Was kostet NIS2-Compliance realistisch für einen 50-MA-Mittelständler?

Wovon der Aufwand abhängt

Der NIS2-Aufwand für ein 50-MA-Unternehmen lässt sich nicht pauschal beziffern, er hängt ab von:

• Sektor-Komplexität, KRITIS-naher Sektor (z.B. Gesundheit) ist aufwändiger als Standard-IT-Dienstleister
• Vor-Reifegrad, wer bereits ein ISMS nach ISO/IEC 27001 betreibt, hat einen Teil der Maßnahmen aus § 30 Abs. 2 BSIG schon umgesetzt; welcher Teil, zeigt die Gap-Analyse
• IT-Landschaft, komplexe On-Premise + Multi-Cloud + OT teurer als reine SaaS-Landschaft
• Geschäftsleitung-Beteiligung, Top-Down-Engagement reduziert Reibung und Kosten
• Make-or-Buy, interne Aufbau vs. externe Beratung haben unterschiedliche Kostenstrukturen

Die folgenden Abschnitte nennen deshalb keine Pauschalsummen, sondern Kostenposten und Rechenwege. Die Beträge setzt jedes Unternehmen selbst ein: eigene Vollkostensätze, Listenpreise der eingesetzten Produkte und Angebote von Dienstleistern. Das Ergebnis ist eine eigene Planungsrechnung, kein Marktwert.

Kostenblock 1: Personalaufwand

Der größte Posten ist meist die Personalkapazität, entweder intern oder extern.

Internes Personal:

• Ein benannter Information Security Officer / Information Security Manager (Stellenanteil nach eigener Planung)
• Verteilte Mitarbeit aus IT, HR, Recht, Geschäftsleitung
• Schulungen: Für die Geschäftsleitung schreibt § 38 Abs. 3 BSIG regelmäßige Schulungen vor. Für die Einrichtung insgesamt gehören „grundlegende Schulungen und Sensibilisierungsmaßnahmen“ zu den Mindestmaßnahmen nach § 30 Abs. 2 Satz 2 Nr. 7 BSIG. Eine Mindeststundenzahl legt keine Norm fest.

Rechenweg für den internen Personalaufwand:

• Information Security Officer: geplanter VZÄ-Anteil × Jahresvollkosten einer Vollzeitstelle
• Verteilte Mitarbeit: geschätzte Stunden je Fachbereich × interner Vollkostensatz je Stunde
• Belegschafts-Schulung: Anzahl Beschäftigte × geplante Schulungsstunden × interner Vollkostensatz (Opportunitätskosten der Arbeitszeit)

Externe Beratung:

• Gap-Analyse und Roadmap: Beratungstage × Tagessatz laut Angebot
• Begleitung der Umsetzung: geplante Beratungstage je Monat × Laufzeit × Tagessatz laut Angebot
• Externe Schulungsprogramme: Teilnehmende × Preis je Teilnehmer bzw. Pauschale laut Angebot

Die Make-or-Buy-Entscheidung hängt von der Strategie ab. Mittelständler ohne Information-Security-Kapazitäten setzen oft auf externe Beratung in der Erstphase und bauen dann interne Strukturen auf.

Kostenblock 2: Technische Maßnahmen

Typische technische Posten zu den Maßnahmen aus § 30 Abs. 2 BSIG, jeweils mit Rechenweg statt Pauschalpreis:

Welche Zeilen überhaupt anfallen, hängt davon ab, was bereits vorhanden ist. Viele KMU haben Teile dieser Maßnahmen schon im Einsatz, etwa über bestehende Microsoft-365- oder Google-Workspace-Lizenzen.

Kostenblock 3: Externe Audits und Zertifizierungen

Optional, aber für die Nachweis-Führung sehr nützlich:

• ISO/IEC 27001, Erstzertifizierung: Audittage × Tagessatz der Zertifizierungsstelle laut Angebot, dazu gegebenenfalls Beratung
• Jährliche Überwachungsaudits: Audittage × Tagessatz laut Angebot
• Rezertifizierung alle 3 Jahre: Audittage × Tagessatz laut Angebot
• BSI C5-Testat (für Cloud-Anbieter): Prüfungsaufwand laut Angebot des Wirtschaftsprüfers
• TISAX (Automobilbereich): Assessment-Aufwand laut Angebot des Prüfdienstleisters

Eine ISO-27001-Zertifizierung ist nicht pflichtig für NIS2, aber sie kombiniert mehrere Vorteile: strukturierte Grundlage für die nach § 30 Abs. 1 Satz 3 BSIG vorgeschriebene Dokumentation und für Nachweise, die das BSI nach §§ 61, 62 BSIG anordnen oder prüfen kann, Markt-Akzeptanz im B2B-Vertrieb, strukturierte Methodik. Ein Mittelständler im IT-Bereich sollte die ISO-Investition ernsthaft prüfen.

Rechenvorlage: 50-MA-Unternehmen ohne Vorarbeit

Die Vorlage listet die Posten, die in einer ersten Planungsrechnung typischerweise auftauchen. Die Beträge ergeben sich aus den eigenen Sätzen und den eingeholten Angeboten, nicht aus Marktdurchschnitten.

Einmalige Posten (Aufbauphase):

Laufende Posten (ab dem zweiten Jahr):

Wer bereits ein ISMS nach ISO/IEC 27001 betreibt, streicht die Posten, die dadurch schon abgedeckt sind. Wer in einem komplexeren Umfeld arbeitet (Gesundheit, OT-Umgebung), ergänzt die zusätzlichen Posten, etwa für die Absicherung von Steuerungstechnik.

Wo gespart werden kann: und wo nicht

Sinnvolle Spar-Hebel:

• Outsourcing der Schulungen, externe E-Learning-Plattformen rechnen meist je Nutzer und Jahr ab; der Preis steht in der jeweiligen Preisliste
• Open-Source-Tools für Inventar, Schwachstellen-Scanning, Log-Management, höherer Konfigurations-Aufwand, aber spürbare Lizenz-Einsparung
• Konsortien und Branchen-Initiativen, gemeinsame Pen-Tests, gemeinsame Beratungs-Beauftragung in Branchen-Verbänden
• Bestehende Cloud-Sicherheits-Features nutzen, höherwertige Microsoft-365- oder Google-Workspace-Lizenzen enthalten Sicherheitsfunktionen, die sonst als eigene Produkte lizenziert werden müssten; vor jedem Zukauf den vorhandenen Lizenzumfang prüfen

Wo das Sparen teuer wird:

• Information Security Officer einsparen und alles über die IT-Abteilung laufen lassen, IT ist nicht IT-Sicherheit, die Rollen brauchen Trennung
• Externe Beratung komplett vermeiden, KMU haben oft keine Erfahrung mit regulatorischer Compliance, die Lernkurve ist teuer
• Pen-Tests aussetzen, wenn die Aufsicht Nachweis verlangt, ist Nachholen unter Zeitdruck teurer
• Geschäftsleitungs-Schulung als „nice-to-have" einstufen, § 38 Abs. 3 BSIG schreibt regelmäßige Schulungen der Geschäftsleitung ausdrücklich vor; verletzt die Geschäftsleitung ihre Umsetzungs- und Überwachungspflicht nach § 38 Abs. 1 BSIG, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform (§ 38 Abs. 2 BSIG)

Praxis: Budget-Planung

Budget-Strategie:

1. Bestandsaufnahme ehrlich durchführen, was ist da, was fehlt
2. Gap-Analyse extern beauftragen für unabhängige Sicht
3. Roadmap mit Prioritäten, Quick-Wins zuerst (Asset-Inventar, MFA, Schulungen), Investitions-intensive Maßnahmen (SIEM, EDR) verteilt
4. 3-Jahres-Plan, Initial-Investition + 2 Folgejahre für Skalierung und Reifegrad-Aufbau
5. Risikobudget einplanen, Vorfälle passieren auch in NIS2-konformen Unternehmen, Versicherung + Notfall-Beratungs-Retainer

FAQ

Sind die NIS2-Kosten von der Steuer absetzbar?

Aufwendungen, die durch den Betrieb veranlasst sind, sind Betriebsausgaben (§ 4 Abs. 4 EStG); das gilt grundsätzlich auch für Compliance-Kosten. Für Computerhardware und Software lässt die Finanzverwaltung eine Nutzungsdauer von einem Jahr zu (BMF-Schreiben vom 22.02.2022). Das ist keine Sofortabschreibung, sondern eine Nutzungsdauer, von der im Einzelfall abgewichen werden kann. Wie hoch die Entlastung nach Steuern ausfällt, hängt vom individuellen Steuersatz ab und ist mit dem Steuerberater zu klären.

Gibt es Förderprogramme?

Das häufig genannte Bundesprogramm „Digital Jetzt – Investitionsförderung für KMU" lief bis 31.12.2023 und nimmt keine Anträge mehr an. Ob aktuell ein Bundes- oder Landesprogramm Informationssicherheits-Maßnahmen bezuschusst, lässt sich in der Förderdatenbank des Bundes und bei der Förderbank des eigenen Bundeslandes prüfen. Eine allgemeine Förderquote lässt sich ohne konkretes, laufendes Programm nicht angeben.

Lohnt sich die Eigenpflege oder besser ein Managed Service?

Für 50-MA-Unternehmen ist ein Hybrid-Modell oft am besten: interner Information Security Officer mit ergänzendem Managed Detection & Response (MDR) Service. Reine Eigenpflege überfordert KMU bei 24/7-Anforderungen. Reines Outsourcing schwächt die interne Steuerungsfähigkeit. Eine Mischung aus interner Verantwortung und externem Betrieb verbindet beides.

Was kostet ein erfolgreicher Vorfall im Vergleich?

Eine belastbare Durchschnittszahl für das eigene Unternehmen gibt es nicht. Abschätzen lässt sich der Schaden über die eigene Rechnung: Deckungsbeitrag je Ausfalltag × erwartete Ausfalltage + Kosten für Wiederherstellung und Forensik. Hinzu kommen Reputationsschäden und bei NIS2-Verstößen mögliche Bußgelder nach § 65 BSIG. Diese Summe dem eigenen Jahresbudget gegenübergestellt zeigt, ob sich die Investition als Risikoabsicherung rechnet.

Wie skaliert der Aufwand mit Unternehmensgröße?

Nicht linear. Die fixen Anteile (ISMS, Tooling-Grundausstattung, Beratung zur Roadmap) wachsen mit der Belegschaft kaum, die variablen Anteile (Schulungen, Lizenzen je Endpoint oder Nutzer) skalieren mit der Zahl der Beschäftigten und Geräte. Im Rechenweg oben heißt das: Die Mengen in den nutzer- und gerätebezogenen Zeilen ändern sich, die übrigen Posten bleiben weitgehend gleich.