struktur, ohne den Overhead einer Festanstellung. Monatlich kündbar, skalierbar mit Ihrem Unternehmen.

Unser Engagement-Modell

Phase 01

Onboarding & Lagebild

Bestandsaufnahme Ihrer aktuellen Sicherheitslage: Infrastruktur, Policies, Risikoregister, Compliance-Stand, offene Baustellen. Grundlage für alle weiteren Massnahmen.

Phase 02

Strategie & Roadmap

Mehrjährige Sicherheits-Roadmap, abgestimmt auf Ihre Geschäftsziele und Ihr Budget. Klare Priorisierung nach Risiko, nicht nach technischen Präferenzen.

Phase 03

Laufende Begleitung

Regelmässige Präsenz nach vereinbartem Modell. Wir nehmen an Meetings teil, beraten bei Beschaffungsentscheiden, reviewen Verträge mit Drittanbietern und sind erreichbar, wenn es brennt.

Phase 04

Board-Reporting

Quartalsweise Security-Reports für die Geschäftsleitung. Risikolage, Compliance-Status und Massnahmen-Fortschritt in einer Sprache, die Entscheidungsträger verstehen.

Phase 05

Incident Response

Bei einem Vorfall übernehmen wir die Incident-Response-Koordination, unterstützen bei der ISG-Meldepflicht und managen die Kommunikation nach innen und aussen.

Was Sie erhalten

Sicherheits-Roadmap

Dokumentierte Mehrjahres-Strategie mit Budget-Planung, Quick Wins und langfristigen Zielen.

Policy-Set

Informationssicherheits-Policy, Nutzungsrichtlinien, Incident-Response-Verfahren. Geschrieben für Ihr Unternehmen, nicht kopiert aus einem Template.

Quartals-Board-Report

Security-Lagebericht für die Geschäftsleitung: Risikometriken, Compliance-Status, offene Punkte und Empfehlungen.

Vendor-Risikobewertungen

Standardisierte Sicherheitsbewertungen für kritische Drittanbieter und SaaS-Produkte in Ihrem Stack.

Incident-Response-Koordination

Im Ernstfall: strukturierte Reaktion, Kommunikationsmanagement und Unterstützung bei der ISG-Meldepflicht (24h-Frist).

Teamaufbau

Skill-Gap-Analysen, Schulungsprogramme und Rekrutierungsberatung für Ihre interne Sicherheitsfunktion.

Häufige Fragen

Wie funktioniert das Engagement-Modell konkret?

Das Basismodell beginnt ab zwei Tagen pro Monat. Wir vereinbaren feste Präsenztage, Erreichbarkeit und Reaktionszeiten. Sie erhalten eine direkte Rufnummer, keine Ticket-Queue. Das Modell ist skalierbar: In intensiven Phasen, etwa bei einem Audit oder einer Umstrukturierung, können wir die Kapazität vorübergehend erhöhen.

Gibt es eine Mindestlaufzeit?

Wir empfehlen eine Mindestlaufzeit von drei Monaten, damit das Onboarding und erste strategische Massnahmen sinnvoll abgeschlossen werden können. Danach ist das Engagement monatlich kündbar.

Was passiert, wenn während des Engagements ein Sicherheitsvorfall eintritt?

Wir stehen als Incident Commander zur Verfügung. Das bedeutet: Wir koordinieren die Reaktion, unterstützen bei der technischen Analyse, managen die interne und externe Kommunikation und begleiten die ISG-Meldung, falls erforderlich. Incident Response ist kein Extra, sondern Teil des Engagements.

Was unterscheidet CISO as a Service von einer normalen Sicherheitsberatung?

Klassische Beratung liefert Empfehlungen und geht. Wir übernehmen Verantwortung für die Umsetzung und sind kontinuierlich eingebunden. Wir kennen Ihre Infrastruktur, Ihre Lieferantenliste und Ihre internen Prozesse. Der Unterschied ist Kontext statt Einmalprojekt.

CISO-Modell besprechen

Wir klären Scope und Kapazität im kostenlosen Erstgespräch. Konkret, nicht konzeptionell.

CISO-Gespräch vereinbaren

CHF 2'500–5'000/Monat

Ab zwei Tagen pro Monat. Preis abhängig von Unternehmensgrösse und Scope. Monatlich kündbar.