Was kostet NIS2?

Key Takeaways

• Bußgelder nach § 65 BSIG reichen bis 10 Mio. Euro für besonders wichtige Einrichtungen und bis 7 Mio. Euro für wichtige Einrichtungen. Die umsatzabhängige Variante von 2 Prozent beziehungsweise 1,4 Prozent greift erst ab einem Gesamtumsatz von mehr als 500 Mio. Euro.
• Die Bundesregierung veranschlagt den Erfüllungsaufwand der Wirtschaft auf rund 2,2 Mrd. Euro einmalig und rund 2,3 Mrd. Euro jährlich (BR-Drs. 369/25, 15.08.2025). Verteilt auf die rund 29.500 betroffenen Einrichtungen sind das rechnerisch etwa 75.000 Euro einmalig und 78.000 Euro pro Jahr.
• Der laufende Aufwand ist damit höher als die Erstumsetzung. NIS2 ist kein Projekt mit Enddatum, sondern eine Dauerkostenposition.
• Die Geschäftsleitung haftet nach § 38 BSIG ausschließlich im Innenverhältnis gegenüber der eigenen Einrichtung, und zwar subsidiär zum Gesellschaftsrecht. Das in früheren Entwürfen vorgesehene Verbot eines Haftungsverzichts steht nicht im verkündeten Gesetz.

NIS2 verursacht zwei getrennte Kostenblöcke: die Umsetzung und das Risiko der Nichtumsetzung. Für die Umsetzung nennt die Bundesregierung rund 75.000 Euro einmalig und rund 78.000 Euro jährlich pro betroffener Einrichtung (rechnerischer Durchschnitt aus BR-Drs. 369/25). Kleinere Einrichtungen mit vorhandener IT-Sicherheitsbasis liegen deutlich darunter, Konzerne und Betreiber kritischer Anlagen deutlich darüber. Auf der Risikoseite stehen Bußgelder von bis zu 10 Mio. Euro, wobei die praktisch häufigsten Verstöße wie eine versäumte Registrierung beim BSI in niedrigeren Rahmen von 500.000 Euro fallen. Der teuerste Posten ist in beiden Fällen selten die Technik, sondern das Personal und der Nachweis, dass die Maßnahmen dauerhaft wirken.

Wie hoch sind die Bußgelder bei NIS2-Verstößen?

Das deutsche BSIG in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (verkündet als BGBl. 2025 I Nr. 301, in Kraft seit 6. Dezember 2025) staffelt die Bußgelder in § 65 nach Art des Verstoßes. Die oft zitierten 10 Mio. Euro sind der Höchstrahmen für die schwersten Verstöße, nicht der Regelfall.

Quelle: § 65 Abs. 5 BSIG, Fassung vom 2. Dezember 2025. Stand der Prüfung: August 2026.

Ab wann gilt die 2-Prozent-Regel wirklich?

Hier weicht das deutsche Recht spürbar von der Richtlinie ab, und viele Darstellungen geben das falsch wieder. Artikel 34 der NIS2-Richtlinie arbeitet mit der Formel "je nachdem, welcher Betrag höher ist". § 65 BSIG tut das nicht. Die Umsatzvariante von 2 Prozent (§ 65 Abs. 6) beziehungsweise 1,4 Prozent (§ 65 Abs. 7) gilt ausdrücklich nur gegenüber Einrichtungen mit einem Gesamtumsatz von mehr als 500 Mio. Euro und tritt dann an die Stelle des festen Betrags. Für ein Unternehmen mit 80 Mio. Euro Umsatz ist der maßgebliche Höchstrahmen also der feste Betrag, nicht 2 Prozent des Umsatzes. Maßgeblich ist der weltweite Gesamtumsatz des Unternehmens, dem die Einrichtung angehört, und er darf geschätzt werden (§ 65 Abs. 8).

Was kostet die NIS2-Umsetzung pro Unternehmen?

Die belastbarste öffentliche Zahl stammt aus dem Erfüllungsaufwand des Regierungsentwurfs. Sie beschreibt einen Durchschnitt über sehr unterschiedliche Einrichtungen und taugt als Budgetanker, nicht als Planungsgrundlage für den Einzelfall.

Quelle: Gesetzentwurf der Bundesregierung, BR-Drs. 369/25 vom 15.08.2025, Vorblatt Abschnitt E. Zahl der betroffenen Einrichtungen: BSI, rund 29.500 Unternehmen und Einrichtungen der Bundesverwaltung (Stand Dezember 2025). Die Werte je Einrichtung sind von uns aus beiden Quellen abgeleitet und stehen so in keiner der beiden.

Welche Kostenblöcke entstehen konkret?

Die Gesamtsumme ist weniger nützlich als ihre Bestandteile, weil sich die Bestandteile unabhängig voneinander bewegen. Die folgenden Spannen sind marktübliche Orientierungswerte für den deutschen Markt (Stand August 2026), keine Erhebung.

Nach § 30 Abs. 2 BSIG sind zehn Maßnahmenkategorien verpflichtend, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity, Lieferkettensicherheit, Kryptografie sowie Multi-Faktor-Authentifizierung. Der Aufwand verteilt sich sehr ungleich: Wer Backup und MFA bereits sauber betreibt, zahlt vor allem für Nachweis und Governance.

Was kostet NIS2 laufend, nach der Erstumsetzung?

Mehr als die Erstumsetzung. Das ist die wichtigste und am seltensten genannte Aussage zu NIS2-Kosten. Der Erfüllungsaufwand der Bundesregierung weist mit 2,3 Mrd. Euro jährlich gegenüber 2,2 Mrd. Euro einmalig ausdrücklich einen höheren Dauerbetrag als Einmalbetrag aus. Ursache sind die Meldekette nach § 32 (24 Stunden Erstmeldung, 72 Stunden Meldung, 30 Tage Abschlussmeldung), die dafür nötige Rufbereitschaft, wiederkehrende Schulungen, laufendes Lieferantenmanagement und die fortlaufende Pflege der Nachweise. Betreiber kritischer Anlagen tragen zusätzlich den Aufwand für Sicherheitsaudits, Prüfungen oder Zertifizierungen alle drei Jahre nach § 39 BSIG. Diese Nachweispflicht gilt entgegen einer verbreiteten Darstellung nicht für alle besonders wichtigen Einrichtungen, sondern nur für Betreiber kritischer Anlagen.

Haftet die Geschäftsleitung persönlich, und was kostet das?

Die Antwort fällt nüchterner aus, als es der verbreitete Hinweis auf eine Haftung mit dem Privatvermögen nahelegt. § 38 Abs. 1 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Das deutsche Gesetz sagt umsetzen, nicht billigen, und geht damit über den Wortlaut von Artikel 20 der Richtlinie hinaus. § 38 Abs. 2 ordnet eine Haftung gegenüber der eigenen Einrichtung nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform an und gilt ausdrücklich nur subsidiär, also nur dann, wenn das Gesellschaftsrecht keine eigene Haftungsregelung enthält. Für GmbH und AG greifen damit § 43 GmbHG und § 93 AktG, nicht das BSIG.

Zwei Punkte werden häufig falsch dargestellt. Erstens: Das in früheren Entwürfen enthaltene Verbot, auf Ersatzansprüche zu verzichten oder sich darüber zu vergleichen, ist im verkündeten Gesetz nicht enthalten. Zweitens: Die Bußgeldrahmen des § 65 richten sich an die Einrichtung und laufen über die Verbandsgeldbuße nach § 30 OWiG. Einen eigenen Bußgeldrahmen gegen Geschäftsleiter sieht das BSIG nicht vor. Bestehen bleibt die persönliche Schulungspflicht nach § 38 Abs. 3, für die das Gesetz keinen Turnus und keinen Nachweis vorschreibt, sondern nur Regelmäßigkeit verlangt. Dieser Abschnitt ist eine fachliche Einordnung und ersetzt keine Rechtsberatung.

Wie stark senkt ein bestehendes ISMS nach ISO 27001 die NIS2-Kosten?

Erheblich, aber nicht vollständig. Wer ein zertifiziertes ISMS betreibt, hat Risikoanalyse, Zugriffskontrolle, Kryptografie, Lieferantensteuerung und Business Continuity bereits als geführte Prozesse und muss sie nicht neu aufbauen. Die verbleibende Lücke liegt typischerweise in den NIS2-spezifischen Pflichten: Registrierung beim BSI, die Meldekette mit 24-Stunden-Erstmeldung, die Schulungspflicht der Geschäftsleitung und je nach Einstufung die Nachweispflicht. Wichtig ist dabei: Eine ISO-27001-Zertifizierung erfüllt § 30 BSIG nicht automatisch. Sie verkürzt den Weg, sie ersetzt die Prüfung der zehn Maßnahmenkategorien nicht.

Was kostet es, NIS2 einfach nicht umzusetzen?

Die Registrierungsfrist nach § 33 BSIG ist bereits abgelaufen. Nach den Zahlen des BSI (Stand 30.06.2026) hatten sich 17.945 Einrichtungen registriert, davon 6.215 besonders wichtige und 11.501 wichtige Einrichtungen. Gemessen an den rund 29.500 erwarteten Einrichtungen fehlt damit ein erheblicher Teil. Eine versäumte oder unvollständige Registrierung ist eine Ordnungswidrigkeit mit einem Rahmen bis 500.000 Euro. Hinzu kommt, dass Aufsicht und Anordnungsbefugnisse des BSI unabhängig von einer Registrierung greifen. Der zweite, in der Praxis größere Posten ist der Vorfall selbst: Der Gesetzentwurf rechnet in seiner Nutzenbetrachtung mit rund 250.000 Euro abgewehrtem Schaden je betroffenem Unternehmen und Jahr.

Wie senkt Kertos die NIS2-Kosten?

Der Kostentreiber bei NIS2 ist nicht die einmalige Einführung, sondern der dauerhafte Nachweis. Genau dort setzt Kertos an. Die agentische Plattform KAIA erhebt den Ist-Zustand über mehr als 100 Integrationen, ordnet ihn den zehn Maßnahmenkategorien nach § 30 BSIG zu und hält die Nachweise fortlaufend aktuell, statt sie vor jeder Prüfung neu zusammenzutragen. Parallel arbeiten zertifizierte Experten von Kertos an den Punkten, die Software nicht abnehmen kann, einschließlich externer CISO- und DSB-Mandate, Schulung der Geschäftsleitung und Aufbau der Meldekette. Wer NIS2 zusammen mit ISO 27001, ISO 27701, ISO 42001, DSGVO, EU AI Act, SOC 2, TISAX oder C5 abdeckt, pflegt Kontrollen einmal statt mehrfach. Konkrete Einstiegspunkte: NIS2-Betroffenheit prüfen, NIS2-Compliance automatisieren und verbreitete NIS2-Irrtümer.

Kertos ist in Deutschland gebaut und auf europäischer Infrastruktur betrieben. Unternehmen erreichen mit Kertos bis zu 60 Prozent geringere Kosten als mit klassischer Beratung und rund 80 Prozent weniger manuellen Compliance-Aufwand, bei einer Audit-Erfolgsquote von 100 Prozent und 98 Prozent Kundenzufriedenheit.