NIS2: warum diese EU-Richtlinie auch Schweizer KMU betrifft

NIS2 ist der Kurzname der europäischen Richtlinie 2022/2555, die das Cybersicherheitsniveau in der Europäischen Union anheben soll. Da eine EU-Richtlinie ein Rechtsakt ist, den jeder Mitgliedstaat in eigenes Recht umsetzen muss, gilt NIS2 nicht direkt in der Schweiz. Viele Unternehmensleitungen schliessen daraus etwas voreilig, dass sie das nicht betrifft. Das ist ein Irrtum, der teuer zu stehen kommen kann, und hier ist der Grund.

Zwei Arten, betroffen zu sein

Die erste ist direkt. Ein Schweizer Unternehmen fällt unter NIS2, wenn es eine Niederlassung in der EU betreibt oder dort Dienstleistungen erbringt, in einem der achtzehn Sektoren, die die Richtlinie als kritisch einstuft (Energie, Gesundheit, Verkehr, digitale Infrastruktur usw.). Dabei spielen Grössenschwellen eine Rolle, typischerweise ein in der EU erzielter Jahresumsatz von über 10 Millionen Euro oder mehr als 50 Beschäftigte. Dieser Weg betrifft also nur eine Minderheit der KMU.

Die zweite Art ist indirekt, und sie wird die meisten betreffen. NIS2 verpflichtet grosse europäische Unternehmen, die Cybersicherheit ihrer gesamten Lieferkette zu gewährleisten, also aller Lieferanten und Dienstleister, die zu ihrer Tätigkeit beitragen. Die Folge: Diese grossen Auftraggeber geben ihre Anforderungen an ihre Partner weiter, auch an Schweizer Unternehmen. Ein Zulieferer aus dem Maschinenbau, ein Automobilzulieferer oder ein Schweizer IT-Dienstleister, der für einen europäischen Kunden arbeitet, kann so um verstärkte Garantien gebeten werden, ohne selbst direkt der Richtlinie zu unterstehen.

Was diese Anforderungen verlangen

Konkret erwartet ein NIS2-pflichtiger europäischer Kunde von seinen Lieferanten den Nachweis einer echten Cybersicherheitsreife. Das umfasst ein strukturiertes Risikomanagement, eine Dokumentation der Sicherheitsmassnahmen, regelmässige Audits und mitunter Penetrationstests (simulierte Angriffe, mit denen die Widerstandsfähigkeit der Verteidigung geprüft wird). Hinzu kommt die Fähigkeit, einen Vorfall rasch zu melden, da die Richtlinie den betroffenen Stellen eine Erstmeldung innerhalb von 24 Stunden vorschreibt.

Diese Forderungen kommen nicht in Form eines Bussgelds aus Brüssel. Sie kommen über einen viel banaleren Kanal: eine Vertragsklausel, einen Sicherheitsfragebogen vor der Vertragsverlängerung oder eine Teilnahmebedingung bei einer Ausschreibung. Für ein KMU bedeutet die Unfähigkeit, darauf zu antworten, schlicht den Verlust eines Marktes.

Ein Sanktionsregime, das den Ton angibt

Um zu ermessen, wie ernst Auftraggeber diese Anforderungen durchsetzen werden, lohnt sich der Blick darauf, was sie selbst riskieren. Die Richtlinie sieht Bussgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor. Bemerkenswert ist, dass NIS2 bei nachgewiesener Fahrlässigkeit auch eine persönliche Haftung der Geschäftsleitung einführt. Eine europäische Führungskraft, die weiss, dass ihre eigene Haftung auf dem Spiel steht, wird bei einem schwachen Glied in ihrer Lieferantenkette keine Nachsicht zeigen.

Die Einordnung für ein Schweizer KMU

Es wäre verlockend, NIS2 nur als von aussen auferlegten Zwang zu sehen. Sie ist aber auch, und vielleicht vor allem, eine Chance. Ein KMU, das ein gutes Cybersicherheitsniveau nachweisen kann, gewinnt einen Wettbewerbsvorteil: Es beruhigt seine europäischen Kunden, hebt sich von weniger vorbereiteten Mitbewerbern ab und sichert seine eigenen Märkte.

Zu beachten ist, dass die Schweiz bereits über einen eigenen Rahmen verfügt, insbesondere das Informationssicherheitsgesetz, das gewisse Grundsätze mit NIS2 teilt, etwa die Meldung von Vorfällen und das Risikomanagement. Die Anstrengungen, die Sie unternehmen, sind also nicht verloren, sie zahlen sich auf beiden Ebenen aus. Sie können schon heute damit beginnen, Ihre Massnahmen zu dokumentieren und Ihre Prozesse zu strukturieren. Aber genau einzuschätzen, was Ihre europäischen Kunden von Ihnen erwarten werden, und die Lücke zu Ihrer aktuellen Situation zu schliessen, setzt voraus, sowohl den Text als auch die eigene Organisation zu kennen. Kein generisches Modell kann die Frage an Ihrer Stelle beantworten: «Bin ich betroffen, und in welchem Ausmass?»

Fazit

NIS2 zeigt einen Trend, der sich weiter ausbreiten wird: Cybersicherheit wird zu einer Voraussetzung für den Marktzugang und wandert Schritt für Schritt die Lieferketten entlang. Landesgrenzen ändern daran nichts. Diese Anforderung vorwegzunehmen statt sie zu erdulden, ist eine strategische Entscheidung, die in Ihrer Reichweite liegt. Um Ihre tatsächliche Exposition zu bestimmen und eine glaubwürdige Antwort gegenüber Ihren Kunden aufzubauen, bleibt eine gezielte Analyse Ihrer Situation die lohnendste Investition.