Compliance-Budget 2027: So planen KMU die einzelnen Posten

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche Kostenfaktoren sind einschlägig?

Compliance-Budgets setzen sich in der Regel aus mehreren Bausteinen zusammen, deren Gewichtung von Branche, Datenintensität und regulatorischer Betroffenheit abhängt. Typische Posten sind:

• Personal-Anteil (intern oder externer Datenschutzbeauftragter, Information Security Officer, IT-Sicherheits-Funktion)
• Beratungs-Aufwand (NIS2-Erstaufsetzung, ISO-27001-Vorbereitung und vergleichbare Projekt-Beratungen)
• Tool-Lizenzen (Datenschutz-Management, Awareness-Plattformen, Schwachstellen-Scanner, Backup-Lösungen und vergleichbare Kategorien)
• Audit- und Prüfungs-Aufwand (Penetrationstests, Reifegrad-Assessments, Lieferanten-Audits)
• Versicherungs-Prämien (Cyber-Police, abhängig von Deckungssumme und Risikoprofil)
• Schulungs-Aufwand (Awareness, Spezial-Trainings für IT und Management)

Welche Posten in welcher Höhe relevant werden, ergibt sich aus der individuellen Konstellation. Eine pauschale Übertragbarkeit zwischen Sektoren ist nicht gegeben.

Welche Konstellation passt typisch zu deinem KMU-Profil?

Welche Posten Pflicht sind, hängt zuerst an gesetzlichen Schwellen. Die Beträge ergeben sich danach aus der Rechnung Posten × Menge × eigener Satz:

Unter 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten: Ein Datenschutzbeauftragter ist nach § 38 Abs. 1 BDSG in der Regel erst ab mindestens 20 solchen Personen Pflicht (Ausnahmen u. a. bei Datenschutz-Folgenabschätzung). NIS2 bzw. das BSIG erfasst Unternehmen unter 50 Mitarbeitenden ohne Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. € grundsätzlich nicht direkt (§ 28 Abs. 2 BSIG); Ausnahmen gelten u. a. für Vertrauensdienste, DNS, TLD-Registries und Telekommunikation. Über Lieferketten-Anforderungen der Kunden können Pflichten indirekt entstehen.

Ab 20 Personen mit ständiger automatisierter Verarbeitung personenbezogener Daten: Der Posten Datenschutzbeauftragter (intern oder extern) wird nach § 38 Abs. 1 BDSG in der Regel Pflicht.

Ab 50 Mitarbeitenden oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €: Unternehmen einer Einrichtungsart der Anlagen 1 oder 2 BSIG gelten als „wichtige Einrichtung" (§ 28 Abs. 2 BSIG). Dann kommen die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflichten nach § 32 BSIG und die Registrierung nach § 33 BSIG als Posten hinzu, typischerweise mit Beratungstagen für Risikoanalyse und Incident-Response-Plan sowie interner Zeit für den Betrieb.

Ab 250 Mitarbeitenden oder Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. €: Unternehmen einer Einrichtungsart der Anlage 1 BSIG gelten als „besonders wichtige Einrichtung" (§ 28 Abs. 1 BSIG). Die Pflichten nach § 30 BSIG sind dieselben, das BSI kann aber gegenüber besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen anordnen (§ 61 BSIG), gegenüber wichtigen Einrichtungen nur, wenn Tatsachen einen Verstoß nahelegen (§ 62 BSIG), und der Bußgeldrahmen reicht bis 10 Mio. € bzw. bei mehr als 500 Mio. € Umsatz bis 2 Prozent des weltweiten Gesamtumsatzes (§ 65 BSIG). Ein ISMS nach ISO/IEC 27001 oder BSI-IT-Grundschutz ist gesetzlich nicht vorgeschrieben, aber ein verbreiteter Rahmen, um die Maßnahmen nach § 30 BSIG nachweisbar umzusetzen.

Welche Marktoptionen sind verbreitet?

Für die Verteilung auf die folgenden Posten gibt es keinen belegten Richtwert; sie ergibt sich aus den Mengen und Sätzen der eigenen Planung:

Tool- und Software-Posten

In diese Kategorie fallen Datenschutz-Management-Systeme, Awareness-Plattformen, Schwachstellen-Scanner, Backup-Lösungen mit Verschlüsselung, Passwort-Manager und Multi-Faktor-Authentifizierung. Anbieter wie DataGuard, ProLiance, SoSafe, KnowBe4, Veeam, Acronis und vergleichbare Lösungen bieten unterschiedliche KMU-Tarife, eine individuelle Eignungs-Prüfung ist erforderlich; die Nennung stellt keine Empfehlung dar.

Personal- und Beratungs-Posten

Interne Zeit ist Teil dieses Postens. Geschäftsführungs- oder Bereichs-Zeit für Compliance-Themen lässt sich als Stunden pro Woche × Arbeitswochen × eigener interner Stundensatz ansetzen. Hinzu kommen externer DSB, NIS2-Beratung für Projektphasen und IT-Dienstleister-Anteile.

Audit- und Prüfungs-Posten

Mögliche Posten: Überprüfung des Datenschutz-Konzepts, NIS2-Reifegradmessung, Penetrationstests, Lieferanten-Audits; der Turnus ergibt sich aus der eigenen Risikoanalyse. Externe Pentests werden in der Regel nach Personentagen angeboten; der Betrag ergibt sich aus Umfang (Anzahl Systeme, extern/intern, Web-Anwendungen) × Tagessatz laut Angebot.

Schulungs- und Awareness-Posten

E-Learning-Plattformen, Pflichtschulungen für neue Mitarbeitende, Spezial-Schulungen für IT-Team und Management. Der Betrag ergibt sich aus Teilnehmenden × Preis je Teilnehmer oder Lizenz laut Anbieter, plus interner Schulungszeit × Stundensatz. Für die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen ist die regelmäßige Teilnahme an Schulungen Pflicht (§ 38 Abs. 3 BSIG).

Was ist zur Versicherungs-Prämien-Entwicklung bekannt?

Der GDV meldete für 2023 in der Cyber-Sparte Leistungen von 180 Mio. € (knapp 50 Prozent mehr als 2022), rund 4.000 gemeldete Hackerangriffe und eine Schaden-Kosten-Quote von 97 Prozent nach 77,7 Prozent im Jahr 2022. Die Beitragseinnahmen stiegen um rund ein Viertel auf 309 Mio. €, die Zahl der Verträge um 15,7 Prozent auf rund 261.000. Daraus lässt sich keine Prämiensteigerung je Police ableiten. Für die eigene Planung zählt allein das Angebot des Versicherers.

Laut GDV bestehen die Versicherer bei Neuabschlüssen auf wirksame Schutzmaßnahmen. Welche Maßnahmen verlangt werden (etwa Multi-Faktor-Authentifizierung, Backup-Konzept, Patch-Management), ergibt sich aus dem Risikofragebogen des jeweiligen Versicherers; die Kosten für fehlende Maßnahmen gehören als eigener Posten ins Budget.

Welche Konstellationen erfordern abweichendes Vorgehen?

Einige Konstellationen verschieben die Posten deutlich:

• Solo-Selbständige ohne Mitarbeitende, ohne sensible Datenverarbeitung, ohne B2B-Konzern-Kunden: Der Posten Datenschutzbeauftragter entfällt in der Regel (§ 38 Abs. 1 BDSG), und das BSIG erfasst diese Konstellation nach den Größenschwellen des § 28 BSIG grundsätzlich nicht; Ausnahmen gelten u. a. für Vertrauensdiensteanbieter, DNS-Diensteanbieter und TLD-Registries.
• Sektoren mit erhöhter Regulierungs-Dichte (Gesundheitswesen, Finanzdienstleister, Energieversorger, kritische Infrastruktur): Zusätzliche Posten ergeben sich aus sektorspezifischen Vorgaben (z. B. KRITIS-Dachgesetz, DORA, MaRisk).

• Unternehmen mit bewusster Risiko-Tragung ohne Cyber-Versicherung: Ein Verzicht auf eine Police ist eine legitime, aber bewusst zu dokumentierende Management-Entscheidung mit eigener Risiko-Abwägung.
• Konzerntöchter und stark abhängige Lieferanten: Hier können Compliance-Anforderungen über Vertragsklauseln deutlich strenger sein als die gesetzliche Mindestanforderung.

Eine individuelle Wirtschaftlichkeits-Prüfung mit Berücksichtigung von Branche, Datenintensität, Vertrags-Verpflichtungen und Risiko-Appetit bleibt unverzichtbar.

Nächster Schritt

Für eine erste Einordnung der eigenen Pflichten und damit der Budget-Ausgangsbasis kann der NIS2-Check eine pauschale Orientierung liefern. Für die vertiefende Budget-Planung steht der Foundation-Artikel NIS2-Budget: Was kostet Compliance realistisch? zur Verfügung.

Eine Budget-Planung ersetzt keine fortlaufende Wirtschaftlichkeits-Prüfung. Sie schafft jedoch die Voraussetzung dafür, dass Compliance-Investitionen nicht ungeplant aus dem laufenden Cashflow finanziert werden müssen.