Kurz gesagt
Eine seriöse Pauschalzahl für NIS2 gibt es nicht. Der Aufwand hängt von Größe, Ausgangslage und technischen Lücken ab. Deshalb klären wir den Umfang im kostenlosen Erstgespräch und machen Ihnen danach ein Festpreisangebot.
Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz (NIS2UmsuCG). Die Pflichten stehen im neuen BSI-Gesetz und gehen auf die Richtlinie (EU) 2022/2555 zurück. Wer gut aufgestellt ist, zahlt vor allem für Dokumentation und Nachweise. Wer bei null startet, investiert zusätzlich in Technik.
Kostentreiber
Mehr Mitarbeitende bedeuten mehr Systeme, mehr Berechtigungen und mehr Schulungsaufwand.
Gibt es schon ein ISMS, Richtlinien oder eine ISO-27001-Zertifizierung? Dann sinkt der Aufwand deutlich.
Jeder Standort bringt eigene Netze, Zugänge und Notfallabläufe mit, die erfasst werden müssen.
NIS2 verlangt Sicherheit in der Lieferkette. Viele kritische Lieferanten bedeuten mehr Bewertungsaufwand.
Fehlende MFA, ungetestete Backups, kein Logging oder veraltete Systeme verursachen Projekt- und Technikkosten.
Kostenbausteine
Beratung ist nur ein Teil. Planen Sie auch interne Zeit, Technik und den laufenden Betrieb ein. Wer nur das Beraterhonorar budgetiert, wird später überrascht.
Planbare Kosten
Weil jede Ausgangslage anders ist, nennen wir keine Pauschalpreise. Stattdessen klären wir den Umfang vorab und legen ihn im Angebot verbindlich fest.
| Phase | Leistung | Abrechnung |
|---|---|---|
| Einordnung | NIS2-Betroffenheitsprüfung (kostenloses Erstgespräch)30-minütiges Erstgespräch mit Einschätzung, ob und in welcher Kategorie Ihr Unternehmen unter NIS2 fällt. | einmalig |
| Einordnung | Schriftliche BetroffenheitsanalyseDokumentierte Einordnung nach Sektor, Größe und Lieferkettenrolle – als Nachweis gegenüber Geschäftsführung, Kunden und Prüfern. | einmalig |
| Pflicht | Begleitung der BSI-RegistrierungVorbereitung aller Angaben, Begleitung der Registrierung beim BSI und Einrichtung der Meldewege. | einmalig |
| Analyse | NIS2-Gap-Analyse (bis 50 Mitarbeitende)Abgleich des Ist-Zustands mit den NIS2-Anforderungen, priorisierter Maßnahmenplan, Ergebnisbericht. | einmalig |
| Analyse | NIS2-Gap-Analyse (bis 250 Mitarbeitende)Wie oben, zusätzlich mit Interviews der Fachbereiche und Lieferantenbewertung. | einmalig |
| Umsetzung | NIS2-UmsetzungsbegleitungRisikomanagement, Richtlinien, Incident-Response- und Notfallplan, technische Maßnahmen – Umfang abhängig von Größe und Ausgangslage. | einmalig |
| Laufend | Externer ISB – BasisFür kleine Unternehmen: benannter ISB, Richtlinienpflege, Quartals-Jour-fixe, Ansprechpartner für Behörden und Kunden. | pro Monat |
| Laufend | Externer ISB – StandardFür NIS2- oder ISO-27001-pflichtige Unternehmen: monatliche Termine, Risikomanagement, Management-Reporting, Audit-Vorbereitung. | pro Monat |
Festpreis nach kostenlosem Erstgespräch. Technik, Lizenzen und interne Arbeitszeit sind nicht enthalten. Mehr zur laufenden Rolle: Externer ISB. Angebot anfragen
Spartipp
MFA, Backups und Patchmanagement verlangt NIS2 ausdrücklich. Mit einer laufenden IT-Betreuung sind viele dieser Grundlagen schon da. Unser Managed IT Service enthält Patchmanagement, EDR und Monitoring. Backup und Recovery sind ab dem Professional-Paket dabei. Dann bleiben vor allem die organisatorischen Pflichten: Risikomanagement, Meldeprozess, Richtlinien und Nachweise.
Managed IT Services ansehenEhrlicher Vergleich
Bußgelder sind ein Argument, aber nicht das wichtigste. Die meisten Maßnahmen schützen Sie zuerst vor Ausfällen durch Ransomware, Datenverlust und Betriebsunterbrechung. Die Bußgeldrahmen sind Höchstwerte. Wie die Aufsicht sie in der Praxis anwendet, bleibt abzuwarten.
Es gilt jeweils der höhere Betrag. Zusätzlich haftet die Geschäftsleitung für die Umsetzung der Risikomanagementmaßnahmen.
Hinzu kommen interne Zeit und gegebenenfalls Technik. Die Maßnahmen wirken auch ohne Aufsicht: Sie senken das Risiko teurer Ausfälle.
Weiterführend
FAQ
Eine seriöse Pauschalzahl gibt es nicht. Der Aufwand hängt vor allem von Größe, Ausgangslage, Zahl der Standorte und Lieferanten sowie von technischen Lücken ab. Neben externer Beratung fallen interne Zeit und gegebenenfalls Technik an. Nach einem kostenlosen Erstgespräch erhalten Sie von uns ein Festpreisangebot mit klar beschriebenem Umfang.
Wir starten mit einem kostenlosen Erstgespräch, in dem wir Betroffenheit und Ausgangslage klären. Danach erhalten Sie ein Festpreisangebot mit klar beschriebenem Umfang. Die Umsetzung gehen wir schrittweise an: zuerst die Gap-Analyse, dann die priorisierten Maßnahmen. So entscheiden Sie bei jedem Schritt, wie es weitergeht.
Die größten Kostentreiber sind fehlende Grundlagen: kein Informationssicherheits-Managementsystem, keine dokumentierten Prozesse, fehlende MFA, ungetestete Backups oder kein zentrales Logging. Auch viele Standorte und Lieferanten erhöhen den Aufwand.
Für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Maßgeblich ist jeweils der höhere Betrag. Dazu kommt die Haftung der Geschäftsleitung für die Umsetzung der Maßnahmen.
Teilweise ja. Viele Aufgaben wie Asset-Inventar, Richtlinien-Abstimmung oder Schulungen erledigen Sie intern. Externe Unterstützung lohnt sich vor allem für die Gap-Analyse, das Risikomanagement und die Rolle des Informationssicherheitsbeauftragten.
Viele technische Grundlagen ja. Patchmanagement, Virenschutz mit EDR und Monitoring sind in unserem Managed IT Service ab dem Basis-Paket enthalten, Backup und Recovery ab dem Professional-Paket. Die Einführung von MFA setzen wir mit Ihnen als überschaubares Projekt um. Die organisatorischen NIS2-Pflichten wie Risikomanagement, Meldeprozess und Dokumentation kommen hinzu.