CISO-Vertrag: Aufgaben, Haftung und rechtliche Fallstricke

Autor: Rechtsanwalt Dr. Marc Maisch / Headerbild: KI-generiert

Ein CISO-Vertrag regelt, wie ein interner oder externer Chief Information Security Officer die Informationssicherheit eines Unternehmens steuert und welche Rechte, Pflichten und Haftungsgrenzen dabei gelten. Immer mehr Unternehmen besetzen 2026 diese Rolle, weil NIS2, DORA und die DSGVO die Informationssicherheit zur Chefsache machen. Wer die Position extern besetzt, sollte den zugrunde liegenden Vertrag genau prüfen. Als Fachanwalt für IT-Recht und Datenschutzbeauftragter begleitet Dr. Marc Maisch Unternehmen bei der rechtssicheren Gestaltung solcher Verträge und kläre Haftungsfragen, bevor es zum Ernstfall kommt.

Was ist ein sogenannter CISO?

Ein CISO ist der Chief Information Security Officer eines Unternehmens. Er verantwortet die Informationssicherheit auf Managementebene. Er entwickelt die Sicherheitsstrategie, steuert Cyberrisiken und berichtet an Geschäftsführung oder Vorstand. Anders als ein IT-Security-Manager berichtet der CISO meist direkt an die Unternehmensleitung und nicht an die IT-Abteilung. Diese organisatorische Unabhängigkeit ist wichtig, weil der CISO auch die IT-Abteilung kontrollieren soll.

Praxisbeispiel: Ein mittelständischer Maschinenbauer stellt fest, dass die IT-Abteilung Sicherheitsvorfälle bislang intern regelt, ohne die Geschäftsführung einzubinden. Ein CISO mit direkter Berichtslinie an den Vorstand schafft hier Transparenz und eine klare Eskalationskette.

Welche Aufgaben hat ein CISO im Unternehmen?

Der CISO übernimmt mehrere Kernaufgaben. Er entwickelt und pflegt die Informationssicherheitsstrategie. Er identifiziert und bewertet Cyberrisiken und Bedrohungsszenarien. Er koordiniert die Vorbereitung auf Audits und regulatorische Prüfungen, etwa nach NIS2, DORA, der DSGVO oder ISO 27001. Er baut Prozesse für Incident Response und Business Continuity auf. Er berichtet regelmäßig an das Management und bereitet Entscheidungsvorlagen für priorisierte Sicherheitsmaßnahmen vor.

Praxisbeispiel: Nach einem Phishing-Vorfall erstellt der CISO eines Logistikunternehmens innerhalb von 24 Stunden einen Bericht für die Geschäftsführung. Der Bericht beschreibt die Schwachstelle und schlägt drei priorisierte Maßnahmen vor.

Warum wird die CISO-Rolle 2026 so wichtig?

Seit Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es verpflichtet rund 29.500 Unternehmen aus 18 Sektoren zu strukturiertem Risikomanagement, Meldepflichten und einer Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Die verlängerte Registrierungsfrist läuft am 31. Juli 2026 aus. Artikel 20 der NIS2-Richtlinie verlangt zudem, dass die Geschäftsleitung Risikomanagementmaßnahmen billigt und deren Umsetzung überwacht. Diese Verantwortung lässt sich nicht vollständig auf einen CISO delegieren. Die Geschäftsleitung bleibt in der Pflicht, auch wenn sie die operative Umsetzung outsourct.

Praxisbeispiel: Ein Unternehmen aus dem Energiesektor beauftragt einen externen CISO mit der Umsetzung der NIS2-Anforderungen. Die Geschäftsführung lässt sich dennoch regelmäßig Bericht erstatten, weil die Aufsichtspflicht bei ihr verbleibt.

Interner CISO oder CISO als Service?

Nicht jedes Unternehmen kann oder will einen CISO fest anstellen. Der Markt für qualifizierte CISOs ist knapp, weltweit stehen nach Branchenschätzungen rund 35.000 CISOs Millionen von Unternehmen gegenüber. Deshalb setzen viele Unternehmen auf einen externen CISO im Teilzeit- oder Projektmodell, oft „CISO as a Service“ genannt. Der externe CISO übernimmt die gleichen Aufgaben wie ein interner CISO, ist aber vertraglich und nicht arbeitsrechtlich gebunden. Das schafft Flexibilität, verändert aber auch die Haftungslage erheblich.

Was regelt ein CISO-Vertrag rechtlich?

Ein CISO-Vertrag ist meist ein Dienstvertrag nach §§ 611 ff. BGB. Der CISO schuldet die sorgfältige Erbringung seiner Leistungen, nicht einen bestimmten Erfolg. Ein bestimmtes Sicherheitsniveau kann er nicht garantieren, weil sich Bedrohungslagen ständig ändern. Ein Werkvertrag passt dagegen nur, wenn ein konkretes Ergebnis geschuldet wird, etwa ein einzelner Prüfbericht mit festgelegtem Inhalt.

Zentrale Regelungspunkte eines CISO-Vertrags sind der Leistungsumfang, die Haftung, die Vertraulichkeit, der Datenschutz, die Vergütung und die Kündigung.

Leistungsumfang und Mitwirkungspflichten

Der Vertrag sollte den Leistungsumfang konkret in einer Anlage beschreiben, etwa Governance, Risikomanagement, Compliance-Vorbereitung und Reporting. Zugleich muss der Auftraggeber mitwirken. Er stellt Informationen, Systemzugänge und einen Ansprechpartner bereit. Ohne diese Mitwirkung kann der CISO seine Aufgaben nicht erfüllen.

Wer haftet?

Ein externer CISO haftet grundsätzlich für Vorsatz und grobe Fahrlässigkeit unbeschränkt. Bei leichter Fahrlässigkeit lässt sich die Haftung vertraglich auf den vorhersehbaren, vertragstypischen Schaden begrenzen, außer bei Verletzung von Leben, Körper oder Gesundheit. Diese Haftungsbegrenzung ist in der Praxis wichtig, weil ein einzelner Sicherheitsvorfall schnell hohe Schäden verursachen kann. Eine Berufshaftpflichtversicherung ist für externe CISOs deshalb unverzichtbar.

Vertraulichkeit und Datenschutz

Der CISO erhält Zugang zu sensiblen Informationen über Schwachstellen und interne Abläufe. Der Vertrag sollte deshalb weitreichende Vertraulichkeitspflichten enthalten, die auch nach Vertragsende fortgelten. Verarbeitet der CISO personenbezogene Daten nach Weisung des Auftraggebers im Umfang einer Auftragsverarbeitung, brauchen die Parteien zusätzlich einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Vergütung und Laufzeit

Externe CISOs rechnen meist über eine monatliche Pauschale ab, ein sogenanntes Retainer-Modell. Zusätzliche Leistungen werden nach Stunden- oder Tagessätzen vergütet. Der Vertrag läuft meist auf unbestimmte Zeit mit einer Kündigungsfrist von mehreren Monaten, weil sich Informationssicherheit nicht von heute auf morgen aufbauen lässt.

Wie sieht ein CISO-Dienstleistungsvertrag aus?

Das folgende Muster zeigt die typische Struktur eines Vertrags über die Erbringung von Leistungen als externer CISO. Es orientiert sich an einem Dienstvertrag nach §§ 611 ff. BGB und deckt die oben beschriebenen Regelungspunkte ab.

Wichtiger Hinweis: Dieses Muster dient ausschließlich als Orientierung für die Vertragsgestaltung. Es ersetzt keine individuelle anwaltliche Beratung, weil jedes Unternehmen abweichende Anforderungen an Leistungsumfang, Haftung und Datenschutz hat. Vor der Verwendung sollte ein Rechtsanwalt das Muster prüfen und an die konkrete Situation anpassen.

Dienstleistungsvertrag über die Erbringung von Leistungen als externer Chief Information Security Officer (CISO)

zwischen

[Firma des Dienstleisters]

[Straße, Hausnummer], [PLZ Ort], vertreten durch die Geschäftsführung

(nachfolgend „CISO“ oder „Auftragnehmer“)

und

[Firma des Auftraggebers]

[Straße, Hausnummer], [PLZ Ort], vertreten durch [Name, Funktion]

(nachfolgend „Auftraggeber“)

(CISO und Auftraggeber nachfolgend gemeinsam die „Parteien“)

Präambel

Der Auftraggeber ist ein Unternehmen oder eine Behörde, das beziehungsweise die die Rolle des Chief Information Security Officer nicht durch eigenes festangestelltes Personal, sondern durch einen externen Dienstleister wahrnehmen lassen möchte. Der CISO stellt erfahrene Cyber-Security-Expertise auf Management- und Executive-Ebene bereit und unterstützt den Auftraggeber dabei, Cyberrisiken zu steuern, regulatorische Anforderungen zu erfüllen und die Resilienz nachhaltig zu stärken. Die Leistungen folgen dem Grundgedanken, das Wesentliche zu schützen (Protect), Risiken zu erkennen (Detect), deren Auswirkungen zu bewerten (Analyze) und im Ereignisfall handlungsfähig zu bleiben (Respond). Dies vorausgeschickt, vereinbaren die Parteien Folgendes:

§ 1 Vertragsgegenstand und Leistungsbeschreibung

(1) Der CISO erbringt für den Auftraggeber Leistungen als externer Chief Information Security Officer. Gegenstand der Leistung ist die sorgfältige fachliche Beratung, Steuerung und Unterstützung des Auftraggebers in Fragen der Informations- und Cybersicherheit nach Maßgabe der als Anlage 1 beigefügten Leistungsbeschreibung.

(2) Dieser Vertrag ist ein Dienstvertrag im Sinne der §§ 611 ff. BGB. Der CISO schuldet die fachgerechte und sorgfältige Erbringung der vereinbarten Beratungs- und Unterstützungsleistungen, nicht jedoch einen bestimmten Erfolg. Insbesondere wird weder das Erreichen eines bestimmten Sicherheitsniveaus oder Reifegrads noch die Abwehr oder Verhinderung konkreter Sicherheitsvorfälle geschuldet. Bewertungen, Analysen und Empfehlungen des CISO stellen eine Momentaufnahme auf Grundlage der zum jeweiligen Zeitpunkt verfügbaren Informationen dar, da sich die Bedrohungslage und die tatsächlichen Verhältnisse laufend verändern können. Eine Abnahme im Sinne des Werkvertragsrechts findet nicht statt.

(3) Soweit der CISO zusätzlich eigene Allgemeine Geschäftsbedingungen verwendet, werden diese als Anlage 3 beigefügt. Bei Widersprüchen zwischen den Regelungen dieses Vertrages einschließlich seiner Anlagen und etwaigen Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrages vor.

(4) Der Auftragnehmer weist darauf hin, dass er keine Rechtsberatung bzgl. der Einhaltung von Gesetzen (Compliance) schuldet und empfiehlt in Zweifelsfällen, einen Rechtsanwalt beizuziehen.

§ 2 Beauftragung, Leistungsabruf und Änderungen

(1) Dieser Vertrag bildet den Rahmen für die laufende Erbringung der CISO-Leistungen. Der konkrete Leistungsumfang ergibt sich aus dem vereinbarten Leistungspaket gemäß Anlage 1 sowie aus den in Textform abgestimmten Einzelaufträgen, Aufgabenpaketen oder Projektbeschreibungen.

(2) Über den vereinbarten Leistungsumfang hinausgehende Leistungen werden gesondert in Textform abgestimmt. Der CISO bestätigt die Beauftragung in Textform, etwa per E-Mail. Der CISO ist nicht verpflichtet, kurzfristige oder über den vereinbarten Umfang hinausgehende Anfragen anzunehmen.

(3) Soweit dieser Vertrag nichts Abweichendes bestimmt, gelten seine Regelungen für jeden Einzelauftrag entsprechend.

(4) Änderungswünsche des Auftraggebers oder eine Erweiterung des Leistungsumfangs können in Textform vereinbart werden und werden vom CISO in Textform bestätigt. Der CISO wird darin etwaige Veränderungen der Vergütungsvereinbarung mitteilen und die Abrechnung anpassen.

§ 3 Art und Durchführung der Leistungen

(1) Der CISO erbringt seine Leistungen auf Grundlage der vom Auftraggeber bereitgestellten Informationen, Unterlagen, Systemzugänge und Auskünfte sowie nach fachlich anerkannten Methoden und Standards der Informationssicherheit.

(2) Die Auswahl der konkreten Methoden, Bewertungsmaßstäbe und Vorgehensweisen obliegt dem CISO nach pflichtgemäßem Ermessen im Rahmen der Weisungen des Auftraggebers und des vereinbarten Leistungsumfangs.

(3) Der CISO wendet keine Mittel an, die einen unbefugten Zugriff auf geschützte Systeme oder Daten erfordern. Technische Prüfungen, die in die Systeme des Auftraggebers eingreifen, etwa Penetrationstests oder aktive Schwachstellenscans, sind nur dann Gegenstand dieses Vertrages, wenn sie gesondert in Textform vereinbart und vom Auftraggeber ausdrücklich freigegeben werden.

(4) Der CISO nimmt eine beratende und unterstützende Funktion wahr. Entscheidungs- und Weisungsbefugnisse gegenüber Mitarbeitenden des Auftraggebers sowie die Letztverantwortung für die Umsetzung von Maßnahmen verbleiben beim Auftraggeber, soweit nicht im Einzelfall ausdrücklich etwas anderes vereinbart wird. Der CISO wird nicht in den Betrieb des Auftraggebers eingegliedert und unterliegt keinen Weisungen, die seine fachliche Unabhängigkeit oder seine freie Zeiteinteilung über das für die Leistungserbringung erforderliche Maß hinaus einschränken.

(5) Die Leistung gilt als erbracht, wenn die jeweiligen Feststellungen, Analysen, Empfehlungen oder Berichte dem Auftraggeber zugegangen sind. Ob und wie der Auftraggeber die Ergebnisse umsetzt, ist für die ordnungsgemäße Leistungserbringung unerheblich.

§ 4 Mitwirkung des Auftraggebers

(1) Der Auftraggeber stellt dem CISO alle für die ordnungsgemäße Leistungserbringung erforderlichen Angaben, Unterlagen, Systemzugänge und Credentials und sonstigen Informationen vollständig und inhaltlich richtig sowie rechtzeitig zur Verfügung. Während der Auftragsdurchführung eintretende Änderungen teilt er dem CISO unverzüglich in Textform mit.

(2) Der Auftraggeber benennt einen verantwortlichen Ansprechpartner mit der erforderlichen Entscheidungskompetenz und stellt sicher, dass der CISO bei Bedarf Zugang zu den relevanten Fachbereichen, Verantwortlichen und Systemen erhält.

(3) Der Auftraggeber stellt sicher, dass die Bereitstellung von Informationen und Zugängen an den CISO sowie deren Auswertung auf einer wirksamen Rechtsgrundlage erfolgt und etwaige Mitbestimmungs- und Beteiligungsrechte gewahrt werden.

(4) Soweit eine ordnungsgemäße Mitwirkung des Auftraggebers ausbleibt, ist der CISO für daraus entstehende Verzögerungen oder Beeinträchtigungen der Leistungserbringung nicht verantwortlich.

§ 5 Datenschutz

(1) Soweit der CISO im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers verarbeitet, sind beide Parteien jeweils verantwortliche Stellen. Für den Fall, dass die Datenverarbeitung als Auftragsverarbeitung im Sinne von Art. 28 DSGVO bewertet werden sollte, weil entsprechende Tätigkeiten beauftragt werden (z. B. IT-Fernwartung), die über eine Beratung oder Prüferrolle hinausgehen, werden die Parteien einen gesonderten Auftragsverarbeitungsvertrag vereinbaren. Soweit dieser datenschutzrechtliche Pflichten regelt, geht er diesem Vertrag vor.

(2) Der Auftraggeber verantwortet das Vorliegen einer wirksamen Rechtsgrundlage für die jeweilige Verarbeitung sowie die Erfüllung der ihm obliegenden datenschutzrechtlichen Pflichten, insbesondere der Informationspflichten gegenüber betroffenen Personen.

(3) Der CISO verpflichtet sich, personenbezogene Daten, von denen er im Rahmen der Leistungserbringung Kenntnis erlangt, vertraulich zu behandeln und ausschließlich für die vereinbarten Zwecke zu verwenden.

(4) Der CISO unterstützt den Auftraggeber im Rahmen des vereinbarten Leistungsumfangs bei der organisatorischen und technischen Umsetzung der Informationssicherheit. Eine rechtliche Bewertung datenschutzrechtlicher Fragestellungen ist nicht Gegenstand dieses Vertrages und bleibt dem Auftraggeber sowie dessen rechtlichen Beratern vorbehalten.

§ 6 Leistungsbereiche, Berichterstattung und Verwendung der Ergebnisse

(1) Der CISO erbringt nach Maßgabe des vereinbarten Leistungspakets folgende Leistungen, die ggf. in Anlage 1 weiter konkretisiert werden:

a) Strategische Führung und Governance: Übernahme der Rolle des externen CISO mit klarer Governance, Risikosteuerung und Abstimmung mit dem Management.

b) Risikomanagement und Analysen: Identifikation, Bewertung und Priorisierung von Cyberrisiken und relevanten Bedrohungsszenarien im Unternehmen des Auftraggebers.

c) Compliance- und Audit-Readiness: organisatorische und sicherheitsfachliche Unterstützung bei der Ausrichtung an regulatorischen Anforderungen, etwa NIS2, DORA, DSGVO und ISO 27001, sowie bei der Vorbereitung auf Audits, Due-Diligence-Prüfungen und regulatorische Prüfungen.

d) Resilienz und Incident Readiness: Entwicklung und Verbesserung von Prozessen für Incident Response und Business Continuity sowie Unterstützung bei Incident Response und Disaster Recovery.

e) Reporting und Kommunikation: Board- und Management-Reporting mit klaren Empfehlungen und priorisierten Maßnahmen.

(2) Der CISO stellt dem Auftraggeber im Rahmen des vereinbarten Umfangs Ergebnisse insbesondere in Form einer umfassenden Risikoanalyse, einer Security-Maturity-Bewertung, eines priorisierten Maßnahmenprogramms sowie in Form von Board-tauglichen Berichten, Management-Briefings und Executive-Summaries einschließlich konkreter Handlungsempfehlungen bereit. Die Berichte werden auf Wunsch in deutscher oder englischer Sprache erstellt.

(3) Der Auftraggeber teilt dem CISO in Textform mit, an welche Empfangspersonen die Berichte zu übermitteln sind und welcher Grad der Vertraulichkeit dabei einzuhalten ist.

(4) Der CISO schuldet keine Rechtsberatung, insbesondere nicht im Datenschutz-, Aufsichts- oder Arbeitsrecht. Hinweise des CISO auf regulatorische Rahmenwerke wie NIS2, DORA, DSGVO oder ISO 27001 erfolgen ausschließlich aus sicherheitsfachlicher und organisatorischer Sicht und ersetzen keine rechtliche Prüfung. Die rechtliche Bewertung und die rechtliche Beratung bleiben dem Auftraggeber und dessen Rechtsberatern vorbehalten.

(5) Die Entscheidung über die Umsetzung von Empfehlungen sowie alle hierauf beruhenden unternehmerischen Entscheidungen trifft allein der Auftraggeber in eigener Verantwortung.

(6) Der Auftraggeber verwendet die Ergebnisse ausschließlich für eigene interne Zwecke und gibt sie ohne vorherige schriftliche Zustimmung des CISO nicht an Dritte weiter.

§ 7 Vergütung und Zahlung

(1) Die Vergütung richtet sich nach dem vereinbarten Leistungspaket. Die Leistungen werden in der Regel als monatliche Pauschalvergütung (Retainer) auf Grundlage des im Angebot festgelegten Pakets erbracht, das sich nach Aufwandsumfang und Reifegrad richtet. Der vereinbarte monatliche Betrag sowie der zugehörige Leistungsumfang ergeben sich aus Anlage 1 beziehungsweise dem zugrunde liegenden Angebot.

(2) Über die Pauschalvergütung hinausgehende Leistungen werden gesondert nach den vereinbarten Stunden- oder Tagessätzen abgerechnet. Die Vergütung versteht sich zuzüglich Auslagen und gesetzlicher Umsatzsteuer.

(3) Soweit nichts anderes vereinbart ist, sind Rechnungen des CISO innerhalb von vierzehn Tagen nach Rechnungserhalt ohne Abzug zur Zahlung fällig.

§ 8 Vertraulichkeit

(1) Die Parteien behandeln alle im Rahmen dieses Vertrages bekannt gewordenen vertraulichen Informationen der jeweils anderen Partei vertraulich und verwenden sie nicht für vertragsfremde Zwecke. Diese Verpflichtung besteht auch nach Beendigung des Vertrages fort.

(2) Der CISO wird über sicherheitsrelevante Informationen, Schwachstellen und interne Verhältnisse des Auftraggebers Stillschweigen bewahren und diese ausschließlich im Rahmen der Leistungserbringung verwenden.

(3) Der Auftraggeber gibt die vom CISO angewendeten Arbeitstechniken sowie die dadurch gewonnenen Informationen, Erkenntnisse und Ergebnisse nicht ohne vorherige Einwilligung des CISO an Dritte weiter.

§ 9 Haftung

(1) Der CISO haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, die auf einer vorsätzlichen oder fahrlässigen Pflichtverletzung des CISO oder einer vorsätzlichen oder fahrlässigen Pflichtverletzung eines gesetzlichen Vertreters oder Erfüllungsgehilfen des CISO beruhen.

(2) Für sonstige Schäden haftet der CISO unbeschränkt bei Vorsatz und grober Fahrlässigkeit.

(3) Bei leicht fahrlässiger Verletzung einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Vertragspartner regelmäßig vertrauen darf (wesentliche Vertragspflicht beziehungsweise Kardinalpflicht), ist die Haftung des CISO auf den vertragstypischen, vorhersehbaren Schaden begrenzt.

(4) Im Übrigen ist die Haftung des CISO für leichte Fahrlässigkeit ausgeschlossen.

(5) Die Haftung nach dem Produkthaftungsgesetz bleibt von den vorstehenden Regelungen unberührt.

§ 10 Laufzeit und Kündigung

(1) Der Vertrag beginnt mit seiner Unterzeichnung durch beide Parteien und wird auf unbestimmte Zeit geschlossen.

(2) Der Vertrag kann von jeder Partei mit einer Frist von [drei] Monaten zum Monatsende ordentlich gekündigt werden. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Kündigungen bedürfen der Textform.

(3) Bereits erteilte und bestätigte Einzelaufträge werden durch die Beendigung des Rahmenvertrages nicht berührt und nach den Bestimmungen dieses Vertrages abgewickelt.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. Dies gilt auch für die Änderung dieser Klausel. Individuelle Vertragsabreden haben Vorrang (§ 305b BGB).

(2) Es gilt ausschließlich das Recht der Bundesrepublik Deutschland.

(3) Erfüllungsort und Gerichtsstand ist [Ort].

(4) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hiervon nicht berührt. An die Stelle der unwirksamen Bestimmung tritt eine rechtlich zulässige Regelung, die dem wirtschaftlich Gewollten am nächsten kommt.

(5) Bestandteil dieses Vertrages sind die folgenden Anlagen:

Anlage 1: Leistungsbeschreibung CISO-Leistungsmodule;

Anlage 2: Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO (gesondertes Dokument, soweit erforderlich);

Anlage 3: Allgemeine Geschäftsbedingungen des CISO (gesondertes Dokument, soweit vorhanden).

Anlage 1: Leistungsbeschreibung CISO-Leistungsmodule

Der konkrete Leistungsumfang wird aus den nachstehenden Modulen festgelegt. Eine Vollständigkeit oder das Erreichen eines bestimmten Sicherheitsniveaus wird nicht geschuldet (§ 1 Abs. 2 des Vertrages).

Strategische Führung und Governance: Übernahme der Rolle des externen CISO, Etablierung einer klaren Governance-Struktur, Risikosteuerung und laufende Abstimmung mit dem Management.

Risikomanagement und Analysen: Identifikation, Bewertung und Priorisierung von Cyberrisiken sowie Bewertung relevanter Bedrohungsszenarien, einschließlich umfassender Risikoanalyse und Security-Maturity-Bewertung.

Praxisnahe Roadmap: Erstellung eines priorisierten Maßnahmenprogramms mit messbarer Wirkung.

Compliance- und Audit-Readiness: organisatorische und sicherheitsfachliche Ausrichtung an Anforderungen wie NIS2, DORA, DSGVO und ISO 27001 sowie Vorbereitung auf Audits, Due-Diligence- und regulatorische Prüfungen.

Resilienz und Incident Readiness: Entwicklung und Verbesserung von Prozessen für Incident Response und Business Continuity sowie Unterstützung bei Incident Response und Disaster Recovery.

Reporting und Kommunikation: Board- und Management-Reporting, Management-Briefings und Executive-Summaries mit klaren Empfehlungen und priorisierten Maßnahmen, auf Wunsch in deutscher oder englischer Sprache.

Vereinbartes Leistungspaket: ________________________________________________

Monatliche Vergütung (Retainer): ____________________ zuzüglich Auslagen und Umsatzsteuer

Sonstige Vereinbarungen: ________________________________________________

Fazit

Die CISO-Rolle wird 2026 zur Pflichtaufgabe für immer mehr Unternehmen, ob intern besetzt oder extern eingekauft. Entscheidend ist ein Vertrag, der Leistungsumfang, Haftung, Vertraulichkeit und Datenschutz klar regelt. Als Fachanwalt für IT-Recht, Datenschutzbeauftragter und Spezialist für Cybercrime berate ich Unternehmen bei der Besetzung und vertraglichen Absicherung der CISO-Rolle, von der Vertragsgestaltung bis zur Klärung von Haftungsfragen im Ernstfall.

FAQ

Was ist ein CISO-Vertrag?

Ein CISO-Vertrag regelt die Zusammenarbeit zwischen einem Unternehmen und einem internen oder externen Chief Information Security Officer. Er legt den Leistungsumfang, die Vergütung, die Haftung, die Vertraulichkeit und die Kündigungsfristen fest. Bei externen CISOs handelt es sich meist um einen Dienstvertrag nach §§ 611 ff. BGB, weil eine sorgfältige Tätigkeit und kein bestimmter Erfolg geschuldet wird.

Ist ein CISO-Vertrag ein Dienstvertrag oder ein Werkvertrag?

Ein CISO-Vertrag ist in der Regel ein Dienstvertrag. Der CISO schuldet die sorgfältige Erbringung seiner Beratungs- und Steuerungsleistungen, nicht ein bestimmtes Sicherheitsniveau oder Ergebnis. Ein Werkvertrag kommt nur infrage, wenn ein konkretes, abgrenzbares Ergebnis vereinbart wird, etwa ein einzelner schriftlicher Prüfbericht mit festgelegtem Inhalt.

Wer haftet, wenn der externe CISO einen Fehler macht?

Der externe CISO haftet für Vorsatz und grobe Fahrlässigkeit unbeschränkt. Bei leichter Fahrlässigkeit lässt sich die Haftung vertraglich begrenzen, außer bei Schäden an Leben, Körper oder Gesundheit. Die Geschäftsleitung des Auftraggebers bleibt trotz Beauftragung eines externen CISO für die Überwachung der Risikomanagementmaßnahmen selbst verantwortlich, etwa nach Artikel 20 der NIS2-Richtlinie.

Muss jedes Unternehmen einen CISO haben?

Nein, eine generelle CISO-Pflicht gibt es nicht. Das NIS2-Umsetzungsgesetz verpflichtet aber rund 29.500 Unternehmen aus 18 Sektoren zu einem strukturierten Risikomanagement für Informationssicherheit. In der Praxis lässt sich diese Pflicht ohne eine verantwortliche Person wie einen CISO kaum erfüllen. Auch regulierte Branchen wie Finanzdienstleister verlangen über DORA vergleichbare Strukturen.

Was kostet ein externer CISO?

Die Kosten richten sich nach dem vereinbarten Leistungspaket und Zeitumfang. Üblich ist eine monatliche Pauschalvergütung, ein sogenanntes Retainer-Modell, das sich nach Aufwand und Reifegrad des Unternehmens richtet. Zusätzliche Projekte werden meist nach Stunden- oder Tagessätzen abgerechnet. Die genaue Höhe hängt von Erfahrung, Branche und Umfang der Aufgaben ab.

Was gehört in einen CISO-Vertrag?

Ein CISO-Vertrag sollte den Leistungsumfang in einer Anlage konkret beschreiben, die Mitwirkungspflichten des Auftraggebers regeln und Haftungsgrenzen festlegen. Wichtig sind außerdem Vertraulichkeitsklauseln, Regelungen zum Datenschutz einschließlich einer möglichen Auftragsverarbeitung sowie klare Vorgaben zu Vergütung, Laufzeit und Kündigung.

Ersetzt ein Mustervertrag die individuelle anwaltliche Beratung?

Nein, ein Mustervertrag ersetzt keine individuelle anwaltliche Beratung. Jedes Unternehmen hat unterschiedliche Anforderungen an Leistungsumfang, Haftungsgrenzen und Datenschutz. Ein Muster zeigt lediglich die übliche Struktur eines CISO-Vertrags. Vor der Verwendung sollte ein Rechtsanwalt das Muster prüfen und an die konkrete Situation des Unternehmens anpassen.