Swiss Room · Fallstudie 360°
Wie ein Schweizer IoT-KMU NIS2-Anforderungen aus der Lieferkette bewältigt
Vom Lieferantenfragebogen zur belastbaren Cybersecurity-Architektur — und was dabei sichtbar wird, das vorher niemand gemessen hatte
Was diese Fallstudie Ihnen zeigt
Wie ein Schweizer IoT-KMU NIS2 nicht als regulatorisches Eigenproblem behandelt hat — sondern als Lieferketten-Anforderung, die über EU-Kunden zwingend wird. Und wie aus einem 47-Punkte-Lieferantenfragebogen ein eigenes, belastbares Cybersecurity-Programm entsteht, das mehr leistet als die ursprüngliche Pflicht.
Diese Fallstudie beschreibt exemplarisch, wie ein Schweizer IoT-KMU NIS2-Anforderungen aus seiner EU-Lieferkette in ein eigenes Cybersecurity-Programm übersetzt hat. Unternehmen, Personen, Zahlen und Zitate sind fiktiv; die dargestellten Muster sind bewusst realitätsnah konstruiert.
Die Ausgangslage
Die Nextronix AG mit Sitz in Sursee entwickelt und vertreibt IoT-Steuerungen für die Lebensmittelindustrie. Die Steuerungen messen Temperaturen in Produktionslinien, dokumentieren Hygiene-Parameter, steuern Reinigungs-Zyklen und melden Abweichungen direkt in die Qualitätssicherungssysteme der Kunden. 92 Mitarbeitende, davon 38 in Entwicklung und Engineering. Kunden in Deutschland, Österreich, Italien und Frankreich — Tendenz wachsend.
Cybersecurity war bei Nextronix bisher die Aufgabe einer kleinen IT-Abteilung. Es gab eine Firewall, regelmässige Backups, Antivirus, Mitarbeiter-Schulungen einmal im Jahr. Die IoT-Steuerungen selbst hatten Authentifizierung, verschlüsselte Datenübertragung und automatische Updates. Das fühlte sich richtig an — bis es nicht mehr reichte.
Der Auslöser
«Sehr geehrte Damen und Herren, im Rahmen unserer NIS2-Umsetzung sind wir verpflichtet, die Cybersecurity unserer wesentlichen Lieferanten zu bewerten. Anbei finden Sie unseren Lieferantenfragebogen mit 47 Anforderungen aus Art. 21 NIS2 und ISO 27001:2022. Bitte beantworten Sie alle Punkte mit konkreten Nachweisen bis zum 30. Mai 2026. Bei nicht ausreichender Beantwortung können wir die Geschäftsbeziehung in der bestehenden Form nicht fortführen.»
Absender: Vendor Cybersecurity Management, einer der grössten Lebensmittelkonzerne Deutschlands. Vertragsvolumen: 22 % des Jahresumsatzes der Nextronix. Beziehungsdauer: zwölf Jahre. Der Fragebogen umfasste 47 Punkte: von „Haben Sie ein dokumentiertes ISMS?“ über „Welcher Recovery Time Objective (RTO) gilt für Ihre kritischen Systeme?“ bis „Können Sie Penetrationstest-Berichte der letzten 24 Monate vorlegen?“.
Lena Hofstetter, CEO der Nextronix, las den Fragebogen am Montagmorgen mit dem CISO und dem Head of Production. Nach 20 Minuten Lektüre legte sie ihn zur Seite und sagte: «Wir können neun Fragen guten Gewissens beantworten. Bei den restlichen 38 müssen wir entweder lügen — oder anfangen, das aufzubauen, was wir vortäuschen würden.»
Die Gap-Analyse
Eine externe NIS2-Beratung — auf Empfehlung der Anwältin der Hauptbank — analysierte den Fragebogen Punkt für Punkt gegen den realen Stand bei Nextronix. Das Ergebnis war differenzierter als erwartet: Nicht alles war kritisch, aber drei Bereiche waren es eindeutig.
| Bereich | Anforderung NIS2 / Fragebogen | Stand Nextronix | Status |
|---|---|---|---|
| Asset-Management | Vollständiges Inventar aller ICT-Komponenten inkl. Subdienstleister | Excel-Liste, ca. 60 % vollständig, ohne Subdienstleister | kritisch |
| Risikoanalyse | Methodisches Risikomanagement nach Standard (z.B. ISO 27005, BSI 200-3) | Ad-hoc-Bewertungen pro Projekt, nicht dokumentiert | kritisch |
| Incident Response | Strukturierter Meldeprozess mit klaren Fristen, Eskalationspfaden, Kommunikationsvorlagen | «Wenn etwas passiert, ruft Marc den Geschäftsführer an» — informell, undokumentiert | kritisch |
| Zugriffsrechte | Least Privilege, MFA, regelmässige Reviews | MFA für externe Zugriffe vorhanden, intern teilweise; Reviews nicht etabliert | mittel |
| Lieferkettensicherheit | Cybersecurity-Bewertung der eigenen Subdienstleister | Nicht systematisch durchgeführt | kritisch |
| Schulungen & Awareness | Regelmässige Cybersecurity-Trainings, Phishing-Simulationen | Jährliche Awareness-Schulung, keine Phishing-Tests | mittel |
| BCM & DR | Getestete Business-Continuity- und Disaster-Recovery-Pläne | Backups vorhanden, Restore-Tests sporadisch, kein dokumentierter BCP | mittel |
| Logging & Monitoring | Zentrale Protokollierung sicherheitsrelevanter Ereignisse | SIEM teilweise vorhanden, ohne zentrale Korrelation | mittel |
Was Nextronix entschieden hat
Die Geschäftsleitung entschied — gegen den ursprünglichen Reflex „nur den Fragebogen beantworten“ — den Fragebogen als Anlass zu nehmen, ein eigenes belastbares Cybersecurity-Programm aufzubauen. Begründung: Wenn ein Kunde diesen Fragebogen schickt, schicken die nächsten ihn auch. Und Nextronix lebt von der Lieferantenposition zu mittelständischen und grösseren EU-Kunden.
Vier Entscheidungen prägten den Verlauf:
Entscheidung 1. Kein vollständiges ISO-27001-Zertifikat anstreben — zu hoher Initialaufwand. Stattdessen ISO 27001 als Strukturraster nutzen und schrittweise Reife aufbauen.
Entscheidung 2. Asset-Inventar als Erstes. Ohne vollständigen Überblick keine sinnvolle Risikoanalyse, keine seriöse Incident Response, keine glaubwürdigen Antworten an Kunden.
Entscheidung 3. Lieferanten parallel mitnehmen. Von den 14 Subdienstleistern bekommen acht ihrerseits einen Cybersecurity-Fragebogen — kürzer, KMU-tauglich.
Entscheidung 4. CISO-Rolle aufgewertet. Bisher war Cybersecurity eine Aufgabe innerhalb der IT-Abteilung. Ab Q2 2026 ist sie eine direkt der Geschäftsleitung unterstellte Funktion mit Berichtspflicht im monatlichen Management-Meeting.
Was nach 5 Monaten konkret entstanden ist
Was Nextronix aus diesem Prozess gelernt hat
Lernpunkt 1
Lieferketten-Pflichten kommen, ob direkt betroffen oder nicht
Nextronix fällt in der hier beschriebenen Konstellation nicht unmittelbar unter NIS2 (das ist keine allgemeine Aussage für jedes Unternehmen ausserhalb der EU — Niederlassung, Tätigkeit oder territoriale Sonderregeln können anderes ergeben). Der deutsche Konzern fällt aufgrund seiner Tätigkeit und Grösse nach dem deutschen Umsetzungsgesetz in den NIS2-Anwendungsbereich (Lebensmittel ist ein erfasster Sektor, aber nicht jedes Unternehmen darin ist automatisch pflichtig). Über Art. 21 Abs. 2 lit. d NIS2 muss er die Cybersecurity seiner Lieferanten steuern. Schweizer Lieferanten werden so zu de-facto-Adressaten — vertraglich, nicht rechtlich.
Lernpunkt 2
Der Fragebogen ist die schwächste Form der Anforderung
Der erste Fragebogen war 47 Punkte lang. Der zweite, der drei Monate später kam, war 89 Punkte lang. Wer auf den ersten reagiert, ohne ein eigenes Programm zu bauen, muss für jeden weiteren wieder bei Null anfangen. Im Fall Nextronix liessen sich rund 80 % des zweiten Fragebogens aus dem inzwischen dokumentierten ISMS heraus beantworten (ein Erfahrungswert dieses Falls, keine allgemeine Quote).
Lernpunkt 3
Asset-Inventar ist der teuerste Schritt — und der wichtigste
Von den fünf Monaten gingen 2,5 Monate in das Asset-Inventar. 184 IoT-Komponenten zu erfassen, mit Verantwortlichkeit, Updatestand und Subdienstleister-Mapping, ist mühsam. Aber alles, was danach kam — Risikoanalyse, Incident Response, BCM — basiert darauf. Wer hier abkürzt, hat später keinen Boden für die Risikoanalyse.
Lernpunkt 4
Cybersecurity-Funktion mit direktem Zugang zur Geschäftsleitung (bei Nextronix: neben der IT)
Solange Cybersecurity eine Aufgabe innerhalb der IT-Abteilung ist, ist sie immer das, was nach dem nächsten Produkt-Release übrigbleibt. Erst die direkte Berichtsstellung an die Geschäftsleitung — mit eigenem Budget und eigener KPI — verändert die Priorisierung im Alltag. Bei Nextronix war das die schwierigste, aber wirkungsvollste Strukturentscheidung.
Lernpunkt 5
9 statt 47 Eskalationsindikatoren — durch Struktur, nicht durch Kompromiss
In der Teamstudie zu Nextronix wird der eigentliche Wendepunkt sichtbar: aus den 47 Cybersecurity-Anforderungen des Fragebogens wurden 9 klar definierte Eskalationsindikatoren, bei denen das Incident-Team prüft, ob ein Ereignis dem EU-Kunden zu melden ist — weil ein strukturierter Workshop die Logik der (kundenseitigen) Meldepflicht von der Logik der Vorsicht getrennt hat. (Es geht nicht um 47 gesetzliche Meldepunkte des Schweizer Lieferanten.)
Fazit
NIS2 wirkt für Schweizer KMU heute nicht über Behörden, sondern über Verträge. Das ist juristisch eine schwächere Form der Pflicht — operativ aber eine umfassendere. Ein NIS2-pflichtiger EU-Kunde fordert keinen Mindeststandard, sondern volle Sichtbarkeit der Lieferkette. Wer den ersten Fragebogen ernst nimmt, hat das Programm, mit dem er den zweiten, dritten und vierten beantwortet.
Die Nextronix-Geschichte zeigt: aus einer Lieferanten-Anforderung wird ein eigenes Cybersecurity-Programm — wenn die Geschäftsleitung den Fragebogen nicht als Bürokratie versteht, sondern als Frühindikator des eigenen strategischen Risikos.