NIS-2-Kosten: Was kostet die Umsetzung für mittelständische Unternehmen?

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz, und für viele Geschäftsführungen lautet die erste Frage: Was kostet uns das? Die ehrliche Antwort hängt stark davon ab, wo Ihr Unternehmen heute steht. Dieser Beitrag zeigt Ihnen, welche Kosten realistisch sind, woraus sie sich zusammensetzen und wie Sie unnötige Ausgaben vermeiden.

Das Wichtigste auf einen Blick

• Die Bundesregierung rechnet für die gesamte Wirtschaft mit rund 2,2 Mrd. € einmaligem und rund 2,3 Mrd. € jährlichem Aufwand
• Für mittelständische Unternehmen mit 50 bis 250 Mitarbeitenden liegen die Kosten erfahrungsgemäß bei etwa 20.000 bis 60.000 € einmalig und 15.000 bis 40.000 € pro Jahr
• Größter Kostenfaktor ist nicht die Technik, sondern Organisation, Personal und Dokumentation
• Eine NIS-2-Zertifizierung gibt es nicht, eine ISO-27001-Zertifizierung ist freiwillig
• Wer bereits ein ISMS oder gute IT-Grundlagen hat, zahlt deutlich weniger

Was kostet NIS-2? Die kurze Antwort

Für ein mittelständisches Unternehmen mit 50 bis 250 Mitarbeitenden sollten Sie als grobe Orientierung mit 20.000 bis 60.000 € für die Einführung und 15.000 bis 40.000 € laufend pro Jahr rechnen.

Als Faustregel liegen die laufenden Kosten bei etwa 20 bis 30 % der Erstinvestition pro Jahr. Diese Spannen sind Marktschätzungen.

Wo Ihr Unternehmen genau landet, entscheiden vor allem drei Fragen:

1. Gibt es bereits ein Informationssicherheitsmanagement (ISMS) oder Teile davon?
2. Wie gut ist die IT-Sicherheit heute aufgestellt, z. B. Backups, Multi-Faktor-Authentifizierung, Patchmanagement?
3. Wie viel setzen Sie mit eigenem Personal um und wie viel kaufen Sie extern ein?

Was sagt der Gesetzgeber zu den Kosten?

Im Gesetzentwurf zum NIS2UmsuCG schätzt die Bundesregierung den Erfüllungsaufwand für die Wirtschaft auf rund 2,2 Mrd. € einmalig und rund 2,3 Mrd. € pro Jahr. Den größten Anteil machen Maßnahmen zur IT-Sicherheit aus, Schulungen schlagen jährlich mit rund 165 Mio. € zu Buche.

Rechnet man die jährlichen IT-Sicherheitskosten auf die Unternehmen mit Nachholbedarf um, ergeben sich grob:

• Wichtige Einrichtungen: rund 84.000 € pro Jahr
• Besonders wichtige Einrichtungen: rund 200.000 € pro Jahr

Das sind Durchschnittswerte über alle Größen und Branchen. Ein Mittelständler mit solider IT-Basis liegt in der Praxis oft deutlich darunter, ein Unternehmen ohne jede Struktur auch darüber. Ob Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung gilt, erfahren Sie in unserem Beitrag NIS2: Wer ist betroffen?

Die Kostenblöcke im Überblick

1. Betroffenheits- und GAP-Analyse

Am Anfang steht die Frage, ob und wie stark Ihr Unternehmen betroffen ist, und wo es heute steht. Die GAP-Analyse vergleicht Ihren Ist-Zustand mit den NIS-2-Anforderungen und liefert eine priorisierte Maßnahmenliste. Diese Investition ist klein, verhindert aber, dass Sie Geld für Maßnahmen ausgeben, die Sie gar nicht brauchen.

2. Aufbau eines ISMS

Das Herzstück der Umsetzung ist ein Informationssicherheits-Managementsystem nach ISO 27001 oder BSI IT-Grundschutz. Dazu gehören Sicherheitsrichtlinien, eine Risikoanalyse, klare Verantwortlichkeiten, Meldeprozesse und ein Notfallmanagement. Hier entsteht der größte Teil des Aufwands, vor allem für Dokumentation und Abstimmung im Unternehmen.

3. Personal: interner oder externer ISB

Jemand muss die Informationssicherheit dauerhaft verantworten. Eine eigene Vollzeitstelle kostet im Mittelstand schnell 60.000 bis 100.000 € pro Jahr, und gute Fachkräfte sind schwer zu finden. Ein externer Informationssicherheitsbeauftragter (ISB as-a-Service) ist für viele Mittelständler die günstigere Lösung, weil Sie nur den tatsächlichen Bedarf bezahlen.

4. Technische Maßnahmen

NIS-2 fordert unter anderem Multi-Faktor-Authentifizierung, sichere Backups, Verschlüsselung, Zugriffskontrollen und Schwachstellenmanagement. Was das kostet, hängt fast vollständig vom Ausgangsstand ab. Unternehmen, die hier schon gut aufgestellt sind, investieren oft nur gezielt nach.

5. Schulungen

Mitarbeitende müssen regelmäßig zu Cybersicherheit geschult werden, die Geschäftsleitung ist nach § 38 BSIG sogar ausdrücklich zur Teilnahme verpflichtet. Security-Awareness-Trainings sind vergleichsweise günstig und senken das Risiko erfolgreicher Phishing-Angriffe spürbar.

6. Erkennung und Meldung von Vorfällen

Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden an das BSI gemeldet werden. Das funktioniert nur, wenn Angriffe überhaupt schnell erkannt werden, auch nachts und am Wochenende. Ein eigenes Team rund um die Uhr ist für Mittelständler kaum finanzierbar. Deshalb nutzen viele einen 24/7 MDR/SOC-Service oder ein Managed SIEM, bei dem sich mehrere Kunden die Kosten für das Expertenteam teilen.

7. Zertifizierung: optional, nicht Pflicht

Eine offizielle NIS-2-Zertifizierung gibt es nicht. Viele Unternehmen entscheiden sich trotzdem für eine ISO-27001-Zertifizierung, weil sie gegenüber Kunden, Versicherern und Behörden als starker Nachweis gilt. Wie das Audit abläuft, lesen Sie in unserem Beitrag zur ISO 27001 Audit Vorbereitung.

Beispielrechnung: Maschinenbauer mit 180 Mitarbeitenden

Ein Maschinenbauer aus Bayern mit 180 Mitarbeitenden ist als wichtige Einrichtung von NIS-2 betroffen. Backups und Firewall sind vorhanden, ein ISMS und klare Zuständigkeiten fehlen.

Einmalige Kosten: ca. 40.000 €

• Betroffenheits- und GAP-Analyse: ca. 5.000 €
• ISMS-Aufbau mit externer Begleitung: ca. 25.000 €
• Technische Nachrüstung (Multi-Faktor-Authentifizierung, Backup-Härtung): ca. 10.000 €

Laufende Kosten: ca. 20.000 bis 30.000 € pro Jahr

• Externer ISB: niedriger fünfstelliger Betrag pro Jahr
• Awareness- und Geschäftsleitungsschulung: einige tausend Euro pro Jahr
• Pflege von ISMS, Dokumentation und Risikoanalyse: interner Zeitaufwand

Nicht enthalten ist eine 24/7-Überwachung durch SOC oder SIEM.

Die Beispielwerte dienen zur Orientierung und sind keine Festpreise. Für ein individuelles Angebot braucht es immer zuerst eine Bestandsaufnahme.

Was treibt die Kosten nach oben?

• Kein ISMS vorhanden: Alles muss von Grund auf erstellt werden
• Veraltete IT: Alte Systeme ohne Updates oder Multi-Faktor-Authentifizierung erfordern Investitionen
• Viele Standorte oder Gesellschaften: Mehr Abstimmung, mehr Dokumentation
• Viele kritische Dienstleister: Jeder muss bewertet und vertraglich eingebunden werden
• Später Start: Wer unter Zeitdruck umsetzt, zahlt für Eile und Nacharbeit

So sparen Sie bei der NIS-2-Umsetzung

• Mit der GAP-Analyse starten: Sie zeigt, was wirklich fehlt, und verhindert Ausgaben an der falschen Stelle
• Vorhandenes nutzen: Bestehende Richtlinien, Datenschutz-Dokumentation oder Notfallpläne lassen sich oft weiterverwenden
• Prioritäten setzen: Erst die Maßnahmen mit dem größten Risikoeffekt umsetzen, dann den Rest
• Rollen extern besetzen: ISB und 24/7-Überwachung als Service sind meist günstiger als eigene Stellen
• ISMS und Zertifizierung zusammendenken: Wer das ISMS gleich nach ISO 27001 aufbaut, kann sich später ohne Doppelarbeit zertifizieren lassen
• Strukturiert abarbeiten: Unsere NIS-2-Checkliste hilft, nichts zu vergessen

Was kostet es, nichts zu tun?

Den Umsetzungskosten stehen erhebliche Risiken gegenüber:

• Bußgelder: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis 7 Mio. € oder 1,4 % für wichtige Einrichtungen
• Persönliche Haftung der Geschäftsleitung bei Pflichtverletzungen
• Kosten eines Angriffs: Ein Ransomware-Angriff mit tagelangem Stillstand übersteigt die Kosten der Umsetzung schnell um ein Vielfaches
• Verlust von Aufträgen: Große Kunden verlangen zunehmend Nachweise über die Informationssicherheit ihrer Zulieferer

NIS-2 ist damit nicht nur eine Pflicht, sondern auch eine Investition in die Widerstandsfähigkeit Ihres Unternehmens.

Wie die keepbit Sie unterstützt

Die keepbit begleitet mittelständische Unternehmen bei der NIS-2-Umsetzung mit klaren Paketen statt offener Beratungsstunden:

• Betroffenheits-Check und GAP-Analyse mit priorisierter Roadmap
• Aufbau eines ISMS nach ISO 27001 oder BSI IT-Grundschutz
• Externer ISB as-a-Service
• 24/7 MDR/SOC und SIEM für die Erkennung und Meldung von Vorfällen
• Begleitung bis zum Audit

Sie entscheiden, wie viel Sie selbst umsetzen und was keepbit übernimmt. So bleiben die Kosten planbar.

👉 Jetzt NIS-2-Erstberatung anfragen

Häufige Fragen zu NIS-2-Kosten

1. Kann ich NIS-2 komplett mit eigenem Personal umsetzen?

Grundsätzlich ja, wenn Sie Mitarbeitende mit Erfahrung in Informationssicherheit und ausreichend Zeit haben. In der Praxis fehlt beides im Mittelstand oft. Eine Mischform ist häufig am wirtschaftlichsten: Externe übernehmen Analyse, Struktur und Spezialaufgaben, Ihr Team die laufende Umsetzung.

2. Können wir die Kosten über mehrere Jahre verteilen?

Teilweise. Die Pflichten gelten seit Inkrafttreten, ein Aufschub ist gesetzlich nicht vorgesehen. Mit einer priorisierten Roadmap lassen sich aber zuerst die Maßnahmen mit dem größten Risikoeffekt umsetzen und weitere schrittweise nachziehen. Wichtig ist, dass der Fahrplan dokumentiert ist und nachweisbar abgearbeitet wird.

3. Gibt es Förderprogramme für die NIS-2-Umsetzung?

Je nach Bundesland gibt es Förderprogramme für Digitalisierung und IT-Sicherheit im Mittelstand, die einzelne Maßnahmen bezuschussen können. Ob und in welcher Höhe eine Förderung möglich ist, sollten Sie vor Projektbeginn prüfen, da viele Programme eine Antragstellung vor der Beauftragung verlangen.

4. Übernimmt eine Cyberversicherung die NIS-2-Kosten?

Nein. Eine Cyberversicherung deckt Schäden nach einem Angriff ab, nicht die Kosten für die Umsetzung gesetzlicher Pflichten. Versicherer verlangen aber zunehmend ähnliche Maßnahmen wie NIS-2, etwa Multi-Faktor-Authentifizierung, Backups und Notfallpläne. Eine gute Umsetzung kann deshalb den Abschluss erleichtern oder sich positiv auf die Konditionen auswirken.

Quellen

• ‍Deutscher Bundestag, Drucksache 21/2783 (Gesetzentwurf NIS2UmsuCG, Erfüllungsaufwand der Wirtschaft)‍
• OpenKRITIS: Kosten von NIS2