Was kostet die NIS2-Umsetzung im Durchschnitt?
Die Gesetzesbegründung zum NIS2UmsuCG rechnet mit rund 70.000 € einmalig und 73.000 € jährlich je betroffenem Unternehmen — als Durchschnitt über rund 30.000 sehr unterschiedliche Einrichtungen.
Kosten- & Aufwandsrechner
Was kostet NIS2 wirklich?
Die ehrliche Antwort: Es hängt von drei Faktoren ab, die Sie in zwei Minuten bestimmen können — Einordnung, Größe und Ausgangslage. Dieser kostenlose Rechner macht daraus eine begründete Spanne statt einer Verkaufszahl.
DirectiveØ
Schätzen Sie in unter 2 Minuten, was die NIS2-Umsetzung Sie realistisch kostet — als begründete Spanne aus Einordnung, Größe, Ausgangslage und Umsetzungsweg. Keine Anmeldung, keine Datenübertragung.
Grundlage: Gesetzesbegründung NIS2UmsuCG (Erfüllungsaufwand), ENISA NIS Investments 2025, Marktpreise DACH · Annahmen offen als JSON
Schritt 1 / 4 — Einordnung
Wie sind Sie von NIS2 betroffen?
Die Einordnung nach §28 BSIG bestimmt Aufsicht und Nachweistiefe — und damit die Kosten.
NIS2-Kosten auf einen Blick
| Kostenposten | Orientierungswert |
|---|---|
| Ø einmalig je Unternehmen (amtliche Schätzung) | ca. 70.000 € |
| Ø jährlich je Unternehmen (amtliche Schätzung) | ca. 73.000 € |
| KMU (50–250 MA), einmalig | ca. 20.000–150.000 € je nach Ausgangslage |
| NIS2-Beratung, Tagessatz | 1.000–2.000 € |
| NIS2-/ISMS-Software, Lizenz | ca. 350–1.800 € pro Monat je nach Größe |
| NIS2-Lückenschluss mit bestehendem ISO-27001-ISMS | ca. 20.000–50.000 € |
| ISO-27001-Zertifizierung (KMU, erstes Jahr gesamt) | ca. 50.000–150.000 € |
| Laufende Kosten | typisch 20–30 % der Erstinvestition pro Jahr |
Die drei Faktoren, die Ihre Kosten bestimmen.
Erstens die Einordnung: Besonders wichtige Einrichtungen tragen durch proaktive BSI-Aufsicht und Nachweistiefe rund ein Drittel mehr Aufwand; wer nur über die Lieferkette betroffen ist, braucht vor allem ein schlankes Nachweis-Paket. Zweitens die Größe: mehr Systeme, Standorte und zu schulende Personen. Drittens — der größte Hebel — die Ausgangslage: Wer ein ISMS nach ISO 27001 betreibt, schließt für etwa 20.000–50.000 € die NIS2-Lücken (Meldewege, BSI-Registrierung, Lieferkette). Wer MFA, Backup und Patch-Management im Microsoft-365-Umfeld bereits gelebt hat, besitzt viele Belege schon — es fehlt Struktur, nicht Technik.
Was kostet NIS2-Beratung?
Marktübliche Tagessätze liegen bei 1.000–2.000 €. Bei geführten Projekten über sechs bis zwölf Monate summiert sich das schnell auf fünf- bis sechsstellige Honorare — der größte Einzelposten vieler NIS2-Budgets. Beratung lohnt sich für Urteilsarbeit: rechtliche Grenzfälle, sektorspezifische Auslegung, ISMS-Aufbau von Grund auf. Sie lohnt sich nicht für wiederholbare Nachweisarbeit — Betroffenheit klären, Maßnahmen-Status erfassen, Belege strukturieren. Wer diese Vorarbeit selbst erledigt, halbiert oft die benötigten Beratertage.
Was kostet NIS2-Software?
Zuerst das Wichtigste: Es gibt keine Software-Pflicht. §30 BSIG ist technikneutral — gefordert sind Maßnahmen und Nachweise, kein bestimmtes Produkt. Wer dennoch eine ISMS- oder GRC-Plattform einsetzt, zahlt als KMU typischerweise 350–600 € pro Monat für Einstiegspakete und 800–1.800 € pro Monat in der Klasse 50–250 Mitarbeitende; Enterprise-GRC erreicht fünfstellige Jahresbeträge. Ehrlich geprüft gehört vor jede Lizenz die Frage, was das vorhandene Microsoft-365-Umfeld bereits liefert — oft mehr, als der Anbieter-Vergleich vermuten lässt.
Drei Wege, drei Kostenprofile.
| Selbst + punktuelle Beratung | Plattform-gestützt | Berater-geführt | |
|---|---|---|---|
| Externe Kosten | gering — Beratertage nur für Grenzfälle | mittel — Lizenz plus Einrichtung | hoch — Tagessätze über Monate |
| Interner Aufwand | am höchsten | mittel | mittel — Zuarbeit bleibt bei Ihnen |
| Laufende Kosten | intern, gering | Lizenz ab ca. 4.000 €/Jahr | Folgeaufträge üblich |
| Geeignet für | KMU mit solider IT-Basis | Mittelstand ohne ISMS-Erfahrung | Grenzfälle, ISMS-Aufbau von Grund auf |
Warum die billigste Zahl nicht das Ziel ist.
Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes und die persönliche Geschäftsleitungshaftung nach §38 BSIG sind real — aber kein Grund für Panikkäufe. Die Gesetzesbegründung selbst rechnet vor, dass dem Aufwand ein Vielfaches an vermiedenen Schäden gegenübersteht. Das Ziel ist nicht das größtmögliche Projekt, sondern belegbare Wirkung: Maßnahmen, die greifen, und Nachweise, die aktuell bleiben. Genau das lässt sich planen — und deutlich günstiger, wenn die Vorarbeit stimmt.
FAQ
Was kostet NIS2 für ein KMU?
Realistisch 20.000–150.000 € einmalig, je nach Ausgangslage: Mit bestehendem ISMS bleibt nur der Lückenschluss (ca. 20.000–50.000 €), mit solider Microsoft-365-Basis das Strukturieren vorhandener Belege. Laufend fallen typisch 20–30 % der Erstinvestition pro Jahr an.
Was kostet ein NIS2-Berater pro Tag?
Marktüblich 1.000–2.000 € pro Tag. Beratung lohnt sich für Grenzfälle und ISMS-Aufbau — nicht für wiederholbare Nachweisarbeit, die Sie selbst erledigen können.
Muss ich für NIS2 Software kaufen?
Nein. §30 BSIG ist technikneutral — es gibt keine Software-Pflicht. Wer eine Plattform einsetzt, zahlt als KMU typischerweise 350–1.800 € pro Monat; prüfen Sie vorher, was Ihr Microsoft-365-Umfeld bereits abdeckt.
Ist ISO 27001 der günstigere Weg zu NIS2?
Wer bereits zertifiziert ist, schließt die NIS2-Lücken für ca. 20.000–50.000 €. Ohne bestehendes ISMS ist die Zertifizierung kein Sparweg: Für KMU kostet das erste Jahr insgesamt etwa 50.000–150.000 € — und NIS2-Pflichten wie Meldewege und Registrierung kommen hinzu.