NIS2-Kostenrechner: Beratung oder Vorlagen?

Vergleichen Sie, was die NIS2-Dokumentationsarbeit im ersten Jahr kostet, auf drei Wegen: externe Beratung, unsere Vorlagen angepasst durch Ihr eigenes Team, oder Vorlagen plus eine kurze Prüfung durch einen Berater. Jeder Standardwert ist entweder belegt oder als unsere eigene Annahme gekennzeichnet, und Sie können jeden ändern.

Transparenzhinweis: nis-2-richtlinie.com verkauft selbst Vorlagen-Pakete. Deshalb stammen die Beraterzahlen aus externen Quellen, und jede Annahme liegt offen. Allgemeine Information, keine Rechtsberatung.

So rechnet der Kostenrechner

• Weg A, externe Beratung. Der Softwareanbieter Orbiq veröffentlicht eine Aufwandsschätzung für NIS2-Beratung: Gap-Analyse 3–5 Tage, Maßnahmenplanung 5–10 Tage, Implementierungsbegleitung 20–40 Tage. Zusammen sind das 28–55 Beratertage, die der Rechner mit Ihrem Tagessatz multipliziert. Auch Ihr Team braucht Zeit für Interviews, Abstimmungen und Freigaben; wir setzen 1,5 Stunden je Beratertag an.
• Weg B, Vorlagen angepasst durch Ihr Team. Unsere eigene Annahme: Rund 40 der 66 Vorlagen aus dem Komplettpaket sind für ein mittleres Unternehmen einschlägig, je Vorlage zwei bis vier Stunden für Anpassung, Abstimmung und Freigabe. Das sind 80–160 Stunden zu Ihrem internen Stundensatz, plus der Preis der Vorlagen.
• Weg C, Vorlagen plus kurze Prüfung. Weg B, dazu einige Beratertage (standardmäßig fünf), die den angepassten Satz prüfen, bevor die Geschäftsleitung ihn nach § 38 BSIG billigt.
• Ihr Unternehmen. Größe, IT/OT-Komplexität, ein bestehendes ISMS nach ISO 27001, weitere Rechtsträger und weitere Standorte skalieren die Wege A und B mit denselben Faktoren. Das IT-Sicherheitspersonal verändert nur die Dauer, über die Stunden, die Ihr Team pro Woche aufbringen kann.

Woher die Standardwerte stammen

So lesen Sie das Ergebnis

Belastbar ist vor allem das Verhältnis zwischen den Wegen, weniger die absoluten Zahlen. Die Spannen sind breit, weil die Eingangswerte es sind: Allein der Tagessatz unterscheidet sich zwischen Freelancer und Projektleiter einer Beratung um das Zwei- bis Dreifache. Weg A umfasst außerdem mehr als Dokumente, denn die Implementierungsbegleitung schließt die Einführung der Maßnahmen ein.

Keiner der Wege bezahlt den größten Posten, die Maßnahmen selbst. Zur Einordnung: Die Bundesregierung setzt den gesamten NIS2-Aufwand einer mittleren wichtigen Einrichtung mit rund 963 Arbeitsstunden und rund 21.200 € Sachkosten pro Jahr an, im ersten Jahr kommt ein Aufbau in ähnlicher Höhe hinzu. Die Dokumentation ist ein Teil davon; die Herleitung steht in unserem Beitrag zu den NIS2-Kosten für KMU.

Eine Beratung ist oft die bessere Wahl, wenn intern niemand das Projekt über Monate führen kann, wenn die Geschäftsleitung Umfangs- und Risikoentscheidungen mit einem Blick von außen absichern will oder wenn OT-Umgebungen Sicherheitsauflagen mitbringen, die Ihr Team noch nie dokumentiert hat. Vorlagen liefern Struktur und Formulierungen; diese Urteile treffen sie nicht. Weg C ist für diesen Mittelweg gedacht. Den ausführlichen Vergleich, einschließlich des BAFA-Zuschusses für Beratungstage, finden Sie im Beitrag NIS2-Beratung oder Vorlagen-Paket?

Häufige Fragen

Ist das Ergebnis ein Angebot?

Nein. Es ist eine orientierende Schätzung auf Basis der gezeigten Annahmen. Für einen verbindlichen Preis holen Sie zwei oder drei schriftliche Angebote ein und tragen Tagessatz und Tage in den Rechner ein.

Sagt der Rechner, ob NIS2 für uns gilt?

Nein. Er setzt voraus, dass Sie die Dokumentation nach § 30 BSIG ohnehin brauchen. Ob ein Unternehmen betroffen ist, hängt von Sektor, Größe und Sonderfällen ab; dafür gibt es den Betroffenheits-Check.

Warum ist Weg B so viel günstiger als Weg A?

Weil ein großer Teil der Beratertage in Weg A in Gap-Analyse, Planung und das Schreiben der Dokumente fließt, und ein Vorlagensatz das Schreiben vom leeren Blatt ersetzt. Die Arbeitszeit Ihres Teams verschwindet nicht: Weg B rechnet sie zu Ihrem internen Stundensatz. Hat Ihr Team kaum Zeit, zeigt das die Dauer.

Welche Kosten fehlen?

Technische Maßnahmen wie Tools, Lizenzen und Hardware, externe Audits und Zertifizierung, Penetrationstests, Rechtsgutachten, Tabletop-Übungen, Audit-Vorbereitung und der laufende Betrieb nach dem ersten Jahr.

Allgemeine Information, keine Rechtsberatung. Stand: 29. Oktober 2026.