NIS2-Compliance: Was kostet die Umsetzung wirklich?

Die NIS2-Umsetzung kostet KMU mit 50 bis 250 Mitarbeitern typischerweise zwischen 20.000 und 80.000 EUR im ersten Jahr. Der Bundesgesetzgeber kalkuliert im Durchschnitt mit 70.000 EUR einmalig pro betroffener Einrichtung. Mit dem Vor-Check von NIS2Compass ermitteln Sie in wenigen Minuten, wo Ihr konkreter Handlungsbedarf liegt.

Was versteht man unter NIS2-Compliance-Kosten?

NIS2-Compliance-Kosten umfassen alle einmaligen und laufenden Ausgaben für die Pflichten nach §30 BSIG: Personal, Beratung, technische Maßnahmen und Dokumentation. Laut Gesetzentwurf zum NIS2UmsuCG kalkuliert der Bundesgesetzgeber mit durchschnittlich 70.000 EUR einmalig und 73.000 EUR jährlich pro betroffener Einrichtung. Die tatsächlichen Kosten variieren stark je nach IT-Sicherheitsreife des Unternehmens.

Einmalige Umsetzungskosten entstehen in der Aufbauphase: Lückenanalyse, Einführung fehlender Sicherheitsmaßnahmen, Erstellung der Pflichtdokumentation, Schulungen und gegebenenfalls externe Beratung. Laufende Betriebskosten folgen danach. Sie liegen typischerweise bei 20 bis 30 Prozent der Erstinvestition und decken Wartung, jährliche Reviews, Awareness-Trainings und die Pflege des Patch-Managements ab.

Die vier Hauptkostentreiber im Überblick:

• Personal: Interner Aufwand für die Einrichtung und den Betrieb des Informationssicherheits-Managements, inklusive eines benannten Informationssicherheitsbeauftragten (ISB)
• Externe Beratung: Spezialisierte NIS2-Berater kosten 1.000 bis 2.000 EUR pro Tag; viele KMU beauftragen externe ISBs auf monatlicher Basis
• Technische Maßnahmen: MFA, Netzwerksegmentierung, Endpoint-Security, Backup-Infrastruktur und Schwachstellenmanagement
• Dokumentation: Richtlinien, Risikoregister, Notfallplan und Nachweise für die BSI-Registrierung

Die Ausgangslage ist entscheidender als die Unternehmensgröße. Wer bereits Multi-Faktor-Authentifizierung, strukturierte Backups und eine dokumentierte IT-Sicherheitsrichtlinie betreibt, zahlt deutlich weniger als ein Unternehmen, das diese Grundlagen erst aufbauen muss.

Zu beachten ist außerdem: "wesentliche Einrichtungen" (BWE) und "wichtige Einrichtungen" (WE) unterliegen denselben §30-Pflichten, unterscheiden sich aber in der BSI-Prüfintensität. BWE müssen mit häufigeren Kontrollen und schärferen Sanktionen rechnen, was den Dokumentationsaufwand erhöht.

Mit dem Vor-Check von NIS2Compass ermitteln Sie in wenigen Minuten, welche §30-Maßnahmen in Ihrem Unternehmen bereits umgesetzt sind und wo konkreter Handlungsbedarf besteht.

Was kostet der Personalaufwand: interner ISB oder externer Dienstleister?

Der größte laufende Kostenblock der NIS2-Compliance ist Personal. Ein interner Informationssicherheitsbeauftragter (ISB) kostet 80.000 bis 120.000 EUR jährlich inklusive Lohnnebenkosten. Für KMU knapp über der NIS2-Schwelle ist ein externer ISB mit 1.400 bis 2.500 EUR monatlich die wirtschaftlichere Alternative.

Unternehmen haben vier grundsätzliche Optionen, die sich in Kosten und Eignung deutlich unterscheiden:

• Interner ISB (Vollzeit): 80.000 bis 120.000 EUR pro Jahr inklusive Lohnnebenkosten. Diese Option ist erst ab etwa 200 Mitarbeitern wirtschaftlich sinnvoll, da der Aufgabenumfang dann eine Vollzeitstelle rechtfertigt.
• Interne Doppelrolle (IT-Leiter als ISB): Kein Zusatzgehalt, aber 20 bis 40 Prozent des Zeitanteils des IT-Leiters entfallen auf Compliance-Aufgaben. Hinzu kommt ein strukturelles Problem: Wer als IT-Leiter Systeme betreibt, kann nicht gleichzeitig neutral deren Sicherheit beurteilen.
• Externer ISB (Dienstleister): 1.400 bis 2.500 EUR pro Monat, also 16.800 bis 30.000 EUR jährlich. Sofort einsatzbereit, mit Branchenerfahrung und nachweislich günstiger für KMU mit 50 bis 150 Mitarbeitern.
• Managed Security Service Provider (MSSP): 2.000 bis 5.000 EUR pro Monat. Bündelt die ISB-Funktion mit technischem Monitoring und ist sinnvoll, wenn gleichzeitig Sicherheitstechnik wie SIEM oder EDR betrieben werden soll.

Laut einer Kostenanalyse von ING-ISM kostet ein externer ISB KMU ab 16.800 EUR jährlich, gegenüber einer internen Vollzeitstelle ab 80.000 EUR.

Die Entscheidung lässt sich nach Unternehmensgröße vereinfachen:

• Bis 100 Mitarbeiter: externer ISB
• 100 bis 200 Mitarbeiter: Doppelrolle mit externem Support
• 200+ Mitarbeiter: interne Stelle prüfen

Für die meisten betroffenen KMU ist der externe ISB der wirtschaftlich sinnvollste Einstieg: geringerer Fixkostenblock, sofortige Verfügbarkeit und kein Interessenkonflikt mit dem laufenden IT-Betrieb.

Was kostet externe NIS2-Beratung — und was liefert sie wirklich?

Externe NIS2-Berater berechnen 1.000 bis 2.000 EUR pro Beratertag. Ein vollständiges NIS2-Beratungsprojekt für ein KMU umfasst typischerweise 40 bis 80 Beratertage — das ergibt Projektkosten von 50.000 bis 150.000 EUR. Ein strukturierter Leitfaden wie NIS2Compass kann einen erheblichen Teil dieser Leistungen für 29 EUR im Monat abbilden.

Die Gesamtkosten eines Beratungsprojekts setzen sich aus mehreren Einzelleistungen zusammen:

• Gap-Analyse und Bestandsaufnahme: 5.000–15.000 EUR, abhängig von Unternehmensgröße und Dokumentationslage
• Maßnahmenplanung mit Zeitplan: 3.000–8.000 EUR
• Erstellung von Richtlinien und Dokumentation: 5.000–20.000 EUR — typischerweise der größte Einzelposten
• Begleitung technischer Implementierung: 5.000–20.000 EUR
• Schulungen für Geschäftsleitung und Mitarbeiter: 2.000–5.000 EUR
• Unterstützung bei der BSI-Registrierung: 1.000–3.000 EUR

Die typische Projektdauer liegt bei 12 bis 18 Monaten.

Was externe Beratung liefert, ist klar: Fachwissen, Struktur, fertige Vorlagen und eine externe Perspektive. Kein Exklusivwissen — vieles davon ist mit einem strukturierten Leitfaden und guten Vorlagen eigenständig umsetzbar.

Beratung lohnt sich besonders in bestimmten Situationen: komplexe IT-Landschaften, stark regulierte Sektoren wie Energie, Gesundheit oder Wasserversorgung, fehlende interne Kapazitäten oder der Wunsch der Geschäftsleitung nach externer Absicherung.

83 Prozent der rund 30.000 betroffenen Einrichtungen haben laut dem Gesetzentwurf zum NIS2UmsuCG erheblichen Nachholbedarf — was die hohe Nachfrage und die Premium-Tagessätze für NIS2-Spezialisten erklärt.

Auswertungen von NIS2Compass zeigen: Der Dokumentationsposten wird von KMU am häufigsten unterschätzt — er übersteigt in der Praxis regelmäßig die ursprünglichen Budgetschätzungen um 30 bis 50 Prozent. Wer die Entscheidung zwischen externer Beratung und Eigenleistung systematisch durchgehen möchte, findet in dem Artikel NIS2-Berater oder selbst umsetzen? Ein Kostenvergleich eine detaillierte Gegenüberstellung.

Was kosten technische Maßnahmen: MFA, Netzwerksicherheit, Backup und SIEM?

Technische NIS2-Maßnahmen variieren je nach bereits vorhandener Infrastruktur erheblich. Wer MFA, strukturiertes Backup und Netzwerksegmentierung bereits betreibt, investiert vor allem in Dokumentation und Feinjustierung. Unternehmen ohne diese Grundlagen müssen mit 15.000 bis 60.000 EUR für die technische Erstausstattung rechnen.

Laut einer Praxisanalyse von CCVOSSEL investieren KMU mit 50 bis 250 Mitarbeitern typischerweise 50.000 bis 150.000 EUR initial. Technische Infrastruktur macht dabei den größten Einzelposten aus.

Die wichtigsten technischen Maßnahmen mit realistischen Kostenbandbreiten:

• Multi-Faktor-Authentifizierung (§30 Abs. 2 Nr. 3 BSIG): Cloud-basierte Lösungen wie Microsoft Authenticator sind in M365-Lizenzen bereits enthalten. Der Einführungsaufwand liegt bei 1 bis 5 IT-Tagen. Gesamtkosten Jahr 1: 500 bis 3.000 EUR.
• Netzwerksegmentierung: Für KMU mit einfacher Infrastruktur sind 2.000 bis 10.000 EUR für Hardware und Konfiguration realistisch. Bei komplexen Netzwerken steigen die Kosten deutlich.
• Backup und Wiederherstellung (3-2-1-Regel): Cloud-Backup-Dienste starten ab 50 bis 200 EUR pro Monat. Hinzu kommen 2 bis 3 IT-Tage jährlich für Restore-Tests und Dokumentation. Gesamtaufwand Jahr 1: 2.000 bis 8.000 EUR.
• Schwachstellen- und Patch-Management: Open-Source-Scanner wie Greenbone/OpenVAS sind bis 500 EUR pro Jahr betreibbar; kommerzielle Tools kosten 2.000 bis 8.000 EUR jährlich. Der interne Prozessaufwand beträgt ca. 1 bis 2 IT-Tage pro Monat.
• SIEM (Security Information and Event Management): Open-Source-Optionen wie Wazuh oder Graylog sind kostenfrei, erfordern aber 5 bis 15 Einführungstage. Cloud-SIEM liegt bei 500 bis 3.000 EUR pro Monat. Für KMU unter 100 Mitarbeitern ist ein vollständiges SIEM oft unverhältnismäßig: Log-basiertes Monitoring reicht als Einstieg.
• Verschlüsselung: TLS/HTTPS ist meist bereits vorhanden. Festplattenverschlüsselung über BitLocker oder FileVault ist in gängigen Betriebssystemen enthalten. Der Hauptaufwand liegt im Rollout und der Dokumentation: 1.000 bis 5.000 EUR.

§30 BSIG fordert ausdrücklich "geeignete und verhältnismäßige" technische Maßnahmen. Kein KMU muss ein Enterprise-SOC aufbauen. Entscheidend ist, dass die gewählten Maßnahmen zum eigenen Risikoprofil passen und dokumentiert sind.

Die Template Library von NIS2Compass enthält fertige Vorlagen für Netzwerksicherheitskonzept, Backup-Strategie und Patch-Management-Prozess.

Was kostet Dokumentation — und wo helfen Vorlagen?

NIS2-Dokumentation wird unterschätzt: §30 BSIG fordert schriftliche Nachweise für alle zehn Pflichtmaßnahmen — von der IS-Richtlinie bis zum Incident-Response-Plan. Wer Richtlinien und Konzepte von Null erstellt, investiert 40 bis 120 IT-Stunden pro Dokument. Strukturierte Vorlagen verkürzen diesen Aufwand um bis zu 70 Prozent.

Was §30 BSIG konkret dokumentiert haben will:

• Informationssicherheitsleitlinie — schriftlich verabschiedet und von der Geschäftsleitung unterzeichnet
• Asset-Inventar — vollständige Erfassung aller relevanten IT-Systeme und Daten
• Risikobewertung und Risikoregister — strukturierte Analyse mit Maßnahmenplan
• Incident-Response-Plan — inklusive BSI-Meldeprozess (24h-Erstmeldung, 72h-Folgemeldung)
• Business Continuity Plan und IT-Notfallhandbuch — Wiederanlaufpläne für kritische Systeme
• Mindestens sieben Sicherheitsrichtlinien — Zugriffskontrolle, Patch-Management, Kryptographie, Backup, Lieferkette, Awareness, Netzwerksicherheit
• Lieferantenverzeichnis — mit dokumentierten Sicherheitsbewertungen je Dienstleister

Der Zeitvergleich zeigt den Unterschied deutlich:

• Ohne Vorlagen: 3 bis 5 Personentage pro Richtlinie für Recherche, Formulieren, Abstimmen und Genehmigen
• Mit fertigen Vorlagen: 0,5 bis 1 Personentag pro Richtlinie für Anpassen und Genehmigen
• Beispielrechnung: 12 Dokumente × 4 Personentage × 8 Stunden × 80 EUR ergibt rund 30.700 EUR; mit Vorlagen reduziert sich der Aufwand auf rund 7.700 EUR

Laut SECJUR (NIS2 Kosten 2026) können ISMS-Plattformen mit vorkonfigurierten Vorlagen die Vorbereitungszeit um bis zu 50 Prozent verkürzen.

Ein IT-Leiter eines Fertigungsunternehmens mit 80 Mitarbeitern berichtete: „Den größten Aufwand hat die Dokumentation gemacht. Wir hatten unterschätzt, wie viel Zeit das Abstimmen und Genehmigen der Richtlinien kostet — ohne fertige Vorlagen wären wir leicht auf das Doppelte gekommen."

Wichtig: Vorlagen ersetzen nicht das Nachdenken. Die Anpassung auf eigene Prozesse, Verantwortlichkeiten und technische Umgebung ist zwingend erforderlich — ein unausgefülltes Dokument hat vor dem BSI keinen Bestand.

Die Template Library von NIS2Compass enthält 20+ Vorlagen, die speziell auf §30 BSIG zugeschnitten sind. Der NIS2 Guide strukturiert den gesamten Umsetzungspfad in 8 Kapiteln. Hintergründe zu den einzelnen Dokumentationspflichten und ihrer rechtlichen Grundlage finden sich im Knowledge Hub.

Was kostet NIS2-Compliance wirklich? Drei realistische Szenarien für KMU

Die Gesamtkosten hängen weniger von der Mitarbeiterzahl ab als von der IT-Sicherheitsreife des Unternehmens. Ein KMU mit solider Grundlage (MFA, Backup, dokumentiertes Netzwerk) kommt für 15.000 bis 40.000 EUR durch das erste Jahr. Wer bei Null anfängt, muss 60.000 bis 120.000 EUR einplanen.

Laut Gesetzesfolgenabschätzung NIS2UmsuCG (OpenKRITIS) hat nur 1 Prozent der betroffenen Einrichtungen alle Maßnahmen vollständig umgesetzt — 83 Prozent haben erheblichen Nachholbedarf.

Szenario A: Kleines KMU mit guter Ausgangslage (50 Mitarbeiter, IT-Dienstleister)

MFA und Backup vorhanden, ISB und Dokumentation fehlen. Kostenschätzung Jahr 1:

• Externer ISB (12 Monate): 16.800–24.000 EUR
• Dokumentation mit Vorlagen (10–15 IT-Tage intern): 6.400–9.600 EUR
• Technische Anpassungen: 3.000–8.000 EUR
• Schulungen und BSI-Registrierung: 1.000–3.000 EUR
• NIS2Compass Pro (12 Monate): 348 EUR
• Gesamt Jahr 1: ca. 28.000–45.000 EUR

Laufende Kosten ab Jahr 2: 18.000–30.000 EUR/Jahr.

Szenario B: Mittleres KMU mit mittlerer Ausgangslage (100 Mitarbeiter, Fertigungsunternehmen)

Kein ISB, kein Risikomanagement, MFA nur teilweise. Gap-Analyse, technische Maßnahmen und Dokumentation nötig. Kostenschätzung Jahr 1:

• Externe Gap-Analyse (5–10 Beratertage): 7.500–15.000 EUR
• Externer ISB oder Beratungsunterstützung (12 Monate): 24.000–36.000 EUR
• Technische Maßnahmen (MFA, Netzwerk, Schwachstellenscanner): 8.000–20.000 EUR
• Dokumentation mit Vorlagen: 8.000–15.000 EUR
• Schulungen (Geschäftsleitung und Mitarbeiter): 3.000–6.000 EUR
• Gesamt Jahr 1: ca. 51.000–92.000 EUR

Laufende Kosten ab Jahr 2: 25.000–45.000 EUR/Jahr.

Szenario C: Größeres KMU mit schwacher Ausgangslage (200 Mitarbeiter, Logistik oder Energie)

Kein ISB, kein ISMS, veraltete Infrastruktur. Vollständiges NIS2-Projekt erforderlich. Kostenschätzung Jahr 1:

• Vollständiges Beratungsprojekt (40–60 Beratertage): 50.000–100.000 EUR
• Technische Investitionen: 20.000–40.000 EUR
• Schulungen und Awareness-Programm: 5.000–10.000 EUR
• Gesamt Jahr 1: ca. 75.000–150.000 EUR

Laufende Kosten ab Jahr 2: 40.000–70.000 EUR/Jahr.

Welchem Szenario Ihr Unternehmen am nächsten liegt, lässt sich mit dem NIS2Compass Vor-Check in wenigen Minuten einschätzen. Wer anschließend konkret in die Umsetzung einsteigen möchte, findet im Artikel NIS2 umsetzen: Schritt für Schritt zur Compliance einen strukturierten Einstieg.

Was passiert, wenn Sie nichts tun — und was kostet das?

Wer NIS2-Pflichten ignoriert, riskiert Bußgelder bis zu 10 Mio. EUR oder 2 Prozent des weltweiten Jahresumsatzes. Hinzu kommt die persönliche Haftung der Geschäftsleitung nach §38 BSIG. Die Registrierungsfrist beim BSI ist seit dem 6. März 2026 abgelaufen — das Sanktionsrisiko besteht bereits. Eine grobe Schätzung für das eigene Unternehmen liefert der NIS2-Bußgeldrechner.

Der Bußgeldrahmen nach §65 BSIG unterscheidet zwischen zwei Einrichtungstypen:

• Besonders wichtige Einrichtungen (BWE): bis 10 Mio. EUR oder 2 % des globalen Jahresumsatzes, je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen (WE): bis 7 Mio. EUR oder 1,4 % des globalen Jahresumsatzes

Hinzu kommt die persönliche Haftung der Geschäftsleitung nach §38 BSIG. Die Verantwortung liegt nicht beim Unternehmen allein, sondern direkt bei der Führungsebene. Geschäftsführer und Vorstände können persönlich in Regress genommen werden, wenn sie NIS2-Pflichten schuldhaft vernachlässigt haben.

Das Sanktionsrisiko besteht bereits. Das BSI verfolgt primär systemische Risiken und wird kein KMU für einzelne formale Lücken sofort mit Höchststrafen belegen. Das ist jedoch kein Freifahrtschein: Das Audit- und Kontrollrecht des BSI besteht, und es wird genutzt, insbesondere nach Sicherheitsvorfällen.

Statistisch relevanter als das Bußgeldrisiko ist ohnehin der Schaden durch Cyberangriffe selbst. Laut der Bitkom Wirtschaftsschutz-Studie 2024 beläuft sich der Schaden durch Cyberangriffe auf die deutsche Wirtschaft auf über 266 Milliarden EUR jährlich. Ein erfolgreicher Ransomware-Angriff kostet ein mittelständisches Unternehmen im Schnitt mehrere Hunderttausend Euro, inklusive Betriebsausfall, Wiederherstellung und Reputationsschäden.

Die Compliance-Investition ist daher keine reine Kostenpflicht, sondern eine Risikoabsicherung. Unternehmen, die strukturiert vorgehen, reduzieren gleichzeitig ihre Angriffsfläche und dokumentieren ihre Sorgfaltspflicht gegenüber Behörden, Kunden und Geschäftspartnern. Weiterführende Informationen zu Bußgeldern und Sanktionen: NIS2-Bußgelder: Welche Strafen drohen bei Verstößen?

Häufige Fragen zu NIS2-Compliance-Kosten

Wie viel kostet NIS2-Compliance für ein Unternehmen mit 50 Mitarbeitern?

Ein KMU mit 50 Mitarbeitern und solider IT-Grundlage kann NIS2-Compliance für 20.000 bis 40.000 EUR im ersten Jahr erreichen. Die wichtigsten Kostenposten sind externer ISB (16.000 bis 24.000 EUR/Jahr) und interne Dokumentationsarbeit. Wer bei Null anfängt, muss 40.000 bis 80.000 EUR einplanen.

Was kostet ein externer Informationssicherheitsbeauftragter (ISB) für NIS2?

Ein externer ISB kostet KMU typischerweise 1.400 bis 2.500 EUR pro Monat, also 16.800 bis 30.000 EUR jährlich. Das ist deutlich günstiger als eine interne Vollzeitstelle ab 80.000 EUR/Jahr. Für KMU bis 150 Mitarbeiter ist der externe ISB die wirtschaftlich sinnvollste Lösung.

Gibt es Förderprogramme oder staatliche Hilfen für NIS2-Kosten?

Für die NIS2-Umsetzung gibt es derzeit kein bundesweites Förderprogramm. Einzelne Bundesländer bieten über die Transferstelle Cybersicherheit Informations- und Beratungsangebote für KMU an. IT-Sicherheitsinvestitionen lassen sich steuerlich als Betriebsausgaben absetzen.

Was kosten laufende NIS2-Compliance-Maßnahmen nach der Erstimplementierung?

Die jährlichen Folgekosten betragen typischerweise 20 bis 30 Prozent der ursprünglichen Investition. Für ein KMU mit 50 bis 100 Mitarbeitern sind das 10.000 bis 30.000 EUR jährlich: ISB-Betreuung, Audits, Schulungswiederholungen und Systemupdates.

Lohnt sich eine ISO-27001-Zertifizierung als Grundlage für NIS2?

Eine ISO-27001-Zertifizierung erleichtert die NIS2-Umsetzung erheblich, ersetzt sie aber nicht. Das BSI hat klargestellt, dass ISO 27001 die spezifischen NIS2-Pflichten — Registrierung, 24h-Meldepflicht, vollständige §30-BSIG-Umsetzung — nicht automatisch erfüllt. Die Zertifizierung selbst kostet 15.000 bis 50.000 EUR.