Was sich pauschalieren lässt
Pauschalierbar sind die juristisch klar definierten Bausteine: Betroffenheitsprüfung mit schriftlichem Gutachten, Erstellung des Implementierungsplans für die zehn Maßnahmen nach § 30 BSIG-E, Beschlussvorlagen, Schulungsunterlagen, Lieferantenvertrags-Klauseln. Diese Pauschalen sind unabhängig von der Unternehmensgröße recht stabil.
Was nach Aufwand abgerechnet wird
Variabel sind: Konzern-Mapping (Welche Tochtergesellschaften fallen unter NIS2?), Auseinandersetzung mit dem BSI in komplexen Sektorfragen, Begleitung umfangreicher Lieferantenketten, Krisensimulationen mit der Geschäftsleitung. Hier rechnen wir nach Stundensatz 240 bis 360 € netto ab.
Übersicht der Honorare
| Leistung | Bandbreite | Hinweis |
|---|---|---|
| NIS2-Betroffenheitsprüfung | 1.800 bis 3.500 € netto | Schriftliches Gutachten |
| Implementierungsbegleitung Standard (KMU) | ab 6.500 € netto | 3 bis 4 Monate, monatliche Steuerung |
| Implementierungsbegleitung Großkonzern | 25.000 bis 80.000 € netto | Sektorzuordnung mehrerer Tochtergesellschaften |
| Geschäftsleitungs-Schulung | ab 2.200 € netto | — |
| Lieferantenvertrags-Klauseln | 1.200 bis 3.500 € netto | — |
| Meldekette aufsetzen | ab 2.800 € netto | — |
| Stundensatz | 240 bis 360 € netto/h | — |
Bandbreiten netto, zzgl. USt. Verbindliche Vereinbarung vor Mandatsbeginn schriftlich.
Häufige Fragen
- Was kostet die NIS2-Umsetzung gesamt für ein KMU?
- Anwaltsseitig 10.000 bis 18.000 € netto über die Projektlaufzeit. Begleitende technische und organisatorische Aufwände (TOM-Nachschärfung, EDR-Rollout, Backup-Strategie, Trainings) liegen je nach Reifegrad bei 25.000 bis 80.000 € , diese fallen aber unabhängig vom Anwalt an.
- Ist die NIS2-Pflichtschulung der Geschäftsleitung gesetzlich vorgeschrieben?
- Ja, § 38 Abs. 3 BSIG-E sieht vor, dass Mitglieder der Geschäftsleitung an Schulungen teilnehmen ‚müssen'. Die Teilnahme ist nachzuweisen. Wir liefern Schulungsunterlagen und Teilnahmenachweise.
- Werden NIS2-Anwaltskosten von einer Versicherung getragen?
- Cyberpolicen decken die NIS2-Compliance präventiv nicht. D&O greift erst bei einem konkreten Pflichtverstoß der Geschäftsleitung. Spezielle ‚Compliance-Rechtsschutz'-Bausteine sind eine Option, in Cyberpolicen aber selten enthalten.
- Wie schnell muss die NIS2-Umsetzung abgeschlossen sein?
- Mit Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) gelten die Pflichten unmittelbar, mit kurzen Übergangsfristen für einzelne Aspekte (Lieferantenketten, Trainings). Faktisch sollte die Umsetzung 2025/2026 weitgehend stehen.
Mehr Hintergrund im Ratgeber
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
