Wissensdatenbank · NIS2 und CyFun
Was kostet ein NIS2- oder CyFun-Projekt für ein KMU?
Eine ehrliche Antwort beginnt so: Es hängt davon ab, wo Sie heute stehen. Ein Preisschild wäre hier reine Spekulation. Möglich ist dagegen Folgendes: die Rechnung in fünf Kostenblöcke aufzuteilen, zu zeigen, was sie nach oben oder unten treibt, und aufzuzeigen, wo sich Unternehmen verrechnen. So können Sie jedes Angebot selbst beurteilen.
Die Idee
Fünf Blöcke, von denen zwei in keinem Angebot stehenDas Angebot des Beraters ist nur ein Teil der Rechnung
Wer ein NIS2- oder CyFun-Projekt startet, holt in der Regel Angebote bei einem Berater und gegebenenfalls einem IT-Partner ein. Das sind die sichtbaren Beträge. Die Stunden Ihrer eigenen Mitarbeitenden und die Wartung danach stehen nirgends auf dem Papier, obwohl sie über mehrere Jahre stark ins Gewicht fallen. Wer nur Angebote nebeneinanderlegt, vergleicht also den kleinsten Teil. Bei der Bewertung selbst gibt es eine Besonderheit: Soweit bekannt, gibt es keine offiziellen Tarife für eine CyFun-Bewertung. Jede Konformitätsbewertungsstelle legt ihren eigenen Preis fest, fragen Sie daher bei mehr als einer an.
Die Blöcke
Wohin das Geld fließt
Begleitung und Projektleitung
Scope festlegen, Niveau wählen, Gap-Analyse, Aktionsplan und Begleitung der Umsetzung. In diesem Block arbeitet ein Berater wie RGI.
Technische Maßnahmen beim IT-Partner
Backups, Zugriffsverwaltung, Logging, Patch-Management, Segmentierung. Das ist Arbeit Ihres IT-Partners oder von Spezialisten und wird gesondert in Rechnung gestellt.
Interne Stunden
Richtlinien genehmigen lassen, Prozesse anpassen, Nachweise sammeln, Personal schulen, Fragen des Gutachters beantworten. Meist der größte Block und fast nie budgetiert.
Verifizierung oder Zertifizierung
Eine akkreditierte Konformitätsbewertungsstelle prüft Ihre Selbstbewertung und Ihre Nachweise. Das ist ein eigener Kostenposten, getrennt von der Begleitung, und das soll auch so bleiben.
Wartung danach
Die Maßnahmen laufen weiter, Nachweise werden laufend ergänzt, Vorfälle werden geübt und die Bewertung muss mittelfristig wiederholt werden. Dieser Block verschwindet nie.
Preistreiber
Zwei Unternehmen gleicher Größe können weit auseinanderliegen
Das sind die Faktoren, die den Unterschied ausmachen.
Der Ausgangspunkt
Ein Unternehmen mit funktionierenden Backups, Zugriffsverwaltung und einer mitziehenden Geschäftsleitung hat eine kleinere Lücke zu schließen als ein Unternehmen, das all dies erst aufbauen muss.
Das gewählte Niveau
Basic, Important und Essential verlangen eine steigende Zahl von Maßnahmen. Das Niveau ergibt sich aus Ihrer Risikoanalyse und Ihrer Kategorie, nicht aus Ihrem Budget.
Anzahl der Standorte und Systeme
Alle relevanten Netz- und Informationssysteme müssen im Scope liegen. Jede weitere Niederlassung, Cloud-Umgebung oder Anwendung vergrößert den Aufwand.
Bestehende ISO 9001 oder ISO 27001
Ein funktionierendes Managementsystem trägt einen Teil der Richtlinien, der Dokumentation und des internen Audits. Ein ISO 27001-Zertifikat mit passendem Scope ist zudem selbst ein anerkannter Weg. Was ISO 9001 genau wiederverwenden kann, prüfen Sie pro Anforderung.
Eine OT-Umgebung
Produktionsmaschinen und Steuerungen lassen sich nicht einfach patchen oder segmentieren. Das erfordert Spezialistenarbeit und Abstimmung mit dem Lieferanten.
Verfügbarkeit der eigenen Mitarbeitenden
Ein Projekt ohne jemanden intern, der Zeit dafür bekommt, bleibt stecken oder verlagert sich auf externe Stunden, und die sind teurer.
Rechenfehler
Wo der Vergleich schiefläuft
Nur die einmalige Summe zählen
Stellen Sie die Kosten über drei bis fünf Jahre nebeneinander, einschließlich Wartung und Neubewertung. Die Rangfolge der Angebote ändert sich dann oft.
Den IT-Partner vergessen
Ein Berater schreibt den Plan, aber die Maßnahmen müssen irgendwo umgesetzt werden. Fragen Sie Ihren IT-Partner vorab, was sein Teil kostet.
Richtlinie ohne Nachweis
Eine genehmigte Richtlinie genügt nicht. Der Gutachter verlangt einen Nachweis, dass sie umgesetzt wird. Wer das nachträglich aufbauen muss, zahlt doppelt.
Zu spät einen Gutachter suchen
Die Zahl der Stellen ist begrenzt. Wer erst spät nach einem Termin sucht, arbeitet unter Zeitdruck und hat wenig Auswahl.
Kein Budget für das zweite Jahr
Ein Label, das niemand pflegt, verliert seinen Wert. Planen Sie die Wartung ab dem ersten Tag ein.
Die Kosten des Nichtstuns
Die gesetzlichen Bußgelder sind nicht der größte Posten, bestimmen aber die Obergrenze
Dies sind die Bußgelder nach dem belgischen NIS2-Gesetz für die wichtigsten Verstöße. Außerdem können Geschäftsleiter haften, wenn die Einrichtung gegen die Risikomanagementpflichten verstößt, und das CCB kann verbindliche Anweisungen oder zusätzliche Maßnahmen auferlegen.
| Situation | Bußgeld |
|---|---|
| Wesentliche Einrichtung, Risikomanagement oder Meldung von Vorfällen | 500 Euro bis 10.000.000 Euro oder 2 % des weltweiten Jahresumsatzes der Gruppe, es gilt der höhere Betrag |
| Wichtige Einrichtung, Risikomanagement oder Meldung von Vorfällen | 500 Euro bis 7.000.000 Euro oder 1,4 % des weltweiten Jahresumsatzes der Gruppe, es gilt der höhere Betrag |
| Verstoß gegen die Identifizierungs- und Registrierungspflicht | 500 Euro bis 125.000 Euro |
| Behinderung der Aufsicht | 500 Euro bis 200.000 Euro |
| Wiederholung innerhalb von drei Jahren | Bußgeld verdoppelt |
Förderungen
Es gibt Unterstützung, aber die Bedingungen ändern sich schneller als diese Seite
Die untenstehenden Prozentsätze stehen auf den offiziellen Seiten der Behörden. Prüfen Sie stets die aktuellen Bedingungen, das verfügbare Budget und Ihre eigene Förderfähigkeit bei der Behörde selbst, bevor Sie etwas entscheiden oder bestellen.
| Maßnahme | Was die offizielle Quelle sagt | Hinweis |
|---|---|---|
| VLAIO-Verbesserungsprogramme für Cybersicherheit (Flandern) | 2026 fortgeführt über anerkannte Dienstleister, in drei Paketen (START, MEDIUM, PLUS). Förderung von 50 % für KMU und geschützte Werkstätten (maatwerkbedrijven), 35 % für Nicht-KMU unter NIS2, die noch keine starke Richtlinie oder Roadmap haben. | Die De-minimis-Regel gilt. Sie wählen einen anerkannten Anbieter, nicht irgendeinen Berater. |
| KMO-portefeuille, flämisches KMU-Portfolio (Flandern) | Beratung nur noch für Cybersicherheit. 45 % für kleine und 35 % für mittlere Unternehmen, Obergrenze 7.500 Euro pro Jahr. | Endet am 1. Januar 2027. VLAIO meldet, dass das Budget inzwischen aufgebraucht ist und neue Anträge nicht mehr möglich sind. Prüfen Sie den aktuellen Stand. |
| Scheck Cybersicherheit (Wallonien) | 75 % der Kosten des Experten, Obergrenze 50.000 Euro pro Begünstigtem über drei Jahre, für KMU mit Hauptsitz in Wallonien. | Nur Beratung und Begleitung. Ob der Scheck derzeit offen ist, müssen Sie prüfen. |
Bevor Sie unterschreiben
Sieben Fragen an jeden Anbieter
- 1Welche Phase deckt Ihr Angebot genau ab, und was ist ausdrücklich ausgeschlossen?
- 2Wie viele Stunden erwarten Sie von meinen eigenen Mitarbeitenden, und um welche Rollen handelt es sich?
- 3Wer führt die technischen Maßnahmen aus, und ist das in diesem Preis enthalten oder in dem meines IT-Partners?
- 4Ist der Gutachter vollständig unabhängig von Ihnen, und wer wählt ihn aus?
- 5Was passiert mit dem Preis, wenn sich der Scope ändert oder die Selbstbewertung schlechter ausfällt als gedacht?
- 6Was kostet die Wartung nach der Bewertung, und was muss ich selbst können?
- 7Wie läuft die Übergabe an meine Organisation ab, wenn das Projekt abgeschlossen ist?
Wie RGI arbeitet
Pro Phase ein eigenes Festpreisangebot
RGI leitet und begleitet das Projekt, führt aber selbst keine technischen Maßnahmen durch und nimmt keine Verifizierung oder Zertifizierung vor. Die technische Seite erfolgt mit Ihrem IT-Partner oder mit Spezialisten aus unserem Netzwerk, die Bewertung durch eine akkreditierte Stelle. Wir arbeiten in Phasen, und für jede Phase erstellen wir ein eigenes Angebot zum Festpreis. Sie entscheiden also jedes Mal neu, ob Sie weitermachen, und zahlen nicht für Phasen, die Sie nicht brauchen. Das erste Gespräch ist kostenlos. Wir schauen gemeinsam, wo Sie stehen und welche Blöcke in Ihrem Fall am schwersten wiegen.
Häufig gestellte Fragen
Kurz beantwortet
Ein Angebot auf dem Tisch, das Sie nicht beurteilen können?
Senden Sie es uns oder vereinbaren Sie ein Gespräch. Das erste Gespräch ist kostenlos. Wir gehen die fünf Kostenblöcke gemeinsam durch und sagen Ihnen, was fehlt.