Es gibt keinen Pauschalpreis für NIS2
Ein konkreter Betrag für "NIS2-Compliance" existiert nicht, und niemand kann Ihnen das im Voraus mit Sicherheit nennen. Die Richtlinie schreibt zehn Kategorien von Maßnahmen vor, aber die Art und Weise, wie ein Unternehmen diese umsetzt, und damit die Kosten, unterscheiden sich stark je nach Situation. Ein Installationsbetrieb mit ein paar Laptops und einem Buchhaltungspaket in der Cloud hat andere Voraussetzungen als ein Unternehmen mit eigenem Serverraum und mehreren IT-Lieferanten.
Was die Kosten tatsächlich bestimmt, ist eine begrenzte Anzahl von Faktoren: der Umfang und die Komplexität Ihrer IT-Umgebung, wie viele der geforderten Maßnahmen Sie bereits haben, ob Sie Arbeiten an einen externen Dienstleister auslagern, und welche Tools oder Software Sie anschaffen. Das macht es schwierig, einen Betrag zu nennen, aber es ist möglich, nachzuvollziehen, wohin das Geld fließt.
Was die eigene Situation bestimmt
Der erste Kostenposten ist oft nicht in einer Rechnung sichtbar: die Zeit, die intern erforderlich ist, um zu inventarisieren, was bereits vorhanden ist. Wer Zugriff auf welche Systeme haben muss, welche Lieferanten haben Zugriff auf Ihr Netzwerk, und wie ist ein Vorfall derzeit geregelt. Unternehmen, die diese Grundlagen bereits in Ordnung haben, beispielsweise weil sie bereits ein ISO-27001-Projekt gestartet haben, haben weniger Aufwand als Unternehmen, die bei Null anfangen.
Der zweite Faktor ist die Wahl zwischen Eigenleistung und Auslagerung. Einige Maßnahmen, wie eine Zugriffsberechtigungsrichtlinie oder ein Verfahren zur Meldung von Vorfällen, sind hauptsächlich eine Frage der Dokumentation und Vereinbarungen. Andere Maßnahmen, wie die Verschlüsselung von Daten oder die Überwachung des Netzwerkverkehrs, erfordern eher Technik und damit Software oder einen externen Dienstleister. Wie viel davon erforderlich ist, hängt davon ab, was bereits vorhanden ist.
Der dritte Faktor ist die Frage, ob Sie ein Beratungsunternehmen für das gesamte Projekt engagieren oder nur für einzelne Komponenten. Vollständige Begleitung kostet mehr als gezielte Hilfe bei spezifischen Punkten, spart aber interne Zeit. Welche Wahl für Ihr Unternehmen vorteilhafter ist, unterscheidet sich und ist keine Frage, die sich allgemein beantworten lässt. Wer zunächst sehen möchte, welche Komponenten für das eigene Unternehmen relevant sind, kann das mit ein paar kurzen Fragen selbst überprüfen.
Kosten, die häufig übersehen werden
Neben den direkten Kosten für Maßnahmen und Beratung gibt es Kosten, die erst später sichtbar werden. Nachweise wie eine Risikoanalyse oder eine Übersicht der Zugriffsrechte haben oft eine Gültigkeitsdauer und müssen regelmäßig aktualisiert werden. Das ist keine einmalige Ausgabe, sondern eine wiederkehrende Aufgabe, und die Zeit, die dies erfordert, zählt zum Gesamtbild.
Hinzu kommt, dass Abnehmer immer häufiger Fragebogen zur Cybersicherheit versenden, und jeder Abnehmer sein eigenes Format und Portal verwendet. Das ständige Ausfüllen von größtenteils gleichen Informationen kostet Zeit, die leicht unterschätzt wird. Ein Überblick über die Themen, die dabei wiederkommen, finden Sie je nach Situation in der Wissensdatenbank erläutert.
Was supplia in diesem Prozess tut und nicht tut
Supplia.eu erstellt keine Zertifizierung und bewertet Ihr Sicherheitsniveau nicht; das bleibt Ihnen selbst, Ihrem Berater und der zuständigen Aufsichtsbehörde überlassen. Was die Plattform tut, ist zu helfen, dass die Antworten, die Sie bereits dokumentiert haben, konsistent in den Fragebogen zurückkommen, die Ihre Kunden Ihnen senden. Das spart zwar keinen Euro bei den zugrundeliegenden Maßnahmen, aber Zeit, die es kostet, sie jedes Mal neu zu dokumentieren und bereitzustellen.
Die grundlegenden Informationen über NIS2 und die anderen Begriffe, die in Fragebogen wiederkommen, können kostenlos abgerufen werden, einschließlich der Fundstelle im offiziellen Text. Was ein Abonnement hinzufügt, ist die Ausarbeitung pro Verpflichtung mit den entsprechenden Fristen und Vorlagen, sowie eine Benachrichtigung, sobald sich etwas ändert, das Ihre Situation betrifft. Die Unterschiede zwischen kostenlos und kostenpflichtig sind auf der Preisseite.
Wie Sie zu einer realistischen Kostenschätzung gelangen
Da der Betrag von Ihrer eigenen Ausgangslage abhängt, ist der sinnvollste erste Schritt nicht die Suche nach einem Durchschnittstarif, sondern die Feststellung Ihres aktuellen Stands. Erst danach ist ein Gespräch mit einem IT-Anbieter, Beratungsunternehmen oder der zuständigen Aufsichtsbehörde sinnvoll, denn diese können erst über Kosten aussagen, wenn bekannt ist, was bereits vorhanden ist und was noch fehlt. Bei Fragen, die Ihr Unternehmen spezifisch betreffen, bleibt ein Jurist oder ein spezialisiertes Beratungsunternehmen der richtige Ansprechpartner; dieser Artikel beschreibt die allgemeine Linie, keine Beratung für eine einzelne Situation.
Möchten Sie zunächst sehen, welche Komponenten für Ihr Unternehmen relevant sind, bevor Sie Kosten vergleichen? Führen Sie den kostenlosen Quick-Scan durch oder blättern Sie durch die Themen in der Wissensdatenbank, um zu sehen, wo Sie stehen.