NIS 2 Berater oder selbst umsetzen?
Die erste Frage, wenn NIS 2 auf dem Tisch liegt. Diese Seite sagt, was in beiden Fällen bei Ihnen bleibt, was ein Berater liefert und kostet, und wann er die bessere Wahl ist. Wir verkaufen eine Software für das Selbstumsetzen und verdienen an Vermittlungen zu Beratern. Beides steht unten offen.
Umsetzen und überwachen
Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Das Gesetz richtet diese Pflicht an die Geschäftsleitung, nicht an einen Dienstleister.
Die Schulung der Geschäftsleitung
Die Geschäftsleitung muss regelmäßig selbst an Schulungen teilnehmen (§ 38 Abs. 3 BSIG). Ein Berater kann die Schulung halten, teilnehmen muss die Geschäftsleitung.
Das Wissen über Ihren Betrieb
Welche Systeme es gibt, welche Lieferanten, wer im Notfall entscheidet: Ein Berater fragt das ab. Die Antworten kommen in beiden Fällen aus Ihrem Haus.
Der Betrieb danach
Erhebliche Sicherheitsvorfälle melden (§ 32 BSIG) und die Maßnahmen aktuell halten. Das endet nicht mit dem Projekt. Wer es danach macht, legen Sie am besten vorher fest.
Was ein Berater liefert, und was es kostet
Der übliche Einstieg ist eine Gap-Analyse: Sie zeigt, was fehlt. Beratungen in Deutschland veröffentlichen dafür Preise zwischen 2.000 € und 6.900 €, einmalig und meist als Einstiegspreis (cyberkom, ing-ism, Blackfort, DATAGROUP und secunet, Stand Oktober 2026).
Für die Umsetzung danach haben wir keine veröffentlichten Preise gefunden, die sich vergleichen lassen. Deshalb nennen wir hier keine Zahl.
Was ein guter Berater mitbringt: Erfahrung aus anderen Unternehmen Ihrer Branche, einen Blick von außen auf blinde Flecken, und jemanden, der neben Ihnen sitzt, wenn ein Prüfer oder ein großer Kunde Fragen stellt.
Niemand im Haus hat Zeit dafür
Kann keine Person ein paar Stunden pro Woche für NIS 2 freimachen, hilft auch die beste Software nicht. Dann braucht es jemanden, der die Arbeit macht.
Sie wollen eine ISO 27001 Zertifizierung
Das Zertifikat vergibt eine akkreditierte Zertifizierungsstelle. Für die Vorbereitung lohnt sich jemand, der genau dieses Audit schon oft begleitet hat.
Anlagen und Leittechnik
Wer Netzleittechnik, Produktionsanlagen oder Medizintechnik absichern muss, braucht Fachwissen über genau diese Systeme. Das ersetzt keine Software.
Ein Vorfall ist schon da
Bei einem laufenden Sicherheitsvorfall brauchen Sie jemanden, der sofort mit anpackt. Dafür gibt es spezialisierte Dienstleister für Incident Response.
Eine Person kennt Ihre IT
Jemand im Haus kennt die Systeme und kann die Arbeit Schritt für Schritt erledigen, auch neben dem Tagesgeschäft.
Ihr Betrieb ist überschaubar
Eine Handvoll Kernsysteme, bekannte Lieferanten, klare Zuständigkeiten. Dann sind viele Fragen schnell beantwortet.
Sie wollen die Unterlagen selbst pflegen
Das Ergebnis eines Beraters ist am Ende auch Ihre Dokumentation. Der Unterschied ist, wer die Begründungen schreibt und was es kostet. Wer sie selbst schreibt, kann sie auch selbst aktuell halten.
Das Gesetz misst an Ihrem Unternehmen
Bei der Verhältnismäßigkeit der Maßnahmen zählen unter anderem die Risikoexposition, die Größe der Einrichtung und die Umsetzungskosten (§ 30 Abs. 1 S. 2 BSIG). Der Aufwand richtet sich also nach Ihrem Betrieb.
Dazwischen geht auch
Sie setzen selbst um und holen für einzelne Punkte einen Berater dazu: für die Risikoanalyse der Leittechnik, für einen Blick vor dem Audit oder für die Schulung der Geschäftsleitung.
Wir bauen den NIS 2 Durchgang auf nisd2.eu, eine Software für das Selbstumsetzen: 4.800 € netto im Jahr, oder kostenlos auf eigenen Servern (Open Source, AGPL-3.0).
Passt ein Berater besser, nennen wir auf Wunsch ein bis drei Firmen und schreiben dazu, warum diese. Kommt ein Auftrag zustande, zahlt die Firma uns eine Provision, in der Regel 15 Prozent ihres Nettohonorars. Sie zahlen dafür nichts, und Ihr eigener Berater ist genauso in Ordnung.
Was kostet ein NIS 2 Berater?
Für eine Gap-Analyse veröffentlichen Beratungen in Deutschland Preise zwischen 2.000 € und 6.900 €, einmalig und meist als Einstiegspreis (cyberkom, ing-ism, Blackfort, DATAGROUP und secunet, Stand Oktober 2026). Für das ganze Projekt gibt es keine seriöse Pauschalzahl, weil es von Ihrer Größe und Ihrem Ausgangspunkt abhängt.
Muss ich für NIS 2 einen Berater beauftragen?
Nein. Das BSIG verlangt Maßnahmen, keine Beratung. Wer sie umsetzt, lässt das Gesetz offen. Verantwortlich für Umsetzung und Überwachung bleibt die Geschäftsleitung (§ 38 Abs. 1 BSIG).
- BSIG in der Fassung des NIS2UmsuCG: § 30 Abs. 1, § 32, § 38 Abs. 1 und 3. gesetze-im-internet.de/bsig_2025
- Veröffentlichte Preise für eine NIS 2 Gap-Analyse auf den Websites von cyberkom, ing-ism, Blackfort, DATAGROUP und secunet, Stand Oktober 2026.
- Unsere Vermittlungsbedingungen, Stand 30. August 2026. nisd2.eu/vermittlung
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte entstehen aus Ihren Angaben.
