Was kostet die NIS-2-Umsetzung im Mittelstand?

Die häufigste Frage nach dem Betroffenheits-Check ist die nach dem Preis — und jede seriöse Antwort beginnt mit: Es hängt von Ihrem Ausgangspunkt ab. Pauschale Summen, die ohne Blick auf Ihr Unternehmen genannt werden, sind Marketing. Was sich ehrlich benennen lässt, sind die Kostentreiber, die typischen Budgetposten und die Stellschrauben, mit denen Sie die Summe steuern.

Die fünf echten Kostentreiber

1. Ihr Sicherheits-Reifegrad heute. Der mit Abstand größte Faktor. Wer bereits strukturiert arbeitet (Backups getestet, MFA verbreitet, Verantwortlichkeiten klar), schließt Lücken. Wer bei null startet, baut auf.

2. Größe und Komplexität der IT. Anzahl Standorte, Systeme, Produktions-/OT-Umgebungen, Cloud-Dienste — die Maßnahmen skalieren mit der Landschaft, nicht mit dem Umsatz.

3. Eigenleistung vs. Dienstleister. Vieles (Inventar, Richtlinien, Schulungsorganisation) kann Ihr Team selbst leisten, wenn jemand den Rahmen vorgibt. Voll ausgelagert wird es bequemer — und teurer.

4. Einstufung und Sektor. Wesentliche Einrichtungen tragen mehr Nachweis- und Aufsichtsaufwand als wichtige; OT-lastige Branchen mehr als reine Büro-IT.

5. Nachweistiefe. „Umgesetzt” ist günstiger als „umgesetzt und audit-fest dokumentiert” — Letzteres ist aber das, was im Ernstfall zählt.

Typische Budgetposten

• Bestandsaufnahme / Gap-Analyse: der Pflicht-Startpunkt — ohne Ist-Bild ist jede Zahl geraten.
• Organisatorische Maßnahmen: Richtlinien, Rollen, Incident-Response-Plan, Meldeprozesse, Lieferantenanforderungen.
• Technische Maßnahmen: je nach Lücke MFA-Ausrollung, Backup-Härtung, Logging/Monitoring, Netzsegmentierung.
• Schulungen: Belegschaft regelmäßig, Geschäftsleitung verpflichtend.
• Laufender Betrieb: Cybersicherheit ist kein Projekt mit Enddatum — planen Sie wiederkehrende Kosten für Pflege, Tests und Audits ein.

Als grobe Orientierung für einen mittelständischen Betrieb mit solider Basis: Der Weg zur NIS-2-Konformität ist eher ein strukturiertes Projekt über einige Monate als ein Wochenend-Sprint — und eher eine fünfstellige als eine siebenstellige Investition. Präziser wird es erst nach der Gap-Analyse, und Misstrauen ist angebracht, wenn jemand vorher eine exakte Zahl nennt.

Die Gegenrechnung

Zur ehrlichen Betrachtung gehört die andere Seite: Bußgelder bis zu 10 Mio. € bzw. 2 % des weltweiten Umsatzes, die persönliche Verantwortung der Geschäftsleitung — und vor allem der Schaden eines realen Vorfalls selbst (Produktionsausfall, Wiederherstellung, Reputations- und Kundenverlust), der die Compliance-Kosten regelmäßig um ein Vielfaches übersteigt. Die NIS-2-Maßnahmen sind zu großen Teilen schlicht das, was ein Unternehmen 2026 ohnehin haben sollte.

So halten Sie die Kosten im Griff

1. Erst Betroffenheit und Einstufung klären — sie bestimmen den Pflichtumfang.
2. Gap-Analyse vor Einkauf: erst messen, dann beschaffen — nicht umgekehrt.
3. Priorisieren nach Risiko: 24h-Meldefähigkeit, Backups und MFA zuerst; Kür später.
4. Vorhandenes nutzen: bestehende ISO-/Grundschutz-Bausteine anrechnen statt doppelt aufbauen.

Den ersten Schritt gibt es kostenlos: In zwei Minuten prüfen, ob und wie NIS-2 Sie betrifft.

Dieser Beitrag bietet eine erste Orientierung und ersetzt keine Rechts- oder Kostenberatung im Einzelfall.