CISO externo vs interno: costes y cuándo elegir cada uno

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿CISO externo o interno? Qué elegir según tu tamaño

Para la mayoría de pymes obligadas por NIS2, el CISO externo (un vCISO) sale más a cuenta que uno interno: un responsable senior en plantilla cuesta 135.000-190.000 € al año con cargas, bonus y herramientas incluidas, mientras que el externo se mueve entre 24.000 y 84.000 €/año (30-60 % del salario de un CISO interno, no del coste cargado). El interno solo compensa por encima de unos 500 empleados o si aparece una de las tres señales que verás abajo.

La razón de fondo es que la Directiva NIS2 no te pide un cargo a jornada completa, sino medidas «adecuadas y proporcionadas» a tu tamaño y exposición al riesgo (art. 21.1). A partir de ahí, la decisión es de números y de tres o cuatro criterios que el dinero no cubre.

Cuánto cuesta un CISO interno: el mito del +30 % de cargas

Casi todas las comparativas calculan el coste del CISO interno sumando «un 30 % de cargas sociales» al salario. Con sueldos altos, es falso, y conviene saberlo aunque juegue a favor del interno.

En 2026 la empresa cotiza el 30,65 % del salario, pero solo hasta la base máxima de cotización, que marca la Orden PJC/297/2026 (art. 2.1). Por encima de ese tope, cada euro extra de sueldo apenas cotiza en torno a un 1 % (la cuota de solidaridad del art. 17.1). Resultado: el «+30 %» solo se cumple en salarios bajos.

Dos ejemplos, como estimación con el desglose a la vista:

• CISO de 60.000 € brutos. Todo el salario está por debajo del tope, así que el coste para la empresa ronda los 78.400 € (un +30,7 % real), más la prima de accidentes de trabajo, que varía según tu actividad (CNAE) y corre por completo a cargo de la empresa.
• CISO de 120.000 € brutos. La cuota empresarial se «tope» en unos 18.762 € al año y el exceso solo suma la cuota de solidaridad (~657 €). El coste real se queda en unos 140.000 €, no en los 156.000 € que sugeriría la regla del +30 %. Ojo: esos 140.000 € son solo salario más cotizaciones, sin bono ni herramientas —a diferencia del rango cargado de 135.000-190.000 € que verás en la comparativa siguiente—.

Ese número honesto abarata al interno, pero no cierra el hueco: aún faltan el bonus (~15 %, según Michael Page), formación y certificaciones, herramientas, y un coste que nadie presupuesta. En un mercado donde el 76 % de las organizaciones no consigue atraer y el 71 % no consigue retener perfiles de ciberseguridad (ENISA, NIS Investments 2025), la vacante y la rotación son coste real del modelo interno, no letra pequeña.

CISO externo vs interno: la comparativa con números

Las cifras del externo son orientativas de mercado; consulta las tarifas del CISO externo para tu caso concreto. Lo importante de la tabla es que el interno gana en dedicación y contexto, y el externo en coste, escala y continuidad. Ninguna columna es «mejor» en abstracto: depende de tu tamaño y de tu nivel de riesgo.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Cuándo compensa un CISO interno: el punto de cruce y las 3 señales

Como regla práctica —no como umbral legal—, el punto de cruce está en torno a los 500 empleados. Por debajo, un CISO interno rara vez se justifica, y los datos lo respaldan: según el DIRCE del INE (1 de enero de 2025), solo 5.339 empresas en España (el 0,16 %) superan los 250 asalariados, mientras que 21.307 están en la banda de 50 a 249. Para casi todas ellas, 140.000 € al año no es una línea del presupuesto de seguridad: es el presupuesto entero.

Aun así, hay tres señales que piden un interno aunque no llegues a esa talla:

1. Incidentes recurrentes. La cadencia de notificación del art. 23 de NIS2 —alerta temprana a 24 horas, notificación a 72 y informe final en un mes— no se sostiene con una bolsa de horas si los incidentes se repiten.
2. Regulador sectorial encima. Si eres entidad financiera, operas bajo DORA (lex specialis frente a NIS2, art. 1.2), con supervisión reforzada que empuja hacia una función interna dedicada.
3. Equipo de TI grande (más de 30 personas). Al ratio europeo de ENISA —los perfiles de ciberseguridad son el 10,6 % de los de TI, medido sobre todo en grandes entidades críticas—, un departamento de 30 «genera» unos 3 puestos de seguridad. A ese tamaño, un responsable dedicado ya es «proporcionado» en el sentido del art. 21.1.

Fíjate en el cálculo del punto 3: son matemáticas sobre la ratio de ENISA, no una recomendación suya. Pero ilustra bien la lógica de la proporcionalidad: cuanta más superficie tengas que vigilar a diario, antes cruzas la línea.

¿Cuándo gana el CISO interno? Lo que el externo no te da

Una comparativa honesta tiene que decir cuándo el interno es la opción correcta, y no es solo cuestión de tamaño:

• Presencia diaria y dedicación exclusiva: está en las reuniones, ve venir los cambios y no depende de una bolsa de horas.
• Conocimiento del negocio y de las personas: sabe qué proceso es crítico y a quién pedir cada cosa.
• Autoridad interna: imponer un cambio incómodo es más fácil desde dentro que desde una factura mensual.

Hay un criterio que corta en ambos sentidos: la independencia. El RD 43/2021 (art. 7.4.d) exige «debida independencia respecto de los responsables de las redes y los sistemas». Eso descarta a un vCISO del mismo proveedor que opera tu TI, porque se autoevaluaría, pero también a un CISO interno que cuelga del director de sistemas: mismo conflicto. Antes de fijarte solo en interno o externo, mira qué hace un vCISO mes a mes y compáralo con lo que de verdad necesitas cubrir.

Y una cosa no cambia con ninguna opción: la responsabilidad última es de tu órgano de dirección. NIS2 (art. 20) obliga a la dirección a aprobar y supervisar las medidas, y esa firma no se externaliza.

Tu siguiente paso

Antes de decidir, haz el cálculo con tus números: suma salario, cargas de 2026, bonus, formación, herramientas y el coste de una posible vacante, y ponlo al lado de un servicio externo de 24.000-84.000 €/año. Si estás por debajo de varios cientos de empleados y no concurre ninguna de las tres señales, el externo casi siempre gana. Si dudas, empieza por medir tu exposición real: de ahí sale la respuesta, no de la comparativa genérica.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.