Was kostet eine NIS2-Beratung?
Wir veröffentlichen keine Preisliste — eine Zahl ohne Kenntnis Ihrer Ausgangslage wäre wertlos. Was wir offenlegen: welche Faktoren den Preis treiben, welche Modelle es gibt und was Sie jedes Angebot fragen sollten.
Die kurze Antwort
Der Preis einer NIS2-Beratung hängt weniger von der Unternehmensgröße ab als vom Ausgangsniveau. Zwei Unternehmen mit je 300 Beschäftigten können sich im Aufwand um ein Vielfaches unterscheiden — eines mit gepflegtem ISMS, eines ohne Inventar. Deshalb beginnt jede belastbare Kalkulation mit einer Erhebung, nicht mit einer Pauschale.
Wer Ihnen ohne diese Erhebung einen Preis für die vollständige Umsetzung nennt, kalkuliert einen Risikoaufschlag ein — den Sie bezahlen.
Die vier Preismodelle im Vergleich
| Modell | Passt bei | Vorteil | Risiko | Fragen Sie |
|---|---|---|---|---|
| Tagessatz | Unklarer Umfang, explorative Phase, punktuelle Fachfragen | Flexibel, kein Aufschlag für Risikopuffer | Das Budget ist nach oben offen. Ohne Aufwandsschätzung und Abbruchpunkt schwer steuerbar. | Wie viele Tage schätzen Sie für welches Ergebnis — und was passiert, wenn es mehr wird? |
| Festpreis je Leistungspaket | Klar abgrenzbare Ergebnisse wie Gap-Analyse, Risikoanalyse, Notfallkonzept | Planbar, das Aufwandsrisiko liegt beim Dienstleister | Nur so gut wie die Leistungsbeschreibung. Alles, was nicht drinsteht, wird nachberechnet. | Was genau ist im Festpreis enthalten — und welche drei Dinge sind es ausdrücklich nicht? |
| Monatliches Mandat | Externer ISB, laufende Betreuung, Managed Compliance | Verfügbarkeit über die Zeit, Wissen bleibt im Haus des Dienstleisters erhalten | Bei zu geringem Kontingent entsteht Verwaltung statt Fortschritt. | Wie viele Stunden umfasst das Kontingent, und was passiert mit nicht genutzten Stunden? |
| Projektfestpreis über alles | Vollständige Erstumsetzung mit klar definiertem Zielbild | Eine Zahl, ein Verantwortlicher | Enthält immer einen Risikoaufschlag. Ohne saubere Vorabanalyse ist der Aufschlag hoch. | Auf welcher Erhebung beruht der Preis — und was kostet die Erhebung selbst? |
Die sieben Kostentreiber
In dieser Reihenfolge — der erste Punkt bewegt mehr als die übrigen sechs zusammen.
Ausgangsniveau
Der mit Abstand größte Hebel. Eine Einrichtung mit gepflegtem ISMS nach ISO 27001 hat einen erheblichen Teil der zehn Maßnahmenbereiche des § 30 BSIG bereits belegt. Wer bei null startet, braucht zuerst Inventar, Leitlinie und Risikomethodik — bevor überhaupt eine Lücke bewertet werden kann.
Anzahl der Standorte
Jeder Standort bringt eigene Netzsegmente, eigene Zutrittsregelungen und eigene Ansprechpartner. Der Aufwand wächst nicht linear mit der Beschäftigtenzahl, sondern mit der Zahl der Orte, an denen Nachweise erhoben werden müssen.
OT- und Produktionsumgebungen
Anlagensteuerung lässt sich nicht wie Büro-IT behandeln. Ältere Steuerungen vertragen keine Scans, Wartungsfenster sind knapp, und Herstellerfreigaben binden Patches. Das ist der Faktor, der Projekte im verarbeitenden Gewerbe und in der Versorgung am stärksten verteuert.
Komplexität der Lieferkette
Zehn Dienstleister mit Fernzugang sind eine Liste. Zweihundert sind ein Prozess. Der Aufwand für Bewertung, Fragebögen und Vertragsanpassung skaliert direkt mit der Zahl kritischer Lieferanten.
Zustand der Dokumentation
Vorhandene, aber verstreute Dokumentation ist oft teurer als gar keine — sie muss zuerst gesichtet, bewertet und auf Widersprüche geprüft werden. Wo Nachweise fehlen, ist der Weg wenigstens klar.
Eigene Kapazität
Der Posten, der in Angeboten nie auftaucht und intern am meisten kostet. Ohne benannte Ansprechpartner mit freigestellter Zeit verlängert sich jedes Projekt — und Beratungstage werden für Terminfindung statt für Inhalte verbraucht.
Prüf- und Nachweistiefe
Betreiber kritischer Anlagen müssen nach § 39 BSIG gegenüber dem BSI nachweisen. Das verlangt eine andere Belegdichte als die bloße Erfüllung des § 30 — und ist ein eigener Kostenblock, kein Nebeneffekt.
Sechs Posten, die in Angeboten gern fehlen
- Die Gap-Analyse ist im Angebot enthalten, die Behebung der gefundenen Lücken nicht — der eigentliche Aufwand beginnt danach.
- Werkzeuglizenzen laufen auf den Kunden, tauchen aber erst nach Projektstart auf.
- Dokumentenvorlagen sind pauschal, die Anpassung an die eigene Organisation wird nach Aufwand berechnet.
- Die Schulung der Geschäftsleitung nach § 38 BSIG ist nicht Teil der Mitarbeiterschulung und wird separat fällig.
- Nach dem Erstprojekt entsteht laufender Aufwand: Wirksamkeitsprüfung, interne Audits, Fortschreibung. Ein Angebot ohne Betriebsphase zeigt nur die halbe Rechnung.
- Reise- und Vor-Ort-Kosten bei mehreren Standorten, wenn nicht ausdrücklich anders vereinbart.
Der ehrlichste Weg zu einem vergleichbaren Angebot führt über eine Gap-Analyse als eigenständige, klein gehaltene erste Leistung. Danach kennen beide Seiten den Umfang — und ein Festpreis für die Umsetzung wird überhaupt erst seriös kalkulierbar.
Häufige Fragen zu den Kosten
- Was kostet eine NIS2-Beratung?
- Ein seriöser Preis lässt sich erst nach einer kurzen Erhebung nennen, weil die Spanne zwischen den Ausgangslagen größer ist als jeder Durchschnittswert. Entscheidend sind sieben Faktoren: Ausgangsniveau, Anzahl der Standorte, OT-Anteil, Komplexität der Lieferkette, Zustand der Dokumentation, eigene Kapazität und die verlangte Nachweistiefe. Wir veröffentlichen bewusst keine Preisliste, weil eine Zahl ohne diese Faktoren keine Aussagekraft hat.
- Tagessatz oder Festpreis — was ist günstiger?
- Der Festpreis ist bei klar abgrenzbaren Ergebnissen wie einer Gap-Analyse in der Regel günstiger, weil der Umfang bekannt ist und kein Risikoaufschlag über das ganze Projekt gelegt wird. Bei unklarer Ausgangslage ist der Tagessatz für eine erste, eng begrenzte Phase meist wirtschaftlicher — mit vereinbarter Obergrenze und einem definierten Punkt, an dem neu entschieden wird.
- Senkt eine bestehende ISO-27001-Zertifizierung die Kosten?
- Deutlich. Risikomanagement, Dokumentenlenkung, interne Audits und Managementbewertung sind dann bereits etabliert und lassen sich weiterverwenden. Gezielt nachzuarbeiten bleiben meist die Meldeprozesse nach § 32 BSIG, die dokumentierte Überwachung durch die Geschäftsleitung nach § 38 und deren eigene, regelmäßige Schulung — Pflichten, die die Norm in dieser Form nicht kennt.
- Welche Kosten entstehen nach dem Projekt?
- NIS2 ist eine Dauerpflicht, kein Projekt mit Enddatum. Dauerhaft anfallen: Fortschreibung der Risikoanalyse, Wirksamkeitsprüfung nach § 30 Abs. 2 Nr. 6, interne Audits, wiederkehrende Schulungen, Rezertifizierung der Berechtigungen, Wiederherstellungstests und die Pflege des Lieferantenverzeichnisses. Wer diesen Block bei der Budgetplanung auslässt, plant nur die erste Hälfte.
- Selbst umsetzen oder extern beauftragen?
- Beides hat einen Preis — intern in Personentagen, extern in Rechnungen. Selbst umsetzen lohnt sich, wenn eine Person mit ausreichend freigestellter Zeit und methodischer Erfahrung vorhanden ist. Extern lohnt sich, wenn diese Zeit nicht existiert oder wenn Unabhängigkeit gefragt ist, etwa bei internen Audits und der Auditvorbereitung. In der Praxis ist die Mischung üblich: externe Methodik und Prüfung, interne Umsetzung.
Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Diese Seite nennt bewusst keine Preisspannen. Kostentreiber und Modelle sind fachliche Einordnung, keine Rechtsberatung.
Belastbare Zahl statt Schätzung
Nennen Sie uns Branche, Standorte, OT-Anteil und den Stand Ihrer Dokumentation — Sie erhalten eine Aufwandseinschätzung mit nachvollziehbarer Herleitung statt einer Hausnummer.
Aufwand einschätzen lassen