NIS2-Beratung oder Vorlagen-Paket? Ehrlicher Kostenvergleich für KMU – plus bis zu 2.800 € BAFA-Zuschuss bis Ende 2026

Eine NIS2-Vollberatung kostet eine mittlere wichtige Einrichtung nach marktüblichen Tagessätzen grob 24.000 bis 121.000 Euro im ersten Jahr. Ein Vorlagen-Paket mit eigener Anpassungsarbeit landet bei etwa 5.000 bis 9.500 Euro — und zwar dann, wenn man die interne Arbeitszeit zum amtlichen Lohnsatz ehrlich mitrechnet. Dazwischen liegt ein dritter Weg, den kaum ein Ratgeber durchrechnet: Vorlagen plus ein kurzes Beratungsmandat, für das der Bund bis zu 2.800 Euro zuschießt. Die zugehörige Förderrichtlinie läuft am 31. Dezember 2026 aus.

Transparenzhinweis: nis-2-richtlinie.com verkauft selbst Vorlagen-Pakete. Deshalb steht in diesem Vergleich auch, wann Sie unser Paket nicht kaufen sollten und an welchen Stellen eine Beratung mehr leistet als jede Vorlage. Jede Zahl ist entweder belegt oder ausdrücklich als eigene Modellannahme gekennzeichnet.

Drei Wege, drei Preisschilder: die Rechnung für eine mittlere wichtige Einrichtung

Kurz gefasst: Selbst im günstigsten Fall kostet die Vollberatung im ersten Jahr gut das Zweieinhalbfache des teuersten Vorlagen-Szenarios. Der Hybrid aus Vorlagen und fünf geförderten Beratertagen kostet anderthalb- bis knapp zweimal so viel wie der reine Vorlagen-Weg und schließt dessen größte Schwäche. Passende Anbieter für die Beratertage finden Sie in unserer Übersicht der NIS2-Berater nach Bundesland.

Das Rechenbeispiel: ein Maschinenbauer mit 120 Beschäftigten, wichtige Einrichtung, kein ISO-27001-Zertifikat, eine IT-Leitung und ein Administrator. Für die Eingangswerte gilt:

• Beratertage: 32 bis 62 Tage. Das ist die Summe der Phasen, die der Softwareanbieter Orbiq in seiner Aufwandsschätzung für NIS2-Beratung nennt — Gap-Analyse 3–5, Maßnahmenplanung 5–10, Umsetzungsbegleitung 20–40, Tabletop-Übung 1–2, Auditvorbereitung 3–5 Tage. Orbiq verkauft eine Plattform als Alternative zur Beratung; lesen Sie die Zahl deshalb eher als oberes Szenario.
• Tagessatz: 760 bis 1.950 Euro. Die Untergrenze ist der Median-Stundensatz von IT-Freelancern (95 Euro) aus dem Freelancer-Kompass 2026, mal acht Stunden. Die Obergrenze ist der durchschnittliche Projektleiter-Satz der BDU-Honorarstudie aus der Erhebung 2022 (Junior-Berater: 1.350 Euro). Beide Werte gelten branchenübergreifend und sind nicht speziell für Informationssicherheit erhoben.
• Interne Stunde: 56,08 Euro — der Lohnsatz, mit dem die Bundesregierung selbst den NIS2-Aufwand der Wirtschaft kalkuliert.
• Vorlagen anpassen: 80 bis 160 Stunden. Das ist unsere eigene Annahme: rund 40 der 66 Dokumente aus dem Komplettpaket sind für einen solchen Betrieb einschlägig, je Dokument zwei bis vier Stunden für Anpassung, Abstimmung und Freigabe.

Weg	Externe Kosten	Interne Arbeitszeit für Konzept und Dokumentation	Summe Jahr 1
A — Vollberatung	24.320 – 120.900 €	nicht null, hier nicht beziffert	ab 24.320 €
B — Vorlagen + Eigenleistung	497 €	80–160 Std. = 4.486 – 8.973 €	4.983 – 9.470 €
C — Vorlagen + 5 Beratertage mit BAFA-Zuschuss	497 € + 3.800 – 9.750 € − 1.750 € Zuschuss	80–160 Std. = 4.486 – 8.973 €	7.033 – 17.470 €

Die Spannen sind breit, weil die Eingangswerte es sind. Belastbar ist das Verhältnis. Weg A ist außerdem zu günstig dargestellt: Auch ein Berater braucht Interviews, Unterlagen und Entscheidungen. Diese Stunden fehlen in der Zeile, weil es dafür keine seriöse Quelle gibt. In den neuen Bundesländern sinkt Weg C um weitere 1.050 Euro, weil der Zuschuss dort 2.800 statt 1.750 Euro beträgt. Die Tabelle rechnet ein einziges Referenzunternehmen durch. Mit Ihrer Unternehmensgröße, Ihrem Tagessatz und Ihrem internen Stundensatz können Sie die Kosten für Ihr Unternehmen schätzen: Der Rechner nutzt dieselben Quellen, lässt Tabletop-Übung und Auditvorbereitung aber weg, weil jeder der drei Wege sie braucht.

Was der Gesetzgeber selbst einpreist — und warum keiner der drei Wege den größten Posten bezahlt

Kurz gefasst: Das amtliche Kostenmodell rechnet für eine mittlere wichtige Einrichtung mit rund 963 Stunden eigener Arbeitszeit und rund 21.200 Euro Sachkosten pro Jahr. Berater und Vorlagen bedienen davon vor allem den Konzeptteil.

Die Bundestagsdrucksache 21/1501 beziffert den jährlichen Aufwand einer wichtigen Einrichtung mit „rund 1 100 Stunden und Sachkosten in Höhe von 24 300 Euro“. Der Wert ist ein Mittel aus großen und mittleren Unternehmen. Der Entwurf legt die Faktoren dahinter offen: 87 Prozent der wichtigen Einrichtungen sind mittlere Unternehmen, und ihr Aufwand beträgt 35 Prozent dessen einer besonders wichtigen Einrichtung (2.752 Stunden, 60.700 Euro). Daraus ergibt sich nach unserer Rückrechnung für die mittlere wichtige Einrichtung: 963 Stunden und 21.245 Euro Sachkosten pro Jahr. Die Probe geht auf: 0,13 × 70 % + 0,87 × 35 % ergibt, angewandt auf 2.752 Stunden, die gedruckten rund 1.100. Die vollständige Herleitung steht in unserem Beitrag zu den NIS2-Kosten für KMU.

Zwei Folgen für Ihren Vergleich:

1. Die Vollberatung sprengt das amtliche Sachkostenbudget. Schon das günstigste Szenario (24.320 Euro) liegt über den 21.245 Euro, das teuerste (120.900 Euro) beim fast Sechsfachen. Der Entwurf schlüsselt die Sachkosten nicht auf. Realistisch müssen darin aber auch Hardware, Software und Lizenzen Platz finden, die Sie ohnehin brauchen.
2. Die Stunden verschwinden mit keinem der Wege. Der Entwurf behandelt sie als eigenen Personaleinsatz neben den Sachkosten. Externe Hilfe taucht nirgends als Ersatz für diese Stunden auf. Sie beziffern die Arbeit am „Mindestniveau an IT-Sicherheit“ nach §§ 30, 31 und 38 Abs. 1 BSIG — in der Praxis also: Patches einspielen, Wiederherstellung testen, Mehrfaktor-Authentifizierung ausrollen, Lieferanten bewerten, Vorfälle bearbeiten. Ob Sie 80 oder 160 Stunden in Dokumente stecken — es bleibt ein kleiner Teil davon.

Die eigentliche Entscheidung lautet deshalb nicht „Berater oder Vorlage“. Sie lautet: Wer liefert das Know-how für die Konzeptphase, und wer trägt danach den Betrieb? Ein Berater kauft Ihnen Erfahrung und Tempo am Anfang. Eine Vorlage kauft Ihnen Struktur und lässt das Wissen im Haus. Den Betrieb kauft Ihnen keines von beiden.

Was eine Beratung leistet, was eine Vorlage nicht kann — und umgekehrt

Kurz gefasst: Vorlagen liefern Struktur und Formulierungen, Berater liefern Urteil und Priorisierung. Die Entscheidung und die Überwachung bleiben in beiden Fällen bei der Geschäftsleitung.

Aufgabe	Vorlagen-Paket	Beratung	Bleibt immer bei Ihnen
Betroffenheit klären	Nein	Ja; bei echten Rechtsfragen eher Anwalt	Entscheidung, Registrierung beim BSI
Ist-Stand und Lücken erheben	Checkliste zum Selbstausfüllen	Externer Blick, Priorisierung	Fakten und Zugang liefern
Risikoanalyse (§ 30 Abs. 2 Nr. 1 BSIG)	Methodik und Tabellen	Moderation, Erfahrungswerte	Ihre Risiken, Ihre Bewertung
Richtlinien für die zehn Maßnahmenbereiche	Gliederung und Textbausteine	Zuschnitt auf Ihren Betrieb	Freigabe und gelebte Praxis
Technische Umsetzung (MFA, Backup, Logging)	Nein	Begleitung möglich, kostet Beratertage	Betrieb
Schulung der Geschäftsleitung (§ 38 Abs. 3)	Nein	Ja, als Schulungsangebot	Teilnahme
Umsetzung überwachen (§ 38 Abs. 1)	Berichtsvorlagen	Berichte, Kennzahlen	Pflicht der Geschäftsleitung

Die rechte Spalte erklärt, warum beide Wege auf dieselbe Weise scheitern können. § 30 Abs. 1 Satz 3 BSIG verlangt: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“ Gemeint ist eine Dokumentation dessen, was tatsächlich passiert. Eine unverändert übernommene Vorlage beschreibt ein fremdes Unternehmen. Ein Beraterordner beschreibt das Unternehmen so, wie der Berater es in den Interviews verstanden hat. Beides hält nur, wenn intern jemand die Dokumente besitzt, pflegt und befolgt. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Maßnahmen „umzusetzen und ihre Umsetzung zu überwachen“. Die BSI-FAQ formuliert es für ausgelagerte IT unmissverständlich: „Verträge allein genügen nicht“.

Auch unser eigener Haftungsausschluss auf der Produktseite sagt es offen: Die Vorlagen sind allgemeine Muster, die vor der Verwendung von einem qualifizierten Fachmann geprüft werden müssen, und kein Dokument im Paket garantiert NIS2-Konformität. Das ist kein Kleingedrucktes zum Überlesen. Es ist der Grund, warum Weg C existiert.

Ein guter Berater kann etwas, das keine Vorlage kann: Er sagt Ihnen, was Sie weglassen oder kleiner dimensionieren dürfen. § 30 Abs. 1 Satz 2 BSIG nennt „die Größe der Einrichtung“ und „die Umsetzungskosten“ ausdrücklich als Kriterien der Verhältnismäßigkeit. Eine begründete, dokumentierte Abstufung ist zulässig, aber sie setzt Urteilsvermögen voraus. Was das für den Mittelstand konkret heißt, zeigt unser Leitfaden NIS2 für den Mittelstand. Umgekehrt kann eine Vorlage etwas, das ein Berater selten will: Sie macht Sie unabhängig. Das Wissen steckt danach in Ihren Dokumenten und nicht in einem Ordner, den jemand anderes versteht.

Der BAFA-Zuschuss: bis zu 2.800 Euro — mit fünf Haken

Kurz gefasst: Eine NIS2-spezifische Förderung gibt es nicht. Das allgemeine Bundesprogramm „Förderung von Unternehmensberatungen für KMU“ bezuschusst aber Beratung zu organisatorischen Fragen mit 50 oder 80 Prozent von höchstens 3.500 Euro — noch bis 31. Dezember 2026.

Zwei amtliche Aussagen stehen nebeneinander, und beide stimmen. Die FAQ des BSI sagt: „Eine finanzielle Förderung zur Umsetzung der Vorgaben des NIS-2-Umsetzungsgesetzes ist seitens des Bundes derzeit nicht vorgesehen.“ Gleichzeitig fördert die BAFA Beratungen „zu allen wirtschaftlichen, finanziellen, personellen und organisatorischen Fragen der Unternehmensführung“. Ein Informationssicherheits-Konzept lässt sich als solche organisatorische Frage verstehen. Die Förderrichtlinie nennt NIS2 allerdings nicht, und ob Ihre konkrete Beratung förderfähig ist, prüfen Leitstelle und BAFA vor Beginn. Die Konditionen laut Förderflyer des Bundeswirtschaftsministeriums: 80 Prozent, höchstens 2.800 Euro, in den neuen Bundesländern (ohne Berlin und Region Leipzig) sowie in den Regionen Lüneburg und Trier. In den übrigen Gebieten 50 Prozent, höchstens 1.750 Euro.

Die fünf Haken, an denen Anträge scheitern:

1. Erst Antrag, dann Vertrag. Laut BAFA gilt „als Beginn der Beratung bereits der Abschluss eines Vertrages“. Wer das Angebot unterschreibt und danach beantragt, bekommt nichts. Eine rückwirkende Antragstellung ist ausgeschlossen.
2. Höchstens fünf Tage, nur Einzelberatung. „Seminare und Workshops werden nicht gefördert.“ Die Pflichtschulung der Geschäftsleitung nach § 38 Abs. 3 BSIG dürfte als Seminar deshalb herausfallen; Formate dafür beschreibt unser Beitrag zur Schulungspflicht der Geschäftsführung. Fünf Tage reichen nicht für ein ganzes NIS2-Projekt, wohl aber für eine Gap-Analyse mit Prioritätenliste.
3. Keine überwiegende Rechtsberatung. Ausgeschlossen sind Beratungen, die „überwiegend Rechts- und Versicherungsfragen“ oder „gutachterliche Stellungnahmen“ zum Inhalt haben. Ein reines Betroffenheits- oder Haftungsgutachten ist damit kein Kandidat.
4. Der Berater muss passen. Er muss beim BAFA registriert sein und mehr als 50 Prozent seines Umsatzes mit Unternehmensberatung erzielen. Das dürfte viele IT-Systemhäuser ausschließen, deren Umsatz überwiegend aus Hardware und Betrieb stammt. Beratungen, die „auf den Erwerb von Waren und Dienstleistungen gerichtet sind, die von den Beraterinnen und Beratern selbst vertrieben werden“, fördert das Programm ebenfalls nicht — etwa eine Analyse, die in den eigenen Betriebsdienst des Anbieters mündet.
5. Die Uhr läuft. Die Richtlinie gilt bis 31. Dezember 2026, mit höchstens zwei geförderten Beratungen pro Jahr. Maßgeblich ist der Antragszeitpunkt. Den Verwendungsnachweis müssen Sie spätestens sechs Monate nach dem Informationsschreiben einreichen, inklusive Nachweis der vollständigen Zahlung. Doppelförderung derselben Beratung mit Landesmitteln ist ausgeschlossen. Ob es ab 2027 eine Nachfolgeregelung gibt, steht auf der BAFA-Seite (Stand 3. Oktober 2026) nicht.

Der Zuschuss gilt der Beratung. Software oder Vorlagen bezahlt er nicht. Am meisten bringt er deshalb in Weg C: Sie passen die Vorlagen zuerst selbst an und lassen dann fünf Tage lang prüfen und priorisieren. Bei 1.350 Euro Tagessatz kostet das 6.750 Euro, nach Zuschuss 5.000 Euro in den alten und 3.950 Euro in den neuen Bundesländern.

Welcher Weg zu Ihrem Unternehmen passt

Kurz gefasst: Entscheidend ist nicht die Unternehmensgröße, sondern ob intern jemand das Thema verantwortlich treiben kann.

Ausgangslage	Empfehlung	Begründung
Unklar, ob Sie überhaupt betroffen sind	Zuerst klären: Betroffenheits-Check oder die Prüfung des BSI; bei Grenzfällen Anwalt	Das BSI nimmt „keine rechtliche Prüfung des Einzelfalls“ vor
Niemand intern kann das Thema übernehmen, IT vollständig ausgelagert	A: Beratung oder ein Mandat als externer CISO	Vorlagen bleiben sonst unausgefüllt
IT-Leitung vorhanden, wichtige Einrichtung, noch kein ISMS	C: Vorlagen plus geförderte Gap-Analyse	Struktur selbst aufbauen, Urteil gezielt zukaufen
ISO 27001 bereits zertifiziert	B: Abgleich mit einer Mapping-Tabelle, Beratung nur für Lücken	Laut BSI „ein Baustein“, aber „alleine … nicht ausreichend“
Besonders wichtige Einrichtung oder Betreiber kritischer Anlagen	A oder C mit größerem Beratungsanteil	Höhere Risikoexposition, Nachweis gegenüber dem BSI
Kaum Budget, nur ein erster Überblick	Kostenlos: die BSI-Checklisten „Weg in die Basis-Absicherung“ (WiBA)	Für Kommunen gebaut, nicht NIS2-spezifisch, aber ein solider Einstieg

Je nach Rolle liest sich die Tabelle anders. Geschäftsführung: Prüfen Sie nicht den Preis zuerst, sondern wer Ihnen danach monatlich berichtet. Ohne diese Berichte können Sie die Überwachungspflicht aus § 38 Abs. 1 nicht erfüllen, egal welcher Weg gewählt wurde. IT-Leitung: Rechnen Sie Ihre eigenen Stunden ehrlich ein. Wenn 80 bis 160 Stunden Dokumentationsarbeit neben dem Tagesgeschäft unrealistisch sind, ist Weg B nur auf dem Papier günstig. Compliance und Einkauf: Lassen Sie sich bei jeder Beratung vertraglich zusichern, dass alle Dokumente editierbar übergeben werden und Ihnen gehören. Einen Wochenplan für den Selbstbau bietet unser 90-Tage-Plan ohne Berater.

Wann wir von unserem eigenen Paket abraten:

• wenn intern niemand Zeit und Mandat hat, die Dokumente zu pflegen — dann kaufen Sie Papier;
• wenn Ihre offene Frage juristisch ist, etwa ob eine Tochtergesellschaft mitzählt — dafür braucht es einen Anwalt, keine Richtlinie;
• wenn Sie ISO-27001-zertifiziert sind und Ihr Berater ohnehin jährlich auditiert — dann reicht meist ein Abgleich der Lücken.

Fünf Sätze in Beratungsangeboten, bei denen Sie nachfragen sollten

Kurz gefasst: Jeder dieser Sätze lässt sich gegen den Gesetzestext oder eine BSI-Aussage prüfen. Wer ihn trotzdem schreibt, arbeitet ungenau oder verkauft etwas anderes.

1. „Als zertifizierter NIS2-Berater …“ — Laut BSI-FAQ besteht für NIS2-Beratung „keine verpflichtende Vorgabe für eine Zertifizierung“. Fragen Sie, welches Zertifikat gemeint ist. Das BSI zertifiziert unter anderem IT-Grundschutz-Berater, Vorfall-Experten und Auditoren — eine NIS2-Berater-Zertifizierung führt es dort nicht.
2. „Bußgelder bis 2 Prozent Ihres Jahresumsatzes …“ — § 65 Abs. 6 und 7 BSIG wenden Umsatzquoten nur bei einem Gesamtumsatz von mehr als 500 Millionen Euro an. Für den Mittelstand gelten bei den zentralen Pflichtverstößen feste Höchstbeträge von 7 Millionen Euro (wichtige) bzw. 10 Millionen Euro (besonders wichtige Einrichtungen). Details in unserer Bußgeldstaffel.
3. „Danach sind Sie NIS2-zertifiziert.“ — Das BSI: „Ein allgemeines Zertifikat zum Nachweis der Anforderungen gibt es nicht.“
4. „Wir übernehmen die Verantwortung für Ihre NIS2-Compliance.“ — Die Umsetzungs- und Überwachungspflicht liegt nach § 38 Abs. 1 BSIG bei der Geschäftsleitung. Ein Vertrag kann Arbeit verlagern, nicht diese Pflicht. Mehr dazu unter Managementhaftung.
5. „Die Analyse ist inklusive, wenn Sie unseren Betriebsdienst buchen.“ — Dann ist die Analyse Vertrieb. Das BAFA fördert solche Beratungen aus genau diesem Grund nicht.

Häufig gestellte Fragen

Brauche ich für NIS2 zwingend einen Berater?
Nein. Das Gesetz verlangt Maßnahmen nach § 30 BSIG und deren Dokumentation, nicht einen bestimmten Dienstleister. Das BSI stellt seine Informationen „allen betroffenen Unternehmen gleichermaßen“ über FAQ und Infopakete bereit. Einen Überblick über die Pflichten gibt unser Grundlagen-Leitfaden zu NIS2.

Akzeptiert das BSI ein gekauftes Vorlagen-Paket als Nachweis?
Kein Dokument ist für sich allein ein Nachweis. Nachweisen müssen Sie, dass die beschriebenen Maßnahmen tatsächlich umgesetzt sind. Vorlagen verkürzen den Weg dorthin, sie ersetzen ihn nicht.

Was kostet eine NIS2-Gap-Analyse?
Bei drei bis fünf Beratertagen und Tagessätzen zwischen 760 und 1.950 Euro liegt sie zwischen etwa 2.300 und 9.750 Euro. Als in sich abgeschlossene Beratung von höchstens fünf Tagen kann sie für den BAFA-Zuschuss infrage kommen, sofern Sie vor Vertragsschluss beantragen.

Kann ich den BAFA-Zuschuss mit einer Landesförderung kombinieren?
Nicht für dieselbe Beratung. Das Programm schließt Beratungen aus, die „mit anderen öffentlichen Zuschüssen finanziert werden“.

Gibt es den Zuschuss auch 2027?
Die geltende Richtlinie endet am 31. Dezember 2026. Eine Nachfolgeregelung ist auf der BAFA-Seite bislang nicht angekündigt (Stand 3. Oktober 2026).

Dieser Beitrag enthält allgemeine Informationen und stellt keine Rechts-, Steuer- oder Förderberatung dar. Anforderungen und Förderbedingungen können je nach Rechtsform, Sektor, Standort und Einzelfall abweichen. Für eine auf Ihre Situation zugeschnittene Bewertung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt, eine Compliance-Fachkraft oder die zuständige Leitstelle der BAFA-Beratungsförderung.

Quellen

1. Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA): Förderung von Unternehmensberatungen für KMU — Programmseite, abgerufen am 03.10.2026 (im Text verlinkt)
2. Bundesministerium für Wirtschaft und Energie: Förderung von Unternehmensberatungen für KMU — Flyer, Stand Juni 2025 (PDF, im Text verlinkt)
3. Bundesamt für Sicherheit in der Informationstechnik (BSI): Fragen und Antworten zu NIS-2 (FAQ) — Förderung, Zertifizierung von Beratern, ISO 27001, Auslagerung, Betroffenheit (im Text verlinkt)
4. § 30 BSIG — Risikomanagementmaßnahmen, Fassung ab 06.12.2025, Gesetze im Internet (im Text verlinkt)
5. § 38 BSIG — Pflichten der Geschäftsleitungen, Gesetze im Internet (im Text verlinkt)
6. § 65 BSIG — Bußgeldvorschriften, Gesetze im Internet (im Text verlinkt)
7. Deutscher Bundestag: Drucksache 21/1501, Gesetzentwurf NIS2UmsuCG, Erfüllungsaufwand der Wirtschaft, Vorgabe 4.2.1 (PDF, im Text verlinkt)
8. produktion.de: Was kostet ein Berater? — Ergebnisse der BDU-Honorarstudie, Erhebung 2022 (im Text verlinkt)
9. freelancermap: Freelancer-Kompass 2026, Pressemitteilung vom 23.07.2026 (PDF, im Text verlinkt)
10. Orbiq: NIS2 Beratung — Aufwandsschätzung eines Softwareanbieters (im Text verlinkt)
11. BSI: WiBA — Weg in die Basis-Absicherung (im Text verlinkt)
12. BSI: Zertifizierung von Personen (im Text verlinkt)