Was kostet NIS2-Compliance realistisch für einen 50-MA-Mittelständler?

Methodik: Wie wir den Aufwand berechnen

Der NIS2-Aufwand für ein 50-MA-Unternehmen lässt sich nicht pauschal beziffern — er hängt ab von:

• Sektor-Komplexität — KRITIS-naher Sektor (z.B. Gesundheit) ist aufwändiger als Standard-IT-Dienstleister
• Vor-Reifegrad — ein Unternehmen mit ISO 27001 hat 50-70 % der Vorarbeit erbracht
• IT-Landschaft — komplexe On-Premise + Multi-Cloud + OT teurer als reine SaaS-Landschaft
• Geschäftsleitung-Beteiligung — Top-Down-Engagement reduziert Reibung und Kosten
• Make-or-Buy — interne Aufbau vs. externe Beratung haben unterschiedliche Kostenstrukturen

Wir gehen im Folgenden von einem typischen B2B-IT-Dienstleister mit 50 MA, mittlerem Cyber-Reifegrad ohne ISO 27001 aus. Die Werte sind Markt-Mittelwerte aus deutschen Beratungs-Projekten 2024-2026.

Kostenblock 1: Personalaufwand

Der größte Posten ist meist die Personalkapazität — entweder intern oder extern.

Internes Personal:

• 1 dedizierter Information Security Officer / Information Security Manager (0,5-1,0 VZÄ)
• Verteilte Mitarbeit aus IT, HR, Recht, Geschäftsleitung (kumuliert 0,3-0,5 VZÄ)
• Schulungs-Aufwand für die gesamte Belegschaft (typisch 8h pro Person pro Jahr)

Bei einem Vollkostensatz von 80-120 €/h für interne Mitarbeitende und 50 MA × 8h Schulungsaufwand ergeben sich:

• 0,75 VZÄ Information Security Officer: 60.000-90.000 €/Jahr
• 0,4 VZÄ verteilte Mitarbeit: 32.000-48.000 €/Jahr
• 400h Belegschafts-Schulung: 32.000-48.000 €/Jahr (Opportunity-Kosten der Mitarbeitenden-Zeit)

Externe Beratung:

• Initial-Beratung für Gap-Analyse und Roadmap: 15.000-40.000 €
• Begleitung der Umsetzung: 25.000-60.000 € über 12 Monate
• Schulungs-Programme (extern): 5.000-15.000 €

Die Make-or-Buy-Entscheidung hängt von der Strategie ab. Mittelständler ohne Information-Security-Kapazitäten setzen oft auf externe Beratung in der Erstphase und bauen dann interne Strukturen auf.

Kostenblock 2: Technische Maßnahmen

Konkrete technische Investitionen für die NIS2-Mindestmaßnahmen:

Initial: 90.000-315.000 € (je nach bisheriger Reife). Jährlich danach: 65.000-215.000 €. Die Spannen sind groß, weil viele KMU bereits Teile dieser Maßnahmen haben.

Kostenblock 3: Externe Audits und Zertifizierungen

Optional, aber für die Nachweis-Führung sehr nützlich:

• ISO 27001 Zertifizierung erstmalig: 25.000-60.000 € (Beratung + Auditkosten)
• Jährliche Überwachungsaudits: 8.000-20.000 €
• Rezertifizierung alle 3 Jahre: 15.000-30.000 €
• BSI C5-Bericht (für Cloud-Anbieter): 30.000-80.000 €
• TISAX (Automobilbereich): 15.000-40.000 €

Eine ISO-27001-Zertifizierung ist nicht pflichtig für NIS2, aber sie kombiniert mehrere Vorteile: Audit-Nachweis für die NIS2-Selbstprüfung, Markt-Akzeptanz im B2B-Vertrieb, strukturierte Methodik. Ein Mittelständler im IT-Bereich sollte die ISO-Investition ernsthaft prüfen.

Beispiel-Rechnung: 50-MA-IT-Dienstleister ohne Vorarbeit

Konkrete Kalkulation für einen typischen Mittelständler:

Initial-Investition (Monate 1-12):

Jährliche Folgekosten (ab Jahr 2):

Diese Werte sind realistische Mittelwerte für ein 50-MA-Unternehmen mit mittlerem Cyber-Reifegrad. Wer schon ISO-zertifiziert ist, kann die Initial-Investition halbieren. Wer in einem komplexeren Sektor agiert (Gesundheit, OT-Umgebung), muss 30-50 % mehr einplanen.

Wo gespart werden kann — und wo nicht

Sinnvolle Spar-Hebel:

• Outsourcing der Schulungen — externe E-Learning-Plattformen kosten 30-60 €/Nutzer/Jahr und decken die Pflicht-Schulung ab
• Open-Source-Tools für Inventar, Schwachstellen-Scanning, Log-Management — höherer Konfigurations-Aufwand, aber spürbare Lizenz-Einsparung
• Konsortien und Branchen-Initiativen — gemeinsame Pen-Tests, gemeinsame Beratungs-Beauftragung in Branchen-Verbänden
• Bestehende Cloud-Sicherheits-Features nutzen — Microsoft 365 E5 oder Google Workspace Enterprise enthalten viele Funktionen, die separat 15.000-30.000 € kosten würden

Wo das Sparen teuer wird:

• Information Security Officer einsparen und alles über die IT-Abteilung laufen lassen — IT ist nicht IT-Sicherheit, die Rollen brauchen Trennung
• Externe Beratung komplett vermeiden — KMU haben oft keine Erfahrung mit regulatorischer Compliance, die Lernkurve ist teuer
• Pen-Tests aussetzen — wenn die Aufsicht Nachweis verlangt, ist Nachholen unter Zeitdruck teurer
• Geschäftsleitungs-Schulung als „nice-to-have" einstufen — Art. 20 NIS2 ist explizit, hier drohen direkte persönliche Sanktionen

Praxis: Budget-Planung

Budget-Strategie:

1. Bestandsaufnahme ehrlich durchführen — was ist da, was fehlt
2. Gap-Analyse extern beauftragen für unabhängige Sicht
3. Roadmap mit Prioritäten — Quick-Wins zuerst (Asset-Inventar, MFA, Schulungen), Investitions-intensive Maßnahmen (SIEM, EDR) verteilt
4. 3-Jahres-Plan — Initial-Investition + 2 Folgejahre für Skalierung und Reifegrad-Aufbau
5. Risikobudget einplanen — Vorfälle passieren auch in NIS2-konformen Unternehmen, Versicherung + Notfall-Beratungs-Retainer

FAQ

Sind die NIS2-Kosten von der Steuer absetzbar?

Ja, NIS2-Compliance-Kosten sind Betriebsausgaben und voll steuerlich abzugsfähig. Investitionen in Hardware und Software sind über die jeweilige AfA-Dauer abzuschreiben (typisch 3-5 Jahre). Externe Beratung und Schulungen sind sofort als Aufwand zu erfassen. Die effektive Belastung nach Steuer liegt bei einem 30-%-Steuersatz also bei etwa 70 % der Brutto-Aufwendungen.

Gibt es Förderprogramme?

Ja, mehrere Programme können NIS2-Investitionen mit-finanzieren. Auf Bundesebene gibt es Förderungen für Digitalisierungs- und Sicherheits-Maßnahmen über das BAFA und KfW. Länder haben eigene Programme (z.B. Digital Jetzt, Mittelstand-Digital). Branchen-Verbände unterstützen teilweise mit Beratungs-Gutscheinen. Die Förder-Quote liegt typisch bei 30-50 % der förderfähigen Kosten.

Lohnt sich die Eigenpflege oder besser ein Managed Service?

Für 50-MA-Unternehmen ist ein Hybrid-Modell oft am besten: interner Information Security Officer mit ergänzendem Managed Detection & Response (MDR) Service. Reine Eigenpflege überfordert KMU bei 24/7-Anforderungen. Reines Outsourcing schwächt die interne Steuerungsfähigkeit. Mischung mit interner Verantwortung + externer Operations ist Markt-Standard.

Was kostet ein erfolgreicher Vorfall im Vergleich?

Markt-Studien (Bitkom, BSI, ENISA) zeigen: ein erfolgreicher Ransomware-Angriff im deutschen Mittelstand kostet durchschnittlich 150.000-500.000 €, in schweren Fällen weit über 1 Mio. €. Hinzu kommen Reputations-Schäden und mögliche Bußgelder bei NIS2-Verstößen. Im Vergleich ist die jährliche NIS2-Investition von 100.000-150.000 € sehr günstige Risiko-Versicherung.

Wie skaliert der Aufwand mit Unternehmensgröße?

Grobe Faustregel: bei 100 MA verdoppelt sich der Aufwand nicht — die fixen Anteile (ISMS, Tooling, Beratung) bleiben ähnlich, nur die variablen Anteile (Schulungen, Endpoints) skalieren. Bei 200 MA liegt der Aufwand etwa beim 1,5-Fachen eines 50-MA-Unternehmens. Erst bei 500+ MA verdoppelt er sich. NIS2 ist damit relativ KMU-freundlich kalibriert — die Pflichten skalieren nicht linear mit der Belegschafts-Größe.