Welches ist die beste Beratung für die NIS2-Umsetzung?

Stand: 14. Oktober 2026. Rechtsstand: BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungsgesetzes, in Kraft seit 6. Dezember 2025. Die Angaben zu Anbietern stammen von deren eigenen Websites, geprüft am 14. Oktober 2026.

Das Wichtigste in Kürze

• Welche NIS2-Beratung passt, hängt davon ab, was in Ihrem Unternehmen fehlt: ein einmaliges Projekt wie Gap-Analyse und ISMS-Aufbau oder eine dauerhafte Rolle wie der Informationssicherheitsbeauftragte (ISB). Im Mittelstand fehlt meist beides.
• NIS2-Beratung kommt aus vier Modellen: spezialisierte Beratungen für Informationssicherheit, Beratungseinheiten von Prüforganisationen, große Beratungsgesellschaften sowie Plattformen mit eigenen Experten und externem CISO-Mandat.
• In der NIS2 Readiness Study 2026 von Kertos haben 84 % der befragten Unternehmen mit 50 bis 1.000 Mitarbeitenden weder einen eigenen noch einen externen CISO. Für diese Unternehmen gehört zur Beratung ein Plan, wer das ISMS nach dem Projekt führt.
• Der durchschnittliche Tagessatz in der deutschen Unternehmensberatung lag 2025 laut BDU bei 1.300 Euro. Einen eigenen Wert für Informationssicherheit weist die Erhebung nicht aus.
• Ein NIS2-Zertifikat gibt es nicht. Die Pflicht, die Maßnahmen umzusetzen und zu überwachen, bleibt nach § 38 Abs. 1 BSIG bei der Geschäftsleitung.

Die passende NIS2-Beratung richtet sich nach zwei Fragen: Braucht Ihr Unternehmen ein Projekt oder eine dauerhafte Rolle und gehören Produktionsanlagen zum Geltungsbereich? Ein abgegrenztes Projekt mit Betroffenheitsprüfung, Gap-Analyse und ISMS-Aufbau liefern spezialisierte Beratungen für Informationssicherheit (etwa Opexa Advisory oder carmasec), die Beratungseinheiten von Prüforganisationen (etwa TÜV Rheinland Consulting oder DEKRA) und große Beratungsgesellschaften (etwa PwC, KPMG oder Deloitte). Fehlt im Unternehmen die Person, die das ISMS danach führt, kommt ein externes ISB- oder CISO-Mandat hinzu. Das bieten mehrere spezialisierte Beratungen an, außerdem Plattformen mit eigenen Experten wie TrustSpace, Secfix oder Kertos. Die technische Sicherheit von Produktionsnetzen ist in jedem Modell Arbeit für OT-Spezialisten.

Die Schwelle von NIS2 liegt im Mittelstand: Wichtige Einrichtung ist ein Unternehmen in den Sektoren der Anlagen 1 und 2 schon ab 50 Mitarbeitenden (§ 28 Abs. 2 BSIG). Für sie ist die Frage nach der dauerhaften Rolle meist die entscheidende, deshalb steht sie auf dieser Seite gleich nach den Modellen.

Welche Arten von NIS2-Beratung gibt es?

Die vier Modelle unterscheiden sich darin, was sie liefern und wer die Arbeit nach dem Projekt trägt.

Für Prüforganisationen gilt eine Regel, die Sie bei der Planung kennen sollten. Nach ISO/IEC 17021-1, Abschnitt 5.2, darf eine Zertifizierungsstelle selbst keine Managementsystemberatung anbieten. Hat eine mit ihr verbundene Stelle Ihr Managementsystem beraten, nennt die Norm als anerkannte Gegenmaßnahme, dass die Zertifizierungsstelle es frühestens zwei Jahre nach Ende der Beratung zertifiziert. Wer nach dem NIS2-Projekt eine ISO-27001-Zertifizierung plant, klärt deshalb vor der Beauftragung, wer berät und wer zertifiziert.

Die Modelle lassen sich kombinieren. Wenn Ihr Team die Arbeit mit einer Software selbst leisten will, finden Sie die Anbieter im Vergleich der NIS2-Software.

Welche NIS2-Beratung passt zum Mittelstand?

Im Mittelstand fehlt neben dem Projektwissen meist die dauerhafte Rolle. Kertos hat für die NIS2 Readiness Study 2026 51 Unternehmen mit Sitz in Deutschland und 50 bis 1.000 Mitarbeitenden befragt, die in Sektoren nach Anhang I der NIS-2-Richtlinie tätig sind (3. August bis 4. September 2026). 84 % von ihnen haben weder einen eigenen noch einen externen CISO. In 63 % ist die IT-Leitung für NIS2 verantwortlich, in 41 % als einzige genannte Rolle.

Für die Auswahl folgt daraus eine Prüffrage an jedes Angebot: Wer führt das ISMS nach der Übergabe? Ein Projekt, das mit der Übergabe an einen ISB endet, den es im Unternehmen nicht gibt, hinterlässt Richtlinien ohne Verantwortlichen.

Beispiel: Ein Maschinenbauer mit 150 Mitarbeitenden gehört zum Sektor Verarbeitendes Gewerbe, Branche Maschinenbau (Anlage 2 Nr. 5.4 BSIG), und ist ab 50 Mitarbeitenden eine wichtige Einrichtung nach § 28 Abs. 2 BSIG. Angenommen, die IT-Leitung trägt NIS2 neben dem Betrieb, ein ISB ist nicht benannt und Maschinen in der Fertigung hängen am Firmennetz. Dann braucht das Unternehmen ein Projekt für Gap-Analyse und ISMS, eine Person oder ein Mandat für den Betrieb danach und für die Produktionsnetze einen OT-Spezialisten.

Welche Software zu welcher Ausgangslage passt, zeigt die Seite NIS2-Software für den Mittelstand.

Welche Anbieter bieten NIS2-Beratung in Deutschland an?

Die folgenden Anbieter stehen als Beispiele für die vier Modelle. Die Beschreibungen geben wieder, was die Anbieter auf ihren eigenen Websites zu NIS2 angeben (geprüft am 14. Oktober 2026). Die Liste ist keine Empfehlung für Ihren Einzelfall und nicht vollständig.

Was sollte eine NIS2-Beratung leisten?

Eine vollständige NIS2-Beratung deckt sechs Phasen ab. Pro Phase sollten Sie Folgendes erwarten:

1. Betroffenheitsprüfung: Einstufung nach § 28 BSIG mit Sektor, Größe und Konzernzurechnung. Die NIS-2-Betroffenheitsprüfung des BSI ist ein guter Start; ihr Ergebnis ist laut BSI rechtlich nicht bindend.
2. Gap-Analyse: Abgleich mit den zehn Maßnahmen aus § 30 Abs. 2 BSIG, mit klarer Zuordnung, was die Beratung übernimmt und was bei Ihrer IT bleibt.
3. ISMS-Aufbau: Richtlinien, Risikoanalyse und Nachweise in einem System, das Ihr Unternehmen ohne den Berater weiterführen kann.
4. Meldeprozess nach § 32 BSIG: Zuständigkeiten, Erreichbarkeit und ein getesteter Ablauf für die Erstmeldung nach 24 Stunden.
5. Pflichten der Geschäftsleitung nach § 38 BSIG: Schulung nach Abs. 3 und ein Verfahren, mit dem die Geschäftsleitung die Umsetzung überwacht.
6. Betrieb und externer CISO: eine benannte Person, die Nachweise, Risiken und Lieferanten laufend pflegt. Modelle und Monatskosten dafür vergleicht die Seite Externer CISO.

Fünf Kriterien trennen die Angebote im Erstgespräch:

• Was bleibt nach Projektende im Unternehmen? Dokumente auf einem Laufwerk oder ein gepflegtes System mit Verantwortlichen.
• Wie steht es um OT-Kompetenz? Fragen Sie nach Referenzen aus Produktionsumgebungen, wenn Steuerungen zum Geltungsbereich gehören.
• Festpreis oder Tagessatz? Lassen Sie sich die Tage je Phase ausweisen.
• Kennt der Anbieter Unternehmen Ihrer Größe? Fragen Sie nach Referenzen aus dem Mittelstand und aus Ihrer Branche.
• Sind Software und Nachweisführung enthalten? Oder kommen sie als eigenes Projekt hinzu?

Was kostet eine NIS2-Beratung?

Laut der Studie „Honorare im Consulting 2025“ des Bundesverbands Deutscher Unternehmensberater (BDU, Dezember 2025) lag der durchschnittlich fakturierte Tagessatz 2025 bei 1.300 Euro, auf Ebene von Partnern und Geschäftsführern bei 1.600 Euro. Die Studie weist IT-Beratung aus, aber keinen eigenen Wert für Informationssicherheit. Wie viele Tage ein NIS2-Projekt braucht, hängt von Einstufung, Reifegrad, OT-Umgebung und Lieferkette ab. Hat ein mittelständisches Unternehmen keinen ISB, kommen zu den Projekttagen die laufenden Kosten für die Rolle hinzu.

Aus dem Erfüllungsaufwand im Gesetzentwurf der Bundesregierung (BR-Drs. 369/25) ergeben sich rechnerisch rund 75.000 Euro einmalig und 78.000 Euro jährlich je betroffener Einrichtung. Der laufende Aufwand liegt damit über dem einmaligen. Die Aufschlüsselung steht auf der Seite Was kostet NIS2?

Wann ist Kertos die richtige Wahl und wann nicht?

Kertos verbindet eine Compliance-Plattform mit dem KI-Agenten KAIA und zertifizierten Experten im eigenen Haus. KAIA ordnet den Ist-Zustand den zehn Maßnahmen nach § 30 Abs. 2 BSIG zu und hält die Nachweise aktuell. Die Experten begleiten Betroffenheitsprüfung, Bestandsaufnahme und Richtlinien, schulen die Geschäftsleitung und bauen mit Ihnen die Meldekette nach § 32 BSIG auf.

• Modell: Plattform plus zertifizierte Experten im eigenen Haus.
• Externer CISO / ISB und DSB: als Mandat, im selben System.
• Frameworks: NIS2, ISO 27001, TISAX, DSGVO, ISO 27701, ISO 42001, SOC 2, C5 und EU AI Act aus einer gemeinsamen Nachweisbasis.
• Sitz und Hosting: München, entwickelt und gehostet in Europa.
• Ergebnisse: 100 % Audit-Bestehensquote; rund 80 % weniger manueller Compliance-Aufwand; AskUI erreichte die ISO-27001-Zertifizierung in 8 bis 10 Wochen ohne externe Berater.

Kertos ist nicht die richtige Wahl in diesen Fällen:

• Ein Konzern will für internationale Strukturen ein Projektteam einer großen Prüfungs- und Beratungsgesellschaft.
• Es geht um technische OT-Sicherheit in der Produktion. Technische OT-Sicherheit, etwa die Segmentierung von Produktionsnetzen, die Härtung von Steuerungen oder Maßnahmen nach IEC 62443, übernehmen spezialisierte Partner.
• Gesucht ist ein einmaliges Beratungsprojekt ohne Software.
• Das Unternehmen braucht einen Betrieb on-premises oder setzt BSI IT-Grundschutz als führenden Standard.

Wie die Umsetzung in Ihrem Geltungsbereich aussieht, zeigt eine Demo.

Häufige Fragen zur NIS2-Beratung

Brauchen wir für NIS2 eine Beratung oder reicht Software?

Software reicht, wenn eine erfahrene Person im Haus das ISMS führt und die fachlichen Bewertungen trifft, etwa ob eine Maßnahme dem Risiko angemessen ist. Fehlt diese Person, braucht es Beratung oder ein externes Mandat zusätzlich zur Software. Wie Sie die vier Umsetzungswege abwägen, beschreibt der Käuferleitfaden zur NIS2-Software.

Kann ein externer CISO die NIS2-Verantwortung übernehmen?

Ein externer CISO kann die Aufgabenwahrnehmung übernehmen: Maßnahmen steuern, Nachweise pflegen, Vorfälle begleiten und an die Geschäftsleitung berichten. Die Verantwortung bleibt bei der Geschäftsleitung. Nach § 38 Abs. 1 BSIG muss sie die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen; nach Abs. 3 muss sie regelmäßig an Schulungen teilnehmen.

Dürfen Zertifizierer gleichzeitig beraten?

Nicht für dasselbe Managementsystem. Nach ISO/IEC 17021-1, Abschnitt 5.2, darf eine Zertifizierungsstelle selbst keine Managementsystemberatung anbieten. Hat eine mit ihr verbundene Stelle beraten, nennt die Norm als anerkannte Gegenmaßnahme eine Frist von mindestens zwei Jahren nach Ende der Beratung, bevor die Zertifizierungsstelle dieses Managementsystem zertifiziert.