Външен CISO · България · 2026

Външен CISO за български компании: какво всъщност прави и кога си струва

"Трябва ни човек по сигурността, но не можем да издържаме цял отдел." Това чуваме почти всяка седмица от управители на компании между 30 и 200 души. Външният CISO (virtual CISO) е отговорът, но терминът се използва за толкова различни неща, че много фирми купуват една дума и получават друга услуга. Тук е какво реално включва, с примерен месечен план, кога си струва, кога не, как се таксува и как да прецените дали доставчикът е истински.

Най-важното накратко

• Външният CISO не е техник, а ръководител. Той не сменя пароли и не кърпи сървъри. Поема отговорността за стратегията по сигурността: рискове, политики, бюджет, съответствие, реакция при инциденти и комуникация с ръководството и клиентите. Това е роля на ниво вземане на решения, не на ниво изпълнение.
• Подходящ е за компании от около 30 до 200 души. Под 30 човека често стига еднократен одит плюс лек надзор. Над 200 или във силно регулиран сектор обикновено идва моментът за вътрешен CISO. В средата е сладкото място, където рискът е реален, но цената на вътрешен директор (120 000-200 000 лв. на година) не е оправдана.
• Реалната цена в България е 2 500-9 000 лв. на месец. Зависи от размера, регулациите и ангажираността. Това е между 5 и 10 пъти по-евтино от вътрешен CISO на пълен щат и идва с целия опит на екип зад един човек.
• Струва си най-много в три ситуации: регулиран сектор (NIS2, DORA, GDPR под надзор на КЗЛД), корпоративни или западни клиенти, които изискват доказана сигурност, и след инцидент или близо до сделка (придобиване, инвестиция), когато сигурността изведнъж става приоритет на борда.
• НЕ си струва, ако очаквате той да върши техническата работа. vCISO ръководи и проектира, но някой все пак трябва да изпълнява. Ако нямате нито вътрешен IT, нито бюджет за корекции, ще платите за стратегия, която няма кой да реализира.
• Качеството се познава по три неща: назован конкретен човек с биография и сертификати, измерими резултати в първите 90 дни, и готовност да застане пред вашия борд или одитор. Анонимен "екип от експерти" без отчетност е червен флаг.

Първото объркване, което си струва да разсеем, е, че външният CISO не е "ИТ човек на повикване". Той не сменя пароли, не инсталира антивирус и не кърпи сървъри в три през нощта. CISO е длъжност от ръководно ниво (Chief Information Security Officer), тоест директор по сигурността. Външният CISO изпълнява същата роля, но на непълно работно време и за фиксирана месечна цена, споделена между опита на цял екип, вместо да тежи като една заплата на пълен щат.

Конкретно, външният CISO поема отговорност за следните области. Той прави оценка на риска и решава кои рискове са приемливи и кои не. Изгражда и поддържа политиките по сигурността, така че да са реални документи, които хората следват, а не PDF за чекмеджето. Управлява съответствието с регулациите, които ви засягат: Закона за киберсигурност (NIS2), GDPR под надзора на КЗЛД, а за финансовия сектор DORA. Планира бюджета за сигурност и защитава пред ръководството кое си струва и кое не. Ръководи реакцията при инцидент, когато нещо се случи. И, все по-често, отговаря на въпросниците за сигурност от корпоративни и западни клиенти, които иначе блокират сделки.

Това, което външният CISO обикновено НЕ прави сам, е практическата техническа работа. Той решава, че трябва да включите многофакторна автентикация навсякъде, но самото включване го прави вашият IT екип или външен изпълнител по негови указания. Мислете за него като за архитект и ръководител на строежа, не като за зидаря. Това е важно разграничение, защото е и най-честата причина за разочарование: компания, която очаква vCISO лично да оправи всичко, наема грешната услуга за грешната задача.

Най-честият въпрос след "колко струва" е "а какво точно ще прави всеки месец, за да не плащам за нищо". Справедлив въпрос. Сериозният външен CISO не идва на едно кафе на тримесечие, а води структурирана програма с измерими резултати. Ето как изглежда типичен ангажимент за компания от около 80 души през първите шест месеца. Конкретиката варира, но ритъмът е този.

Освен този проектен ритъм, външният CISO има и текущи ангажименти всеки месец: кратък преглед на новопоявили се рискове, проследяване дали договореното се изпълнява, на разположение е при инцидент или спешен клиентски въпрос, и веднъж месечно дава отчет пред ръководството на разбираем език, не на технически жаргон. Точно тази комбинация от напредък по програма и постоянна готовност прави разликата спрямо еднократния одит.

Обемът на времето варира според пакета. Типичен ангажимент за компания от 50 до 100 души е между половин и два дни на седмица еквивалентно ангажирано време, разпределено според нуждите. В месец с одит или инцидент е повече, в спокоен месец по-малко. Затова retainer моделът работи добре: плащате за достъп до роля и капацитет, не за конкретни часове.

Външният CISO не е универсален отговор за всяка компания. Има обаче няколко ситуации, в които стойността е очевидна и възвръщаемостта почти винаги оправдава разхода. Ако се разпознавате в поне една от тях, разговорът си заслужава.

Първо, регулиран сектор. Ако попадате в обхвата на Закона за киберсигурност (NIS2) като съществен или важен субект, ако сте във финансовия сектор под DORA, или ако обработвате чувствителни лични данни под надзора на КЗЛД, имате законови задължения, чието неизпълнение носи глоби и лична отговорност за ръководството. Външният CISO знае точно какво изисква регулаторът и превръща изискванията в изпълним план, вместо да рискувате да научите при проверка.

Второ, корпоративни или западни клиенти. В момента, в който голям клиент изпрати въпросник за сигурност или поиска доказателство за сериозни мерки, сигурността спира да е разход и става условие за приход. Външният CISO отговаря на тези въпросници с истина, която издържа проверка, изгражда trust материали и често е разликата между спечелен и загубен договор. За софтуерна компания, която продава на големи клиенти в ЕС или САЩ, това сам по себе си изплаща услугата.

Трето, след инцидент или близо до сделка. След пробив, ransomware или сериозен близо-инцидент сигурността изведнъж става приоритет номер едно на борда. Същото важи при подготовка за инвестиция, придобиване или дю дилиджънс, когато купувачът или инвеститорът ще проверява зрелостта на сигурността. В двата случая външният CISO бързо вкарва ред и дава на ръководството увереност, че рискът е управляван.

Четвърто, растеж без вътрешен капацитет. Компании, които растат бързо от 30 към 150 души, често стигат момент, в който рискът е станал сериозен, но още не оправдава заплата за вътрешен CISO. Външният CISO запълва точно тази празнина: дава ви ръководство на ниво директор на цена на част от заплата, докато пораснете достатъчно, за да си позволите вътрешен. Много компании използват vCISO именно като мост към този момент.

Честният съветник ви казва и кога услугата му не ви трябва. Има няколко случая, в които външният CISO е грешен избор, и е по-добре да ги знаете предварително, отколкото да се разочаровате след три месеца.

Забележете, че в три от тези четири случая решението не е "не наемайте никого", а "наемете правилното нещо в правилния ред". Често пътят е: първо еднократен одит, който дава ясна картина, после изграждане на минимален изпълнителен капацитет, и едва тогава текущ vCISO надзор, който държи всичко в ред. Доставчик, който ви насочва към този ред вместо да ви продаде най-скъпия пакет веднага, е доставчикът, на когото можете да вярвате.

Външният CISO се таксува по три основни начина и изборът на грешния модел е честа причина за надплащане или за разочарование. Ето трите, с реални ценови ориентири за българския пазар през 2026, и за какво пасва всеки.

Fixed-price проектът е добър за ясно очертана цел с край. Искате да минете NIS2 readiness, да отговорите на конкретен корпоративен въпросник или да направите gap анализ преди сертификация. Цената е твърда, рискът от изненади е малък, и знаете точно какво купувате. Изисквайте обхватът да е написан черно на бяло, преди да подпишете.

Таксуването по часове има смисъл за нерегулярна или непредвидима нужда: искате достъп до експерт от време на време, за съвет при решение или за кратка задача, без ангажимент за постоянен обем. Недостатъкът е, че при по-голям обем става скъпо и непредвидимо, и често обезкуражава честия контакт, който всъщност е полезен. За постоянна нужда retainer почти винаги излиза по-евтино на свършена работа.

Месечният retainer е най-разпространеният и обикновено най-разумен модел за компания, на която сигурността е постоянна грижа. Плащате фиксирана месечна сума за достъп до роля и капацитет: текущ надзор, отчети, готовност при инцидент и определен обем работа всеки месец. Ценовият диапазон от 2 500 до 9 000 лв. на месец зависи основно от размера на компанията, регулаторната тежест и очаквания обем. За сравнение, вътрешен CISO на пълен щат в България струва между 120 000 и 200 000 лв. на година със заплата, осигуровки и допълнителни разходи, тоест retainer-ът е 5 до 10 пъти по-евтин и идва с опита на цял екип зад един човек.

Тъй като "virtual CISO" се продава и от сериозни екипи, и от препакетирани абонаменти за скенер, си струва да знаете по какво се различава истинският от имитацията. Ето седемте въпроса, които задавате преди да подпишете, и какво издава добрия отговор.

Ако трябва да запомните само три неща от тази таблица, нека са тези. Първо, истинският външен CISO е назован човек с отчетност, не абстрактен "екип". Второ, той дава измерими резултати в първите 90 дни, не мъгляви обещания. Трето, той е готов да застане пред вашия борд или одитор и да защити решенията си, защото носи отговорност за тях. Тези три неща отличават директор по сигурността от продавач на абонамент.

Допълнителен практичен тест: помолете за кратък разговор лично с човека, който ще е вашият CISO, преди да подпишете, не само с търговеца. Петнадесет минути разговор с реалния специалист ви казват повече за това дали разбира бизнеса ви, отколкото десет страници оферта. Ако компанията избягва да ви срещне с конкретния човек, попитайте се защо.

Чудите се дали външен CISO е правилен за вашата компания?

Софтуерната компания от София, с която започнахме, накрая не нае никого на пълен щат. Взе външен CISO на месечен retainer, който за шест седмици подреди политиките, затвори най-острите дупки и отговори на немския въпросник с истина, която издържа одита. Клиентът поднови договора за 400 000 евро. Цената на CISO-то за цялата година беше под 2 на сто от тази сделка. Ще ви кажем честно кой модел пасва на вашата ситуация, дори ако е по-малкият.