Was kostet die NIS2-Umsetzung im Mittelstand?
„Was kostet NIS2?“ gehört zu den ersten Fragen, die sich viele Geschäftsführer stellen.
Eine pauschale Antwort wäre jedoch unseriös. Die NIS2-Umsetzung ist kein fest definiertes Produkt, das für jedes Unternehmen denselben Preis hat. Die tatsächlichen Kosten hängen vor allem davon ab, wie gut ein Unternehmen bereits aufgestellt ist.
Ein Betrieb mit dokumentierten Sicherheitsprozessen, klaren Verantwortlichkeiten und einem etablierten Informationssicherheitsmanagement startet an einem völlig anderen Punkt als ein Unternehmen, das Richtlinien, Risikoanalysen und Nachweise erst aufbauen muss.
Die entscheidende Frage lautet deshalb nicht nur:
Was kostet NIS2?
Sondern zunächst:
Welche Anforderungen erfüllen wir bereits – und welche Lücken müssen wir noch schließen?
Warum sich die NIS2-Kosten so stark unterscheiden
Seit dem Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes gelten für betroffene Unternehmen umfangreiche Anforderungen an das Risikomanagement, die Behandlung von Sicherheitsvorfällen, die Lieferkettensicherheit und die Organisation der Informationssicherheit.
Die Kosten hängen dabei insbesondere von folgenden Faktoren ab:
- Größe und Struktur des Unternehmens
- Anzahl der Standorte
- Komplexität der IT-Landschaft
- vorhandene Sicherheitsmaßnahmen
- Qualität der bestehenden Dokumentation
- Anzahl kritischer Lieferanten und Dienstleister
- verfügbare interne Fachkräfte
- Umfang externer Unterstützung
- bestehende Zertifizierungen oder Managementsysteme
Eine vorhandene ISO-27001-Struktur kann den Einstieg erleichtern. Sie ersetzt eine konkrete NIS2-Prüfung jedoch nicht automatisch.
Die wichtigsten Kostenblöcke der NIS2-Umsetzung
Die Gesamtkosten entstehen üblicherweise nicht an einer einzigen Stelle. Sie verteilen sich auf organisatorische, technische und personelle Aufgaben.
1. Betroffenheitsprüfung und Bestandsaufnahme
Bevor ein Unternehmen Maßnahmen plant, sollte zunächst geklärt werden, ob es rechtlich betroffen ist und welche Anforderungen konkret gelten.
Anschließend folgt eine Bestandsaufnahme:
- Welche Sicherheitsmaßnahmen existieren bereits?
- Welche Richtlinien und Prozesse sind dokumentiert?
- Wer trägt intern Verantwortung?
- Welche Systeme und Dienste sind besonders kritisch?
- Welche Nachweise können bereits vorgelegt werden?
Ein strukturierter Betroffenheitscheck und eine erste Gap-Analyse verhindern, dass Geld in Maßnahmen investiert wird, die am eigentlichen Handlungsbedarf vorbeigehen.
Je klarer der Ausgangszustand dokumentiert ist, desto genauer lässt sich das weitere Budget planen.
2. Interner Personalaufwand
Dieser Kostenblock wird häufig unterschätzt.
NIS2 betrifft nicht nur die IT-Abteilung. Je nach Organisation müssen unter anderem folgende Bereiche mitwirken:
- Geschäftsführung
- IT und Informationssicherheit
- Compliance oder Datenschutz
- Einkauf und Lieferantenmanagement
- Personalabteilung
- Qualitätsmanagement
- Fachabteilungen
Auch wenn keine externe Rechnung entsteht, verursacht die interne Arbeitszeit reale Kosten.
Mitarbeiter müssen Informationen zusammentragen, Risiken bewerten, Maßnahmen abstimmen, Richtlinien prüfen und Nachweise pflegen. Besonders teuer wird es, wenn Informationen über verschiedene Excel-Dateien, E-Mails und Ordner verteilt sind.
Eine zentrale Plattform kann diesen Aufwand reduzieren, indem Zuständigkeiten, Fristen und Nachweise an einer Stelle zusammengeführt werden.
Welche Verantwortung die Geschäftsleitung dabei trägt, erklären wir ausführlich im Beitrag zur persönlichen Haftung der Geschäftsführung nach § 38 BSIG.
3. Beratung und externe Unterstützung
Nicht jedes Unternehmen verfügt intern über ausreichendes Fachwissen für die gesamte Umsetzung.
Externe Beratung kann sinnvoll sein bei:
- rechtlicher Einordnung der Betroffenheit
- Gap-Analyse
- Aufbau eines Risikomanagements
- Erstellung oder Prüfung von Richtlinien
- Gestaltung von Melde- und Notfallprozessen
- Vorbereitung auf Prüfungen
- technischen Sicherheitsanalysen
Die Kosten hängen stark vom Umfang ab.
Ein klar abgegrenzter Workshop ist günstiger als ein vollständiges Umsetzungsprojekt mit regelmäßiger Begleitung. Unternehmen sollten deshalb vor der Beauftragung genau klären, welches Ergebnis geliefert wird.
Wichtige Fragen sind:
- Erhalten wir nur eine Analyse oder auch konkrete Umsetzungshilfe?
- Sind Vorlagen und Dokumentationen enthalten?
- Werden Maßnahmen priorisiert?
- Wie wird Wissen an interne Verantwortliche übertragen?
- Fallen laufende Kosten an?
Das Ziel sollte nicht sein, dauerhaft von einem Berater abhängig zu bleiben. Gute Unterstützung schafft Strukturen, die intern weitergeführt werden können.
4. Technische Sicherheitsmaßnahmen
Je nach Ausgangslage kann die technische Umsetzung einen erheblichen Teil des Budgets ausmachen.
Mögliche Maßnahmen sind beispielsweise:
- Multi-Faktor-Authentifizierung
- Backup- und Wiederherstellungslösungen
- Netzwerksegmentierung
- Protokollierung und Überwachung
- Patch- und Schwachstellenmanagement
- Endpoint-Security
- Verschlüsselung
- sichere Zugriffskontrollen
- Systeme zur Angriffserkennung
- Notfall- und Wiederanlaufkonzepte
Nicht jedes Unternehmen benötigt sofort jedes denkbare Sicherheitstool.
Eine vorherige Risikoanalyse hilft dabei, die größten Risiken zuerst zu behandeln. Dadurch werden Investitionen priorisiert, statt Technik nur aus Unsicherheit einzukaufen.
Welche Anforderungen Unternehmen dabei konkret berücksichtigen müssen, haben wir in unserem Beitrag zu den 10 Pflichtmaßnahmen nach § 30 BSIG zusammengefasst.
5. Richtlinien und Dokumentation
Viele Unternehmen haben bereits technische Schutzmaßnahmen, können deren Umsetzung aber nicht vollständig nachweisen.
Für NIS2 reicht es nicht, Sicherheitsmaßnahmen nur informell zu leben. Prozesse und Verantwortlichkeiten müssen nachvollziehbar organisiert und dokumentiert werden.
Dazu können unter anderem gehören:
- Informationssicherheitsrichtlinie
- Richtlinie zur Zugriffskontrolle
- Backup- und Wiederherstellungsrichtlinie
- Incident-Response-Prozess
- Lieferantenmanagement
- Risikomanagementverfahren
- Business-Continuity-Regelungen
- Schulungs- und Awareness-Konzept
Kosten entstehen nicht nur bei der erstmaligen Erstellung. Richtlinien müssen geprüft, freigegeben, veröffentlicht und regelmäßig aktualisiert werden.
Manuelle Freigaben über E-Mail und Word-Dokumente wirken anfangs günstig, verursachen langfristig aber erheblichen Verwaltungsaufwand.
6. Schulungen und Sensibilisierung
Informationssicherheit funktioniert nur, wenn Mitarbeiter ihre Rolle verstehen.
Neben allgemeinen Awareness-Schulungen benötigen insbesondere Verantwortliche und Geschäftsleitungsmitglieder ein ausreichendes Verständnis der Risiken und Pflichten.
Mögliche Kosten entstehen durch:
- externe Schulungsanbieter
- Lernplattformen
- interne Schulungszeit
- Erstellung eigener Inhalte
- Dokumentation der Teilnahme
- regelmäßige Wiederholungen
Ein einmaliges Training reicht meist nicht aus. Schulungen sollten als wiederkehrender Prozess eingeplant werden.
7. Software und laufender Betrieb
Eine NIS2- oder Compliance-Plattform verursacht zusätzliche Lizenzkosten, kann aber gleichzeitig internen Aufwand reduzieren.
Geeignete Software unterstützt beispielsweise bei:
- Gap-Analysen
- Risikobewertungen
- Maßnahmenverfolgung
- Richtlinienmanagement
- Dokumentenlenkung
- Lieferantenbewertungen
- Aufgaben und Erinnerungen
- Auditnachweisen
- Managementübersichten
Entscheidend ist nicht allein der Lizenzpreis.
Unternehmen sollten prüfen, welche manuellen Tätigkeiten durch die Software entfallen. Eine günstige Lösung bringt wenig, wenn weiterhin sämtliche Nachweise separat in Excel und Word gepflegt werden müssen.
Die wirtschaftlich relevante Frage lautet daher:
Wie viel Arbeitszeit und externe Beratung kann die Plattform langfristig einsparen?
Direkte und indirekte NIS2-Kosten
Bei der Budgetplanung sollten zwei Arten von Kosten berücksichtigt werden.
Direkte Kosten
Dazu gehören:
- Beratungsleistungen
- Softwarelizenzen
- neue Sicherheitstechnik
- externe Audits und Tests
- Schulungsanbieter
- juristische Unterstützung
Indirekte Kosten
Dazu gehören:
- interne Arbeitszeit
- Abstimmungen zwischen Abteilungen
- Pflege von Dokumentationen
- Durchführung regelmäßiger Reviews
- Nachverfolgung offener Maßnahmen
- Vorbereitung von Nachweisen
Gerade die indirekten Kosten werden häufig zu niedrig angesetzt. Eine unstrukturierte Umsetzung kann intern mehr Aufwand verursachen als die eigentliche Anschaffung von Software oder Beratung.
Drei beispielhafte Ausgangssituationen
Die folgenden Szenarien sind keine pauschalen Marktpreise. Sie zeigen, warum sich die Kosten je nach Reifegrad stark unterscheiden können.
Szenario 1: Gute Ausgangslage
Das Unternehmen verfügt bereits über:
- dokumentierte IT-Prozesse
- aktuelle Asset- und Lieferantenlisten
- regelmäßige Risikoanalysen
- klare Verantwortlichkeiten
- geschulte Mitarbeiter
- strukturierte Richtlinien
In diesem Fall konzentriert sich der Aufwand vor allem auf die Prüfung der NIS2-spezifischen Lücken, einzelne Anpassungen und die Nachweisführung.
Szenario 2: Einzelne Maßnahmen vorhanden
Das Unternehmen nutzt bereits Firewalls, Backups und Zugriffskontrollen. Organisatorische Prozesse und Dokumentationen sind jedoch nur teilweise vorhanden.
Hier entstehen zusätzliche Kosten für:
- Strukturierung des Risikomanagements
- Erstellung und Freigabe von Richtlinien
- Definition von Verantwortlichkeiten
- Lieferantenbewertungen
- Schulungen
- zentrale Nachweisführung
Szenario 3: Geringer Reifegrad
Das Unternehmen hat bisher kein strukturiertes Informationssicherheitsmanagement und nur wenige dokumentierte Prozesse.
In diesem Fall handelt es sich nicht um eine kleine Ergänzung, sondern um ein umfassenderes Organisationsprojekt. Der Aufwand für Bestandsaufnahme, Technik, Prozesse, Schulungen und Dokumentation fällt entsprechend höher aus.
So können Unternehmen ihre NIS2-Kosten kalkulieren
Eine einfache Kalkulation kann aus fünf Schritten bestehen.
Schritt 1: Ausgangszustand erfassen
Zunächst werden vorhandene Maßnahmen, Dokumente, Rollen und Systeme aufgenommen.
Schritt 2: Lücken bewerten
Anschließend wird geprüft, welche Anforderungen noch nicht oder nur teilweise erfüllt sind.
Schritt 3: Maßnahmen priorisieren
Nicht jede Lücke hat dieselbe Dringlichkeit. Kritische Risiken und gesetzliche Kernpflichten sollten zuerst behandelt werden.
Schritt 4: Interne und externe Aufwände schätzen
Für jede Maßnahme werden Verantwortliche, Arbeitszeit, externe Kosten und benötigte Werkzeuge festgelegt.
Schritt 5: Laufende Kosten berücksichtigen
NIS2 ist kein einmaliges Projekt. Reviews, Schulungen, Risikobewertungen und Aktualisierungen müssen dauerhaft eingeplant werden.
Eine einfache interne Kalkulationsformel lautet:
Interne Arbeitszeit × interner Stundensatz plus Beratung plus technische Maßnahmen plus Software plus Schulungen plus laufender Pflegeaufwand
Damit entsteht eine wesentlich realistischere Einschätzung als durch einen pauschalen Projektpreis.
Wie sich unnötige Kosten vermeiden lassen
Eine wirtschaftliche NIS2-Umsetzung bedeutet nicht, möglichst wenig zu investieren. Sie bedeutet, vorhandene Ressourcen gezielt einzusetzen.
Folgende Punkte helfen dabei:
- Zuerst die Betroffenheit und den Ist-Zustand prüfen.
- Vorhandene Maßnahmen und Dokumente wiederverwenden.
- Risiken priorisieren, statt wahllos Technik einzukaufen.
- Verantwortlichkeiten frühzeitig festlegen.
- Nachweise von Beginn an zentral dokumentieren.
- Richtlinien und Reviews als wiederkehrende Prozesse organisieren.
- Externe Unterstützung gezielt für echte Wissenslücken einsetzen.
- Software nach Zeitersparnis und Prozessnutzen bewerten, nicht nur nach Lizenzpreis.
Besonders teuer wird NIS2 dann, wenn das Unternehmen spät beginnt, Zuständigkeiten unklar bleiben und dieselben Informationen mehrfach gepflegt werden.
Was kostet es, nichts zu tun?
Auch Nichtstun verursacht ein wirtschaftliches Risiko.
Mögliche Folgen sind:
- unkoordinierte Reaktionen auf Sicherheitsvorfälle
- Betriebsunterbrechungen
- Verlust wichtiger Daten
- steigende Versicherungs- und Wiederherstellungskosten
- Vertrauensverlust bei Kunden und Partnern
- Probleme bei Ausschreibungen und Lieferantenbewertungen
- aufsichtsrechtliche Maßnahmen und mögliche Bußgelder
NIS2 sollte deshalb nicht ausschließlich als gesetzlicher Kostenfaktor betrachtet werden.
Viele Maßnahmen verbessern gleichzeitig die Widerstandsfähigkeit des Unternehmens, reduzieren Ausfallrisiken und schaffen klarere interne Prozesse.
Fazit: Die Ausgangslage bestimmt den Preis
Eine seriöse Antwort auf die Frage „Was kostet NIS2?“ beginnt immer mit einer Bestandsaufnahme.
Die Kosten werden nicht allein durch das Gesetz bestimmt, sondern durch die Lücke zwischen dem aktuellen Sicherheitsniveau und dem erforderlichen Zielzustand.
Unternehmen mit klaren Prozessen und guter Dokumentation können bestehende Strukturen weiterverwenden. Unternehmen mit vielen organisatorischen Lücken müssen zunächst Grundlagen schaffen.
Der sinnvollste erste Schritt ist daher keine pauschale Kostenanfrage, sondern eine strukturierte Prüfung der Betroffenheit und des aktuellen Reifegrads.
Der NIS2 Autopilot unterstützt dabei, Anforderungen, Risiken, Maßnahmen und Nachweise zentral zu organisieren und den Umsetzungsstand nachvollziehbar zu machen.
👉 NIS2-Betroffenheit kostenlos prüfen
Häufig gestellte Fragen zu NIS2-Kosten
Gibt es einen festen Preis für die NIS2-Umsetzung?
Nein. Die Kosten hängen unter anderem von Unternehmensgröße, IT-Landschaft, vorhandenen Prozessen, Dokumentation und internem Fachwissen ab.
Ist NIS2-Beratung zwingend erforderlich?
Nicht zwingend. Unternehmen können viele Aufgaben intern umsetzen. Externe Unterstützung ist besonders sinnvoll, wenn Fachwissen, Ressourcen oder eine unabhängige Bewertung fehlen.
Reicht der Kauf einer NIS2-Software aus?
Nein. Software kann Prozesse strukturieren und Nachweise vereinfachen. Verantwortlichkeiten, technische Maßnahmen und tatsächliche Umsetzung bleiben dennoch erforderlich.
Ist eine ISO-27001-Zertifizierung automatisch ausreichend?
Nein. Vorhandene ISO-27001-Strukturen können viele Grundlagen abdecken, müssen aber konkret gegen die geltenden NIS2- und BSIG-Anforderungen geprüft werden.
Entstehen nach der ersten Umsetzung weitere Kosten?
Ja. Risikobewertungen, Schulungen, Richtlinien, Lieferantenbewertungen und Sicherheitsmaßnahmen müssen regelmäßig überprüft und aktualisiert werden.