Lo m\u00e1s importante en resumen<\/p>\n
- \n
- Es delegable el trabajo especializado:<\/strong> Un vCISO puede asumir la estrategia, la construcci\u00f3n del ISMS, el an\u00e1lisis de riesgos, la preparaci\u00f3n de auditor\u00edas y el reporting. Como t\u00e9rmino de mercado, el rol no est\u00e1 definido en la ley.<\/li>\n
- No es delegable la obligaci\u00f3n del \u00f3rgano:<\/strong> El p\u00e1rrafo 38 BSIG obliga a la direcci\u00f3n de las entidades especialmente importantes e importantes a implementar las medidas de riesgo y supervisar su implementaci\u00f3n. Tambi\u00e9n la propia formaci\u00f3n permanece en la direcci\u00f3n.<\/li>\n
- El texto literal cuenta:<\/strong> La ley alemana habla de implementar y supervisar. El requisito de aprobaci\u00f3n proviene del art\u00edculo 20 de la directiva NIS2. Quien mezcla ambos cita en la auditor\u00eda la norma incorrecta.<\/li>\n
- El modelo falla en la interfaz:<\/strong> Sin un ancla interna, una escalada clara y un plan de offboarding, de la experiencia externa surge un vac\u00edo de gobernanza que se detecta en la auditor\u00eda.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/span>Qu\u00e9 derechos de decisi\u00f3n del CISO deben regularse por escrito<\/a> \/<\/span> Por qu\u00e9 el certificado ISO no basta al BSI por s\u00ed solo<\/a><\/p>\n
Qu\u00e9 proporciona un vCISO y qu\u00e9 no regula el t\u00e9rmino de mercado<\/h2>\n
\u00bfQu\u00e9 es un vCISO?<\/strong> Un vCISO o CISO-as-a-Service es la ocupaci\u00f3n externa de la funci\u00f3n CISO por un proveedor de servicios, generalmente mediante un contingente mensual o por tarifa diaria en lugar de en una contrataci\u00f3n fija. Asume la direcci\u00f3n estrat\u00e9gica de la seguridad de la informaci\u00f3n a nivel directivo, sin formar parte de la direcci\u00f3n.<\/p>\n
En la pr\u00e1ctica, el mandato cubre un claro espectro de tareas. El vCISO construye el sistema de gesti\u00f3n de la seguridad de la informaci\u00f3n o lo desarrolla ulteriormente, redacta directrices, realiza an\u00e1lisis de riesgos y prepara auditor\u00edas tanto internas como externas. A ello se a\u00f1aden conceptos de sensibilizaci\u00f3n, playbooks de incidentes y el reporting regular a la direcci\u00f3n. Como orientaci\u00f3n aproximada sin norma fija, el alcance se sit\u00faa entre medio y unos pocos d\u00edas-persona al mes, facturado como tarifa plana o por esfuerzo. No existen precios de mercado fijos; las indicaciones de los proveedores var\u00edan considerablemente.<\/p>\n
Importante es la distinci\u00f3n conceptual. El delegado externo de seguridad de la informaci\u00f3n opera el ISMS de manera operativa, el vCISO dirige estrat\u00e9gicamente a nivel de direcci\u00f3n. En empresas peque\u00f1as esto se difumina, porque una persona lleva ambos sombreros. Para la gobernanza no cuenta el t\u00edtulo, sino el perfil de tareas y la cuesti\u00f3n de qui\u00e9n responde en \u00faltima instancia ante la autoridad de supervisi\u00f3n.<\/p>\n
P\u00e1rrafo 38 BSIG: Lo que la direcci\u00f3n no puede comprar<\/h2>\n
La nueva BSIG est\u00e1 vigente desde el 6 de diciembre de 2025 y ha sustituido la antigua versi\u00f3n de 2009. Para la cuesti\u00f3n de los roles, el p\u00e1rrafo 38 es la palanca decisiva. Obliga a las direcciones de las entidades especialmente importantes e importantes a implementar las medidas de gesti\u00f3n de riesgos que deben adoptarse conforme al p\u00e1rrafo 30 y a supervisar su implementaci\u00f3n. El p\u00e1rrafo 30 enumera las diez medidas m\u00ednimas, desde el an\u00e1lisis de riesgos, pasando por la criptograf\u00eda, hasta la seguridad de la cadena de suministro.<\/p>\n
En este punto merece la pena un examen preciso del texto literal. La ley alemana habla de implementar y supervisar. El concepto de aprobar, que utilizan muchos comentarios, proviene del art\u00edculo 20 de la directiva NIS2 y se refiere al ingl\u00e9s \u00abapprove\u00bb. El legislador ha formulado, por tanto, de forma conscientemente m\u00e1s fuerte que la norma europea. Implementar significa m\u00e1s que consentir: La direcci\u00f3n debe procurar que las medidas se introduzcan y operen de forma efectiva con recursos y anclaje interno. Mantiene permanentemente bajo observaci\u00f3n su efectividad. Un proveedor externo puede preparar esto. La responsabilidad recae en la direcci\u00f3n.<\/p>\n
Dos p\u00e1rrafos adicionales clarifican el l\u00edmite de la delegaci\u00f3n. El p\u00e1rrafo 38 apartado 2 vincula una violaci\u00f3n culpable del deber con la responsabilidad de los miembros de la direcci\u00f3n frente a la propia entidad, de acuerdo con las normas del derecho de sociedades aplicable. Y el apartado 3 exige que los miembros de la direcci\u00f3n participen regularmente de forma personal en formaciones para poder reconocer y evaluar los riesgos cibern\u00e9ticos. La ejecuci\u00f3n puede ser asumida por un externo, pero la participaci\u00f3n de los \u00f3rganos sigue siendo obligatoria. Un vCISO puede impartir formaciones, pero no puede sustituir la participaci\u00f3n. Quien crea que con el retainer se ha externalizado el cumplimiento normativo, ha pasado por alto el n\u00facleo de la norma.<\/p>\n
La distribuci\u00f3n de roles: externo operativo, interno responsable<\/h2>\n
La divisi\u00f3n limpia sigue una l\u00ednea sencilla. Todo lo que constituye trabajo especializado puede desplazarse al exterior. Todo lo que afecta a decisiones, asignaci\u00f3n de recursos y acreditaci\u00f3n de la supervisi\u00f3n permanece dentro. La siguiente tabla asigna las tareas t\u00edpicas.<\/p>\n
\n - No es delegable la obligaci\u00f3n del \u00f3rgano:<\/strong> El p\u00e1rrafo 38 BSIG obliga a la direcci\u00f3n de las entidades especialmente importantes e importantes a implementar las medidas de riesgo y supervisar su implementaci\u00f3n. Tambi\u00e9n la propia formaci\u00f3n permanece en la direcci\u00f3n.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ciso-mandat-entscheidungsrechte-eskalation-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/nis2-despues-del-plazo-comienza-la-supervision-del-bsi-cover-es-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/nis2-compliance-mittelstand-umsetzung-praxis-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>