Was NIS2 wirklich kostet: eine ehrliche Einordnung

Sie stehen vor einer Investitionsentscheidung und haben keine belastbare Zahl. Pauschale Angebote helfen wenig, weil der Aufwand stark vom Ausgangszustand Ihrer IT abhängt. Dieser Text zeigt Ihnen die vier Kostenblöcke und die Stellschrauben, die den Preis nach oben oder unten bewegen.

Warum es keinen Listenpreis gibt

Wer im Netz nach einer Zahl für die NIS2-Umsetzung sucht, findet sehr unterschiedliche Angaben. Das liegt daran, dass der Aufwand vor allem von sechs Faktoren abhängt: Größe der Einrichtung, IT-Reifegrad, Sektor, Anzahl der Standorte, Cloud-Anteil und vorhandene Zertifizierungen. Ein Maschinenbauer mit einem gelebten ISO-27001-Managementsystem hat einen Teil der Anforderungen bereits abgedeckt; welcher Teil, zeigt erst der Abgleich mit dem Maßnahmenkatalog des § 30 BSIG. Registrierung, Meldewege und die Schulung der Geschäftsleitung deckt ein Zertifikat ohnehin nicht ab. Ein Unternehmen ohne ISMS beginnt dagegen praktisch bei null.

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz grundlegend neu gefasst. Eine allgemeine Übergangsfrist gibt es nicht; die Pflichten gelten seit dem Inkrafttreten. Wer heute erst startet, muss den Aufwand parallel zum Tagesgeschäft leisten. Das ist keine Kostenfrage im engeren Sinn, treibt den Preis aber, weil externe Kapazität kurzfristig teurer ist als geplant.

Kostenblock 1: Betroffenheit und Scoping

Der erste Ausgabenposten entsteht, bevor überhaupt eine Maßnahme umgesetzt wird. Sie müssen sauber klären, ob Sie als besonders wichtige oder als wichtige Einrichtung gelten und welche Konzerngesellschaften in den Anwendungsbereich fallen. Die Größeneinstufung folgt der EU-Empfehlung 2003/361/EG. Mittlere Unternehmen erreichen die Schwelle ab 50 Beschäftigten oder mit einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro (§ 28 Abs. 2 Nr. 3 BSIG). Große Unternehmen ab 250 Beschäftigten oder einem Jahresumsatz über 50 Millionen Euro und einer Bilanzsumme über 43 Millionen Euro.

Ein häufiger und teurer Fehler in dieser Phase: nur auf die Mitarbeiterzahl zu schauen. Umsatz und Bilanzsumme sind mitzuprüfen, ebenso die Hinzurechnung von Partner- und verbundenen Unternehmen und ihre Ausnahme bei IT-Unabhängigkeit (§ 28 Abs. 4 Satz 2 BSIG). Wer den Scope falsch zieht, plant entweder zu klein und wird nachbessern müssen oder zu groß und zahlt ohne Grund. Der Aufwand für ein solides Scoping hängt vor allem an den Beteiligungsverhältnissen: Bei einer einzelnen GmbH ist die Frage oft schnell geklärt, bei Konzernstrukturen braucht es eine Prüfung je Gesellschaft. Die Registrierungspflicht beim BSI besteht fort, auch wenn die ursprüngliche Frist am 6. März 2026 und die Nachfrist des BSI am 31. Juli 2026 abgelaufen sind.

Kostenblock 2: Gap-Analyse und Risikomanagement

Der zweite Block ist die strukturierte Erhebung, wo Sie stehen und was fehlt. Verglichen wird der Ist-Zustand gegen die Pflichten des BSI-Gesetzes: Risikomanagement, Meldewesen, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle, Schulung. Ergebnis ist ein Maßnahmenplan mit Priorisierung, Verantwortlichen und geschätztem Aufwand.

Wie hoch die Beratungskosten für diesen Schritt ausfallen, hängt an der Zahl der Standorte, am OT-Anteil und an der Vielfalt der Systemlandschaft. Eine überschaubare IT an einem Standort ist schneller erhoben als eine heterogene Landschaft mit Produktionsnetz. Wer die Erstanalyse selbst leisten will, kann mit einem Selbstbedienungswerkzeug einen strukturierten Bericht erzeugen und diesen als Grundlage für die interne Priorisierung nutzen. Das ersetzt keine Fachbewertung, senkt aber die Einstiegskosten deutlich.

Kostenblock 3: Technische und organisatorische Umsetzung

Der größte Kostenblock ist die Umsetzung selbst. Hier entstehen die eigentlichen Investitionen, und hier ist die Bandbreite am breitesten. Typische Positionen im Projekt sind Mehrfaktor-Authentifizierung, ein belastbares Backup- und Wiederherstellungskonzept, Netzsegmentierung, Patch- und Schwachstellenmanagement, ein dokumentierter Zugriffsprozess, ein geübter Vorfallsprozess, die Steuerung kritischer Lieferanten und regelmäßige Schulungen der Belegschaft und der Leitung.

Eine belastbare Zahl lässt sich erst nennen, wenn die Gap-Analyse vorliegt. Der Aufwand wächst mit der Größe der Organisation, der Zahl der Standorte, einem OT-Umfeld und mit dem Sektor. Was den Preis nach oben treibt: viele Standorte, veraltete Systeme, fehlendes SIEM, kein zentrales Identitätsmanagement und eine Lieferkette mit vielen kritischen Dienstleistern.

MFA und Identitätsmanagement: abhängig von Nutzerzahl und Bestandssystemen
Backup- und Wiederherstellungskonzept mit Test: abhängig von Datenmenge, Systemzahl und Wiederanlaufzielen
Netzsegmentierung und Härtung: stark abhängig von der Ausgangslage
SIEM-Einführung oder Anbindung an ein SOC: Projektaufwand plus laufende Kosten
Schulung von Leitung und Belegschaft: laufender Posten, die Geschäftsleitung muss regelmäßig geschult werden (§ 38 Abs. 3 BSIG)

Kostenblock 4: Meldewesen, Nachweise und laufender Betrieb

Ein Bereich, der in vielen Angeboten zu billig kalkuliert wird, ist das Meldewesen. Die Meldepflicht nach § 32 BSIG ist gestuft: eine frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Adressat ist die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, erreichbar über das BSI-Portal. Die Frist beginnt laut BSI, sobald eine Mitarbeiterin oder ein Mitarbeiter während der Arbeitszeit von dem Vorfall erfährt, nicht erst mit der Information der Geschäftsleitung. Diesen Unterschied unterschätzen viele Häuser in ihren Alarm- und Eskalationsketten.

Sind personenbezogene Daten betroffen, bestehen zwei getrennte Meldepflichten nebeneinander: die frühe Erstmeldung nach § 32 BSIG binnen 24 Stunden und die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO, unverzüglich und möglichst binnen 72 Stunden, nachdem dem Verantwortlichen die Verletzung bekannt wurde. Sie ist eine eigenständige Frist gegenüber einer anderen Behörde. Beide Fristen laufen unabhängig voneinander. Wer die Prozesse und Vorlagen dafür einmal sauber aufsetzt, übt und dokumentiert, hat im Ernstfall Zeit für die eigentliche Bewältigung.

Für den laufenden Betrieb fallen jedes Jahr wiederkehrende Kosten an: regelmäßige Risikoanalysen, Übungen, Nachschulungen, Reviews der Lieferantensteuerung und die Pflege der Dokumentation, zu der § 30 Abs. 1 BSIG ausdrücklich verpflichtet. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI, wichtige Einrichtungen werden anlassbezogen geprüft. Die inhaltlichen Anforderungen an das Risikomanagement sind für beide Gruppen weitgehend gleich.

Wo Sie realistisch sparen können

Nicht jede Position ist verhandelbar, aber drei Hebel sind wirksam. Erstens: vorhandene Nachweise nutzen. Wer ISO 27001, TISAX oder branchenspezifische Standards betreibt, sollte die Dokumentation gezielt gegen die BSIG-Pflichten mappen und nur die Lücken bearbeiten. Zweitens: das Meldewesen früh üben. Eine gut vorbereitete Meldung in 24 Stunden ist billiger als ein hektisches Improvisieren im Ernstfall. Drittens: den ersten Schritt digital gehen. Ein strukturierter NIS2-Bericht aus einem Selbstbedienungswerkzeug liefert eine belastbare Grundlage und macht Beratungsgespräche kürzer.

Sparen sollten Sie nicht an der Scope-Klärung und nicht an der Schulung der Leitung. Beide Punkte sind Grundlage aller weiteren Schritte und gemessen am Gesamtbudget vergleichsweise günstig.

Fazit

Eine belastbare Kostenzahl für die NIS2-Umsetzung gibt es erst nach Scoping und Gap-Analyse. Planen Sie mit vier Blöcken: Klärung der Betroffenheit, Gap-Analyse, technische und organisatorische Umsetzung sowie Meldewesen und laufender Betrieb. Der größte und am stärksten schwankende Block ist die Umsetzung. Wer ein bestehendes ISMS mitbringt, zahlt spürbar weniger. Der wirtschaftlich sinnvolle nächste Schritt ist immer derselbe: erst die Betroffenheit sauber klären, dann den Maßnahmenplan priorisieren, dann investieren.

Wenn Sie zunächst wissen wollen, ob und wie stark Ihr Unternehmen betroffen ist, nutzen Sie den kostenlosen NIS2-Betroffenheits-Check von DC INFOSEC als Ausgangspunkt für Ihre Budgetplanung.Zum kostenlosen NIS2-Check