NIS2 kostet in der Cloud dort Geld, wo § 30 BSIG und Art. 21 der Richtlinie konkrete Maßnahmen verlangen: Protokollierung für die Vorfallbewältigung, Backups und Wiederherstellung, Verschlüsselung und Schlüsselverwaltung, Multi-Faktor-Authentifizierung, Schwachstellenmanagement und Lieferkettensicherheit. Wer NIS2-Cloud-Kosten planen will, budgetiert deshalb nicht das Kürzel, sondern jede Maßnahme als eigene Kostenzeile mit Owner. Dieser Beitrag zeigt Rechtsstand, Geltungsbereich, eine Zuordnung von Maßnahme zu Kostenzeile und die Fragen für Ihre Rechtsberatung. Er ist keine Rechtsberatung.
Rechtsstand am 10. Oktober 2026
Die Richtlinie (EU) 2022/2555 war bis 17. Oktober 2024 umzusetzen. Deutschland hat das mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie getan (BGBl. 2025 I Nr. 301 vom 5. Dezember 2025); das neu gefasste BSI-Gesetz gilt seit dem 6. Dezember 2025 und wurde seitdem bereits geändert, zuletzt im Juli 2026. Am 8. Juli 2026 hat die Kommission Spanien, Frankreich, Irland und die Niederlande wegen fehlender vollständiger Umsetzung an den Gerichtshof verwiesen. Wer dort Niederlassungen hat, prüft das jeweilige nationale Recht gesondert.
Auf EU-Ebene liegen zwei Änderungsvorschläge vor: gezielte NIS2-Änderungen (COM(2026) 13) und der Digital Omnibus (COM(2025) 837) mit einer zentralen Meldestelle für Vorfälle. Beide sind Vorschläge und noch nicht beschlossen.
Im Vereinigten Königreich gelten weiter die NIS Regulations 2018. Die Cyber Security and Resilience (Network and Information Systems) Bill lag am 10. Oktober 2026 im Oberhaus, die Report Stage war für den 26. Oktober 2026 angesetzt; Gesetz war sie noch nicht. Nach der Zusammenfassung der Regierung würde sie mittlere und große Managed Service Provider sowie Rechenzentren erfassen und eine Erstmeldung binnen 24 Stunden sowie einen ausführlicheren Bericht binnen 72 Stunden verlangen.
Wer erfasst ist und was ab dann gilt
Nach § 28 BSIG gilt als wichtige Einrichtung, wer in einem Sektor der Anlage 1 oder 2 tätig ist und mindestens 50 Mitarbeitende beschäftigt oder über 10 Mio. EUR Jahresumsatz und über 10 Mio. EUR Bilanzsumme hat. Besonders wichtig ist eine Einrichtung der Anlage 1 ab 250 Mitarbeitenden oder mit über 50 Mio. EUR Umsatz und über 43 Mio. EUR Bilanzsumme. Einige Arten sind unabhängig von der Größe erfasst, etwa Vertrauensdiensteanbieter. Die Richtlinie selbst knüpft an die Obergrenzen für mittlere Unternehmen aus der Empfehlung 2003/361/EG an.
Für Software-Unternehmen zählt vor allem Anlage 1, Sektor Digitale Infrastruktur: Dort stehen Anbieter von Cloud-Computing-Diensten (Nr. 6.1.4) und Managed Services Provider (Nr. 6.1.10). Ob Ihr SaaS-Produkt als Cloud-Computing-Dienst gilt, ist eine Auslegungsfrage. Das BSI bietet dafür eine Betroffenheitsprüfung an.
Wer erfasst ist, hat vier Pflichten mit Budgetwirkung:
- Registrierung (§ 33): binnen drei Monaten über das BSI-Portal, das ein ELSTER-Organisationszertifikat aus „Mein Unternehmenskonto“ verlangt. Für Einrichtungen, die schon beim Inkrafttreten erfasst waren, endete die Frist am 6. März 2026. Bis 30. September 2026 hatten sich laut BSI 20.141 Einrichtungen registriert.
- Meldungen (§ 32): frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach.
- Maßnahmen und Dokumentation (§ 30): zehn Maßnahmenbereiche, deren Einhaltung zu dokumentieren ist.
- Geschäftsleitung (§ 38): Sie setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil.
Bußgelder reichen bis 10 Mio. EUR für besonders wichtige und 7 Mio. EUR für wichtige Einrichtungen, bei mehr als 500 Mio. EUR Gesamtumsatz bis 2 bzw. 1,4 Prozent davon (§ 65). Eine versäumte Registrierung kann bis zu 500.000 EUR kosten.
Auch wer nicht erfasst ist, zahlt mit: Erfasste Kunden müssen nach § 30 Abs. 2 Nr. 4 ihre Lieferkette absichern und reichen Fragebögen, Nachweispflichten und Vertragsklauseln an ihre Anbieter weiter.
Von der Maßnahme zur Kostenzeile
Die Tabelle ordnet die Maßnahmen aus § 30 Abs. 2 BSIG den Stellen zu, an denen sie auf der Cloud-Rechnung oder daneben auftauchen.
| Maßnahme (§ 30 Abs. 2) | Kostentreiber | Wo sichtbar | Rhythmus | Owner |
|---|---|---|---|---|
| Nr. 2 Bewältigung von Sicherheitsvorfällen | Log-Aufnahme, Aufbewahrung, Auswertung, Bereitschaft | CloudTrail, CloudWatch Logs, Log Analytics, Cloud Logging | laufend | Plattform-Team |
| Nr. 3 Backup-Management und Wiederherstellung | Backup-Speicher, Kopien in anderem Konto oder anderer Region, Restore-Tests | AWS Backup, Azure Backup, Snapshots, regionsübergreifender Transfer | laufend, Tests periodisch | Engineering |
| Nr. 4 Lieferkette | Lieferantenbewertung, Vertragsprüfung | Arbeitszeit, Rechtsberatung | jährlich | Einkauf und Security |
| Nr. 5 Schwachstellenmanagement | Scanner, Patch-Fenster | Amazon Inspector, Microsoft Defender for Cloud, Security Command Center | laufend | Engineering |
| Nr. 8 Kryptographie | Schlüssel und Schlüsseloperationen, HSM | AWS KMS, Azure Key Vault, Cloud KMS | laufend | Plattform-Team |
| Nr. 9 und 10 Zugriffskontrolle und MFA | Lizenzen des Identitätsanbieters, Hardware-Schlüssel | oft außerhalb der Cloud-Rechnung | laufend | IT |
| Nr. 6 und 7 Wirksamkeit und Schulung | Prüfungen, Schulungen | Dienstleisterrechnungen, Arbeitszeit | jährlich | Geschäftsführung |
| § 30 Abs. 1, § 33 Dokumentation und Registrierung | Nachweisführung, Portalzugang | Arbeitszeit | einmalig, dann laufend | Compliance |
Die Abrechnungslogik bestimmt, welcher Hebel wirkt. AWS KMS berechnet jeden kundenverwalteten Schlüssel monatlich und API-Anfragen über ein monatliches Freikontingent hinaus; AWS-verwaltete Schlüssel kosten nur Anfragen. Cloud KMS rechnet nach aktiven Schlüsselversionen, Schutzstufe und Operationen, Azure Key Vault nach Operationen und bei HSM-geschützten Schlüsseln zusätzlich pro aktiv genutztem Schlüssel. Bei Logs bestimmen Volumen und Aufbewahrungsdauer die Kosten: Azure Log Analytics hält Daten standardmäßig 30 Tage und berechnet längere Aufbewahrung nach Datenvolumen und Tagen; der _Default-Bucket in Google Cloud Logging speichert 30 Tage, einstellbar bis 3.650 Tage.
Für Cloud-Anbieter und Managed Services Provider haben die technischen Anforderungen der Durchführungsverordnung (EU) 2024/2690 nach § 30 Abs. 3 BSIG Vorrang. Ihr Anhang verlangt unter anderem, Logs für einen festgelegten Zeitraum aufzubewahren und zu schützen (Nr. 3.2.5), redundante Protokollierungssysteme (Nr. 3.2.6), Backups außerhalb des Netzes des gesicherten Systems mit ausreichender Entfernung (Nr. 4.2.2) und regelmäßige Wiederherstellungstests (Nr. 4.2.6). Jede dieser Anforderungen ist eine Kostenzeile.
Budget planen und Owner festlegen
- Betroffenheit klären und dokumentieren. Ergebnis der BSI-Prüfung, Anlage, Sektor und Größenmerkmale schriftlich festhalten.
- Ist-Stand je Maßnahme erfassen. Vorhanden, Lücke, Owner, betroffene Konten oder Subscriptions.
- Sicherheitskosten sichtbar machen. Kennzeichnen Sie Logging-, Backup- und Schlüsselressourcen mit einem Tag wie
cost-purposeund gruppieren Sie danach in Cost Explorer, Azure Cost Analysis oder im BigQuery-Abrechnungsexport. - Mit Formeln statt Pauschalen rechnen. Logkosten = tägliches Volumen × (Aufnahmepreis + Aufbewahrungstage × Speicherpreis). Backupkosten = geschütztes Volumen × Kopien × Speicherpreis + Transfer je Kopie.
- Einmalig und laufend trennen. Einführung, Registrierung und Erstprüfung sind Projektkosten; Logs, Backups und Schlüssel laufen jeden Monat.
- Doppelte Budgets vermeiden. Eine Logging- oder Backup-Plattform deckt oft NIS2, Kundenanforderungen und, bei Finanzkunden, DORA zugleich. Verteilen Sie sie als gemeinsame Kosten mit einem dokumentierten Schlüssel.
- Abweichungen monatlich prüfen. Nehmen Sie die Zeilen in das monatliche Cloud-Kostenreview und in die Budgetplanung 2027 auf. Die Geschäftsleitung, die nach § 38 die Umsetzung überwacht, bekommt Ist, Plan und Lücke in einer Tabelle.
Häufige Fehler
- Pauschales NIS2-Budget: Ohne Maßnahmenbezug kann niemand prüfen, ob Geld fehlt oder doppelt verplant ist.
- Aufbewahrung nie entschieden: Standardwerte sind keine Begründung. Zu kurz gefährdet die Abschlussmeldung, zu lang erhöht Kosten und kann mit Löschpflichten nach DSGVO kollidieren.
- Backup im selben Konto: Eine Kopie im selben Konto und in derselben Region schützt kaum vor Kontoübernahme oder Regionsausfall.
- Sicherheitskosten im Shared Account: Ohne Tag und Owner tauchen Log- und Schlüsselkosten als ungeklärte Steigerung auf.
- Kostenbericht als Nachweis: Eine Rechnung zeigt, dass Geld ausgegeben wurde, nicht dass die Maßnahme wirkt.
Fragen an Rechtsberatung und Security
- Fallen wir unter Anlage 1 oder 2 BSIG, und ist unser Produkt ein Cloud-Computing-Dienst oder ein Managed Service?
- Wie zählen Mitarbeitende, Umsatz und Bilanzsumme in unserer Unternehmensgruppe?
- Gilt für uns die Durchführungsverordnung (EU) 2024/2690 vorrangig?
- Welche Aufbewahrungsfrist für Sicherheitslogs ist angemessen und mit der DSGVO vereinbar?
- In welchen weiteren Mitgliedstaaten sind wir tätig, und welche Umsetzung gilt dort?
- Würde uns die Cyber Security and Resilience Bill im Vereinigten Königreich als Managed Service Provider erfassen?
Was Costfluent beitragen kann
Costfluent liest Abrechnungsdaten von AWS, Azure und Google Cloud über schreibgeschützte Verbindungen und zeigt Kosten nach Konto, Service, Ressource und Tag. Für das Segment der Sicherheitsplattform können Sie über die Public API oder den Terraform-Provider ein Budget anlegen, mit den Ist-Kosten vergleichen und sehen, worauf sein laufender Zeitraum zusteuert. Benachrichtigungen bei Abweichungen sind In Planung. Costfluent stoppt keine Ressourcen. Ob eine Maßnahme wirkt, belegt ein Kostenbericht nicht. Was die Verbindungen lesen dürfen und wo Daten liegen, steht auf der Seite Sicherheit.
Quellen und Methode
Geprüft am 10. Oktober 2026: Richtlinie (EU) 2022/2555 (NIS2), Durchführungsverordnung (EU) 2024/2690, Empfehlung 2003/361/EG, BGBl. 2025 I Nr. 301, BSI-Gesetz in der geltenden Fassung, BSI zu NIS-2-regulierten Unternehmen, BSI-Portal, BSI: NIS-2 in Zahlen, Kommission zur NIS2-Richtlinie und den Änderungsvorschlägen, Klage gegen vier Mitgliedstaaten vom 8. Juli 2026, Digital Omnibus COM(2025) 837, Verfahren 2026/0012(COD) zu den NIS2-Änderungen, Verfahren 2025/0360(COD) zum Digital Omnibus, NIS Regulations 2018, Cyber Security and Resilience Bill: Zusammenfassung, Parlamentsstand der Bill (Bills API), AWS KMS Preise, Cloud KMS Preise, Azure Key Vault Preise, Azure Monitor: Aufbewahrung, Cloud Logging: Aufbewahrung. Die Tabellen, die Planungsschritte und die Fragen sind Costfluent-Empfehlungen und keine Rechtsberatung.
