NIS2 ohne EU-Sitz: Leitfaden für Schweizer Zulieferbetriebe
NIS2 gilt für Schweizer KMU nicht direkt, wird aber über Lieferverträge mit EU-Kunden wirksam. Betroffene Betriebe sollten ihre EU-Kundenbeziehungen erfassen, geforderte Klauseln mit dem eigenen Sicherheitsniveau abgleichen, Unterlieferanten einbeziehen und Nachweise wie Risikoregister, Incident-Response-Pläne und getestete Backups dokumentieren, bevor der nächste Vertrag oder die nächste Verlängerung ansteht.
Ein deutsches Industrieunternehmen verlangt von seinem Schweizer Zulieferbetrieb neuerdings Nachweise zur IT-Sicherheit, feste Meldefristen bei Vorfällen und ein Recht auf Audits in dessen Systemen. Grund dafür ist die EU-Richtlinie NIS2, die für den Schweizer Betrieb selbst nicht gilt, wohl aber für dessen deutschen Kunden. Dieser gibt seine gesetzlichen Pflichten über den Liefervertrag an die gesamte Kette weiter, unabhängig vom Sitz des Zulieferers. Für Schweizer KMU entsteht damit ein faktischer Handlungsdruck ohne direkte Gesetzespflicht.
Warum verlangen EU-Kunden von Schweizer Zulieferbetrieben NIS2-Nachweise, obwohl die Richtlinie hier nicht gilt?
EU-Unternehmen, die selbst unter NIS2 fallen, müssen die Cybersicherheit ihrer gesamten Lieferkette gewährleisten und geben diese Pflicht über Vertragsklauseln, Audit-Rechte und Melde-Fristen an ihre Zulieferer weiter, unabhängig vom Firmensitz.
Die Richtlinie (EU) 2022/2555 verpflichtet betroffene Einrichtungen ausdrücklich dazu, Sicherheitsanforderungen an ihre wichtigen Lieferanten und Dienstleister weiterzugeben, wie es Artikel 21 Absatz 3 vorsieht. Ein Schweizer Anbieter, der Software an eine deutsche Stadtwerke-Tochter liefert, bekommt solche Klauseln unabhängig vom eigenen Sitz vertraglich auferlegt.
Weil die EU der wichtigste Handelspartner der Schweiz bleibt, übernehmen viele Schweizer Unternehmen ähnliche Sicherheitsstandards wie ihre EU-Kunden, auch ohne gesetzliche Pflicht dazu. Deutschland hat seine nationale Umsetzung bereits am 6. Dezember 2025 in Kraft gesetzt, und Österreich verpflichtet ab dem 1. Oktober 2026 rund 4'000 Unternehmen zu Risikomanagement und Lieferantenkontrolle.
Welche konkreten Pflichten reichen EU-Kunden typischerweise vertraglich an Schweizer Lieferanten weiter?
EU-Kunden verlangen von Schweizer Zulieferbetrieben in der Regel vertiefte Sicherheitsfragebögen, den Nachweis von Massnahmen wie ISO 27001, Audit- und Testrechte sowie die Meldung von Sicherheitsvorfällen innerhalb kurzer Fristen.
Diese Anforderungen werden häufig kaskadiert: Verpflichtet sich ein Schweizer Cloud-Anbieter gegenüber seinem EU-Kunden, muss er dieselben Sicherheitsstandards an eigene Unterauftragnehmer weitergeben, sobald diese Teile der Infrastruktur betreiben.
Auch Zulieferer, die unterhalb der eigentlichen NIS2-Schwellenwerte liegen, müssen diese Anforderungen erfüllen, wenn sie die Kundenbeziehung nicht verlieren wollen.
- Sicherheitsfragebögen, die deutlich über frühere Standard-Vendor-Assessments hinausgehen
- Vertragliche Verpflichtung zu NIS2-Mindestmassnahmen, häufig mit ISO 27001 als Nachweis
- Recht auf Audits und Penetrationstests bei bezogenen Diensten
- Meldung von Sicherheitsvorfällen innerhalb vertraglich vereinbarter Frist, typischerweise 24 Stunden
- SBOM-Anforderungen bei Produktlieferanten
Wie sollte ein Schweizer KMU reagieren, wenn ein EU-Kunde eine NIS2-Klausel in den Vertrag aufnehmen will?
Der erste Schritt ist eine Bestandsaufnahme aller EU-Kundenbeziehungen und ein Abgleich der vertraglich geforderten Massnahmen mit dem bestehenden Sicherheitsniveau im eigenen Betrieb.
Anschliessend empfiehlt sich eine Gap-Analyse, welche die Lücken zwischen den geforderten Massnahmen und dem heutigen Stand konkret benennt, etwa bei Risikomanagement oder Mitarbeiterschulung.
Sind eigene Unterlieferanten am Kundenauftrag beteiligt, müssen auch diese in die Sicherheitsbewertung einbezogen und die entsprechenden Lieferantenverträge angepasst werden. Für die geforderte Nachweispflicht braucht es dokumentierte Richtlinien, ein Risikoregister sowie Incident-Response-Pläne und Schulungsnachweise, die auf Anfrage vorgelegt werden können.
Schweizer KMU ohne eigene Sicherheitsabteilung können diese laufende Nachweispflicht über Managed Services für KMU abdecken, indem Betrieb, Überwachung und Dokumentation der IT-Sicherheit an einen externen Partner übergeben werden.
Welche technischen Massnahmen stehen bei EU-Kunden am häufigsten im Fokus?
EU-Kunden prüfen vor allem Zugriffskontrolle mit Mehrfaktor-Authentifizierung, Verschlüsselung von Daten in Ruhe und bei der Übertragung sowie getestete Backups zur schnellen Wiederherstellung nach einem Vorfall.
Diese Prioritäten ordnet die Meldestatistik und Meldepflicht für Schweizer KMU ein, die neben aktuellen Meldezahlen auch dokumentiert, dass ransomware.live in den vergangenen zwölf Monaten 95 Ransomware-Fälle in der Schweiz erfasst hat.
Besonders im Fokus solcher EU-Sicherheitsaudits stehen Zulieferbetriebe aus Produktion, IT und Beratung, weil ihre Systeme oft direkten Zugriff auf Konstruktionsdaten oder Kundenzugänge bieten.
Wer die eigene Sicherheit in der Cloud-Umgebung systematisch überprüft, kann die von EU-Kunden verlangten Nachweise zu Zugriffskontrolle und Verschlüsselung meist direkt aus bestehenden Massnahmen ableiten.
Wie unterscheidet sich diese vertragliche Erwartung von der Schweizer Rechtslage nach ISG, und was ist der erste Schritt?
Das revidierte Schweizer Informationssicherheitsgesetz richtet sich primär an Bundesbehörden und Betreiber kritischer Infrastruktur, während NIS2 in der EU bereits mittlere Unternehmen ab 50 Mitarbeitenden in 18 Sektoren erfasst, weshalb die vertragliche EU-Anforderung meist weiter geht als die Schweizer Gesetzeslage.
Das ISG kennt zudem keine mit NIS2 vergleichbare persönliche Haftung der Geschäftsleitung, während NIS2 Verstösse ausdrücklich der Unternehmensführung zurechnet.
Schweizer KMU mit EU-Kundenbeziehungen prüfen deshalb als ersten Schritt, welche ihrer bestehenden Verträge bereits Sicherheitsklauseln enthalten oder bei der nächsten Verlängerung enthalten werden, und gleichen diese systematisch mit dem eigenen Sicherheitsniveau ab, bevor der Kunde selbst eine Frist setzt.
Häufige Fragen
Gilt NIS2 auch für Schweizer Unternehmen?
NIS2 ist eine EU-Richtlinie und gilt nicht direkt für Schweizer Unternehmen, da die Schweiz nicht EU-Mitglied ist. Betroffen sind Schweizer Betriebe jedoch indirekt, wenn sie als Zulieferer oder Dienstleister für Unternehmen tätig sind, die selbst unter NIS2 fallen, weil diese ihre Sicherheitspflichten vertraglich an die gesamte Lieferkette weitergeben.
Was ist der Unterschied zwischen NIS2 und dem Schweizer ISG?
Das revidierte Schweizer Informationssicherheitsgesetz richtet sich vor allem an Bundesbehörden und Betreiber kritischer Infrastruktur. NIS2 erfasst in der EU bereits mittlere Unternehmen ab 50 Mitarbeitenden in 18 Sektoren und sieht anders als das ISG eine persönliche Haftung der Geschäftsleitung bei Verstössen vor.
Welche Nachweise verlangen EU-Kunden von Schweizer Zulieferbetrieben?
EU-Kunden fordern von Schweizer Zulieferbetrieben typischerweise ausführliche Sicherheitsfragebögen, Nachweise wie ISO 27001, Audit- und Testrechte für ihre Systeme sowie die Meldung von Sicherheitsvorfällen innerhalb kurzer Fristen, oft 24 Stunden. Bei Produktlieferanten kommen zusätzlich Anforderungen an eine Software Bill of Materials hinzu.
Ab wann müssen Schweizer Firmen NIS2-Anforderungen erfüllen?
Eine eigenständige gesetzliche Frist gibt es für Schweizer Firmen nicht, da NIS2 hier nicht gilt. Der Handlungsdruck entsteht durch EU-Kunden, die ihre nationalen Umsetzungsfristen einhalten müssen, etwa Deutschland seit dem 6. Dezember 2025 und Österreich ab dem 1. Oktober 2026, und diese Fristen über Verträge weitergeben.
Wie bereitet sich ein KMU auf NIS2-Anforderungen von EU-Kunden vor?
Ein KMU sollte zunächst alle EU-Kundenbeziehungen erfassen und prüfen, welche Verträge Sicherheitsklauseln enthalten. Danach folgt ein Abgleich der geforderten Massnahmen mit dem eigenen Sicherheitsniveau, die Einbindung von Unterlieferanten sowie die Dokumentation von Risikoregister, Incident-Response-Plänen und getesteten Backups als Nachweis.
Quellen
- EU NIS2 und die SchweizOpenKRITIS
- NISG 2026 – neue Pflichten zur Cybersicherheit für UnternehmenWirtschaftskammer Österreich (WKO)
Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung fachlich geprüft und freigegeben. Die inhaltliche Verantwortung liegt bei n'cloud.swiss AG.