Cómo elegir un CISO externo: qué preguntar antes de contratar
Decidir que necesitas un CISO externo es solo la primera parte de la decisión. La segunda, y la que determina si el servicio realmente aporta valor o se queda en papel, es elegir bien a quién contratas. Esta guía reúne las preguntas concretas que conviene hacer antes de firmar, las señales de alarma que deberían hacerte dudar, y cómo estructurar el contrato para que el servicio funcione de verdad.
Si todavía no tienes claro qué es exactamente este servicio, puedes empezar por nuestra guía sobre CISO externo, que cubre qué incluye, cuándo tiene sentido contratarlo y cuánto cuesta.
Por qué la elección importa tanto
Un CISO externo va a tener acceso a información muy sensible de tu organización: el mapa de riesgos, las debilidades de tus sistemas, la relación con tus proveedores críticos y, con frecuencia, el detalle de incidentes que preferirías que no salieran de la empresa. Además, va a representar a tu organización ante auditores, clientes y, si hace falta, ante autoridades regulatorias.
Un mal encaje en esta elección no solo desperdicia presupuesto, también puede dejar a tu empresa con una falsa sensación de seguridad: papeles bien redactados que no reflejan la realidad de tus sistemas, o un programa de cumplimiento que se cae en la primera auditoría seria. Por eso conviene invertir tiempo real en la selección, no tratarla como la contratación de un proveedor más.
Experiencia real, no solo certificados
Los certificados profesionales, como CISM, CISSP o similares, son una señal razonable de base técnica, pero no sustituyen la experiencia real dirigiendo programas de seguridad en organizaciones parecidas a la tuya. Un CISO externo con buenos certificados pero sin experiencia dirigiendo auditorías reales de ISO 27001, ENS o NIS2 puede conocer la teoría sin saber cómo se traduce en la práctica de tu sector.
Merece la pena preguntar por casos concretos: cuántas certificaciones ha dirigido de principio a fin, en qué sectores, con qué organismos certificadores ha trabajado, y qué tipo de incidentes ha gestionado. Las respuestas vagas o genéricas a estas preguntas son, en sí mismas, información valiosa.
Cómo debería ser una primera evaluación seria
Antes de comprometerte a un contrato, un buen candidato debería ofrecerte, o al menos proponerte, algún tipo de evaluación inicial de tu situación. No hace falta que sea gratuita ni exhaustiva, pero sí debería dejarte con una idea clara de por dónde empezaría y por qué.
Una primera evaluación seria suele cubrir cuatro cosas: una revisión rápida de qué normativa o certificación te aplica realmente, dado tu sector y tamaño; un vistazo a qué documentación de seguridad ya existe en tu organización, aunque esté desactualizada; una identificación preliminar de los riesgos más evidentes, sin necesidad todavía de un análisis exhaustivo; y una propuesta de alcance y prioridades para los primeros meses de trabajo.
Si en lugar de esto recibes una propuesta genérica de servicios con un precio fijo sin haber hecho ninguna pregunta sobre tu organización, es una señal de que no ha habido una evaluación real detrás, sino una plantilla comercial estándar.
Cuánto debería costar, y por qué el precio varía tanto
Los precios de un CISO externo varían mucho según el alcance, el sector y el tamaño de la organización, y eso en sí mismo no es una mala señal. Lo que sí conviene vigilar es que el precio esté justificado por un alcance concreto: horas mensuales, entregables específicos y disponibilidad ante incidentes, no una cifra cerrada sin desglose que dificulta comparar entre candidatos.
Un precio muy por debajo del resto del mercado, sin una explicación clara de por qué, suele significar menos horas reales de las que necesitas, o experiencia más limitada de la que el candidato reconoce. Un precio muy por encima, a la inversa, debería venir acompañado de un alcance y una experiencia que lo justifiquen con claridad, no solo de la reputación general del proveedor.
Las preguntas clave antes de contratar
Antes de firmar, estas son las preguntas que conviene tener respondidas con claridad.
- ¿Cuántas horas mensuales incluye el servicio, y qué pasa si se superan? El alcance de horas debe quedar explícito, no como una promesa verbal de disponibilidad ilimitada que luego se dosifica según convenga.
- ¿Cuál es el plan si surge un incidente fuera del horario habitual? Un CISO externo serio tiene un protocolo claro de disponibilidad ante emergencias, no una respuesta improvisada cuando se le pregunta.
- ¿Qué entregables concretos vas a recibir, y con qué periodicidad? Política de seguridad, registro de riesgos, informes a la dirección y procedimientos de notificación deberían tener fechas de entrega claras, no quedar en promesas difusas.
- ¿Cómo gestiona la confidencialidad y qué ocurre si termina la relación? Debe quedar claro cómo se protege tu información durante el servicio y qué pasa con la documentación generada si decides cambiar de proveedor.
- ¿Puede aportar referencias verificables de clientes en situación similar a la tuya? Un profesional con trayectoria real no debería tener problema en facilitar al menos un contacto de referencia.
Señales de alarma
Hay patrones que conviene identificar antes de firmar, porque suelen anticipar problemas más adelante.
Desconfía de quien promete el cumplimiento en un plazo irrealmente corto sin conocer todavía el estado real de tu organización: un diagnóstico serio siempre precede a cualquier compromiso de plazos. Desconfía también de quien no puede explicar con ejemplos concretos qué haría ante un incidente real, o que se limita a hablar en términos genéricos de mejores prácticas sin aterrizarlo en tu caso. Otra señal clara es la falta de disposición a poner nada por escrito antes de firmar: alcance, horas, entregables y confidencialidad deben quedar documentados desde el principio, no acordados de palabra.
Y, quizás la más importante: si un candidato no hace preguntas sobre tu negocio, tu sector y tus riesgos concretos antes de proponerte una solución, es probable que esté aplicando la misma plantilla a todos sus clientes, sin adaptarla de verdad a tu situación.
Cómo estructurar bien el contrato
Un contrato de CISO externo bien planteado debería recoger, como mínimo, el alcance exacto de horas y funciones incluidas, los entregables concretos con sus fechas, el protocolo de disponibilidad ante incidentes fuera de horario habitual, las condiciones de confidencialidad y de propiedad de la documentación generada, y las condiciones de salida, es decir, qué pasa con el trabajo hecho si decides terminar la relación.
Este último punto es más importante de lo que parece: el trabajo de un buen CISO externo debe quedar documentado de forma que sirva a la organización incluso si en el futuro cambia de proveedor o incorpora un perfil interno. Puedes ver cómo se plantea esa transición en nuestra guía sobre CISO vs vCISO, y qué funciones concretas debería estar cubriendo en el día a día en nuestra guía sobre funciones de un CISO.
Si tu decisión de contratar viene motivada por NIS2, conviene además verificar que el candidato entiende bien las exigencias específicas de gobernanza que impone esta norma, no solo el marco general de seguridad. Puedes revisar ese punto en detalle en nuestra guía sobre CISO externo y NIS2.
Si quieres que revisemos juntos qué preguntas concretas tiene sentido hacer en tu caso, y qué alcance necesitarías para tu organización, podemos verlo en una primera llamada sin compromiso a través de nuestra consultoría vCISO.
Preguntas frecuentes sobre cómo elegir un CISO externo
Depende del respaldo que necesites. Una consultora suele ofrecer continuidad si la persona asignada no está disponible, mientras que un freelance puede ofrecer más cercanía directa. Lo importante en ambos casos es verificar experiencia real y condiciones claras por escrito.
Sí, siempre que sea posible. Un profesional con trayectoria real debería poder facilitar al menos un contacto verificable de un cliente en situación parecida a la tuya.
Es razonable empezar con un contrato de tres a seis meses con objetivos claros, y evaluar el resultado antes de comprometerse a un plazo mayor.
Debe quedar acordado desde el principio que la documentación generada, políticas, registros de riesgo, procedimientos, es propiedad de tu organización y se entrega íntegra si termina la relación.
No es imprescindible que ya lo conozca al detalle, pero sí debería demostrar capacidad y disposición para entenderlo a fondo desde las primeras semanas, en lugar de aplicar un enfoque genérico sin adaptarlo a tu negocio.