NIS2 gilt in Deutschland, nicht in der Schweiz: Was das bedeutet

Seit dem 6. Dezember 2025 ist NIS2, die EU-Richtlinie für Cybersicherheit kritischer und wichtiger Einrichtungen, in Deutschland geltendes Recht, umgesetzt über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Ohne Übergangsfrist. Die Schweiz ist kein EU-Mitglied und hat die Richtlinie nicht ins nationale Recht übernommen. Für viele Schweizer Sicherheitsverantwortliche ist damit die Sache erledigt: eine EU-Regulierung, die uns nicht betrifft. Das ist in vielen Fällen der falsche Schluss.

Wie ernst es Deutschland gerade nimmt

Rund 29’500 Unternehmen in Deutschland fallen unter das Gesetz, verteilt auf 18 Sektoren von Energie über Gesundheit bis Maschinenbau. Die ursprüngliche Registrierungsfrist beim Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, lief am 6. März 2026 ab. Bis dahin hatten sich nach Angaben des BSI lediglich rund 11’500 Unternehmen gemeldet, deutlich weniger als die Hälfte der Betroffenen. Das BSI reagierte mit einer Nachfrist bis zum 31. Juli 2026, die den ursprünglichen Stichtag nicht rückwirkend aufhebt. Wer die Registrierung weiterhin versäumt, riskiert nach Paragraf 65 BSIG ein Bussgeld von bis zu 500’000 Euro allein für die verspätete Meldung. Bei materiellen Verstössen gegen die Sicherheitsanforderungen drohen bis zu 10 Millionen Euro. Und nach dem neuen Paragrafen 38 BSIG haftet die Geschäftsführung für Verstösse persönlich.

Das ist die Ausgangslage, vor der viele Schweizer Unternehmen stehen, wenn sie mit deutschen oder anderen EU-Kunden Geschäfte machen.

Drei Wege, wie NIS2 die Schweiz trotzdem erreicht

Direkt gilt NIS2 für ein Schweizer Unternehmen nur, wenn es eine Niederlassung oder Tochtergesellschaft in der EU betreibt, die selbst unter die Grössen- und Sektorkriterien fällt. Das betrifft in erster Linie grössere Schweizer Konzerne mit europäischer Präsenz.

Der zweite und für die meisten Schweizer KMU relevantere Weg führt über die Lieferkette. Artikel 21 Absatz 3 der NIS2-Richtlinie verpflichtet jedes betroffene EU-Unternehmen ausdrücklich, Sicherheitsanforderungen an seine wichtigen Lieferanten und Dienstleister weiterzugeben, unabhängig von deren Firmensitz. Ein Schweizer Softwarehaus, das eine Lösung an eine deutsche Stadtwerke-Tochter liefert, oder ein Schweizer Zulieferer für Industriekomponenten mit deutschen und französischen Kunden bekommt diese Anforderungen über Vertragsklauseln, Audit-Rechte und Meldefristen faktisch auferlegt. Rechtlich bleibt das Schweizer Unternehmen ausserhalb des Anwendungsbereichs von NIS2. Vertraglich ist es mittendrin.

Der dritte Weg betrifft Schweizer Anbieter, die aktiv im deutschen oder österreichischen Markt tätig sind und dort selbst als wesentliche oder wichtige Einrichtung eingestuft werden könnten, etwa bei Cloud-Diensten, IT-Outsourcing oder Managed Services mit EU-Kunden. Österreich setzt seine nationale NIS2-Umsetzung ab dem 1. Oktober 2026 in Kraft, mit Registrierungspflicht für rund 4’000 Unternehmen bis Ende Jahr. Wer heute nur nach Deutschland schaut, übersieht damit den nächsten Markt, der dieselbe Frage stellen wird.

Warum das Schweizer ISG nicht automatisch reicht

Die Schweiz hat mit dem Informationssicherheitsgesetz, kurz ISG, seit dem 1. April 2024 ein eigenes Regelwerk mit Melde- und Risikomanagementpflichten für Betreiber kritischer Infrastrukturen. Das ISG bildet eine solide Grundlage, deckt aber nicht dieselbe Tiefe ab wie NIS2. Insbesondere bei der Lieferkettensicherheit, der Einbindung der Geschäftsleitung und der Nachweispflicht gegenüber Dritten geht NIS2 weiter. Ein Schweizer Unternehmen, das ISG-konform ist, kann einem EU-Kunden damit noch keinen ausreichenden NIS2-Nachweis liefern.

Was Sie jetzt tun sollten

Erfassen Sie systematisch, welche Ihrer Kunden in der EU selbst unter NIS2 fallen und ob diese bereits vertragliche Sicherheitsnachweise verlangen oder in absehbarer Zeit verlangen werden. Prüfen Sie parallel, wo Ihr Unternehmen über eine EU-Niederlassung direkt betroffen sein könnte. Gleichen Sie Ihr bestehendes Sicherheitsniveau, etwa aus einer ISG- oder ISO-27001-Basis, mit den konkreten NIS2-Anforderungen ab, bevor der nächste Vertrag oder die nächste Vertragsverlängerung mit einem EU-Kunden ansteht.

Quellen

• Locaterisk: NIS2-BSI-Registrierung, Nachfrist bis 31. Juli 2026
• MineData: NIS2 Schweiz, wann Schweizer Firmen betroffen sind
• Itiko: NIS2-Leitfaden für Schweizer Anbieter