Was kostet NIS2-Konformität in Luxemburg?

Für NIS2-Konformität gibt es keinen veröffentlichten Tarif, und Angebote für scheinbar dieselbe Leistung unterscheiden sich um den Faktor fünf. Das ist nicht immer Opportunismus. Meist liegt es daran, dass drei Dinge gebündelt werden, die getrennt kalkuliert gehören.

Die drei Kostenblöcke, sauber getrennt

1. Herausfinden, wo Sie stehen

Klären, ob das Gesetz für Sie gilt, sich an den zehn Maßnahmen aus Artikel 21 messen und prüfen, was tatsächlich angreifbar ist. Eine abgegrenzte Arbeit mit klarem Ende. Das gehört zum Festpreis — und wenn ein Anbieter ihn nicht festschreiben will, fragen Sie nach dem Grund.

2. Schreiben, was Sie vorhalten müssen

Risikoanalyse, Sicherheitsleitlinie, mehrjähriger Maßnahmenplan, Notfallverfahren, Lieferantenklauseln. Ebenfalls endlich und damit fest kalkulierbar. Was diesen Betrag bewegt, ist nicht Ihre Größe, sondern ob bereits etwas existiert.

3. Beheben, was die Prüfung gefunden hat

Das kann niemand vorab beziffern, weil es vollständig vom Bestand abhängt. Mehrfaktor-Authentifizierung für sechzig Nutzer auszurollen ist günstig. Eine nicht mehr unterstützte Fachanwendung zu ersetzen ist es nicht. Wer einen Komplettpreis nennt, bevor er Sie geprüft hat, kalkuliert entweder großzügig oder plant Nachträge ein.

Womit ein KMU rechnen sollte

Für ein luxemburgisches Unternehmen mit etwa 20 bis 250 Beschäftigten und einer primären IT-Umgebung sind Prüfung und vollständige Dokumentation eine Sache von Wochen, nicht Monaten, und sollten bei rund 6.900 € zum Festpreis liegen. Darunter fehlt etwas — meist die technische Prüfung, womit Sie Unterlagen haben, die niemand verifiziert hat. Deutlich darüber zahlen Sie in der Regel für eine Marke oder für Umfang, den Sie nicht brauchen.

Die Behebung ist wirklich offen, doch bei den meisten KMU findet die Prüfung eine kurze Liste unspektakulärer Punkte: Mehrfaktor-Authentifizierung nicht vollständig ausgerollt, Backups nie wirklich zurückgespielt, Administratorkonten, die seit drei Jahren niemand geprüft hat, und ein IT-Vertrag ohne jede Sicherheitsklausel. Nichts davon ist teuer. Es ist nur niemandes Aufgabe, solange es niemand aufschreibt.

Die 70 %, die der Staat übernehmen kann

Das Wirtschaftsministerium betreibt das Programm SME Packages — Cybersecurity, das förderfähigen luxemburgischen KMU 70 % der förderfähigen Kosten erstattet, für Projekte zwischen 3.000 € und 25.000 € netto, mit einer Höchstförderung von 17.500 €.

Wie es abläuft

1. Sie vereinbaren einen Termin über die House of Entrepreneurship der Handelskammer oder, als Handwerksbetrieb, über die Chambre des Métiers.
2. Die Luxembourg House of Cybersecurity führt eine Voranalyse durch und benennt vorrangige Maßnahmen. Dieser Schritt ist verpflichtend, nicht optional.
3. Sie wählen Ihren Anbieter und holen ein Angebot in dem Format ein, das der Antrag verlangt.
4. Sie reichen den Antrag ein; das Ministerium entscheidet.
5. Die Arbeit wird durchgeführt, mit einem Abschlussgespräch beendet, danach reichen Sie die Schlussrechnung zur Erstattung ein.

Was es kostet, nichts zu tun

Die Schlagzeilenzahlen sind die Bußgelder: bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen, bis zu 7 Millionen oder 1,4 % für wichtige. Für die meisten KMU bleiben diese Beträge theoretisch, und sie als Verkaufsargument zu schwenken ist ein wenig unredlich.

Zwei Folgen treffen Sie mit weit höherer Wahrscheinlichkeit. Die erste ist kaufmännisch: Große Kunden verlangen bei der Vertragsverlängerung zunehmend Nachweise über Sicherheitsmaßnahmen, und sie nicht vorlegen zu können kostet Umsatz, lange bevor es ein Bußgeld kostet. Die zweite ist persönlich: Das Gesetz macht das Leitungsorgan für die Genehmigung der Maßnahmen und die eigene Schulung verantwortlich — eine Haftung, die sich nicht vollständig an den IT-Dienstleister delegieren lässt.