NIS2 und die Schweiz: betroffen, ohne Mitglied zu sein

Die Schweiz ist kein EU-Mitglied, also gilt NIS2 hier nicht — so weit die einfache Antwort. In der Praxis ist sie falsch, oder zumindest unvollständig: Die Richtlinie erreicht Schweizer Unternehmen auf Umwegen, und zwar zuverlässiger, als vielen lieb ist.

Kurz gesagt: NIS2 ist die EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Sie verpflichtet Unternehmen in 18 Sektoren zu konkreten Sicherheitsmassnahmen und Meldepflichten. Schweizer Firmen sind rechtlich nicht erfasst, werden aber über EU-Töchter, Dienste im EU-Raum und vor allem über die Verträge ihrer EU-Kunden in die Pflicht genommen.

Kurz: Was NIS2 überhaupt ist

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit, in Kraft seit Januar 2023; die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen. Sie erfasst «wesentliche» und «wichtige» Einrichtungen in 18 Sektoren — grob ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz. Verlangt werden Risikomanagement-Massnahmen (Art. 21), Meldepflichten und eine persönliche Verantwortung der Leitungsorgane: Geschäftsleitungen müssen die Massnahmen genehmigen, überwachen und sich schulen lassen.

Die Meldepflicht ist dreistufig: eine Frühwarnung innert 24 Stunden, eine eigentliche Meldung innert 72 Stunden und ein Abschlussbericht nach einem Monat. Die Bussen sind empfindlich: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes für wesentliche Einrichtungen, bis zu 7 Millionen oder 1,4 Prozent für wichtige.

Wer betroffen ist: die 18 Sektoren

Anhang I der Richtlinie nennt die Sektoren mit hoher Kritikalität, Anhang II die «sonstigen kritischen» Sektoren. Zusammen:

• Hohe Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung, Weltraum.
• Sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung.

Für Schweizer Zulieferer ist die zweite Gruppe die relevantere: Wer Komponenten für einen deutschen Maschinenbauer fertigt, IT-Dienste für ein österreichisches Spital erbringt oder Verpackungen an einen Lebensmittelkonzern liefert, beliefert eine NIS2-Einrichtung — und bekommt deren Pflichten vertraglich weitergereicht.

Die zehn Mindestmassnahmen nach Art. 21

Die Richtlinie schreibt keine Produkte vor, aber zehn Bereiche, die jede betroffene Einrichtung «nach dem Stand der Technik» abdecken muss. Genau diese Liste taucht später in den Lieferanten-Fragebögen wieder auf:

1. Risikoanalyse und Sicherheitskonzepte für Informationssysteme
2. Bewältigung von Sicherheitsvorfällen (Incident Response)
3. Betriebskontinuität: Backup, Wiederherstellung, Krisenmanagement
4. Sicherheit der Lieferkette, inklusive der direkten Zulieferer
5. Sicherheit bei Erwerb, Entwicklung und Wartung — mit Schwachstellenmanagement
6. Verfahren zur Bewertung der Wirksamkeit der Massnahmen
7. Cyberhygiene und Schulung der Mitarbeitenden
8. Kryptografie und, wo angebracht, Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Asset-Management
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Wer diese zehn Punkte mit ISO 27001 vergleicht, findet fast alles wieder — die Norm ist der einfachste Weg, NIS2-Anforderungen nachweisbar zu erfüllen. Wie der Weg dorthin für ein Schweizer KMU aussieht, habe ich in ISO 27001 für Schweizer KMU beschrieben.

Drei Wege, auf denen NIS2 die Schweiz erreicht

1. Tochtergesellschaften in der EU. Wer eine Niederlassung in einem Mitgliedstaat betreibt, fällt dort unter das nationale Umsetzungsgesetz — direkt und ohne Umweg. Der Schweizer Mutterkonzern liefert dann faktisch die Vorgaben, damit die Tochter compliant ist.

2. Dienste in der EU. Wer digitale Dienste im EU-Raum erbringt — Cloud, Managed Services, DNS —, kann unabhängig vom Firmensitz in den Anwendungsbereich fallen und muss unter Umständen sogar einen EU-Vertreter benennen.

3. Die Lieferkette. Der häufigste Fall: NIS2 verpflichtet die regulierten Unternehmen, die Sicherheit ihrer Lieferkette zu managen. Das tun sie mit dem Instrument, das sie haben — Verträgen. Schweizer Zulieferer erhalten Fragebögen, Auditrechte und Sicherheitsanhänge zum Rahmenvertrag. Man kann das ignorieren, verliert dann aber absehbar Aufträge.

Direkt, halbdirekt, vertraglich: Am Ende landet die Anforderung im selben Posteingang — beim Schweizer Unternehmen.

Was ein Lieferanten-Fragebogen abfragt

Die Fragebögen, die seit 2024 bei Schweizer Zulieferern eintreffen, ähneln sich stark. Typische Blöcke:

• Organisation: Gibt es eine verantwortliche Person für Informationssicherheit? Eine Sicherheitsrichtlinie, von der Geschäftsleitung unterschrieben? Eine Zertifizierung (ISO 27001, TISAX)?
• Technik: MFA für alle Fernzugriffe? Verschlüsselte Backups, regelmässig getestet? Patch-Fristen für kritische Schwachstellen? EDR auf allen Endgeräten?
• Vorfälle: Wie schnell informiert ihr uns bei einem Vorfall, der unsere Daten betrifft? Gibt es einen Incident-Response-Plan?
• Eure Lieferanten: Wie prüft ihr eure eigenen Zulieferer und Cloud-Dienste?

Der letzte Punkt ist der unangenehme: Die Pflicht wandert die Kette weiter nach unten. Wer den Fragebogen beantwortet, muss ihn bald selbst verschicken.

Und die Schweiz selbst?

Parallel dazu hat die Schweiz nachgezogen: Das revidierte Informationssicherheitsgesetz (ISG) ist seit 2024 in Kraft, und seit dem 1. April 2025 gilt für Betreiber kritischer Infrastrukturen eine Meldepflicht für Cyberangriffe — innert 24 Stunden an das Bundesamt für Cybersicherheit (BACS). Das ist enger gefasst als NIS2, zeigt aber dieselbe Richtung: Cybersicherheit wird vom Stand der Technik zur Rechtspflicht. Wie ein solcher Angriff typischerweise abläuft — und wo er sich stoppen lässt —, zeigt die Anatomie eines Angriffs.

Dazu kommt das revidierte Datenschutzgesetz (nDSG), das seit dem 1. September 2023 «angemessene technische und organisatorische Massnahmen» verlangt und Verletzungen der Datensicherheit meldepflichtig macht. Wer NIS2-Fragebögen ehrlich beantworten kann, hat auch die nDSG-Anforderungen meist erfüllt — die Massnahmen überschneiden sich weitgehend.

NIS2 und ISG im Vergleich

Wer beides bedienen muss — als Zulieferer eines EU-Kunden und als Betreiber einer kritischen Infrastruktur in der Schweiz —, sollte die Unterschiede kennen:

	NIS2 (EU)	ISG-Meldepflicht (CH)
Wer	18 Sektoren, ab ca. 50 MA	Betreiber kritischer Infrastrukturen
Erste Meldung	24 Stunden (Frühwarnung)	24 Stunden an das BACS
Folgemeldungen	72 Stunden, Abschlussbericht nach 1 Monat	Ergänzung innert 14 Tagen
Massnahmenkatalog	Zehn Bereiche nach Art. 21	Keine abschliessende Liste
Sanktionen	Bis 10 Mio. Euro oder 2 % Umsatz	Bussen bei Verletzung der Meldepflicht

Der Katalog nach Art. 21 ist der anspruchsvollere Teil — die Schweizer Meldepflicht sagt, dass man melden muss, NIS2 sagt zusätzlich, was man vorher umgesetzt haben muss.

Drei Missverständnisse, die ich oft höre

• «Wir sind unter 50 Mitarbeitenden, also raus.» Die Schwelle gilt für die regulierte Einrichtung, nicht für ihre Zulieferer. Ein Zehn-Personen-Betrieb, der einen NIS2-Kunden beliefert, bekommt denselben Fragebogen wie ein Konzern.
• «Unser IT-Dienstleister kümmert sich darum.» Die Verantwortung lässt sich nicht auslagern, nur die Umsetzung. Im Fragebogen steht euer Name, nicht der des Dienstleisters.
• «Ein Zertifikat löst das.» ISO 27001 hilft enorm, aber der Scope muss stimmen: Ein Zertifikat für den Standort Zürich sagt nichts über die Produktion in Polen.

Was ich Unternehmen empfehle

Der erste Schritt kostet nichts: Betroffenheit klären. Habe ich EU-Töchter? Erbringe ich Dienste in der EU? Beliefere ich regulierte Unternehmen? Wer eine dieser Fragen mit Ja beantwortet, macht als zweiten Schritt ein Gap-Assessment — sinnvollerweise gegen ISO 27001, denn deren Massnahmen decken die NIS2-Anforderungen weitgehend ab und sind auch für Schweizer Kunden anschlussfähig. Die Massnahmen und Nachweise dazu müssen nicht in Excel leben — CISO Assistant bringt ISO 27001 und NIS2 als Frameworks bereits mit. Der dritte Schritt ist unbequem, aber ehrlich: die vertraglichen Sicherheitsanhänge der EU-Kunden lesen, bevor man sie unterschreibt. Und was das alles kosten darf, ist die nächste Frage — der Security-Budget-Check liefert dafür in zwei Minuten eine Spanne für Schweizer Unternehmen.

NIS2 ist für Schweizer Firmen keine ferne EU-Bürokratie. Es ist die Vorlage dafür, was Kunden ab jetzt vertraglich verlangen — und wer die Grundlagen sauber hat, beantwortet die Fragebögen in Stunden statt Wochen.