NIS2

Betroffenheitslogik · Vertragsrealität · Branchenprofile · Typische Fehler

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: Wie man diesen Leitfaden benutzt

NIS2 ist seit Oktober 2024 in nationales Recht der EU-Mitgliedstaaten umzusetzen. Für Schweizer KMU gilt sie nicht direkt. Trotzdem ist sie hochrelevant – denn sie verändert, was Ihre EU-Kunden von Ihnen verlangen.

Dieser Leitfaden arbeitet in umgekehrter Richtung: Er beginnt nicht damit, was NIS2 verlangt, sondern damit, ob Sie betroffen sind – und wenn ja, was das operativ bedeutet.

1. Bin ich betroffen? – Entscheidungslogik

Der entscheidende Punkt: NIS2 gilt nicht für Sie direkt – außer Sie haben eine EU-Niederlassung oder erbringen Leistungen, die Sie formal unter das Regime stellen. Relevant wird NIS2 für Sie über Ihre EU-Kunden. Deren Pflichten werden vertraglich an Sie weitergegeben.

1.1 Der Schnelltest

1.2 Wer ist bei Ihren EU-Kunden NIS2-pflichtig?

Um zu verstehen, was auf Sie zukommt, müssen Sie wissen, welche Ihrer EU-Kunden unter NIS2 fallen. Hier ist der Kurzcheck:

2. Was wird konkret von mir verlangt?

Dieser Abschnitt beschreibt, was NIS2-pflichtige EU-Kunden typischerweise von Schweizer Lieferanten verlangen. Diese Anforderungen kommen nicht aus dem Gesetzestext – sie kommen aus der Praxis.

2.1 Sicherheitsarchitektur – was wirklich geprüft wird

Der Begriff 'ISO 27001' taucht in fast jedem Lieferantenfragebogen auf. Aber was wird hinter diesem Label tatsächlich geprüft?

2.2 Incident Response – was EU-Kunden wirklich brauchen

Was die meisten KMU haben: Einen IT-Ansprechpartner, der bei Problemen erreichbar ist.

Was EU-Kunden brauchen: Einen dokumentierten Prozess, der unabhängig von einzelnen Personen funktioniert und spezifische Fristen einhält.

Was Sie bereitstellen müssen, damit Ihr EU-Kunde seine Fristen einhalten kann:

Erstkommunikation: Innerhalb von 4–8 Stunden nach Kenntnisnahme. Inhalt: was ist passiert, seit wann, welche Systeme sind betroffen, welche Sofortmaßnahmen laufen.

Statusupdates: Im Takt, den der Kunde vorgibt (meist alle 12–24 Stunden).

Root Cause Analysis: Innerhalb von 2 Wochen. Ursache, Auswirkungen, Gegenmaßnahmen, Lessons Learned.

Kontaktpunkt: 24/7-Erreichbarkeit für kritische Vorfälle. Keine Ausnahme.

2.3 Lieferkettensicherheit – Ihre Subdienstleister

NIS2-pflichtige EU-Kunden müssen die Risiken ihrer Lieferkette steuern. Das bedeutet: Sie müssen gegenüber dem Kunden nachweisen können, dass auch Ihre Subdienstleister angemessene Sicherheit bieten.

Lieferantenmatrix erstellen: Welche Subdienstleister sind an Ihrer Leistungserbringung beteiligt? Cloud, Tools, APIs, Unterauftragnehmer.

Sicherheitsnachweise einfordern: Von kritischen Subdienstleistern die gleichen Nachweise verlangen, die Ihre EU-Kunden von Ihnen verlangen.

Vertragliche Absicherung: Incident-Meldepflichten, Audit-Rechte und Subdienstleister-Offenlegungspflichten in Ihren Einkaufsverträgen verankern.

SBOM bei Software-Lieferungen: Software Bill of Materials wird zunehmend verlangt – eine Liste aller eingesetzten Komponenten inklusive Open-Source-Bibliotheken.

3. Was können Sie von EU-Kunden einfordern?

Dieser Abschnitt wird selten thematisiert. Compliance-Leitfäden behandeln Schweizer KMU als Objekte von Anforderungen. Sie sind es aber auch Subjekte – mit eigenen Rechten in der Vertragsbeziehung.

3.1 Informationen, die Sie brauchen

3.2 Vertragsklauseln: Verhandlungslinien

Sicherheitsstandards

Audit-Klauseln

Incident-Klauseln

4. Die fünf häufigsten Fehler in der Praxis

Fehler 1: 'Wir sind zu klein für NIS2'

NIS2 gilt ab 50 Mitarbeitenden oder 10 Mio. EUR Umsatz – für den EU-Kunden. Ihre Grösse ist irrelevant. Wenn Ihr EU-Kunde NIS2-pflichtig ist und Sie ein kritischer Lieferant sind, spielt Ihre eigene Grösse keine Rolle für seine Anforderungen an Sie.

Fehler 2: Sicherheitsnachweise ohne Datum

Viele KMU haben Sicherheitsdokumente, die seit drei Jahren nicht aktualisiert wurden. Für NIS2-pflichtige Kunden sind veraltete Nachweise schlechter als keine – sie signalisieren, dass das Thema nicht aktiv gemanagt wird.

Fehler 3: Incident-Response ohne Test

Ein Incident-Response-Plan existiert – aber niemand weiss, ob er funktioniert. Das merkt man erst im Ernstfall, wenn die Fristen bereits laufen. EU-Kunden fragen zunehmend nach Testprotokollen, nicht nur nach dem Plan selbst.

Fehler 4: Subdienstleister-Risiken ignorieren

Sie haben Ihre eigene Sicherheit im Griff – aber Ihr Cloud-Provider, Ihr Monitoring-Tool und Ihr Netzwerkdienstleister sind nicht berücksichtigt. Wenn ein Vorfall bei einem Ihrer Subdienstleister Ihren Kunden beeinträchtigt, sind Sie in der Erklärungspflicht.

Fehler 5: ISO 27001 als Ersatz für Compliance behandeln

ISO 27001 ist ein wertvoller Rahmen – aber keine NIS2-Compliance. Ein ISO-Zertifikat beantwortet nicht die Frage, wie Sie mit einem konkreten Vorfall umgehen, welche Fristen Sie einhalten und wie Ihre Lieferkette kontrolliert wird.

5. Branchenprofile: Was bedeutet das konkret für Sie?

Profil A: Schweizer IT-Dienstleister, der deutsche Stadtwerke betreut

Profil B: Schweizer Managed-Service-Provider mit EU-Kunden im Gesundheitswesen

Profil C: Schweizer Softwareentwickler, der Logistik-Software für EU-Transportunternehmen liefert

Profil D: Schweizer Cloud-Anbieter mit EU-Kunden aus verschiedenen Sektoren

6. Verbindung zu AI Act und DORA

Wenn Sie gleichzeitig unter AI Act- und/oder DORA-nahen Anforderungen stehen, lohnt es sich, die Gemeinsamkeiten zu nutzen.

7. Was Sie jetzt tun – priorisiert

Kontakt & weitere Informationen