Vielleicht haben Sie eine E-Mail von einem deutschen oder französischen Kunden erhalten. Sie erwähnt NIS2, verlangt das Ausfüllen eines Fragebogens, kündigt einen Vertragsnachtrag an. Oder Sie haben einen alarmierenden Artikel gelesen und fragen sich, ob Ihr Unternehmen seit Monaten gegen Vorschriften verstösst.
Beginnen wir mit der Antwort, denn sie ist einfach und wird selten klar gegeben: NIS2 gilt nicht direkt für Ihr Schweizer KMU. Das bedeutet nicht, dass sie Sie in Ruhe lässt.
Was ist NIS2, in drei Sätzen?
NIS2 ist die gängige Bezeichnung für die Richtlinie (EU) 2022/2555. Sie zielt darauf ab, das Cybersicherheitsniveau in der Europäischen Union zu erhöhen, indem sie bestimmten Organisationen, die für die Wirtschaft und die Gesellschaft als kritisch eingestuft werden, Pflichten auferlegt.
Diese Organisationen werden in zwei Kategorien eingeteilt: «wesentliche» und «wichtige» Einrichtungen. Die Einstufung hängt von zwei kombinierten Faktoren ab, dem Tätigkeitssektor und der Unternehmensgrösse. Der Text stützt sich dabei auf die europäische Definition mittelgrosser Unternehmen, mit Ausnahmen, die es erlauben, kleinere Strukturen einzubeziehen, wenn sie für einen bestimmten Sektor eine Schlüsselrolle spielen.
Die betroffenen Einrichtungen müssen Massnahmen zum Risikomanagement umsetzen, ihre Vorfälle der nationalen Behörde melden und die Geschäftsleitung für diese Themen in die Verantwortung nehmen. Die Listen der Sektoren, die genauen Schwellenwerte und die Sanktionen finden sich im Text selbst und in jedem nationalen Umsetzungsgesetz. Wir geben sie hier nicht wieder: Sie unterscheiden sich von Land zu Land, und das ist nicht, was Sie betrifft.
Warum ist die Schweiz nicht direkt betroffen?
Der rechtliche Punkt beruht auf einer Unterscheidung, die viele Artikel übergehen.
Eine europäische Richtlinie ist kein Text, der direkt auf Unternehmen anwendbar ist. Sie richtet sich an die Mitgliedstaaten der Union. Jeder muss sie anschliessend umsetzen, das heisst sein eigenes nationales Gesetz annehmen oder ändern, um das festgelegte Ergebnis zu erreichen. Dieses nationale Gesetz schafft die konkreten Pflichten, in Deutschland, in Frankreich, in Italien.
Die Schweiz ist kein Mitglied der Europäischen Union. Es besteht für sie keine Umsetzungspflicht, und NIS2 wurde nicht ins Schweizer Recht umgesetzt. Es gibt daher keine Schweizer Behörde, die für die Durchsetzung zuständig wäre, keine darauf gestützte Schweizer Sanktion, kein Register, in das Sie sich eintragen müssten.
«NIS2 gilt nicht für Sie» bedeutet nicht «NIS2 betrifft Sie nicht». Der Text verpflichtet Sie zu nichts. Ihre europäischen Kunden hingegen können Sie zu vielem verpflichten. Und eine unterschriebene vertragliche Verpflichtung ist ebenso bindend wie ein Gesetz, mit schnelleren Folgen: Verlust des Auftrags, Vertragsstrafen, Nichtverlängerung.
Der eigentliche Mechanismus: die Lieferkette
So gelangt eine Richtlinie, die nicht auf Sie zielt, doch auf Ihren Schreibtisch.
NIS2 verpflichtet die betroffenen Einrichtungen, ihre Lieferkette abzusichern. Der Text verlangt von ihnen, die Qualität und Widerstandsfähigkeit der von ihnen beschafften Produkte und Dienstleistungen zu beurteilen, ebenso die darin integrierten Sicherheitsmassnahmen und die Cybersicherheitspraktiken ihrer Lieferanten und Dienstleister. Er ermutigt sie ausdrücklich dazu, Sicherheitsanforderungen in ihre Verträge mit ihren direkten Lieferanten aufzunehmen.
Sie sind dieser direkte Lieferant. Wenn Sie Teile für einen bayerischen Ausrüstungshersteller fertigen, wenn Sie Software für einen französischen Betreiber entwickeln, wenn Sie die IT-Wartung eines Industriestandorts im Elsass übernehmen, muss Ihr Kunde nachweisen können, dass er Ihre Sicherheit bewertet hat.
Er kann Ihnen nicht deutsches oder französisches Recht auferlegen. Er kann Ihnen jedoch einen Vertrag auferlegen. Genau das geschieht, und zwar in vier üblichen Formen: ein auszufüllender Sicherheitsfragebogen, zusätzliche Vertragsklauseln, ein Audit- oder Besuchsrecht, und die Verpflichtung, jeden Sie betreffenden Vorfall unverzüglich zu melden.
Dieser Mechanismus ist keineswegs theoretisch. Er ergibt sich aus der Feststellung, dass Angreifer zunehmend das am leichtesten zugängliche Glied einer Geschäftsbeziehung ins Visier nehmen, wie in Angriffen über die Lieferkette erläutert.
| Was nicht für Ihr Schweizer KMU gilt | Was tatsächlich für Sie gilt |
|---|---|
| Die gesetzlichen Pflichten von NIS2 als solche | Die Sicherheitsklauseln, die Sie in einem Vertrag unterschreiben |
| Die Einstufung als «wesentliche» oder «wichtige» Einrichtung | Die Lieferantenfragebögen Ihrer europäischen Kunden |
| Die Sanktionen der nationalen Umsetzungsgesetze | Der Verlust eines Auftrags, wenn Sie nicht glaubwürdig antworten |
| Die Vorfallsmeldung an die europäischen Behörden | Die Vorfallsmeldung an Ihren Kunden, sofern der Vertrag dies vorsieht |
| Die Meldepflicht des Schweizer ISG (kritische Infrastrukturen) | Ihre tatsächlichen Schweizer Pflichten, insbesondere Ihre nDSG-Pflichten |
Verwechseln Sie NIS2 nicht mit dem Schweizer ISG
Die Verwechslung ist häufig, und sie wird dadurch begünstigt, dass beide Texte von Cybersicherheit und Vorfallsmeldung handeln.
Das Schweizer Informationssicherheitsgesetz schreibt seit dem 1. April 2025 eine Meldepflicht für Cyberangriffe für Betreiber Schweizer kritischer Infrastrukturen vor. Die mit diesem Verstoss verbundenen Sanktionen gelten seit dem 1. Oktober 2025. Betroffen sind Energie, Wasser, Verkehr, Gesundheit, Verwaltungen, Telekommunikation.
Diese Schweizer Pflicht betrifft gewöhnliche KMU nicht. Wenn Sie ein achtköpfiges Treuhandbüro, ein Architekturbüro, eine Garage oder eine mechanische Werkstatt sind, sind Sie kein Betreiber kritischer Infrastrukturen, und diese Meldepflicht betrifft Sie nicht.
Was jedoch weiterhin gilt: Sie können einen Vorfall freiwillig dem Nationalen Zentrum für Cybersicherheit melden. Viele tun dies: Das NCSC erhielt 64’733 freiwillige Meldungen im Jahr 2025, gegenüber 62’954 im Jahr 2024 (NCSC, Halbjahresbericht 2025/II, 30. März 2026). Welche Texte je nach Ihrer Tätigkeit anwendbar sind, wird im Detail in unserem Artikel zu den Pflichten nach Branche behandelt.
Was tun, wenn ein europäischer Kunde Ihnen einen Fragebogen schickt?
Das ist die konkrete Situation. Hier ist die Vorgehensweise, die am besten funktioniert.
1. Behandeln Sie ihn nicht als administrative Formalität. Dieses Dokument dient dazu, zu entscheiden, ob Sie Lieferant bleiben. Es verdient dieselbe Sorgfalt wie ein Angebot.
2. Lesen Sie ihn vollständig, bevor Sie antworten. Erkennen Sie, was als Pflicht verlangt wird, was erwünscht ist, und was zu einer Vertragsklausel wird. Die drei haben nicht dasselbe Gewicht.
3. Lügen Sie niemals. Eine falsche Antwort, die nach einem Vorfall entdeckt wird, wird zu einem Vertragsverstoss, mitunter zu einer Täuschung. «Nein, aber hier ist unser Plan und unsere Frist» wird fast immer besser aufgenommen als ein nicht überprüfbares «Ja».
4. Verhandeln Sie, was unverhältnismässig ist. Ein Vor-Ort-Auditrecht bei einem Dienstleister mit drei Mitarbeitenden, eine Vorfallsmeldung innerhalb von zwei Stunden rund um die Uhr, eine schwergewichtige Zertifizierung für einen bescheidenen Vertrag: Diese Anforderungen lassen sich diskutieren. Schlagen Sie eine gleichwertige Alternative vor, statt schlicht abzulehnen.
5. Nutzen Sie es dauerhaft. Sammeln Sie Ihre Antworten in einem wiederverwendbaren Dossier: Sicherheitsrichtlinie, technische Massnahmen, Vorfallsverfahren, Liste Ihrer Subunternehmer und deren Hosting-Länder, Kontaktdaten einer Sicherheitsverantwortlichen Person. Der nächste Fragebogen benötigt dann eine Stunde statt drei Tage. Wir erläutern die Vorgehensweise, die Formulierungen, die funktionieren, und die Fallstricke, die zu vermeiden sind, ausführlich in unserem Artikel zur Beantwortung eines Sicherheitsfragebogens eines Kunden.
Die Fragen europäischer Einkaufsabteilungen ähneln sich stark: Zwei-Faktor-Authentifizierung, getestete Backups, Zugriffsverwaltung, Patches, Vorfallreaktionsplan, Sensibilisierung des Personals. Das sind die grundlegenden Massnahmen. Sie einzuführen, bevor man sie von Ihnen verlangt, macht aus einer aufgezwungenen Übung ein geschäftliches Argument. Der Cyber-Check-up deckt das Wesentliche dieser Punkte in wenigen Minuten ab.
Was das für Ihre Roadmap ändert
Das Risiko bei einem Thema wie NIS2 besteht darin, in eines von zwei Extremen zu verfallen. In Panik zu verfallen und eine Konformität zu suchen, die für Sie nicht existiert. Oder mit den Schultern zu zucken, weil «es nicht gilt», und sechs Monate später bei einer Ausschreibung ausgeschlossen zu werden.
Die vernünftige Haltung liegt in der Mitte. Sie müssen keine NIS2-Konformität erlangen. Sie müssen ein Sicherheitsniveau erreichen und es nachweisen können, weil Ihre Kunden es zunehmend verlangen werden, und weil es zunächst Sie selbst schützt.
Ein Signal ist dabei erwähnenswert: 42 % der Schweizer KMU halten ihren Schutz für ausreichend, gegenüber 55 % ein Jahr zuvor (Studie KMU Cybersicherheit 2025). Das Vertrauen sinkt. Das ist eher gesund, sofern sich die Klarsicht in Massnahmen umsetzt.
Zwei Entwicklungen verdienen Ihre Aufmerksamkeit für die Zukunft. Die europäische Verordnung zur Cyberresilienz, die Hersteller von Produkten mit digitalen Elementen betrifft, die in die Union exportiert werden, wird gesondert in unserem Artikel zum CRA behandelt. Und Ihre tatsächlichen Schweizer Pflichten sind im Themenbereich Vorschriften zusammengefasst.
Ein letztes Wort der Vorsicht. Dieser Artikel erläutert einen allgemeinen Mechanismus und stellt keine Rechtsberatung dar. Wenn ein europäischer Vertrag Sie auf Sicherheitsanforderungen verpflichtet oder Ihre Gruppe eine Einrichtung in einem Mitgliedstaat besitzt, lassen Sie die Situation vor der Unterschrift von einem im betreffenden Land qualifizierten Anwalt prüfen.