Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Rund 29.500 Unternehmen in Deutschland müssen seitdem verschärfte Anforderungen an ihre Informationssicherheit erfüllen. Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen. Wer betroffen ist und bisher nicht gehandelt hat, ist damit bereits im Verzug – und die Geschäftsleitung haftet persönlich. Dieser Beitrag zeigt, wer unter das Gesetz fällt, welche Pflichten gelten und warum ISO 27001 der strukturierteste Weg ist, sie zu erfüllen.

Was ist NIS2 – kurz eingeordnet

Die europäische NIS2-Richtlinie verpflichtet die EU-Staaten, Mindeststandards für Cybersicherheit gesetzlich vorzuschreiben. Deutschland hat das mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) getan, das im Kern das BSI-Gesetz (BSIG) neu fasst. Verabschiedet im November 2025, verkündet am 5. Dezember 2025, in Kraft seit dem 6. Dezember 2025 – ohne jede Übergangsfrist.

Wer ist betroffen?

Das Gesetz erfasst Unternehmen aus 18 Sektoren – deutlich mehr als die klassischen KRITIS-Branchen. Dazu gehören u. a. Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur und IT-Dienste, aber auch verarbeitendes Gewerbe (z. B. Maschinenbau, Elektronik, Medizinprodukte), Chemie, Lebensmittel, Entsorgung und Post-/Kurierdienste. Als Faustregel gilt (gesetzliche Anforderung, hier vereinfacht dargestellt):

• Wichtige Einrichtungen: ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz in einem der regulierten Sektoren
• Besonders wichtige Einrichtungen: ab 250 Mitarbeitenden oder mehr als 50 Mio. € Jahresumsatz sowie Betreiber kritischer Anlagen – hier gelten strengere Aufsichts- und Nachweispflichten

Wichtig: Die genaue Einstufung hängt von Sektor, Größe und Tätigkeit ab. Das BSI stellt dafür eine offizielle NIS-2-Betroffenheitsprüfung bereit. Und auch wer selbst nicht direkt betroffen ist, bekommt NIS2 zunehmend über die Lieferkette zu spüren: Betroffene Unternehmen müssen die Sicherheit ihrer Dienstleister und Zulieferer steuern – und fordern dafür Nachweise ein.

Welche Pflichten gelten seit Dezember 2025?

• Registrierung beim BSI: Betroffene Einrichtungen mussten sich bis zum 6. März 2026 über das BSI-Portal registrieren. Wer das versäumt hat, sollte die Registrierung unverzüglich nachholen.
• Risikomanagement: Technische und organisatorische Maßnahmen nach Stand der Technik – u. a. Risikoanalysen, Zugriffskontrolle, Verschlüsselung, Backup- und Notfallkonzepte, Sicherheit der Lieferkette und Schulungen.
• Meldepflichten: Erhebliche Sicherheitsvorfälle sind gestuft an das BSI zu melden – Erstmeldung innerhalb von 24 Stunden, detaillierte Folgemeldung innerhalb von 72 Stunden, Abschlussbericht nach spätestens einem Monat.
• Geschäftsleitungspflichten: Die Geschäftsführung muss die Maßnahmen selbst billigen, ihre Umsetzung überwachen und sich schulen lassen. Diese Verantwortung ist nicht delegierbar – bei Verstößen haftet die Leitung persönlich.
• Sanktionen: Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nach Einstufung und Verstoß.

Warum ISO 27001 der effizienteste Weg zur NIS2-Umsetzung ist

NIS2 schreibt kein bestimmtes Managementsystem vor. Aber: Die geforderten Risikomanagement-Maßnahmen decken sich in weiten Teilen mit dem, was ein ISMS nach ISO 27001 ohnehin leistet – systematische Risikoanalyse, Maßnahmen aus Anhang A (Zugriffskontrolle, Kryptografie, Lieferantensteuerung, Business Continuity), internes Audit und kontinuierliche Verbesserung. Wer ein zertifiziertes ISMS betreibt, hat den Großteil der NIS2-Anforderungen strukturiert umgesetzt und kann das gegenüber Kunden und Behörden belegen.

Zur Ehrlichkeit gehört aber auch: ISO 27001 ersetzt nicht alle NIS2-Pflichten. Die BSI-Registrierung, die konkreten Meldewege mit ihren Fristen und die gesetzlichen Geschäftsleitungspflichten müssen zusätzlich organisiert werden. In der Praxis ist das der kleinere Teil – er lässt sich in ein bestehendes ISMS sauber integrieren. Ein Zertifikat allein ist zudem kein gesetzlicher Freifahrtschein: Entscheidend ist, dass der Geltungsbereich des ISMS die regulierten Tätigkeiten tatsächlich abdeckt.

Ihr Fahrplan in 5 Schritten

1. Betroffenheit prüfen: Sektor, Mitarbeiterzahl und Umsatz gegen die gesetzlichen Schwellen halten – im Zweifel mit der BSI-Betroffenheitsprüfung und fachlicher Unterstützung.
2. Registrierung klären: Falls betroffen und noch nicht registriert – unverzüglich nachholen.
3. Gap-Analyse: Bestehende Sicherheitsmaßnahmen strukturiert gegen die NIS2-Anforderungen und die ISO 27001 prüfen. Ergebnis: eine priorisierte Maßnahmenliste.
4. ISMS aufbauen bzw. erweitern: Risikoanalyse, Richtlinien, technische Maßnahmen, Meldeprozesse und Schulungen – schlank und praxistauglich, nicht als Papiertiger.
5. Nachweisfähigkeit herstellen: Internes Audit, Managementbewertung und – wo sinnvoll – die ISO 27001 Zertifizierung als belastbaren Nachweis gegenüber Kunden, Versicherern und Aufsicht.

Häufige Fragen zu NIS2 und ISO 27001

Reicht eine ISO 27001 Zertifizierung, um NIS2 zu erfüllen?
Sie deckt den Großteil der Risikomanagement-Anforderungen ab, ersetzt aber nicht Registrierung, Meldewege und Geschäftsleitungspflichten. Die Kombination – ISMS nach ISO 27001 plus die NIS2-spezifischen Prozesse – ist der belastbarste Weg.

Ich liege unter den Schwellenwerten – bin ich sicher raus?
Nicht unbedingt. Einzelne Tätigkeiten sind größenunabhängig reguliert, und als Zulieferer oder Dienstleister betroffener Unternehmen erreichen Sie die Anforderungen über deren Lieferkettenpflichten – dann verlangt der Kunde die Nachweise.

Die Registrierungsfrist ist abgelaufen – was jetzt?
Unverzüglich nachregistrieren und die Umsetzung der Pflichten dokumentiert starten. Nichts zu tun verschärft das Haftungs- und Bußgeldrisiko mit jedem Monat.

Was kostet die Umsetzung?
Für die ISO 27001 als Kernbaustein finden Sie eine konkrete Kostenübersicht nach Unternehmensgröße in unserem Beitrag Was kostet eine ISO 27001 Zertifizierung? – inklusive BAFA-Förderung für die Beratung.

Wie lange dauert die Umsetzung?
Je nach Ausgangslage typischerweise 6–12 Monate bis zur Zertifizierungsreife. Die NIS2-Grundpflichten (Registrierung, Meldeprozesse, erste Maßnahmen) lassen sich deutlich schneller herstellen – und genau damit sollte man beginnen.

Wer nach den Kosten einer ISO 27001 Zertifizierung sucht, findet meist entweder gar keine Zahlen oder Spannen, die von 10.000 bis 100.000 Euro reichen. Beides hilft bei der Budgetplanung nicht weiter. Dieser Beitrag schlüsselt die drei Kostenblöcke auf, aus denen sich eine ISO 27001 Zertifizierung tatsächlich zusammensetzt – mit einer konkreten Kostentabelle nach Unternehmensgröße.

Vorab eine wichtige Einordnung: Die Kostentabelle auf unserer Seite Kosten der Zertifizierung gilt ausschließlich für die ISO 9001. Die ISO 27001 ist aufwändiger – sowohl in der Vorbereitung als auch im Audit selbst. Warum das so ist und mit welchen Beträgen Sie rechnen sollten, lesen Sie hier.

Die drei Kostenblöcke einer ISO 27001 Zertifizierung

1. Beratung und ISMS-Aufbau – die Vorbereitung bis zur Zertifizierungsreife
2. Zertifizierungsstelle – das Zertifizierungsaudit (Stufe 1 + 2) und die jährlichen Überwachungsaudits
3. Interne Aufwände – die Arbeitszeit Ihrer eigenen Mitarbeitenden

Viele Unternehmen kalkulieren nur den zweiten Block. In der Praxis macht das Audit der Zertifizierungsstelle jedoch nur einen Teil der Gesamtinvestition aus.

Kostenübersicht ISO 27001 nach Unternehmensgröße

Die folgende Tabelle zeigt unsere Beratungspreise sowie Richtwerte für die Kosten der Zertifizierungsstelle über den vollen 3-Jahres-Zyklus (Erstzertifizierung + zwei Überwachungsaudits). Grundlage: ein Standort, durchschnittliche IT-Komplexität.

*Die Kosten der Zertifizierungsstelle sind Richtwerte auf Basis marktüblicher Tagessätze (1.200 – 2.000 € pro Audittag) und der normativ vorgegebenen Audittage. Das konkrete Angebot hängt von Zertifizierungsstelle, Scope und Komplexität ab – über unseren kostenlosen Angebotsservice holen wir Vergleichsangebote für Sie ein.

Kostenblock 1: Beratung und Aufbau des ISMS

Der größte Hebel liegt in der Vorbereitung: Aufbau des Informationssicherheits-Managementsystems (ISMS), Risikobeurteilung, Statement of Applicability, Richtlinien und Nachweise, internes Audit und Managementbewertung.

Was den Aufwand beeinflusst: Anzahl der Standorte, Komplexität der IT-Landschaft, vorhandene Vorarbeiten (ein bestehendes ISO 9001 System spart durch die gemeinsame Grundstruktur der Normen spürbar Aufwand), Reifegrad der IT-Sicherheitsmaßnahmen und die Frage, ob ein interner Informationssicherheitsbeauftragter benannt werden kann oder extern gestellt werden muss.

Kostenblock 2: Die Zertifizierungsstelle

Das Zertifizierungsaudit führt eine akkreditierte Zertifizierungsstelle durch (in Deutschland mit DAkkS-Akkreditierung – darauf sollten Sie achten, sonst hat das Zertifikat am Markt wenig Wert). Das Verfahren läuft zweistufig:

• Stufe-1-Audit: Prüfung der ISMS-Dokumentation (typischerweise 1–2 Audittage)
• Stufe-2-Audit: Prüfung der praktischen Umsetzung vor Ort bzw. remote (bei KMU typischerweise 2–5 Audittage)

Die Anzahl der Audittage ist nicht frei verhandelbar – sie richtet sich nach normativen Vorgaben, primär nach der Mitarbeiterzahl im Geltungsbereich. Deshalb ist das ISO 27001 Audit auch bei kleinen Unternehmen spürbar teurer als ein ISO 9001 Audit.

Das Zertifikat gilt drei Jahre. In dieser Zeit sind die jährlichen Überwachungsaudits Pflicht, nach drei Jahren folgt die Re-Zertifizierung.

Praxistipp: Holen Sie Angebote von mindestens zwei bis drei Zertifizierungsstellen ein. Die Audittage sind überall gleich kalkuliert, Tagessätze und Nebenkosten unterscheiden sich aber deutlich. Genau das übernimmt unser kostenloser Angebotsservice für Sie.

Kostenblock 3: Interne Aufwände – der unterschätzte Posten

Ein ISMS baut niemand „nebenbei“ auf. Rechnen Sie über die Projektlaufzeit (typisch 6–12 Monate) mit spürbarem internem Aufwand: ein Projektverantwortlicher bzw. Informationssicherheitsbeauftragter mit relevantem Stellenanteil, dazu Zeit der Führungskräfte und Fachbereiche für Risikobeurteilung, Schulungen und die Umsetzung technischer Maßnahmen.

Genau hier setzt externe Beratung an: Sie ersetzt nicht Ihre Mitwirkung, reduziert aber den internen Aufwand erheblich – weil Dokumentation, Methodik und Auditvorbereitung nicht intern erarbeitet werden müssen, sondern erprobt vorliegen.

Warum ist ISO 27001 teurer als ISO 9001?

Zwei Gründe: Erstens schreibt das Regelwerk für ISO 27001 mehr Audittage vor als für ein vergleichbares ISO 9001 Audit. Zweitens ist der Vorbereitungsaufwand höher – neben dem Managementsystem selbst müssen die Maßnahmen aus Anhang A der Norm bewertet und umgesetzt werden, von Zugriffskontrolle über Lieferantensteuerung bis Notfallmanagement.

Wer bereits ein ISO 9001 System betreibt, hat allerdings einen echten Startvorteil: Dokumentenlenkung, internes Audit, Managementbewertung und Verbesserungsprozess existieren schon und müssen nur erweitert werden.

Häufige Fragen zu den Kosten

Gibt es eine Förderung für die ISO 27001 Beratung?
Ja. Über das BAFA-Programm zur Förderung von Unternehmensberatungen können förderfähige Beratungskosten bis 3.500 € mit 50 % bezuschusst werden – bis zu 1.750 € Zuschuss (in den neuen Bundesländern außer Berlin und Region Leipzig sogar 80 %). Die Förderung ist in der Tabelle oben bereits eingerechnet. Wir bereiten den BAFA-Antrag für Sie mit vor. Details auf unserer Seite Fördergelder.

Kann ich den Scope klein halten, um Kosten zu sparen?
Grundsätzlich ja – der Geltungsbereich bestimmt die Audittage mit. Ein zu klein geschnittener Scope erzeugt aber Abgrenzungsaufwand (getrennte Netzwerke, Schnittstellen, Nachweise) und wird von Kunden, die das Zertifikat fordern, oft nicht akzeptiert. Ein sauber begründeter, vollständiger Scope ist meist wirtschaftlicher.

Wie lange dauert eine ISO 27001 Zertifizierung?
Von Projektstart bis Zertifikat typischerweise 6–12 Monate, abhängig vom Reifegrad der bestehenden IT-Sicherheit und den verfügbaren internen Kapazitäten.

Verliert das Zertifikat seine Gültigkeit, wenn ich ein Überwachungsaudit auslasse?
Ja, die jährlichen Überwachungsaudits sind Pflicht. Wird eines nicht durchgeführt, kann die Zertifizierungsstelle das Zertifikat aussetzen oder entziehen.

Lohnt sich die Zertifizierung ohne Kundenanforderung?
Häufig ja: Immer mehr Auftraggeber – insbesondere Konzerne und öffentliche Stellen – fordern den Nachweis in Ausschreibungen. Wer das Zertifikat bereits hat, verkürzt Vertriebsprozesse und erfüllt Lieferantenanforderungen ohne Zeitdruck.