CISO-as-a-Service
CISO-as-a-Service wächst: Sophos-Studie zeigt neue Chancen für Managed Service Provider
84 Prozent der MSPs erwarten steigende Nachfrage nach CISO-Services
Managed Service Provider entwickeln sich vom technischen Dienstleister zum strategischen Sicherheitsberater. Bereits heute übernimmt laut einer neuen Sophos-Studie fast jeder zweite MSP für Kunden faktisch Aufgaben eines Chief Information Security Officer. Mit steigenden Compliance-Anforderungen, komplexeren Security-Stacks und neuen KI-Risiken dürfte sich dieser Trend weiter beschleunigen.
Der MSP Perspectives Report 2026 von Sophos zeigt, wie stark sich das Aufgabenprofil von Managed Service Providern verändert. Während MSPs traditionell für Bereitstellung, Betrieb und Betreuung von IT- und Security-Technologien verantwortlich waren, rücken inzwischen Governance, Risikomanagement und strategische Sicherheitsberatung stärker in den Mittelpunkt.
Im Durchschnitt gehen die befragten MSPs davon aus, dass 46 Prozent ihrer Kunden bereits heute auf sie als eine Art externen CISO zurückgreifen. Für die kommenden zwölf Monate erwarten 84 Prozent eine weiter steigende Nachfrage nach entsprechenden CISO-Services.
Der Grund liegt auf der Hand: Vielen Unternehmen fehlen intern sowohl Spezialisten als auch Ressourcen, um Cyberrisiken, regulatorische Anforderungen und immer komplexere Sicherheitsarchitekturen dauerhaft zu steuern.
Vom Technologiepartner zum strategischen Sicherheitsberater
Damit verschiebt sich auch der Stellenwert von MSPs innerhalb der Kundenorganisation. Sie sollen nicht mehr lediglich Sicherheitslösungen implementieren und betreiben, sondern Risiken bewerten, Investitionen priorisieren und Management sowie Vorstand eine belastbare Entscheidungsgrundlage liefern.
„Um sicher zu bleiben, brauchen Unternehmen mehr als reines Technologie-Management. Sie benötigen vertrauenswürdige Cybersecurity-Verantwortliche, die ihnen helfen, ihre Risiken zu verstehen, sich in Compliance-Anforderungen zurechtzufinden und Sicherheitsinvestitionen in spürbare geschäftliche Ergebnisse zu übersetzen“, erklärt Matt Helling, Product Director bei Sophos.
Für MSPs eröffnet diese Entwicklung neue Geschäftsmöglichkeiten. Aus klassischen Managed Services können höherwertige Beratungs- und Governance-Angebote entstehen – bis hin zu vollständigen virtuellen CISO-Modellen.
Gleichzeitig wächst jedoch der Skalierungsdruck. Wer CISO-Aufgaben für Dutzende oder sogar Hunderte Kunden übernimmt, benötigt standardisierte Prozesse, konsolidierte Daten und möglichst automatisierte Workflows.
Fragmentierte Tools bremsen die Skalierung
Genau hier zeigt die Untersuchung deutliche Schwachstellen. MSPs schätzen, dass sie 53 Prozent ihrer heutigen Arbeitszeit einsparen könnten, wenn Security Posture, Compliance-Management und Reporting über eine einheitliche Plattform gesteuert würden. 81 Prozent erwarten zumindest eine Zeitersparnis von mehr als 30 Prozent.
In der Realität dominieren jedoch weiterhin heterogene Tool-Landschaften.
Lediglich 36 Prozent der MSPs nutzen eine zentrale Lösung für Compliance- oder CISO-nahe Aufgaben. 53 Prozent arbeiten dagegen mit mehreren Tools oder Plattformen. Damit müssen Sicherheitsdaten häufig manuell zusammengeführt, normalisiert und bewertet werden.
Gerade bei wachsender Kundenzahl wird diese Fragmentierung zum Problem. Denn strategische Sicherheitsberatung lässt sich nur begrenzt skalieren, wenn ein großer Teil der verfügbaren Zeit für Datensammlung und Reporting aufgewendet werden muss.
Compliance wird zum zentralen MSP-Geschäftsfeld
Besonders deutlich wird die strategische Verschiebung beim Thema Compliance. Nahezu alle befragten MSPs – 99 Prozent – bieten mindestens einen Cybersecurity-Compliance-Service an. 58 Prozent übernehmen bereits das vollständige Management von Compliance-Programmen.
Allerdings bieten lediglich sechs Prozent sämtliche in der Studie untersuchten Compliance-Leistungen an. Zwischen punktueller Unterstützung und einem vollständig integrierten Compliance-Service besteht damit weiterhin eine deutliche Lücke.
Regulatorische Anforderungen beeinflussen laut Studie inzwischen durchschnittlich 50 Prozent der Sicherheitskäufe von Kunden. Bei einem Drittel der Entscheidungen spielen regulatorische Vorgaben sogar eine besonders starke oder ausschlaggebende Rolle.
Damit wird Compliance zunehmend zum Türöffner für weitergehende Sicherheitsprojekte. MSPs können regulatorische Anforderungen mit Risikomanagement, Security Posture Management und strategischer Sicherheitsplanung verbinden.
Kontinuierliche Compliance bleibt schwierig
Von einem vollständig automatisierten Compliance-Modell sind viele Provider jedoch noch entfernt.
Nur 33 Prozent der Befragten zeigen sich vollkommen überzeugt davon, Compliance über mehrere Kundenumgebungen hinweg kontinuierlich überwachen, verwalten und dokumentieren zu können.
Auch beim Reporting bleibt manueller Aufwand bestehen. Zwar nutzen 86 Prozent der MSPs bereits vollständig oder teilweise automatisierte Prozesse zur Erstellung konsolidierter Security-Posture-Berichte. Bei 55 Prozent sind jedoch weiterhin manuelle Arbeitsschritte notwendig.
Nur 31 Prozent können entsprechende Berichte vollständig automatisiert und kurzfristig erzeugen.
Gerade im Kontext zunehmender regulatorischer Berichtspflichten dürfte diese Fähigkeit künftig stärker zum Wettbewerbsfaktor werden.
KI soll CISO-Services skalierbarer machen
Sophos adressiert diese Entwicklung mit Sophos CISO Advantage, das ab Oktober 2026 verfügbar sein soll.
Die Lösung soll MSPs dabei unterstützen, bereits heute übernommene CISO-Aufgaben in strukturierte, skalierbare und abrechenbare Cybersecurity-Services zu überführen.
Bereitgestellt wird der Dienst über Sophos Fusion, das KI-native Cybersecurity Defense System des Unternehmens. Agentische KI soll dabei unter anderem Assessments, Reporting und die Erstellung von Security-Roadmaps beschleunigen.
Zu den vorgesehenen Funktionen gehören vorstandsgeeignete Auswertungen, an Sicherheitsframeworks ausgerichtete Nachweise sowie priorisierte Maßnahmenpläne für unterschiedliche Kundenumgebungen.
Der MSP-Markt bewegt sich Richtung vCISO
Die Ergebnisse zeigen einen grundlegenden Wandel im Managed-Service-Markt. Für viele Kunden werden MSPs zunehmend zur ausgelagerten Cybersecurity-Führungsebene – unabhängig davon, ob diese Rolle formal bereits als Virtual CISO oder CISO-as-a-Service bezeichnet wird.
Damit steigen allerdings auch die Erwartungen. Technische Kompetenz allein reicht künftig immer weniger aus. Gefragt sind Governance, Risikobewertung, regulatorisches Know-how und die Fähigkeit, technische Sicherheitsdaten in geschäftlich verständliche Entscheidungen zu übersetzen.
Für MSPs liegt genau darin die Chance: Wer diese Aufgaben effizient skalieren kann, entwickelt sich vom IT-Dienstleister zum langfristigen strategischen Sicherheitspartner.
Für den MSP Perspectives Report 2026 wurden im April 2026 durch Vanson Bourne 800 MSPs in den USA, Großbritannien, Deutschland, Frankreich, Singapur, Australien und Brasilien befragt. Die Teilnehmer gehörten der oberen Führungsebene bis hin zur Vorstandsebene ihrer Unternehmen an. Die Untersuchung wurde von Sophos in Auftrag gegeben.
