CISO externo o externalizado (vCISO): qué hace, qué incluye y cuándo le compensa a tu empresa

Un CISO externo —también llamado CISO externalizado, vCISO, CISO virtual o CISO as a Service— es un responsable de seguridad de la información que ejerce la función para tu empresa unas jornadas al mes, con el mismo método y la misma rendición de cuentas que un CISO en plantilla, pero sin su coste fijo. Tiene sentido cuando tu organización maneja datos, clientes o regulación que exigen seguridad demostrable (NIS2, ENS, ISO 27001, DORA) y no tiene el tamaño para justificar un CISO a jornada completa. En esta guía explico qué hace exactamente, qué te tiene que entregar cada mes, cómo se compara con las alternativas y cómo elegirlo. La escribo desde el único sitio desde el que sé escribir: el del auditor que después tiene que encontrar la evidencia.

Qué es un CISO externo o vCISO (y por qué lo verás con cinco nombres)

CISO externo, CISO externalizado, CISO virtual, vCISO y CISO as a Service. Cinco etiquetas para la misma idea: contratar la función de dirección de seguridad, no a la persona a jornada completa.

La figura del CISO (Chief Information Security Officer) nació en la gran empresa: alguien con autoridad para decidir sobre riesgos de información, presupuesto y prioridades, y que responde ante dirección. El problema es que esa función es tan necesaria en una empresa de 50 o 200 empleados como en una de 5.000, pero el presupuesto no acompaña: el coste total de un CISO sénior en plantilla —salario, cargas sociales, formación continua y el riesgo real de rotación en un mercado con déficit de perfiles— queda fuera del alcance de la mayoría de las pymes españolas.

El vCISO resuelve esa ecuación: la función completa, dimensionada a tu tamaño. No es un apaño. Bien planteado, es el mismo trabajo con menos horas y más método.

La diferencia que importa: función, no proyecto

Aquí está la confusión más habitual. Una consultoría de ciberseguridad te entrega un proyecto: un análisis de riesgos, un plan director, una implantación. Termina y se va. Un vCISO asume una función continua: toma decisiones cada mes, mantiene el sistema vivo y responde por él ante dirección y ante el auditor.

La consultoría puntual produce documentos. La función produce evidencia continua. Y todo lo que he aprendido auditando se resume en esa palabra: cuando llega la auditoría, el cuestionario de un cliente o un incidente, lo que te salva no es el PDF de hace dos años, es la evidencia de que el sistema funciona hoy.

El contexto que ha cambiado las reglas: NIS2, ENS, DORA y la IA

Hasta hace poco, una pyme podía vivir sin nadie ejerciendo de CISO y el coste de esa carencia era invisible. Eso se ha terminado, por cuatro vías que ya no son teoría:

NIS2 hace responsable a tu dirección. La Directiva (UE) 2022/2555 no se limita a pedir medidas técnicas: su artículo 20 exige que los órganos de dirección aprueben las medidas de gestión de riesgos, supervisen su aplicación y se formen en ciberseguridad, y abre la puerta a su responsabilidad por incumplimiento. La transposición española sigue pendiente —el texto es un anteproyecto aprobado en primera vuelta en enero de 2025 que todavía no ha llegado a las Cortes—, pero las obligaciones de fondo no van a cambiar: si tu empresa es entidad esencial o importante, o presta servicios a una que lo sea, esto te alcanza. Lo detallo en la guía de NIS2 para pymes.

La cadena de suministro pregunta. El motor más inmediato que veo no es el regulador: es el cliente grande que te manda un cuestionario de seguridad de 200 preguntas antes de renovarte el contrato. NIS2 y DORA empujan a las entidades reguladas a exigir garantías a sus proveedores, y esa presión baja en cascada hasta la pyme. Sin alguien que ejerza de CISO, esos cuestionarios se contestan a la desesperada, y se nota. Cómo contestarlos con método, pregunta a pregunta, lo explico en la guía del cuestionario de seguridad de un cliente.

El ENS ya no es solo para la Administración. Si vendes a la Administración Pública española, el Esquema Nacional de Seguridad (RD 311/2022) se aplica también a los sistemas con los que le prestas el servicio. Cada vez más pliegos lo exigen con certificación.

La IA añade una capa nueva de gobernanza. Si tu empresa ya usa agentes, copilotos o automatizaciones con IA, alguien tiene que gobernar ese riesgo. Lo desarrollo en la guía de auditoría de agentes de IA bajo ISO 42001: la gobernanza de IA es parte de la función de seguridad moderna, no un mundo aparte.

Qué hace exactamente un CISO externo, mes a mes

Que no sea a jornada completa no significa que sea decorativo. Esto es lo que la función cubre en un ciclo normal:

• Riesgos: mantener vivo el análisis de riesgos (no el Excel que se hizo una vez, sino el que refleja tu situación actual) y priorizar el tratamiento con criterio de negocio.
• Gobierno: dirigir el comité de seguridad, llevar las decisiones documentadas y rendir cuentas a dirección con métricas que dirección entienda. Sin un comité que funcione de verdad no hay sistema: hay papeles.
• Cumplimiento: mapear qué te aplica (NIS2, ENS, RGPD, ISO 27001, DORA, AI Act) y convertirlo en un plan único, no en cuatro proyectos duplicados.
• Proveedores: evaluar la seguridad de los terceros críticos y responder con solvencia los cuestionarios que te mandan tus clientes.
• Incidentes: tener el procedimiento preparado, los contactos definidos (INCIBE-CERT, AEPD si hay datos personales) y los plazos de notificación claros antes de necesitarlos.
• Personas: formación y concienciación que se puedan demostrar, porque el phishing sigue siendo la puerta de entrada número uno.
• Auditorías: preparar la auditoría interna y acompañar la externa, con la evidencia ya navegable. Así cerramos dos ciclos ISO 27001 consecutivos con cero no conformidades, el último sin consultoría externa.

Qué incluye un servicio de CISO externalizado: los entregables

La forma más fiable de saber si estás contratando una función o una bolsa de horas es preguntar qué vas a recibir y cada cuánto. Esto es lo que yo considero el mínimo de un servicio serio:

Pide esta tabla, o su equivalente, por escrito en la propuesta. Un servicio de CISO externalizado que no sabe decirte qué te entrega cada mes es una bolsa de horas con otro nombre.

Lo que un vCISO NO es

Lo pongo por escrito porque el mercado lo mezcla todo, y la confusión sale cara:

• No es un SOC. El vCISO no vigila tus pantallas 24/7. Decide qué se monitoriza, con qué herramienta y qué se hace cuando salta la alerta. La operación puede estar dentro o subcontratada; la dirección de esa operación es la función.
• No es un comercial de herramientas. Si tu «CISO externo» vive de venderte el firewall, el EDR o las licencias que él mismo recomienda, no tienes un CISO: tienes un canal de ventas con otro nombre. La independencia comercial no es un matiz, es el requisito.
• No es un consultor que te deja un plan director y desaparece. Eso es un proyecto, y a veces hace falta. Pero nadie sostiene el sistema entre un proyecto y el siguiente.
• No es un seguro mágico. Un vCISO honesto no promete que no habrá incidentes. Promete que, cuando lo haya, sabrás qué hacer, podrás demostrar que hiciste lo razonable y aprenderás de él con método.

Oficina de apoyo al CISO: en qué se diferencia de un CISO externalizado

Es una confusión frecuente, sobre todo en licitaciones públicas, y conviene separarlas. Una oficina de apoyo al CISO —a veces llamada oficina técnica de seguridad— pone capacidad operativa al servicio de un responsable de seguridad que ya existe: mantiene la documentación, hace el seguimiento del cumplimiento, prepara cuestionarios y auditorías y coordina a los proveedores. Quien decide sigue siendo el CISO de la organización.

Un CISO externalizado asume la función de dirección: decide, prioriza y responde ante dirección. La regla práctica es sencilla: si ya tienes a alguien con autoridad y lo que le faltan son manos, necesitas una oficina de apoyo; si lo que falta es la dirección de la seguridad, necesitas un CISO externalizado. Y hay un modelo mixto muy habitual: el CISO externalizado dirige y una persona interna, o una oficina de apoyo, ejecuta.

CISO en plantilla vs CISO externo vs consultoría puntual

Las tres opciones son legítimas. El error no es elegir una u otra: es creer que la consultoría puntual cubre una función continua, o pagar una jornada completa cuando tu tamaño necesita cuatro jornadas al mes bien dirigidas.

vCISO o CISO en plantilla: cuándo toca dar el salto

El CISO externo no es para siempre, ni debería vendértelo nadie como tal. Hay señales claras de que la función ya necesita a alguien dentro a jornada completa:

• La agenda de seguridad llena la semana. Cuando las decisiones que hay que tomar no caben en unas jornadas al mes, la dedicación parcial se convierte en un cuello de botella.
• Pasas a ser entidad esencial, o un regulador te supervisa de forma proactiva: la interlocución constante con la autoridad pide presencia.
• Tienes un equipo de seguridad propio que dirigir a diario, no solo proveedores que coordinar.
• La seguridad forma parte del producto que vendes y tus clientes esperan hablar con alguien de la casa.

Un buen CISO externo prepara ese relevo: deja el sistema documentado, los indicadores funcionando y, si hace falta, ayuda a definir el perfil y a seleccionar a quien le va a sustituir. Si tu proveedor de vCISO no quiere hablar nunca de la salida, ya sabes cuál es su prioridad.

Cuándo SÍ necesitas un CISO externo (y cuándo no)

Señales de que sí:

• Un cliente grande te ha mandado un cuestionario de seguridad y se ha contestado «como se ha podido».
• Estás, o crees que puedes estar, en el alcance de NIS2, o vendes a entidades que lo están.
• Vendes o quieres vender a la Administración y el ENS aparece en los pliegos.
• Quieres certificar la ISO 27001, o mantenerla sin depender de una consultora eterna.
• Ya usáis IA en procesos reales y nadie gobierna ese riesgo.
• La seguridad la lleva «el de IT» entre tickets, sin tiempo, sin autoridad y sin canal directo con dirección.

Señales de que todavía no:

• Menos de unos 10 empleados, sin datos sensibles, sin clientes regulados y sin ambición de venderles: empieza por la higiene básica (copias, MFA, parcheo, un buen gestor de contraseñas) y la formación. No te hace falta una función de dirección todavía; no dejes que te la vendan.
• Buscas a alguien que «te saque el certificado» sin tocar nada de cómo trabajáis. Eso no es seguridad ni es gestión: es papel, y un buen auditor lo detecta en la primera mañana.

Cómo elegir un CISO externo: los 6 criterios que yo exigiría

• 1. Credencial de auditor, no solo de implantador. Quien ha auditado sabe exactamente qué evidencia se va a pedir y cómo se cae un sistema que parece sólido. Pide la credencial (Lead Auditor ISO 27001; si hay IA en juego, también ISO 42001) y verifícala.
• 2. Visión multimarco. NIS2, ENS, ISO 27001, RGPD y el AI Act comparten una parte enorme de controles. Quien los conoce de verdad te monta UN sistema que responde a todos, no cuatro carpetas duplicadas.
• 3. Independencia comercial. Que no viva de venderte las herramientas que recomienda. Pregúntalo explícitamente y que conste en el contrato.
• 4. Método basado en evidencia. Pide que te enseñe, anonimizado, cómo documenta decisiones, registros y métricas. Si lo que enseña son plantillas genéricas, ya sabes lo que vas a recibir.
• 5. Capacidad de hablar con dirección. La función incluye traducir el riesgo técnico a lenguaje de negocio. Un CISO que solo habla con IT no cumple el artículo 20 de NIS2 ni el espíritu de ningún sistema de gestión. Donde más se nota es en la revisión anual con la dirección: qué tiene que llevar su acta lo explico en la guía de la revisión por la dirección.
• 6. Resultados verificables. No promesas: ciclos de auditoría superados, sistemas mantenidos en el tiempo, casos documentados. Desconfía de quien no puede enseñar nada concreto.

Qué debe decir el contrato de un CISO externalizado

La propuesta comercial cuenta lo que el proveedor quiere que leas; el contrato, lo que vas a poder exigir. Estas siete cláusulas son las que miraría antes de firmar:

• Qué decisiones asume y cuáles no. Dirigir el comité de seguridad no es lo mismo que asesorarlo. Que quede escrito.
• Dedicación y disponibilidad. Jornadas al mes y, sobre todo, qué pasa si hay un incidente un viernes por la tarde: plazo de respuesta y canal.
• Entregables por cadencia, como los de la tabla de arriba.
• Confidencialidad reforzada: va a ver lo más sensible de tu empresa.
• Independencia comercial: que no cobre comisiones por las herramientas o los proveedores que recomiende, o que lo declare.
• La evidencia es tuya. Documentación, registros e indicadores se guardan en tus sistemas, no en los del proveedor.
• Salida ordenada: traspaso documentado y un periodo de acompañamiento si terminas el contrato o incorporas a un CISO interno.

Cómo trabajo yo esta función

Mi enfoque tiene tres fases, y la primera nunca me la salto:

• Diagnóstico (primeras semanas): entender el negocio, el alcance real de la regulación que te aplica, los riesgos que importan y la evidencia que ya existe. Sin diagnóstico no hay plan honesto, y cualquier precio cerrado que te den sin esto es humo.
• Plan único: un solo sistema de gestión que responda a la vez a lo que te exigen clientes y regulación (ISO 27001 como columna, NIS2, ENS y 42001 mapeados encima), priorizado por riesgo y por coste.
• Operación mensual: comité, decisiones, métricas a dirección, proveedores, formación y preparación de auditorías. La función, ejercida. Con la regla que resume mi forma de trabajar: seguridad investigada, no improvisada.

Si quieres ver el método aplicado, el caso del ciclo ISO 27001 con cero no conformidades cuenta cómo se ve desde dentro.

Preguntas frecuentes sobre el CISO externo

¿Cuánto cuesta un CISO externo en España?

Depende de tres variables: el tamaño y la complejidad de la empresa, la regulación aplicable (no es lo mismo prepararse para NIS2 que mantener además el ENS y la ISO 27001) y la madurez de partida. Los modelos habituales son la cuota mensual por jornadas, las bolsas de horas o un proyecto inicial más una cuota de mantenimiento. Lo que sí puedo darte es un criterio: cualquier precio cerrado sin un diagnóstico previo no es un precio, es un anzuelo. Y la comparación relevante no es «qué cuesta el vCISO», sino qué cuesta frente al CISO en plantilla que necesitarías, o frente a perder al cliente que te exige las garantías.

¿Cuántas horas al mes dedica un vCISO?

Lo típico se mueve entre una y cuatro jornadas al mes según la madurez y el calendario (los meses de auditoría o de incidente no son meses normales). Pero la métrica correcta no son las horas: son las decisiones cubiertas. Una función de CISO bien dimensionada se nota en que las decisiones de seguridad se toman a tiempo y quedan documentadas, no en cuántas horas factura.

¿Qué incluye un servicio de CISO externalizado?

Como mínimo: un diagnóstico inicial con el mapa de obligaciones; cada mes, comité de seguridad con acta, cuadro de mando para dirección y seguimiento de incidentes y vulnerabilidades; cada trimestre, revisión de proveedores y una prueba con fecha (restauración, simulacro o phishing); y cada año, análisis de riesgos, auditoría interna, revisión por la dirección y plan anual. Si una propuesta no concreta sus entregables, es una bolsa de horas.

¿Un vCISO sirve para cumplir NIS2 o el ENS?

Sí, como responsable operativo del cumplimiento: traduce los requisitos a medidas, mantiene la evidencia y prepara a la organización. Lo que un vCISO no puede (ni debe) hacer es asumir la responsabilidad legal de tu dirección: NIS2 la pone expresamente en los órganos de dirección, que deben aprobar las medidas, supervisarlas y formarse. Lo que hace un buen CISO externo es que esa responsabilidad sea ejercible: les da la información, las métricas y las decisiones documentadas para poder responder por el sistema.

¿Es lo mismo un CISO externalizado que un CISO externo o un vCISO?

Sí: CISO externalizado, CISO externo, CISO virtual, vCISO y CISO as a Service son la misma figura con distinto nombre comercial. No hay una diferencia técnica detrás de las etiquetas, y quien te insinúe que su «modelo» es otra cosa suele estar diferenciándose por marketing, no por servicio. Lo que sí cambia de verdad entre una propuesta y otra son tres cosas, y son las que hay que preguntar: qué decisiones asume (¿dirige el comité de seguridad o solo asesora?), qué dedicación real trae al mes y ante quién responde cuando algo sale mal. Dos ofertas con el mismo nombre y el mismo precio pueden ser servicios completamente distintos en esas tres columnas.

¿Qué es una oficina de apoyo al CISO?

Un servicio que pone capacidad operativa —documentación, seguimiento del cumplimiento, cuestionarios, auditorías y coordinación de proveedores— al servicio de un responsable de seguridad que ya existe. No sustituye al CISO: le da manos. Si lo que te falta es la dirección de la seguridad, lo que necesitas es un CISO externalizado; si ya tienes a alguien con autoridad y le falta capacidad, una oficina de apoyo.

¿Qué diferencia hay entre un vCISO y un consultor de ciberseguridad?

El consultor entrega un proyecto y se va; el vCISO asume una función continua y responde por ella. La consultoría produce documentos en un momento dado; la función produce evidencia continua y decisiones cada mes. Ambas cosas pueden convivir (un proyecto concreto dentro de una función continua), pero no son intercambiables.

¿Cuándo conviene pasar de vCISO a CISO en plantilla?

Cuando las decisiones de seguridad ya no caben en unas jornadas al mes, cuando pasas a ser entidad esencial o un regulador te supervisa de forma proactiva, cuando hay un equipo de seguridad propio que dirigir a diario o cuando la seguridad forma parte del producto que vendes. Un buen CISO externo prepara ese relevo en lugar de resistirse a él.

¿Necesito un CISO externo si ya tengo equipo de IT?

IT y seguridad no son la misma función, y en empresas pequeñas mezclarlas tiene un conflicto estructural: quien opera los sistemas no debería ser el único que evalúa su riesgo. Un vCISO no sustituye a tu equipo de IT: le da dirección, prioridades y respaldo ante dirección. De hecho, el equipo de IT suele ser el primer aliviado cuando la función existe, porque deja de cargar en solitario con una responsabilidad que no era suya.

Soy Alex Fernández, Lead Auditor ISO 27001 y 42001. Si tu empresa necesita la función y no el cargo, cuéntame tu situación en una llamada de 30 minutos y te digo con honestidad de auditor si un vCISO tiene sentido para vosotros.