Adressaten-Rundgang · KMU (Schweiz)
Ein Tag in einem Schweizer KMU mit EU-Kundschaft
Sieben Stationen. DORA-Klausel im Bankvertrag, Auditor-Anmeldung, NIS2-Cascading, ENISA-Realität — und die strategische Frage, was ein KMU realistisch tragen kann.
Klick auf einen Knoten springt zur Station. Die Reihenfolge ist chronologisch — der Tag baut sich aus.
Neue DORA-Klausel im Bankvertrag — was bedeutet das für uns?
Der Vertrag mit Ihrem größten EU-Bankkunden kommt zur Verlängerung. Im Annex: drei DORA-Klauseln. Die Bank ist DORA-pflichtig und muss bestimmte Anforderungen vertraglich an ihre ICT-Dienstleister weitergeben — DORA gilt für Sie dadurch nicht unmittelbar, und nicht jede Klausel ist allein deshalb nötig, weil sie „DORA“ heißt. Sie sind ein 80-Mann-Schweizer KMU. DORA war nie Ihr Thema. Bis heute früh.
Was hilft jetzt
Erkenntnis. DORA erreicht das KMU über den Vertrag — der EU-Kunde reicht die Pflicht weiter.
Der Auditor des EU-Kunden meldet sich an — nächste Woche
E-Mail vom EU-Kunden: «Unser Auditor würde gerne kommende Woche Ihren ICT-Risikomanagement-Prozess prüfen.» Sie haben einen Prozess. Es ist der, den Ihr CTO im Kopf hat. Auf Papier ist er nicht. Sie haben fünf Werktage, um etwas zu produzieren, das im Audit hält.
Was hilft jetzt
Erkenntnis. Was im Kopf existiert, ist im Audit nicht da. Dokumentation ist die Sprache, die der Auditor versteht.
Wer bei uns kann das alles überhaupt?
Sie sitzen mit Ihrem CFO und Ihrer einzigen Compliance-Person zusammen. Auf der Whiteboard-Liste: DORA, NIS2, AI Act, GDPR, CRA. Auf der Personen-Liste: anderthalb Personen. Die eigentliche Frage ist, was Sie sich realistisch leisten können — und wo das Gap so gross ist, dass es ohne externe Hilfe nicht zu schliessen ist.
Was hilft jetzt
Erkenntnis. Ein KMU kann nicht alle Verordnungen einzeln tragen. Aber es kann die Schnittmenge tragen — wenn man sie sieht.
NIS2 trifft unseren Kunden — also auch uns
Ihr Bankkunde ist NIS2-pflichtig. Sie sind ein wesentlicher Lieferant. Der Kunde kann NIS2-bezogene Anforderungen (Lieferkettensicherheit, Vorfallskommunikation, Prüfrechte) vertraglich an Sie weitergeben — dadurch entsteht mittelbares Exposure, nicht automatisch eine eigene NIS2-Pflicht. Ihr Vertrieb ist genervt. Aber wenn Sie die Anforderungen nicht annehmen, verlieren Sie den Kunden.
Was hilft jetzt
Erkenntnis. Die Lieferkette ist das Einfallstor des Brussels Effects. Verträge sind das Werkzeug.
KMU-Realität vs. ENISA-Anforderungen
Ihre IT-Person zeigt Ihnen die ENISA-Leitlinien. 47 Kontrollen. Sie haben 3 davon umgesetzt, 12 teilweise, 32 nicht. Das ist nicht Faulheit — das ist KMU-Realität. Aber wenn der Audit kommt, zählt nicht KMU-Realität. Was nun?
Was hilft jetzt
Erkenntnis. Ein KMU kann nicht Enterprise-Cybersicherheit. Aber es kann eine Architektur, in der Cybersicherheit mitwächst.
Bleiben wir bei EU-Kundschaft — oder eingrenzen?
Strategiemeeting. Ihr CFO sagt: «Wenn das so weitergeht, kostet uns die EU-Kundschaft mehr als sie bringt.» Ihr Vertrieb sagt: «Ohne EU-Umsatz fallen wir zurück.» Beide haben Argumente. Was Sie brauchen, ist eine Antwort, die nicht im Bauchgefühl bleibt.
Was hilft jetzt
Erkenntnis. EU-Markt verlassen ist ein strategischer Move — nicht ein operativer. Erfordert ein Board-Entscheid, kein Compliance-Memo.
Was kann ein KMU realistisch tragen?
Der Tag hatte sieben Druckpunkte. Alle waren regulatorisch motiviert, alle kamen nicht aus der Schweiz, alle bremsten den operativen Alltag. Die Frage für morgen: Wie schafft ein KMU eine Compliance-Architektur, die mitwächst, ohne dass jeder neue EU-Vertrag ein neues Compliance-Projekt ist?
Was hilft jetzt
Erkenntnis. KMU-Compliance ist eine eigene Disziplin: Brussels-Effect-Realismus mit eigener Logik.
Alle Schweizer Self-Checks auf einen Blick
Sechs kurze Selbsttests, jeder nach Schweizer Recht gelöst. Jeder endet mit einem handlungsfähigen Ergebnis und einer 1-Seiten-Mitnahme zum Weitergeben — Ihr Schweizer Werkzeugkasten auf einmal.
Alle sechs CH-Self-Checks
Diesen Tag morgen anders aussehen lassen
Wenn Sie die Architektur dieses Tages nicht zufällig entstehen lassen wollen, sondern bauen — ein 30-Minuten-Gespräch klärt, wo wir anfangen.
30 Minuten Einordnung →