NIS2 selbst machen vs. Berater: Was lohnt sich?

Die Frage „intern oder beraten" hat keine pauschale Antwort. Die Entscheidung hängt von Sektor, vorhandener interner IT-Sicherheits-Kompetenz, Komplexität der IT-Landschaft und vom regulatorischen Tiefgang ab. Dieser Beitrag beschreibt die Kostenposten der drei Modelle mit Rechenwegen und einen Hybrid-Pfad, ohne Pauschal-Empfehlung und ohne Marktpreise, die es für NIS2-Beratung nicht belastbar gibt.

Welche regulatorischen Vorgaben sind einschlägig?

Art. 21 Abs. 1 NIS2 (in Deutschland § 30 Abs. 1 BSIG) verlangt angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen. Die Verhältnismäßigkeit bemisst sich nach Risikoexposition, Größe der Einrichtung, Umsetzungskosten und Schweregrad potenzieller Vorfälle. Das ist die regulatorische Grundlage dafür, dass die Tiefe der Umsetzung nicht für alle Einrichtungen identisch ist, und dass die Kosten-Spannen entsprechend variieren.

Nach § 38 Abs. 1 BSIG (Umsetzung von Art. 20 NIS2) sind die Geschäftsleitungen verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Ein Beratungsmandat unterstützt dabei, ändert aber nichts an dieser Pflicht; verletzt die Geschäftsleitung sie, haftet sie der Einrichtung nach § 38 Abs. 2 BSIG für schuldhaft verursachte Schäden.

Für Betreiber kritischer Anlagen gilt zusätzlich die Nachweispflicht nach § 39 Abs. 1 BSIG: Audits, Prüfungen oder Zertifizierungen sind erstmals zu einem vom BSI festgelegten Zeitpunkt, frühestens drei Jahre nach der Einstufung, und danach alle drei Jahre nachzuweisen. Die Kosten dafür ergeben sich aus Prüfumfang und Tagessatz der prüfenden Stelle laut Angebot.

Welche Konstellation passt zu deinem Unternehmen?

Die Eignung der drei Modelle hängt vom internen Profil ab:

• Vollständig intern: Tragfähig, sofern intern mindestens eine Person mit IT-Sicherheit als Schwerpunkt-Aufgabe verfügbar ist (CISO, IT-Leitung mit Security-Fokus oder vergleichbare Funktion). Bei rein generalistischer IT-Funktion ist diese Variante regelmäßig nicht tragfähig.
• Vollständig beratungsgestützt: Verbreitet in stark regulierten Sektoren (Energie, Finanzwesen, Gesundheit) oder bei fehlender interner IT-Sicherheits-Kompetenz. Die Beratung liefert Konzepte und Strukturen, die operative Umsetzung und die laufende Pflege bleiben unverändert bei der Einrichtung.

• Hybrid: Externe Erstanalyse zur Kompetenz-Ergänzung, interne Umsetzung zur Kostenkontrolle, externes Re-Audit für die laufende Wirksamkeitsbewertung.

In jeder der drei Konstellationen gilt: Die Umsetzungs- und Überwachungspflicht nach § 38 Abs. 1 BSIG bleibt bei der Geschäftsleitung, auch bei vollständig externer Beratung.

Welcher Aufbau-Rahmen ist verbreitet?

Der Hybrid-Pfad lässt sich in drei Phasen gliedern; Tiefe und Kosten variieren nach Sektor und Ausgangslage:

Phase 1: Externe Erstanalyse (Kosten: Beratungstage × Tagessatz laut Angebot): Eine spezialisierte Beratung führt einen mehrtägigen Scoping- und Gap-Analyse-Workshop durch und liefert eine priorisierte Maßnahmenliste auf Basis von Art. 21 NIS2. Hier wird Expertise zu Sektor-Spezifika und Auslegungsfragen eingekauft. Die Erstanalyse ist auch bei vorhandener interner IT-Sicherheits-Kompetenz häufig sinnvoll, weil sie eine externe Perspektive auf die eigene Aufstellung bringt.

Phase 2: Interne Umsetzung: Die Maßnahmenliste wird intern abgearbeitet. Verantwortlichkeiten werden gesetzt, Tools eingeführt oder konfiguriert, Policies erstellt, Schulungen durchgeführt. Rechenweg: geschätzte Stunden je Maßnahme aus der Maßnahmenliste × interner Vollkostensatz der Beteiligten (Geschäftsleitung, IT-Verantwortliche), dazu Lizenz- und Sachkosten laut Preisliste.

Phase 3: Regelmäßige externe Wirksamkeitsprüfung (Kosten: Prüftage × Tagessatz laut Angebot): Ein externer Prüfer bewertet die Wirksamkeit der Maßnahmen, dokumentiert Lücken und liefert einen schriftlichen Bericht. Der Bericht dient der internen Steuerung und kann in Lieferanten-Fragebögen verwertet werden. Eine gesetzliche Pflicht zu regelmäßigen externen Audits besteht nach dem BSIG nur für Betreiber kritischer Anlagen (§ 39 BSIG). Gegenüber besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§ 61 BSIG); bei wichtigen Einrichtungen kann es tätig werden, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht erfüllt werden (§ 62 BSIG). Ein freiwilliges Audit ist daher keine gesetzliche Nachweisführung, erleichtert aber die Antwort auf eine solche Anordnung.

Die Gesamtkosten dieses Pfades ergeben sich als Summe der drei Phasen: Phase 1 und Phase 2 im ersten Jahr, Phase 3 je nach gewähltem Prüfrhythmus. In stark regulierten Sektoren kommen weitere Posten hinzu.

Welche Konstellationen erfordern abweichendes Vorgehen?

Der hier beschriebene Hybrid-Pfad ist nicht ausreichend oder nicht das geeignete Modell, sofern eine der folgenden Konstellationen vorliegt:

• Betreiber kritischer Anlagen: Die Nachweispflicht nach § 39 BSIG (Audits, Prüfungen oder Zertifizierungen alle drei Jahre, Anforderungen an Durchführung und prüfende Stellen legt das BSI fest) ist nicht durch ein freies Hybrid-Modell ersetzbar.
• Wesentliche Einrichtung in einem hochkritischen Sektor (Anhang I NIS2) mit komplexer IT-Architektur: Regelmäßig ist eine deutlich tiefere Beratungs- und Audit-Struktur einschlägig, einschließlich Penetrationstest-Programmen und ggf. SOC-Anbindung.

• Finanzwesen unter DORA: DORA verlangt eigene Strukturen für ICT-Risikomanagement, Incident-Reporting und Drittparteien-Risikomanagement, die über das NIS2-Hybrid-Modell hinausgehen.
• Konzern-Einbindung: Die Konzern-ISMS-Vorgaben sind regelmäßig vorrangig; ein eigenständiges Berater-Modell auf Tochter-Ebene ist häufig nicht zweckmäßig.
• Marktangebote mit „NIS2-Zertifikat": Solche Zertifikate sind in Deutschland nicht gesetzlich vorgesehen. Eine akkreditierte Zertifizierung nach ISO/IEC 27001 ist eine anerkannte Alternative, ersetzt aber keine gesetzliche Pflicht; entsprechende Marktangebote sollten kritisch geprüft werden (Risiko irreführender Werbung nach § 5 UWG).

Nächster Schritt

Eine erste Einordnung des voraussichtlichen NIS2-Status, und damit der angemessenen Beratungs-Tiefe, liefert der NIS2-Scope-Check.

Bei sektorspezifischen Konstellationen, KRITIS-Status oder unklarer Konzern-Einbindung ist eine Erstberatung durch eine spezialisierte IT-Sicherheits-Beratung oder eine auf IT-Recht spezialisierte Anwaltskanzlei regelmäßig sinnvoll. Bei Marktangeboten mit „NIS2-Zertifikat" ist eine vorgeschaltete rechtliche Prüfung empfehlenswert. Die hier dargestellten Rechenwege ersetzen keine Angebots-Einholung.

Kostenposten und Rechenvorlage im Hintergrund-Artikel: NIS2 Budget, was kostet Compliance realistisch?.