CISO externo o contratar en plantilla: cómo decidir

Has llegado al punto en el que la seguridad de tu empresa necesita un responsable con nombre y apellidos. Hasta ahora las decisiones se han repartido entre el proveedor de informática, la persona que lleva los sistemas y tú, y cada vez que llega un cuestionario de seguridad de un cliente queda claro que nadie tiene el conjunto en la cabeza. La pregunta que aparece entonces siempre es la misma: ¿contratas a alguien en plantilla o trabajas con un CISO externo? Esta guía te da los criterios para decidirlo con las condiciones reales de una pyme de 10 a 50 empleados.

Qué compras realmente en cada opción

Cuando contratas en plantilla compras la jornada completa de una persona: su disponibilidad diaria, su conocimiento del negocio por dentro y su dedicación a una sola empresa. Cuando trabajas con un CISO externo compras una fracción del tiempo de un profesional senior, respaldada por el equipo que tiene detrás y por la experiencia de haber resuelto el mismo problema en otras empresas parecidas a la tuya.

La comparación se plantea mal cuando se reduce a «una persona entera frente a media persona». Lo que de verdad estás comparando es cuántas decisiones correctas de seguridad consigues por cada euro invertido durante el próximo año, y cuánto tarda cada opción en producir la primera.

El coste real de una contratación en plantilla

El salario bruto es la partida visible y la que menos discusión genera en una reunión de dirección. Las que suelen quedarse fuera del presupuesto son las otras:

• Cotizaciones a la Seguridad Social a cargo de la empresa, que se suman al bruto pactado.
• El proceso de selección: tiempo de dirección, honorarios de una consultora si el perfil se resiste, y las semanas que el puesto sigue vacante mientras buscas.
• Formación y certificaciones para mantener el perfil al día, porque en seguridad el conocimiento caduca y renovarlo cuesta dinero y horas.
• Herramientas: inventario de activos, análisis de vulnerabilidades, gestión de credenciales. Alguien tiene que licenciarlas y mantenerlas.
• Proveedores externos igualmente: pentesting, respuesta a incidentes y auditorías se siguen subcontratando, porque una sola persona no ejecuta todo eso.

Ese último punto es el que rompe más presupuestos. Contratar a un CISO en plantilla reduce la factura de consultoría, pero no la elimina. Si haces el ejercicio completo, el coste anual de la opción interna incluye salario, cotizaciones, herramientas, formación y una bolsa para servicios especializados que la persona coordinará sin ejecutarlos ella misma.

Disponibilidad y tiempo de arranque

Un perfil de seguridad con experiencia real rara vez está disponible de inmediato. Entre que defines el puesto, encuentras candidatos, negocias y esperas su preaviso, el reloj corre en meses. Después llega la incorporación: aprender tus sistemas, tus proveedores, tus contratos y tus prioridades. Nadie produce decisiones útiles la primera semana.

Un CISO externo llega con un método ya probado y empieza por la misma fase de descubrimiento, con una diferencia práctica: la ha hecho muchas veces y sabe qué preguntar primero. En las funciones concretas de un CISO externo verás el detalle de lo que entrega en los primeros noventa días.

Hay otro punto de disponibilidad que se olvida al planificar: una sola persona coge vacaciones, se pone enferma y se va a otros proyectos internos. Durante esas semanas la seguridad de tu empresa se queda sin responsable, salvo que alguien la cubra. Un servicio contratado cubre la ausencia por diseño.

Cobertura: lo que una sola persona no puede abarcar

La ciberseguridad de una empresa se juega en frentes que exigen perfiles distintos: gobierno y cumplimiento normativo, arquitectura de sistemas, gestión de vulnerabilidades, pruebas ofensivas, respuesta a incidentes, concienciación del equipo y relación con clientes que auditan a sus proveedores. Nadie domina los siete al mismo nivel.

Cuando contratas a una persona, en realidad estás eligiendo su especialidad. Si viene del mundo técnico, tendrás sistemas mejor configurados y presentaciones a dirección más flojas. Si viene del mundo del cumplimiento, tendrás documentación impecable y una configuración de red que nadie revisa. Esa asimetría es normal y es la razón por la que las empresas grandes rodean a su CISO de un equipo.

Un servicio externo reparte esos frentes entre varias personas y te da acceso al perfil que hace falta en cada momento, sin ampliar la plantilla cada vez que cambia la prioridad.

Qué se rompe el día que esa persona se va

Este es el escenario que casi nadie evalúa antes de firmar el contrato laboral. Tu CISO interno lleva dieciocho meses, conoce cada excepción de cada sistema, ha construido la relación con los proveedores y guarda buena parte del criterio en su cabeza. Un día acepta otra oferta.

Lo que se queda son las herramientas licenciadas y los documentos que haya tenido tiempo de escribir. Lo que se va es el contexto: por qué se aceptó aquel riesgo, qué se prometió al cliente que envió el cuestionario, qué quedaba pendiente del plan. Y vuelves al inicio del proceso de selección, esta vez con menos margen porque el trabajo ya estaba en marcha.

Con un servicio externo la continuidad es una cláusula del contrato. La documentación es el entregable, no un extra que se hace si sobra tiempo, y el conocimiento vive en el proveedor. Cambiar de proveedor también tiene coste, con la diferencia de que puedes exigir por escrito qué te llevas contigo cuando termine la relación.

Cuándo contratar en plantilla es la decisión correcta

La opción interna gana con claridad en varios escenarios, y conviene reconocerlos:

• La seguridad forma parte de lo que vendes: desarrollas software, tratas datos sensibles de terceros o tu producto se audita como parte del proceso comercial.
• Ya tienes un equipo de IT propio al que dirigir. Un CISO sin nadie que ejecute sus decisiones se convierte en un generador de informes.
• El volumen de trabajo llena una jornada completa de forma sostenida, no a rachas de dos semanas cada trimestre.
• Un contrato relevante o tu sector exigen un responsable interno identificado, con presencia continua en las reuniones del cliente.

Si vendes al sector público o formas parte de la cadena de suministro de un contratista público, el Esquema Nacional de Seguridad (Real Decreto 311/2022) añade exigencias continuas de gobierno que conviene tener en cuenta al dimensionar la opción. La misma lógica aplica a las empresas que reciben requisitos derivados de la directiva NIS2 a través de sus clientes grandes.

Cómo decidir en seis preguntas

Responde estas seis preguntas por escrito antes de la reunión en la que se decide. El resultado suele quedar claro sin necesidad de debate:

1. ¿Cuántas horas de trabajo de seguridad genera tu empresa a la semana de forma realista?
2. ¿Tienes a alguien que ejecute lo que se decida, o hará falta contratar también esa parte?
3. ¿Cuál es tu coste anual completo de la opción interna, con cotizaciones, herramientas y formación incluidas?
4. ¿Cuánto tiempo puedes esperar hasta tener la primera mejora aplicada?
5. ¿Qué pasa con tu programa de seguridad si esa persona se va dentro de un año?
6. ¿Qué frentes necesitas cubrir el próximo trimestre y qué perfil los cubre mejor?

La mayoría de las pymes de 10 a 50 empleados descubren, al hacer este cálculo, que el volumen de trabajo no llena una jornada completa mientras que la variedad de perfiles necesarios supera lo que ofrece una sola contratación. Para ese punto exacto existe el servicio de CISO externo: dirección de seguridad con dedicación proporcional a tu tamaño y sin el riesgo de que todo dependa de una única persona. Si más adelante el trabajo crece hasta justificar una contratación interna, llegarás a ella con el terreno documentado y con criterios claros para elegir a la persona adecuada.