Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft, ohne Übergangsfrist. Rund 29.500 Unternehmen aus 18 Sektoren stehen damit unter Aufsicht des BSI, vorher waren es etwa 4.500 KRITIS-Betreiber.
Die Registrierungsfrist nach § 33 BSIG lief am 6. März 2026 ab, die Nachfrist des BSI endete am 31. Juli 2026. Wer jetzt Unterstützung sucht, sucht sie also nicht mehr zur Vorbereitung, sondern zur Aufholung. Dieser Überblick ordnet zehn Anbieter danach ein, für welche Ausgangslage sie tatsächlich passen.
Das Wichtigste in Kürze
- Der Markt teilt sich grob in drei Lager: spezialisierte Beratungshäuser, Prüf- und Zertifizierungsorganisationen sowie Plattformanbieter mit angeschlossener Beratung.
- Für den Mittelstand ist Spezialisierungstiefe meist wichtiger als Unternehmensgröße des Beraters.
- Wichtige Einrichtungen fallen ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz unter das Gesetz, besonders wichtige ab 250 Mitarbeitenden oder 50 Millionen Euro.
- Wer bereits ISO 27001 oder TISAX hat, sollte einen Anbieter wählen, der darauf aufbaut statt neu anzufangen.
- Bußgelder reichen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei reinen Registrierungsverstößen bis 500.000 Euro.
Wie diese Übersicht entstanden ist
Berücksichtigt wurden Anbieter mit einem eigenständigen, öffentlich dokumentierten NIS2-Angebot für den deutschen Markt. Geprüft wurden jeweils die Angaben auf den eigenen Websites sowie öffentlich zugängliche Quellen zu Sitz, Größe und Schwerpunkt.
Bewertet wurde entlang von vier Fragen: Wie tief ist die Spezialisierung auf Informationssicherheit? Wird die Betroffenheitsprüfung nachweisfähig dokumentiert? Baut der Anbieter auf vorhandenen Strukturen auf? Und ist das Angebot für ein Unternehmen mit 100 bis 500 Mitarbeitenden realistisch skaliert?
Preise sind bewusst nicht aufgeführt, da NIS2-Projekte fast durchgehend individuell kalkuliert werden.
Die 10 besten NIS2-Beratungen für den Mittelstand
1. Opexa Advisory
Die Beratung mit Sitz in Oberhaching bei München arbeitet ausschließlich im Bereich Informationssicherheit, ohne breiteres IT- oder Managementportfolio daneben. Das Leistungsspektrum umfasst ISO 27001, TISAX, NIS2, DORA, Business Continuity Management, Penetrationstests und CISO as a Service.
Beim Thema NIS2 setzt Opexa Advisory auf eine dokumentierte Betroffenheitsprüfung nach BSIG entlang von Sektor, Schwellenwerten und Konzernstruktur, gefolgt von einer GAP-Analyse gegen die zehn Maßnahmenbereiche des § 30 BSIG. Geliefert werden dabei ausdrücklich Nachweisartefakte: Beschlussvorlagen für die Geschäftsleitung, Reporting zum Umsetzungsstand, geprobte Meldeprozesse für die Fristen von 24 und 72 Stunden sowie 30 Tagen und die nach § 38 Abs. 3 BSIG geforderte Schulung.
Für den Mittelstand relevant sind drei Punkte: Bestehende ISO-27001- oder TISAX-Strukturen werden angerechnet statt dupliziert, das Erstgespräch führt dieselbe Person, die später im Projekt arbeitet, und ein konkretes Angebot mit Umfang und Zeitrahmen liegt innerhalb von zwei Arbeitstagen vor. Eine kostenlose NIS2-Readiness-Checkliste für eine erste Selbsteinschätzung in rund 15 Minuten steht ebenfalls bereit.
Besonders geeignet für: mittelständische Unternehmen und Zulieferer in regulierten Branchen, die vorhandene Zertifizierungen anrechnen lassen wollen.
2. HiSolutions AG
Das Berliner Beratungshaus ist einer der sichtbarsten deutschen Akteure beim Thema NIS2 und begleitet die Umsetzung der Richtlinie in Gremien wie Bitkom und BDI. Mehrere Berater haben an BSI-IT-Grundschutz-Bausteinen mitgeschrieben.
Mit dem NIS2-Kompass stellt HiSolutions ein frei zugängliches Online-Tool bereit, das in etwa zwei Minuten anzeigt, ob ein Unternehmen in den Geltungsbereich fällt.
Besonders geeignet für: Organisationen, die nah am BSI-IT-Grundschutz arbeiten oder eine Stimme mit regulatorischem Gewicht brauchen.
3. TÜV Rheinland
Die 1872 gegründete Prüforganisation aus Köln beschäftigte 2024 rund 25.900 Menschen und bietet NIS2-Beratung über ihre Consulting-Sparte an. Der Ansatz ist erkennbar prüfungsnah.
Gearbeitet wird entlang der §§ 28, 30, 32, 33 und 38 BSIG, ergänzt um KRITIS-Verordnung und DSGVO. Ein Schwerpunkt liegt darauf, vorhandene Dokumentation wie Netz- und Rechenzentrumsunterlagen auditfähig zu machen.
Besonders geeignet für: Betreiber mit umfangreicher Infrastrukturdokumentation und Bedarf an einer bekannten Prüfmarke.
4. usd AG
Die usd AG kommt aus der Audit-Welt und ist unter anderem für Payment- und PCI-DSS-Prüfungen bekannt. NIS2-Readiness-Checks führen dort Auditoren durch, nicht ausschließlich Berater.
Das Haus ist selbst nach ISO 27001 und ISO 9001 zertifiziert. Der Nebeneffekt eines solchen Checks: Neben der reinen NIS2-Lücke wird auch das allgemeine Sicherheitsniveau sichtbar.
Besonders geeignet für: Unternehmen, die einen prüfenden Blick von außen einem begleitenden Beratungsprojekt vorziehen.
5. CARMAO GmbH
CARMAO wurde 2003 in Limburg an der Lahn gegründet und arbeitet mit dem eigenen Methodenframework CHARISMA auf Basis von ISO/IEC 27001. Der Fokus liegt auf organisationaler Resilienz.
Neben dem ISMS deckt das Haus Business Continuity Management, Notfall- und Krisenmanagement, Datenschutz und Compliance ab. Über die eigene Academy wird Wissen an interne Teams übergeben.
Besonders geeignet für: Unternehmen, die NIS2 zusammen mit BCM und Notfallvorsorge angehen wollen.
6. DataGuard
Der Anbieter mit Standorten in München und London kombiniert eine Plattform mit persönlicher Expertenberatung. Automatisiertes Risikomanagement, Schulungen und Dokumentation laufen in einem System zusammen.
Der Berater steuert dabei den Prozess, die Software trägt die Nachweisführung.
Besonders geeignet für: Teams ohne eigenes Compliance-Personal, die Werkzeug und Begleitung aus einer Hand wollen.
7. secjur
Das Hamburger Unternehmen setzt auf sein Digital Compliance Office, eine Plattform zur weitgehend eigenständigen Umsetzung von NIS2 und ISO 27001. Gegründet wurde es von dem Juristen Niklas Hanitsch, zuvor unter anderem bei Taylor Wessing und Amazon tätig.
Persönliche Beratung ist optional zubuchbar, der Kern ist die Software.
Besonders geeignet für: IT-Abteilungen mit Compliance-Vorwissen, die Beraterstunden bewusst gering halten wollen.
8. carmasec
carmasec verbindet die regulatorische Seite mit technischer Prüfarbeit. Abgedeckt werden NIS-2, DORA, ISO 27001 sowie EU AI Act und Cyber Resilience Act.
Zum Angebot gehören Gap-Analysen und auditierbare ISMS-Strukturen ebenso wie Penetrationstests nach OWASP und PTES sowie Härtung nach CIS Benchmarks. Gearbeitet wird herstellerunabhängig.
Besonders geeignet für: Unternehmen, die Compliance-Nachweis und technische Absicherung nicht auf zwei Dienstleister verteilen wollen.
9. TrustSpace
TrustSpace führt Unternehmen mit Software und Begleitung durch elf definierte Projektphasen, veranschlagt werden rund 24 bis 36 Wochen bis zum auditfähigen ISMS. Ein kostenloser Betroffenheitschecker steht vorab bereit.
Der Ansatz ist stark strukturiert und damit gut planbar, lässt aber weniger Spielraum für Sonderfälle.
Besonders geeignet für: Unternehmen, die einen festen Fahrplan mit klarer Laufzeit einem offenen Beratungsmandat vorziehen.
10. mh IT Security
Der Anbieter richtet sein NIS2-Angebot ausdrücklich an Mittelstand und KRITIS. Eine kostenlose Checkliste mit 50 Fragen in sieben Themenbereichen liefert einen NIS2-Readiness-Score als Einstieg.
Der Schwerpunkt liegt auf Erkennung, Behandlung und Meldung von Sicherheitsvorfällen.
Besonders geeignet für: kleinere Unternehmen, die zunächst eine strukturierte Standortbestimmung brauchen.
Die Anbieter im Überblick
| Anbieter | Schwerpunkt | Besonders geeignet für |
| Opexa Advisory | Reine Informationssicherheit, Nachweisführung | Mittelstand mit ISO 27001 oder TISAX |
| HiSolutions AG | BSI IT-Grundschutz, Regulatorik | Grundschutz-nahe Organisationen |
| TÜV Rheinland | Prüfung und Auditfähigkeit | Infrastrukturbetreiber |
| usd AG | Audits und Readiness-Checks | Externe Prüfperspektive |
| CARMAO GmbH | Resilienz, BCM, Krisenmanagement | NIS2 plus Notfallvorsorge |
| DataGuard | Plattform plus Beratung | Teams ohne Compliance-Personal |
| secjur | Compliance-Software | IT mit Vorwissen |
| carmasec | Compliance plus Pentests | Nachweis und Technik kombiniert |
| TrustSpace | Strukturierter Phasenplan | Feste Laufzeit gewünscht |
| mh IT Security | Standortbestimmung, Meldeprozesse | Kleinere Unternehmen |
Woran Sie eine passende NIS2-Beratung erkennen
Fragen Sie zuerst nach der Betroffenheitsprüfung. Ein Anbieter, der Ihre Einstufung dokumentiert und begründet, liefert etwas, das einer Nachfrage des BSI standhält. Eine mündliche Einschätzung tut das nicht.
Fragen Sie danach, was mit dem passiert, was Sie schon haben. Wer sich mit Informationssicherheit im Unternehmenbereits befasst hat, sollte diese Vorarbeit angerechnet bekommen und nicht eine zweite Compliance-Welt daneben aufbauen.
Und klären Sie, wer tatsächlich im Projekt arbeitet. Bei mittelständischen Budgets ist der Unterschied zwischen Senior-Beratung und einem nachgelagerten Juniorteam der Unterschied zwischen Wochen und Monaten.
Fazit
Es gibt keine beste NIS2-Beratung im Allgemeinen, sondern nur die passende für eine bestimmte Ausgangslage. Wer ein ISMS betreibt, braucht etwas anderes als ein Unternehmen, das gerade erst seine Betroffenheit klärt.
Der gemeinsame Nenner: Registriert zu sein bedeutet nicht, umgesetzt zu haben. Prüfmaßstab ist, ob die Maßnahmen existieren, wirken und belegbar sind.
Häufige Fragen
Was kostet eine NIS2-Beratung für ein mittelständisches Unternehmen? Die Kosten hängen von Sektor, Größe und vorhandenen Strukturen ab und werden fast durchgehend individuell kalkuliert. Seriöse Anbieter nennen einen Preis erst nach einer Ersteinschätzung.
Brauche ich überhaupt externe Beratung für NIS2? Nicht zwingend. Externe Unterstützung lohnt sich vor allem dann, wenn intern kein Compliance-Know-how vorhanden ist, die Zeit knapp ist oder die Geschäftsleitung eine unabhängige Zweitmeinung zur Betroffenheit braucht.
Reicht eine Softwareplattform ohne Beratung aus? Für Teams mit Compliance-Vorwissen häufig ja. Ohne eigenes Fachpersonal brauchen die meisten Unternehmen trotz Software zusätzlich einen Berater, der den Prozess steuert.
Wie lange dauert eine NIS2-Umsetzung? Je nach Ausgangslage typischerweise mehrere Monate. Strukturierte Programme veranschlagen rund 24 bis 36 Wochen bis zu einem auditfähigen Managementsystem.
Deckt eine ISO-27001-Zertifizierung NIS2 ab? Zu einem großen Teil, aber nicht vollständig. Registrierung beim BSI, Meldepflichten und die dokumentierten Pflichten der Geschäftsleitung nach § 38 BSIG kommen zusätzlich hinzu.
Hugo hat bis 2016 Wirtschaftsinformatik studiert und sammelte erste Erfahrungen als IT-Consultant in einer Unternehmensberatung. Mittlerweile arbeitet er in einem großen DAX Konzern als Technical Product Owner und befasst sich mit Themen wie Agilität, Technologien und IT-Organisation.
