NIS2-Zertifizierung: Gibt es sie, und was kosten Nachweise?

Verfasst von der NIS2Compass Redaktion / Stand: Oktober 2026

Eine NIS2-Zertifizierung gibt es nicht, das BSI stellt klar: „Ein allgemeines Zertifikat zum Nachweis der Anforderungen gibt es nicht." Kosten entstehen für Gap-Analysen (Beratertag laut BDU im Schnitt 1.300 EUR) und freiwillige Zertifikate, etwa 2.978 EUR BSI-Gebühr für die Erstzertifizierung nach ISO 27001 auf Basis von IT-Grundschutz. Die Nachweise, die das BSI verlangen kann, bauen Sie mit den Vorlagen der NIS2Compass-Vorlagen-Bibliothek auf.

Gibt es eine offizielle NIS2-Zertifizierung?

Nein. Das BSIG sieht kein Zertifikat vor, das die NIS2-Konformität eines Unternehmens bescheinigt, und das BSI bestätigt das in seinen FAQ. Wer ein „NIS2-Zertifikat" anbietet, verkauft eine private Prüfung, keinen behördlichen Nachweis.

Die Frage taucht so häufig auf, weil das BSIG das Wort „Zertifizierung" durchaus kennt. Es meint damit aber etwas anderes. § 2 BSIG definiert Zertifizierung als Feststellung einer Zertifizierungsstelle, dass ein Produkt, ein Prozess, ein System, eine Person oder ein IT-Sicherheitsdienstleister bestimmte Anforderungen erfüllt. Gegenstand ist ein einzelner Prüfgegenstand, nicht das Unternehmen als NIS2-Einrichtung.

Im NIS2-Umfeld begegnen Ihnen deshalb drei Arten von Zertifikaten:

• Managementsystem-Zertifikate: ISO/IEC 27001 oder ISO 27001 auf Basis von IT-Grundschutz. Sie können ein Baustein des Nachweises sein, ersetzen ihn aber nicht.
• Private Unternehmenszertifikate: Etwa nach VdS 10000. Laut BSI-FAQ ist eine solche Zertifizierung allein „nicht ausreichend, um sämtliche Anforderungen des BSIG zu erfüllen", sie kann aber ein Baustein für § 30 BSIG sein.
• Produktzertifikate: § 30 Abs. 6 BSIG erlaubt eine Rechtsverordnung, nach der bestimmte IKT-Produkte nur mit einer Cybersicherheitszertifizierung nach europäischen Schemata des Cybersecurity Act eingesetzt werden dürfen. Grundlage ist Art. 24 der NIS2-Richtlinie, der zertifizierte IKT-Produkte, -Dienste und -Prozesse betrifft, nicht die Einrichtung selbst.

Laut BSI-Statistik „NIS-2 in Zahlen" hatten sich bis zum 30.09.2026 insgesamt 20.141 Einrichtungen im BSI-Portal nach NIS-2 registriert, davon 13.252 wichtige und 6.837 besonders wichtige Einrichtungen. Keine von ihnen kann ein amtliches NIS2-Zertifikat erwerben. NIS2Compass empfiehlt deshalb, Budget und Zeit in die Umsetzung und ihre Dokumentation zu stecken statt in ein Siegel.

Wer muss NIS2-Nachweise erbringen, und wann?

Ohne Aufforderung nur Betreiber kritischer Anlagen, und zwar alle drei Jahre nach § 39 BSIG. Besonders wichtige und wichtige Einrichtungen legen Nachweise vor, wenn das BSI es anordnet oder prüft. Pflicht ist für alle die laufende Dokumentation nach § 30 Abs. 1 Satz 3 BSIG.

Das BSI formuliert es in seinen FAQ so: „Unternehmen müssen nur auf Anfrage im Falle einer Anordnung durch das BSI nachweisen, dass sie die Vorgaben des Gesetzes umgesetzt haben." Eine Entwarnung ist das nicht. Wer seine Maßnahmen nicht dokumentiert, begeht schon dadurch eine Ordnungswidrigkeit nach § 65 Abs. 2 Nr. 3 BSIG.

Der Bußgeldrahmen dafür liegt bei bis zu 10 Mio. EUR für besonders wichtige und 7 Mio. EUR für wichtige Einrichtungen. Wann und wie das BSI prüfen darf, hängt von der Einrichtungsart ab:

• Besonders wichtige Einrichtungen (§ 61 BSIG): Das BSI kann gegenüber einzelnen Einrichtungen schon heute Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (Abs. 1). Von weiteren besonders wichtigen Einrichtungen kann es Nachweise nach Abs. 3 frühestens ab dem 6. Dezember 2028 anfordern, drei Jahre nach Inkrafttreten. Unabhängig davon darf das BSI die Einhaltung nach Abs. 5 jederzeit selbst überprüfen, auch vor Ort und mit Vorlage von Unterlagen.
• Wichtige Einrichtungen (§ 62 BSIG): Das BSI darf nur prüfen, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden. Ein Anlass kann ein bekannt gewordener Sicherheitsvorfall sein. Dann sind auch Maßnahmen nach § 61 möglich.
• Betreiber kritischer Anlagen (§ 39 BSIG): Nachweis durch Sicherheitsaudits, Prüfungen oder Zertifizierungen, erstmals zu einem vom BSI festgelegten Zeitpunkt und danach alle drei Jahre. Das BSI hat die Betreiber am 08.12.2025 individuell über ihre neuen Fristen informiert.

Für zugelassene Krankenhäuser gilt bei § 61 Abs. 3 eine Frist von fünf statt drei Jahren, sofern keine Rechtsverordnung einen früheren Zeitpunkt bestimmt. Wen das BSI für Nachweisanordnungen auswählt, regelt § 61 Abs. 4 BSIG: Risikoexposition, Größe, Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle.

Was zählt als Nachweis, und was leistet ISO 27001 dabei?

Als Nachweis nennt das BSI Dokumentationen, Prüfberichte, Audits oder Zertifizierungen, für Meldepflichten auch die eigenen Meldeberichte. Ein ISO-27001-Zertifikat ist ein gutes Fundament, gilt laut BSI aber nicht als Nachweis der NIS2-Konformität. Entscheidend ist, dass jede Pflicht aus §§ 30, 32 und 38 BSIG belegbar umgesetzt ist.

Bei einer Prüfung nach § 61 oder § 62 BSIG kontrolliert das BSI die Risikomanagementmaßnahmen (§§ 30, 31), die Meldepflicht (§ 32) sowie die Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung (§ 38). Laut BSI-Infopaket zu ISO/IEC 27001 beantwortet die Norm diese Anforderungen „nur unvollständig bzw. gar nicht": Der Scope ist frei wählbar, Risikoakzeptanz ist zulässig, und explizite gesetzliche Pflichten wie Meldung und Registrierung fehlen. Wie weit ein bestehendes Zertifikat trägt, vertieft der Beitrag Reicht ISO 27001 für NIS2-Compliance aus?.

Das BSI schreibt keine bestimmte Norm vor, ein Zertifikat ist keine Voraussetzung. Überzeugen muss deshalb das Nachweispaket selbst. In der Praxis bewährt sich eine Gliederung entlang der Pflichten:

• Risikomanagement (§ 30): Risikoanalyse, Sicherheitskonzept und für jede der zehn Mindestmaßnahmen aus § 30 Abs. 2 das zugehörige Dokument mit Datum und Verantwortlichem.
• Wirksamkeit: Ergebnisse interner Audits, Penetrationstests oder Übungen, die zeigen, dass die Maßnahmen funktionieren und nicht nur beschrieben sind.
• Meldewesen (§ 32): Meldeprozess, Erreichbarkeiten und, falls vorhanden, die abgegebenen Meldungen.
• Geschäftsleitung (§ 38): Beschluss zur Umsetzung und Überwachung der Maßnahmen sowie Schulungsnachweise.

Die Vorlagen der NIS2Compass-Vorlagen-Bibliothek sind genau diesen Nachweisen zugeordnet.

Was kosten NIS2-Gap-Analyse, Audit und Zertifizierung?

Eine NIS2-Gap-Analyse kostet Beratertage mal Tagessatz: Laut BDU-Honorarstudie 2025 liegt der Tagessatz im Schnitt bei 1.300 EUR, ein Angebot über 8.000 EUR entspricht also rund sechs Tagen. Eine amtliche NIS2-Zertifizierung, die Kosten verursachen könnte, gibt es nicht. Für die Erstzertifizierung nach ISO 27001 auf Basis von IT-Grundschutz verlangt das BSI eine Gebühr von 2.978 EUR.

Die Tagessätze stammen aus der Honorarstudie des Bundesverbands Deutscher Unternehmensberatungen. Im Schnitt liegen sie zwischen 700 EUR (Analyst) und 1.600 EUR (Partner), über alle Beratungsfelder hinweg. Ob ein Angebot fair ist, hängt deshalb weniger an der Endsumme als an der Zahl der Tage und dem, was in ihnen geliefert wird.

Bei einem Angebot über eine Gap-Analyse lohnt der Blick auf den Prüfmaßstab: Wird gegen alle zehn Maßnahmen aus § 30 Abs. 2 BSIG geprüft, plus Meldeprozess und Geschäftsleitungspflichten? Eine reine ISO-Abweichungsliste deckt das nicht ab. Ebenso wichtig ist das Ergebnis. Ein priorisierter Maßnahmenplan mit Verantwortlichen ist mehr wert als eine Ampel, und Interviews, Dokumentensichtung und Abschlusspräsentation sollten in den Tagen enthalten sein.

Für einen Zertifizierungsweg gibt es amtliche Preise. Laut BMIBGebV kostet beim BSI die Erstzertifizierung nach ISO 27001 auf Basis von IT-Grundschutz 2.978 EUR, die Re-Zertifizierung 2.658 EUR, jeweils zuzüglich etwaiger Auslagen wie Reisekosten. Das ist nur die Gebühr der Zertifizierungsstelle. Hinzu kommt das Honorar des vom BSI zertifizierten Auditors, der den Auditbericht erstellt.

Für klassische ISO-27001-Zertifizierungen durch private Zertifizierungsstellen gibt es keine amtliche Preisliste. Und eine BSI-Prüfung selbst? Nach § 61 Abs. 5 BSIG erhebt das BSI bei besonders wichtigen Einrichtungen nur dann Gebühren, wenn es wegen Anhaltspunkten tätig wurde, die berechtigte Zweifel an der Umsetzung von § 30 begründen. Wird das BSI ohne solche Anhaltspunkte tätig, tragen Sie nur den eigenen Aufwand.

Eine Gesamtrechnung für Ihr NIS2-Projekt finden Sie unter NIS2-Compliance-Kosten, die Preislogik von Beratern unter Was kostet externe NIS2-Beratung?.

Wie oft gibt es ein NIS2-Audit, und wie lange dauert es?

Einen festen NIS2-Auditturnus gibt es nur für Betreiber kritischer Anlagen: alle drei Jahre. Wichtige Einrichtungen prüft das BSI nur bei Tatsachen, die auf Mängel hindeuten, besonders wichtige kann es nach § 61 Abs. 5 BSIG auch anlasslos überprüfen. Ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz gilt drei Jahre, mit jährlichen Überwachungsaudits.

Mehrere Fristen laufen damit parallel, und keine davon heißt offiziell „NIS2-Audit". Für Betreiber kritischer Anlagen hält das BSI-FAQ fest: „Mit Inkrafttreten des NIS-2-Umsetzungsgesetzes verlängert sich der Nachweiszyklus von zwei auf drei Jahre." Ein Erstzertifikat nach ISO 27001 auf Basis von IT-Grundschutz ist laut BSI-Zertifizierungsschema „drei Jahre gültig und mit jährlichen Überwachungsaudits verbunden", danach folgt die Re-Zertifizierung.

Für die Schulung der Geschäftsleitung zitiert das BSI die Gesetzesbegründung: Regelmäßig sind Schulungen, die mindestens alle drei Jahre angeboten werden. Das BSI hält dieses Minimum aber in den seltensten Fällen für ausreichend. Bei besonders wichtigen Einrichtungen gilt die Grenze 6. Dezember 2028 nur für Nachweisanordnungen nach § 61 Abs. 3, nicht für Einzelanordnungen nach Abs. 1 und Überprüfungen nach Abs. 5.

Die Dauer einer Prüfung hängt am Umfang, nicht an einer gesetzlichen Vorgabe. Das BSIG nennt keine Standarddauer für Audits nach § 61. Planbar ist dagegen Ihr eigener Vorlauf: Die Dokumentation, die das BSI verlangen kann, muss bereits existieren.

Nach Zugang einer Anordnung bleibt keine Zeit, sie erst aufzubauen. Rechnen Sie deshalb vom Ziel her: Was müsste morgen auf dem Tisch liegen, wenn eine Anordnung käme?

Ein Kunde verlangt ein „NIS2-Zertifikat": Was legen Sie vor?

Ein Maschinenbauer mit 180 Mitarbeitenden ist als wichtige Einrichtung registriert. Maschinenbau steht in Anlage 2 BSIG, die Schwelle liegt bei 50 Beschäftigten oder jeweils über 10 Mio. EUR Jahresumsatz und Bilanzsumme. Ein Großkunde verlangt im Lieferantenfragebogen „ein gültiges NIS2-Zertifikat", und der IT-Leiter muss bis Monatsende antworten.

Genau diese Frage beantwortet das BSI in seinen FAQ (Nr. 10): Ein allgemeines Zertifikat gibt es nicht. Ist der Kunde selbst NIS2-pflichtig, muss er sich nach § 30 BSIG mit den Risiken seiner Dienstleister befassen und kann dabei zum Beispiel eine ISO-27001-Zertifizierung berücksichtigen. Der Kunde braucht also einen Beleg, dass Sie Ihre Pflichten erfüllen, keinen Stempel.

Der IT-Leiter stellt deshalb ein Nachweispaket zusammen, ohne sein ISMS offenzulegen. Es enthält die Registrierungsbestätigung nach § 33 BSIG und eine Selbstauskunft entlang der zehn Maßnahmen aus § 30 Abs. 2, je mit Umsetzungsstand und zugehörigem Dokument. Dazu kommen der Beschluss der Geschäftsleitung zur Umsetzung und Überwachung der Maßnahmen samt Schulungsnachweis nach § 38 BSIG, eine Kurzbeschreibung der Meldekaskade nach § 32 und, falls vorhanden, das ISO-27001-Zertifikat mit Geltungsbereich.

Der Kunde sieht damit, welche Pflicht wie umgesetzt ist, statt nur ein Siegel zu erhalten. Wer NIS2Compass nutzt, kann den dokumentierten Bearbeitungsstand zusätzlich über einen Verifikations-Code teilen, den der Kunde im NIS2-Lieferantennachweis prüft. Für den IT-Leiter ist das Paket zugleich die Grundlage für eine spätere Prüfung nach § 62 BSIG.

Häufig gestellte Fragen

Gibt es eine NIS2-Zertifizierung für Unternehmen?

Nein. Das BSI stellt klar, dass es kein allgemeines Zertifikat zum Nachweis der NIS2-Anforderungen gibt. Private Prüfungen und Managementsystem-Zertifikate wie ISO 27001 können Bausteine eines Nachweises sein. Sie bescheinigen aber keine NIS2-Konformität und ersetzen weder die Dokumentation nach § 30 BSIG noch Registrierung und Meldeprozess.

Was kostet eine NIS2-Zertifizierung?

Eine amtliche NIS2-Zertifizierung gibt es nicht, also auch keinen Preis dafür. Kosten entstehen für freiwillige Zertifikate: Beim BSI kostet die Erstzertifizierung nach ISO 27001 auf Basis von IT-Grundschutz laut BMIBGebV 2.978 EUR Gebühr, plus Auditorhonorar. Für private Zertifizierungsstellen gibt es keine amtliche Preisliste.

Muss ich die NIS2-Umsetzung dem BSI regelmäßig nachweisen?

Nur als Betreiber einer kritischen Anlage, dann alle drei Jahre nach § 39 BSIG. Besonders wichtige und wichtige Einrichtungen weisen die Umsetzung nach, wenn das BSI es anordnet oder prüft. Dokumentieren müssen alle laufend: Fehlende Dokumentation ist nach § 65 BSIG schon für sich eine Ordnungswidrigkeit.

Ab wann kann das BSI bei besonders wichtigen Einrichtungen Nachweise verlangen?

Einzelne Audits oder Prüfungen kann das BSI nach § 61 Abs. 1 BSIG schon heute anordnen und die Einhaltung nach Abs. 5 jederzeit selbst überprüfen. Nur Nachweisanordnungen gegenüber weiteren besonders wichtigen Einrichtungen nach § 61 Abs. 3 sind frühestens ab dem 6. Dezember 2028 möglich. Für zugelassene Krankenhäuser gilt dort eine Frist von fünf Jahren.

Was kostet eine NIS2-Gap-Analyse?

Die Kosten ergeben sich aus Beratertagen mal Tagessatz. Laut BDU-Honorarstudie 2025 liegt der durchschnittliche Tagessatz bei 1.300 EUR, im Schnitt zwischen 700 EUR (Analyst) und 1.600 EUR (Partner). Ein Angebot über 8.000 EUR entspricht rund sechs Beratertagen. Prüfen Sie, ob gegen alle Pflichten des BSIG geprüft wird.