Externí CISO (vCISO): co dělá, kolik stojí retainer a kdy ho firma potřebuje

Externí CISO (často „vCISO“, virtuální ředitel bezpečnosti informací) je odborník nebo tým, který pro vaši firmu na část úvazku řídí kybernetickou bezpečnost: sestaví analýzu rizik, bezpečnostní politiku a plán opatření, hlídá dodavatele, připravuje vedení na rozhodnutí a při incidentu koordinuje postup. Obvykle se platí měsíčním retainerem za určitý počet dní (například 1–4 dny měsíčně), případně hodinovou sazbou. Ilustrativně počítáme 15 000–80 000 Kč měsíčně bez DPH podle počtu dní a náročnosti – nejde o ceny konkrétních poskytovatelů. Pro regulované firmy je důležité, že zákon č. 264/2025 Sb. a jeho vyhlášky vyžadují určit konkrétní bezpečnostní role; externí CISO je jedním ze způsobů, jak je obsadit, ale odpovědnost vedení nenahrazuje.

Přehled ostatních služeb najdete v článku kolik stojí spravovaná kybernetická bezpečnost.

Co externí CISO typicky dělá

Externí CISO není totéž co správce IT ani MDR. Nemá hlídat výstrahy ve 3 ráno – řídí, aby to někdo dělal a dělal to správně.

Bezpečnostní role podle vyhlášek NÚKIB

Pokud jste poskytovatelem regulované služby, vyhlášky stanoví, kdo musí za bezpečnost odpovídat:

• Režim nižších povinností (vyhláška č. 410/2025 Sb., § 4): vrcholné vedení určí osobu pověřenou kybernetickou bezpečností a svěří jí potřebné pravomoci; tato osoba absolvuje odborné školení nebo prokáže odbornou znalost. Vedení samo absolvuje školení a seznamuje se se stavem opatření.
• Režim vyšších povinností (vyhláška č. 409/2025 Sb., § 4–5): vrcholné vedení určí role manažera kybernetické bezpečnosti, architekta kybernetické bezpečnosti, garanta aktiva a auditora kybernetické bezpečnosti. Manažer a auditor mají prokázat praxi alespoň 3 roky, manažer nesmí zároveň odpovídat za provoz technických aktiv regulované služby a auditor nesmí zastávat jiné bezpečnostní role. Vedení zajistí zastupitelnost manažera a architekta.

Externí CISO může některou z rolí převzít, pokud to vyhláška a vaše organizace umožní. Konkrétní nastavení ověřte v úplném znění vyhlášek a v metodikách NÚKIB. Odpovědnost za plnění povinností zůstává poskytovateli regulované služby a jeho vedení.

Jak se externí CISO oceňuje

Modelový výpočet

Smyšlená výrobní firma se 120 zaměstnanci, poskytovatel regulované služby v režimu nižších povinností. Ilustrativní předpoklady bez DPH:

• úvodní projekt (soupis aktiv, analýza rizik, přehled bezpečnostních opatření): 12 dní × 14 000 Kč = 168 000 Kč,
• retainer 2 dny měsíčně × 14 000 Kč = 28 000 Kč měsíčně, tedy 336 000 Kč ročně,
• rezerva na incident 16 hodin × 2 500 Kč = 40 000 Kč ročně.

První rok: 168 000 + 336 000 + 40 000 = 544 000 Kč. Další roky bez úvodního projektu 376 000 Kč. Pro srovnání: interní specialista na plný úvazek by stál výrazně víc a firma by ho na plný úvazek nevytížila; na druhou stranu je interní člověk k dispozici každý den. Srovnání vlastního týmu a služby je v článku vlastní tým nebo služba. Čísla jsou ilustrativní.

Na co si dát pozor

1. Kdo konkrétně. Chtějte jméno osoby, její praxi a zástupce. „Tým“ bez konkrétních lidí znamená, že pokaždé mluvíte s někým jiným.
2. Dostupnost při incidentu. Je v retaineru garantovaná doba, do které se ozve? Platí to o víkendu?
3. Střet zájmů. Pokud externí CISO zároveň prodává nástroje nebo služby MDR, ověřte, že doporučení nejsou jen prodejní. Ideální je, aby prověrku dodavatelů dělal někdo nezávislý na jejich prodeji.
4. Nevyčerpané dny. Propadají, nebo se převádějí? Lze je použít na školení nebo pentest?
5. Dokumenty patří vám. Analýza rizik a politiky musí zůstat firmě i po ukončení spolupráce.
6. Mlčenlivost. Externí CISO vidí slabá místa firmy – smlouva musí obsahovat mlčenlivost a ochranu informací.

Kdy externí CISO nepotřebujete

Malá firma, která není regulovaná, má cloudovou poštu s vícefaktorovým ověřením, spravované EDR a funkční zálohy, často vystačí s jednorázovou konzultací jednou ročně a s dobrým poskytovatelem MDR. Externí CISO se vyplatí, když:

• jste regulovaní nebo se jimi brzy stanete,
• vás regulovaný zákazník žádá o doklady o řízení bezpečnosti – viz dodavatelé regulovaných firem,
• máte více dodavatelů IT a nikdo je nekoordinuje,
• vedení potřebuje nezávislý pohled na rozpočet bezpečnosti.

Pro rozsah povinností viz zákon o kybernetické bezpečnosti 2026, pro testování odolnosti cena penetračního testu.

Prvních 90 dní (modelově)

• 1.–30. den: soupis aktiv a dodavatelů, rozhovor s vedením a správcem IT, rychlá kontrola vícefaktorového ověření a záloh.
• 31.–60. den: analýza rizik, návrh priorit a rozpočtu, bezpečnostní politika.
• 61.–90. den: přehled bezpečnostních opatření s termíny a odpovědnými osobami, plán reakce na incident, plán školení.

Časté otázky

Může být osobou pověřenou kybernetickou bezpečností jednatel?

Vyhláška č. 410/2025 Sb. požaduje, aby šlo o osobu s potřebnými pravomocemi, která absolvuje odborné školení nebo prokáže odbornou znalost. Zda je to vhodné u vaší firmy, posuďte podle velikosti a dostupného času; ověřte aktuální výklad v metodikách NÚKIB.

Jak často by měl externí CISO podávat zprávu vedení?

Rozumné je měsíčně stručně a jednou za čtvrtletí podrobněji. Vyhláška pro režim nižších povinností požaduje, aby se vedení prokazatelně seznamovalo se stavem plnění opatření a aby se přehled opatření aktualizoval alespoň jednou ročně.

Je externí CISO dražší než interní zaměstnanec?

Za den práce obvykle ano, za rok obvykle ne – protože platíte jen dny, které potřebujete. Rozhoduje, kolik dní měsíčně skutečně potřebujete a jak rychlou dostupnost.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost – metodiky k bezpečnostním rolím a vrcholnému vedení
• e-Sbírka – vyhlášky č. 409/2025 Sb. a 410/2025 Sb.
• Zákony pro lidi – zákon č. 264/2025 Sb.