CISO virtual para PYMEs: qué es y cuándo tiene sentido contratarlo

Por Kike Gandia · Co-Fundador y CEO, OSCP

El salario de un CISO senior en España suele situarse en una horquilla de entre 80.000 y 130.000 € al año, una cifra que la mayoría de PYMEs no puede ni necesita asumir a tiempo completo. El CISO virtual (vCISO) es la alternativa: un profesional o equipo externo que asume las responsabilidades estratégicas de seguridad a tiempo parcial, sin el coste ni el compromiso de una contratación interna. Esta guía explica qué hace exactamente, qué no sustituye, y cómo saber si tu empresa lo necesita ya.

Qué hace un CISO virtual

Define la estrategia de seguridad de la empresa, prioriza qué invertir según el riesgo real, supervisa el cumplimiento normativo aplicable (NIS2, ENS, ISO 27001), coordina a los proveedores técnicos (pentesting, seguridad gestionada, formación), y actúa como interlocutor ante clientes, auditores o el consejo de administración cuando se piden garantías de seguridad. Es la capa de dirección que casi ninguna PYME tiene, aunque sí tenga a alguien gestionando el día a día técnico.

Qué NO sustituye un vCISO

No sustituye al equipo técnico que ejecuta (IT interno o un MSSP que monitoriza sistemas), ni al pentesting o las auditorías técnicas puntuales. El vCISO dirige la estrategia; otros ejecutan las tareas operativas. Contratar solo un vCISO sin apoyo técnico operativo deja la parte de ejecución sin cubrir.

Coste real: vCISO vs CISO interno

Un servicio de vCISO para una PYME suele oscilar entre 800 y 3.000 €/mes según las horas de dedicación y la complejidad de la empresa, frente a los 80.000-130.000 €/año (más seguridad social y beneficios) de un CISO senior a tiempo completo. Para una empresa de menos de 100 empleados, el vCISO ofrece el mismo criterio estratégico a una fracción del coste, y sin el riesgo de depender de una única persona que puede irse.

Cuándo una PYME lo necesita de verdad

Las señales más claras: un cliente o inversor empieza a exigir evidencia de gobernanza de seguridad (no solo controles técnicos), la empresa entra en el ámbito de NIS2 o ENS y nadie internamente sabe traducir eso a un plan de acción, o la dirección quiere dejar de tomar decisiones de seguridad "a ciegas" y necesita a alguien que le explique el riesgo real en términos de negocio.

Qué entrega un vCISO y con qué cadencia

La duda más frecuente antes de contratar no es el precio, sino qué llega realmente al buzón cada mes. Un servicio de vCISO bien definido tiene entregables con fecha, no horas de disponibilidad genérica:

Momento	Qué entrega	Quién lo usa dentro de la empresa
Primeras semanas	Diagnóstico de situación y mapa de riesgos priorizado	Dirección
Primer trimestre	Plan de seguridad a 12 meses con coste estimado por línea	Dirección y finanzas
Mensual	Acta de seguimiento: qué avanzó, qué está bloqueado y qué decisión necesita dirección	Gerencia o comité
Trimestral	Cuadro de indicadores: incidentes, estado de parcheo, formación, accesos revisados	Dirección y clientes que exijan evidencias
Bajo demanda	Respuesta a cuestionarios de seguridad de clientes, auditores o aseguradoras	Comercial y legal

Si una propuesta de vCISO no concreta esta columna central, lo que se está contratando es disponibilidad, no gobernanza. Conviene pedir que los entregables figuren en el contrato con su periodicidad.

Qué accesos necesita y cuáles no debería tener

Un vCISO no administra sistemas: los revisa. Para trabajar necesita lectura sobre la consola de administración del entorno (Google Workspace, Microsoft 365 o el que uses), acceso a los registros de auditoría, al inventario de activos y proveedores, y a los contratos con implicaciones de seguridad. No necesita —ni conviene que tenga— permisos de escritura, credenciales de administrador global ni acceso al contenido de buzones o unidades de los empleados. En la práctica, un rol de solo lectura con auditoría (por ejemplo, un rol delegado de lectura en la consola, no un superadministrador) cubre el 100% de su trabajo y deja rastro de cada consulta. Si un proveedor pide privilegios de administrador global "para agilizar", es una señal de que va a ejecutar cambios, que es precisamente el trabajo que debe hacer otro para mantener la separación de funciones.

FAQ

¿Un vCISO puede firmar la declaración de conformidad de NIS2 o ENS?

Puede prepararla y coordinar todo el proceso, pero la responsabilidad legal final recae sobre la dirección de la empresa, no sobre el proveedor externo.

¿Cuántas horas al mes dedica un vCISO a una PYME típica?

Habitualmente entre 8 y 20 horas mensuales, ajustándose según la fase: más intensivo en los primeros meses (diagnóstico y plan) y más ligero en mantenimiento y seguimiento.

¿Puedo empezar con un vCISO y pasar a un CISO interno más adelante?

Sí, es un camino habitual. Muchas empresas usan el vCISO para construir el programa de seguridad y, cuando el volumen lo justifica, contratan a alguien interno con el criterio y la documentación ya establecidos.

¿Puede el vCISO responder directamente a los cuestionarios de seguridad de nuestros clientes?

Sí, y suele ser el uso que más tiempo ahorra al equipo. El vCISO redacta las respuestas y aporta las evidencias, pero quien las firma y asume la declaración es la empresa: el cuestionario de un cliente es un compromiso contractual tuyo, no del proveedor. Conviene guardar cada cuestionario respondido junto con las evidencias que lo sustentaban en esa fecha, porque es lo primero que se revisa si más adelante hay una discrepancia.

¿Qué pasa si tenemos un incidente fuera de horario? ¿Responde el vCISO?

Depende de lo que diga el contrato, y conviene cerrarlo antes de firmar. Un servicio de vCISO estándar es de gobernanza, no de guardia 24/7: coordina la respuesta, decide si hay que notificar a la AEPD o a la autoridad competente y habla con dirección, pero la contención técnica en mitad de la noche corresponde a un servicio de respuesta a incidentes o al MSSP. Lo que sí debe existir desde el primer mes es un documento de una página con quién llama a quién, en qué orden y con qué teléfonos.

¿Hay permanencia o se puede parar el servicio?

La parte de diagnóstico y plan inicial tiene sentido como proyecto cerrado; a partir de ahí, el seguimiento suele contratarse por periodos renovables. Lo relevante al salir no es el plazo de preaviso, sino que la documentación (plan, análisis de riesgos, inventario, actas) quede en poder de la empresa y en un formato editable, no en herramientas del proveedor a las que pierdas acceso al terminar.