Was kostet externe NIS2-Beratung wirklich? Kosten, Modelle und Alternativen

Was kostet externe NIS2-Beratung wirklich? Ein Beratungstag kostet laut dem Bundesverband Deutscher Unternehmensberater (BDU) im Schnitt 1.300 EUR, die gesamte NIS2-Umsetzung beziffert der Gesetzentwurf der Bundesregierung auf durchschnittlich rund 70.000 EUR pro Unternehmen. NIS2Compass bietet für 29 EUR im Monat eine strukturierte Alternative und kostet damit nur einen Bruchteil der klassischen Beratung.

Wie viel kostet eine externe NIS2-Beratung im Durchschnitt?

Ein Beratungstag kostet laut BDU durchschnittlich 1.300 EUR, bei Partnern bis zu 1.600 EUR. Die gesamte NIS2-Umsetzung beziffert der Gesetzentwurf der Bundesregierung auf durchschnittlich rund 70.000 EUR einmalig pro Unternehmen. Wie viele Beratertage anfallen, hängt von IT-Reife und vorhandener Dokumentation ab.

Die belastbarste Zahl für Beraterhonorare liefert der Bundesverband Deutscher Unternehmensberater. Laut der BDU-Studie „Honorare im Consulting 2025" liegt der durchschnittlich fakturierte Tagessatz bei 1.300 EUR. Ein Analyst kostet rund 700 EUR, ein Geschäftsführer oder Partner etwa 1.600 EUR pro Tag. Die IT-Beratung verzeichnete dabei mit minus 3 Prozent den stärksten Rückgang am Markt.

Wie viele dieser Tage eine NIS2-Umsetzung verschlingt, hängt stark vom Ausgangspunkt ab. Wer bereits eine ISO-27001-Dokumentation und ein gepflegtes Asset-Inventar hat, braucht deutlich weniger Beratertage als ein Unternehmen, das bei null startet.

Die offizielle Gesamteinordnung liefert die Gesetzesfolgenabschätzung zum NIS2UmsuCG (Bundestag-Drucksache 20/13184). Der Gesetzgeber rechnet für die Wirtschaft mit rund 2,1 Milliarden EUR einmaligem und rund 2,2 Milliarden EUR jährlichem Erfüllungsaufwand, verteilt auf etwa 30.000 betroffene Unternehmen. Heruntergerechnet ergibt das im Schnitt rund 70.000 EUR einmalig und 73.000 EUR jährlich pro Unternehmen.

Wichtig: Dieser Durchschnitt mischt kleine Betriebe mit einfacher IT und Konzerne mit internationalen Standorten. Die externe Beratung ist dabei nur ein Posten von mehreren. Eine vollständige Aufschlüsselung finden Sie im Artikel NIS2-Compliance-Kosten.

Welche Kostenmodelle bieten NIS2-Berater an?

NIS2-Berater rechnen typischerweise nach vier Modellen ab: Tagessatz, Projektpauschale, Stundenhonorar und Hybrid- beziehungsweise Retainer-Modelle. Welches Modell sich lohnt, hängt vom Projektumfang ab. Für klar abgegrenzte Aufgaben passt die Pauschale, für offene Mandate eher der Tagessatz.

Die folgenden Modelle sind am deutschen Markt gängig:

• Tagessatz: Der Branchenstandard. Laut BDU liegt der durchschnittliche Tagessatz bei 1.300 EUR, bei Partnern bei 1.600 EUR. Achten Sie auf versteckte Posten: Laut BDU rechnen 54 Prozent der Beratungen Reisezeit im Tagessatz ab, 57 Prozent bilden Nebenkosten dort ab. Der pauschale Reisekostenaufschlag beträgt im Schnitt 190 EUR. Fragen Sie vor Vertragsschluss konkret nach.
• Projektpauschale: Ein Fixpreis für einen klar definierten Scope, oft als Phasenpaket gestaffelt (Gap-Analyse, Umsetzungsplan, Implementierungsbegleitung). Vorteil ist die Planungssicherheit. Nachteil: Jede Scope-Änderung führt zu einer Nachverhandlung.
• Stundenhonorar: Geeignet für punktuelle Fragen oder einzelne Gutachten. Das Modell ist flexibel, birgt aber das Risiko eines schleichenden Scope-Creep, wenn der Auftrag nicht sauber abgegrenzt ist.
• Hybrid / Retainer: Eine monatliche Grundgebühr sichert On-Call-Verfügbarkeit. Häufig enthält dieses Modell eine Incident-Response-Komponente, die im Ernstfall schnelle Reaktion garantiert.

Eine strukturierte Plattform wie NIS2Compass funktioniert nach einem anderen Prinzip. Statt variabler Tagessätze fällt eine flache Monatsgebühr an, die den gesamten Umsetzungspfad abdeckt. Einen Überblick über die Konditionen finden Sie auf der Seite NIS2Compass-Preise.

Was macht NIS2-Beratung so teuer?

NIS2-Beratung kostet vor allem, weil sie knappe Spezialexpertise mit hoher Haftung verbindet. Berater müssen IT, Recht und Organisation gleichzeitig beherrschen. Hinzu kommt die umfangreiche Dokumentationslast, die §30 BSIG für jede Sicherheitsmaßnahme vorschreibt.

Vier Faktoren treiben die Kosten:

Knappe Spezialexpertise: Ein NIS2-Berater muss IT, Compliance, Recht und Organisation zusammenführen. Diese Kombination ist am Markt selten und entsprechend teuer. Berater kalkulieren neben dem Gehalt auch Akquise, Versicherung, Overhead und Gewinn ein. Das erklärt einen durchschnittlichen Tagessatz von 1.300 EUR laut der BDU-Studie „Honorare im Consulting 2025".

Haftungsrisiko: Berater haften, wenn fehlerhafte Dokumentation bei einer BSI-Prüfung zu Problemen führt. Eine Berufshaftpflichtversicherung ist deshalb fester Kostenbestandteil. Dieses Risiko spiegelt sich im Tagessatz wider.

Dokumentationslast: §30 BSIG verlangt nicht nur die Umsetzung, sondern die lückenlose Dokumentation aller Sicherheitsmaßnahmen. Richtlinien, Risikoanalysen und Nachweise machen einen großen Teil des Projektaufwands aus. Diese Arbeit ist zeitintensiv und schwer zu beschleunigen.

Geschäftsleitungs-Abstimmung: §38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen zu billigen und zu überwachen. Workshops, Schulungen und Change-Management verlängern Projekte spürbar.

„Viele Unternehmen unterschätzen den Abstimmungsaufwand mit der Geschäftsleitung. Genau dort entstehen oft die meisten zusätzlichen Beratertage." — Dr. Markus Hartmann, Senior Compliance-Berater

Diese vier Faktoren summieren sich schnell. Wer den Dokumentations- und Abstimmungsteil intern strukturiert vorbereitet, reduziert die teuren Beratertage deutlich. Genau hier setzt NIS2Compass mit fertigen Vorlagen und einem klaren Umsetzungspfad an.

Wie viel kostet die NIS2-Umsetzung insgesamt?

Die externe Beratung ist nur ein Teil der Rechnung. Die offizielle Gesetzesfolgenabschätzung zum NIS2UmsuCG schätzt den Erfüllungsaufwand für die Wirtschaft auf rund 2,1 Milliarden EUR einmalig und rund 2,2 Milliarden EUR jährlich. Pro Unternehmen sind das im Schnitt etwa 70.000 EUR einmalig und 73.000 EUR jährlich.

Wer nur die Beraterhonorare betrachtet, unterschätzt das Budget erheblich. Die Gesetzesfolgenabschätzung (Bundestag-Drucksache 20/13184) geht von rund 30.000 betroffenen Unternehmen aus. Der einmalige Aufwand entfällt laut Gesetzgeber fast vollständig auf die Einführung oder Anpassung digitaler Prozessabläufe.

Eine NIS2-Umsetzung verteilt sich auf mehrere Kostenarten, die in diesem Durchschnitt bereits enthalten sind:

• Externe Beratung: Beraterhonorare nach Tagessatz oder Pauschale (BDU-∅ 1.300 EUR/Tag)
• Internes Personal: anteilige Kapazität von IT-Leitung und Informationssicherheitsbeauftragtem
• Technische Maßnahmen: Logging, Monitoring, Mehr-Faktor-Authentifizierung und Backup
• Schulungen: Sensibilisierung von Mitarbeitenden und Geschäftsleitung
• Lieferkettensicherheit: Bewertung und Vertragsanpassung bei kritischen Lieferanten

Entscheidend ist die Trennung von einmaligen und laufenden Kosten. Das spiegelt sich auch in der offiziellen Schätzung: Dem einmaligen Aufwand von rund 2,1 Milliarden EUR steht ein jährlich wiederkehrender von rund 2,2 Milliarden EUR gegenüber. Die Beratung fällt meist nur einmal an, Personal, Werkzeuge und Schulungen kosten jedes Jahr erneut.

Für die Budgetierung empfiehlt es sich, früh den CFO einzubinden. Beratungskosten sind als Betriebsausgabe steuerlich absetzbar und mindern damit die effektive Belastung. Welche Posten sich durch Eigenleistung reduzieren lassen, zeigt der Beitrag NIS2-Berater oder selbst umsetzen? Ein Kostenvergleich.

Wo lohnt sich externe NIS2-Beratung — und wo nicht?

Externe Beratung lohnt sich vor allem bei KRITIS-Einrichtungen, komplexen Cloud-Umgebungen und fehlender Compliance-Erfahrung. Für dokumentierte KMU mit eigenem IT-Team ist strukturierte Eigenleistung plus punktuelles Review oft deutlich günstiger. Die richtige Wahl hängt von Reifegrad, Architektur und Zeitbudget ab.

Eine pauschale Empfehlung gibt es nicht. Entscheidend ist, wo Ihr Unternehmen heute steht.

Volle externe Beratung sinnvoll bei: KRITIS und besonders wichtigen Einrichtungen, die nach §28 BSIG strengeren Pflichten unterliegen. Ebenso bei reinen Cloud- oder Hybrid-Architekturen mit Spezialanforderungen sowie bei Unternehmen ganz ohne Compliance-Hintergrund.

Hybrid (Plattform plus punktuelles Review) sinnvoll bei: KMU mit IT-Leiter und vorhandenem Asset-Inventar. Wer ausreichend zeitlichen Puffer hat und als budgetbewusster Mittelständler agiert, fährt mit diesem Weg meist am besten.

Der Hybrid-Ansatz hält die Expertise im Haus und reduziert die laufenden Kosten erheblich.

Rechenbeispiel: Was zahlt ein Maschinenbauer mit 100 Mitarbeitern?

Ein Maschinenbauer mit 100 Mitarbeitern, einem IT-Leiter und drei Technikern hat gerade seine NIS2-Betroffenheit festgestellt. Ein dediziertes Budget existiert noch nicht. Drei Wege stehen zur Auswahl. Die folgenden Zahlen sind eine Beispielrechnung auf Basis des BDU-Durchschnittstagessatzes von 1.300 EUR.

Weg A — volle Beratung: Angenommen rund 40 Beratertage à 1.300 EUR, ergibt das etwa 52.000 EUR, zuzüglich interner Koordination. Das IT-Team lernt dabei wenig.

Weg B — Hybrid: NIS2Compass liefert für 29 EUR im Monat Struktur und Vorlagen. Der IT-Leiter setzt selbst um, zwei bis drei externe Review-Tage validieren das Ergebnis. Das kostet rund 2.600 bis 3.900 EUR und hält die Expertise im Haus.

Weg C — Eigenleistung: NIS2Compass plus ein finaler Review-Tag. Dieser Weg dauert am längsten, bietet aber maximale Ownership.

Für viele Mittelständler ist der Hybrid-Weg das Optimum. §30 BSIG verlangt angemessene Maßnahmen, nicht den teuersten Weg.

Wie setze ich NIS2 ohne teure externe Beratung um?

Mit strukturiertem Leitfaden, fertigen Vorlagen und klaren Schritten setzen KMU den Großteil selbst um. NIS2Compass kombiniert einen 8-Kapitel-Guide mit 20+ Vorlagen für 29 EUR/Monat. So wird aus einem unübersichtlichen Pflichtenkatalog ein nachvollziehbarer Umsetzungspfad.

Eigenleistung funktioniert nicht für jeden, aber für die meisten KMU. Entscheidend sind einige Voraussetzungen:

• Dedizierte Person mit IT-Hintergrund (anteilig, kein Vollzeitprofil nötig)
• Rückendeckung der Geschäftsleitung, die nach §38 BSIG ohnehin in der Pflicht steht
• Strukturierte Anleitung statt mühsamer eigener Paragraphen-Recherche
• Fertige Vorlagen statt leerer Word-Dokumente ohne Orientierung

Genau hier setzt NIS2Compass an und liefert die fehlende Struktur:

• NIS2 Guide: Schritt für Schritt durch alle 8 Kapitel, jeder Substep mit konkreter Definition of Done und direkt verlinkter Vorlage. Mehr dazu im NIS2 Guide.
• Template Library: Über 20 sofort einsetzbare Word- und Excel-Vorlagen, von der Risikomatrix über die IS-Richtlinie bis zur Incident-Response. Alle Vorlagen in der Template Library.
• Vor-Check: Kostenlose Gap-Analyse ohne Login, die in rund 10 Minuten Ihre größten Lücken sichtbar macht. Direkt zum Vor-Check.

Der Kostenvergleich ist eindeutig: 29 EUR pro Monat statt eines durchschnittlich rund 70.000 EUR teuren Umsetzungsaufwands (Gesetzentwurf der Bundesregierung). Anders gerechnet: Ein ganzes Jahr NIS2Compass kostet 348 EUR und damit weniger als ein einziger Beratertag (durchschnittlich 1.300 EUR laut BDU). Die Plattform ist also nicht ein bisschen günstiger, sondern liegt bei einem Bruchteil eines klassischen Beratungsprojekts. Ein punktuelles externes Review zu kritischen Fragen bleibt jederzeit optional möglich.

Eine ehrliche Abgrenzung gehört dazu. Für KRITIS-Einrichtungen, Unternehmen ganz ohne IT-Personal oder hochkomplexe Sonderfälle bleibt die klassische Beratung der richtige Weg. NIS2Compass richtet sich an KMU, die strukturiert selbst umsetzen wollen.

Wo die Grenze zwischen Plattform und Beratung sinnvoll verläuft, beleuchtet der Beitrag Digitaler NIS2-Berater vs. klassische Beratung.

Sie wollen wissen, wo Ihr Unternehmen heute steht? Starten Sie mit dem kostenlosen Vor-Check und sehen Sie in wenigen Minuten Ihre größten NIS2-Lücken.

Häufig gestellte Fragen

Sind teurere NIS2-Berater automatisch besser?

Nein. Der Tagessatz allein sagt wenig über die Qualität. Laut BDU liegt zwischen einem Analysten (∅ 700 EUR) und einem Partner (∅ 1.600 EUR) mehr als das Doppelte. Entscheidend sind Spezialisierung, Branchenkenntnis und Referenzen. Für eine klassische NIS2-Umsetzung genügt häufig ein erfahrener Senior Consultant. Prüfen Sie konkrete Projektnachweise statt nur den Preis.

Kann ich mit dem Berater über den Preis verhandeln?

Ja. Ein gewisser Verhandlungsspielraum ist üblich, besonders bei längeren Verträgen, Folgeaufträgen oder flexiblen Zeitfenstern. Projektpauschalen lassen sich oft besser verhandeln als reine Tagessätze. Holen Sie mehrere Angebote ein und nutzen Sie diese als Vergleichsbasis im Gespräch.

Was ist in einem Standard-Beratungspaket enthalten?

Typisch sind Betroffenheitsprüfung, Gap-Analyse, Richtlinien-Dokumentation, Maßnahmenkatalog und Geschäftsleitungs-Dokumentation. Nicht enthalten sind meist die technische Umsetzung, Vor-Ort-Schulungen und laufender Incident-Response-Service. Fragen Sie vor Vertragsabschluss aktiv nach Scope und Out-of-Scope, um spätere Zusatzkosten zu vermeiden.

Zahlt die Cyber-Versicherung die NIS2-Umsetzung?

Selten. Cyber-Versicherungen decken reaktive Schäden nach einem Vorfall, nicht die präventive Compliance-Umsetzung. Die Kosten für Beratung, Richtlinien und Maßnahmen zur NIS2-Umsetzung trägt das Unternehmen selbst. Eine Police ersetzt also keine strukturierte Umsetzung der NIS2-Anforderungen.

Sind NIS2-Beratungskosten steuerlich absetzbar?

Ja. NIS2-Beratung ist eine betriebliche Aufwendung und als Betriebsausgabe absetzbar. Bewahren Sie Rechnung und Beratungsbericht als Nachweis auf und besprechen Sie die korrekte Verbuchung mit Ihrem Steuerberater. So lässt sich ein Teil der Umsetzungskosten über die steuerliche Entlastung zurückgewinnen.

Quellen

• BDU — Bundesverband Deutscher Unternehmensberater: Studie „Honorare im Consulting 2025"
• Deutscher Bundestag: Gesetzesfolgenabschätzung zum NIS2UmsuCG, Drucksache 20/13184
• Gesetze im Internet: BSIG (§§ 28, 30, 38)