CISO interno vs vCISO externo: cuándo encaja cada uno y cómo combinarlos sin pagar de más

Un vCISO (virtual CISO) es un profesional senior que asume las funciones de CISO en una empresa que no necesita o no puede costear un CISO interno a tiempo completo. Trabaja a tiempo parcial (típicamente 2-8 días al mes), aporta experiencia equivalente a un CISO con 10-20 años de recorrido, y mantiene continuidad con el comité de dirección, la operación de seguridad y los reguladores. No es un consultor que entra y sale: es una figura permanente con presencia parcial.

Un CISO interno con experiencia relevante para sector regulado parte de 90-140 mil euros/año en salario bruto en España, sin contar variable, beneficios y carga social. El coste total empleado suele rondar 130-200 mil euros/año. Un vCISO con dedicación de 4-8 días/mes ronda 40-90 mil euros/año, sin carga social ni beneficios. La diferencia económica es real, pero los modelos no son comparables uno a uno: cubren niveles de dedicación distintos.

El sweet spot está entre 50 y 1.500 empleados, especialmente en sectores regulados (financiero, sanidad, AAPP, industria crítica, SaaS B2B). Empresas más pequeñas suelen ir con consultoría puntual; más grandes habitualmente justifican un CISO interno por volumen de operación. El vCISO también encaja como puente: empresas en crecimiento que aún no tienen masa para CISO interno pero ya tienen obligaciones regulatorias.

Ninguno de los dos marcos exige nombre de figura concreta. NIS2 (artículo 20) responsabiliza al órgano de dirección y exige que haya personas con capacidad y conocimiento para cumplir las obligaciones. DORA (artículos 5-6) exige función de gestión de riesgo TIC con independencia y competencia. Un vCISO con la dedicación adecuada y trazabilidad documental cubre ambos requisitos. Lo que sí exigen es que la figura tenga acceso al comité, autoridad para decidir y disponibilidad real ante incidentes.

El riesgo principal es la falta de presencia diaria. Un CISO interno absorbe contexto, conversaciones de pasillo y dinámicas internas que un vCISO no ve. Para mitigarlo el modelo más sólido es híbrido: vCISO al mando, gerente o responsable interno (junior o medio) como su brazo operativo. El vCISO aporta seniority, gobierno y relación con dirección; el responsable interno garantiza presencia y ejecución diaria.

Lo razonable es un acuerdo de servicio con: roadmap a 12-18 meses con hitos trimestrales, asistencia a comité de dirección con cadencia mensual o bimensual, gobierno documentado (políticas, mapas de riesgos, plan de auditoría), disponibilidad ante incidentes con SLA de respuesta, y reporting cuantitativo de avance. La medida no es 'horas de vCISO' sino entrega de objetivos: certificaciones cerradas, riesgos remediados, evidencia regulatoria producida.

Hay tres señales: cuando la empresa cruza los 1.500-2.000 empleados, cuando el área de seguridad supera 10-12 personas en plantilla, o cuando aparece una operación que exige presencia diaria sostenida (M&A activa, transformación cloud profunda, expansión internacional regulada). Un vCISO bien negociado ayuda en la transición: prepara el perfil, participa en la selección y hace handover ordenado.

Empezamos con una sesión de diagnóstico (1-2 días) que cubre madurez actual, obligaciones regulatorias, prioridades del consejo y dependencias técnicas. De ahí sale un roadmap inicial y un acuerdo de dedicación realista. Tras los primeros 90 días hacemos checkpoint con el comité para validar foco y ajustar lo que haga falta. El servicio se renueva por compromisos anuales con cláusulas de salida claras.