NIS2-Compliance-Kosten
Was NIS2-Compliance ein mittelständisches Unternehmen kostet, und worauf die Zahlen beruhen.
Die Realität der NIS2-Kosten
NIS2-Compliance kostet vor allem interne Arbeitszeit: jemand muss die Anforderungen durcharbeiten, Maßnahmen dokumentieren und die Umsetzung koordinieren.
Die einzige amtliche Schätzung stammt aus dem Regierungsentwurf zum NIS2-Umsetzungsgesetz (BT-Drs. 21/1501, S. 110 bis 111). Danach entstehen einer besonders wichtigen Einrichtung für die Risikomanagementmaßnahmen (§§ 30, 31 und 38 Abs. 1 BSIG) im Durchschnitt rund 2.752 Personalstunden und 60.700 Euro Sachkosten pro Jahr, Werte aus einer Befragung von KRITIS-Betreibern von 2020; für eine wichtige Einrichtung nimmt der Entwurf 60 Prozent weniger an, rund 1.100 Stunden und 24.300 Euro. Beim mittleren Lohnsatz des Entwurfs von 56,08 Euro pro Stunde sind die Stunden rund 154.300 und 61.700 Euro wert. Für das erste Jahr rechnet der Entwurf zusätzlich mit einmaligem Aufwand in Höhe eines Jahresaufwands. Das sind Annahmen der Regierung für eine durchschnittliche Einrichtung, mangels besserer Daten getroffen, kein Angebot für Ihr Unternehmen: das Gesetz verlangt Maßnahmen, die zu Risikoexposition und Größe passen (§ 30 Abs. 1 BSIG).
Vier Wege zur Compliance
Vorteile
- Tiefe Expertise und regulatorisches Wissen
- Bewältigen Komplexität - geeignet für KRITIS-Betreiber
- Liefern verteidigungsfähige externe Validierung
Nachteile
- Für die meisten Mittelständler unerschwinglich teuer
- Wissen geht, wenn die Berater gehen
- Entwickeln oft überdimensionierte Lösungen jenseits der gesetzlichen Anforderungen
- Lange Projektlaufzeiten
Vorteile
- Umfassende Funktionalität für große Organisationen
- Integration in Enterprise-IT-Ökosysteme
- Etablierter Herstellersupport und Langlebigkeit
Nachteile
- Erfordern dediziertes GRC-Personal zum Betrieb
- Massiv überdimensioniert für ein 100-Personen-Unternehmen
Vorteile
- Moderne Benutzeroberfläche und gute User Experience
- Automatisierte Nachweissammlung über Cloud-Integrationen
- Vernünftige Preise im Vergleich zu Enterprise-Lösungen
Nachteile
- Auf SOC 2 und ISO 27001 ausgerichtet; vor dem Kauf prüfen, wie das NIS2-Modul die BSIG-Pflichten (§ 30, § 32, § 38) abdeckt
Vorteile
- Niedrigste direkte Kosten
- Volle Kontrolle über den Prozess
- Interner Wissenserhalt
Nachteile
- Großer Aufwand an Personalzeit
- Keine strukturierte Methodik oder Fortschrittsverfolgung
- Tabellenbasierte Nachweise sind schwer zu pflegen und zu prüfen
| Einrichtungsart | Einmalig (erstes Jahr) | Pro Jahr |
|---|---|---|
| Wichtige Einrichtung (Durchschnitt) | Annahme: so hoch wie ein Jahresaufwand | rund 1.100 Personalstunden + 24.300 EUR Sachkosten |
| Besonders wichtige Einrichtung (Durchschnitt) | Annahme: so hoch wie ein Jahresaufwand | rund 2.752 Personalstunden + 60.700 EUR Sachkosten |
- Die 49 NIS-2-Anforderungen des Durchgangs, mit dem BSIG als Referenztext
- Der Durchgang schreibt die Dokumente aus Ihren unternehmensspezifischen Angaben, Richtlinien beginnen also nicht beim leeren Blatt
- Die Geschäftsleitung gibt die Dokumente in der App frei, die Freigabe wird mit Datum festgehalten
- Fortschrittsverfolgung über alle 12 Compliance-Kategorien, statt Tabellenkalkulationen
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
