NIS2-Umsetzung für Schweizer Unternehmen
NIS2 gilt in der EU, trifft aber auch viele Schweizer Unternehmen: über Niederlassungen, Dienstleistungen in der EU oder als Lieferant von EU-Kunden. Wir klären Ihre Betroffenheit und setzen die Anforderungen pragmatisch um.
Was NIS2 verlangt
Die NIS2-Richtlinie (EU 2022/2555) verpflichtet mittlere und grosse Unternehmen in 18 Sektoren zu einem angemessenen Cyber-Risikomanagement. Dazu gehören Risikoanalysen, Incident Handling, Business Continuity, Sicherheit in der Lieferkette, Kryptografie, Zugriffskontrolle und Schulungen.
Erhebliche Sicherheitsvorfälle müssen gestaffelt gemeldet werden: eine Frühwarnung innert 24 Stunden, eine Meldung innert 72 Stunden und ein Abschlussbericht nach einem Monat. Die Geschäftsleitung muss die Massnahmen genehmigen, überwachen und sich schulen lassen.
Für Schweizer Unternehmen gilt NIS2 nicht direkt. Wer aber in der EU tätig ist oder EU-Kunden aus kritischen Sektoren beliefert, bekommt die Anforderungen über Verträge und Lieferantenfragebögen. Parallel gilt in der Schweiz seit dem 1. April 2025 die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen nach dem Informationssicherheitsgesetz (ISG).
So setzen wir es mit Ihnen um
Betroffenheit klären
1–2 TageSektor, Grösse, EU-Bezug und Kundenverträge: Wir klären, ob und wie NIS2 für Sie gilt.
Gap-Analyse
1–3 WochenAbgleich mit den Massnahmen nach Art. 21 und bestehenden Standards wie ISO 27001.
- Reifegrad pro Massnahme
- Priorisierte Lücken
Umsetzung
projektbasiertRichtlinien, Risikomanagement, Incident Response, Lieferkette und technische Kontrollen.
- Melde-Playbook
- Lieferantenbewertung
Nachweis & Betrieb
laufendEvidenzen, Kontrollen und Meldungen laufen in der GRC-Plattform, auf Wunsch mit AI-Agents.
Was Sie am Ende in der Hand haben
Häufige Fragen
Gilt NIS2 auch für Schweizer Unternehmen?
Direkt nur, wenn Sie in der EU niedergelassen sind oder dort Dienste erbringen. Indirekt betrifft NIS2 viele Schweizer Firmen über EU-Kunden, die Sicherheitsanforderungen in Verträgen und Fragebögen weitergeben.
Welche Fristen gelten bei einem Vorfall?
Eine Frühwarnung innert 24 Stunden, eine Vorfallmeldung innert 72 Stunden und ein Abschlussbericht spätestens einen Monat danach. In der Schweiz kommt für kritische Infrastrukturen die ISG-Meldung innert 24 Stunden an das BACS dazu.
Brauchen wir für NIS2 eine ISO-27001-Zertifizierung?
Nein, NIS2 schreibt keine Zertifizierung vor. ISO 27001 deckt die meisten Anforderungen aber ab und ist der einfachste Weg, die Umsetzung gegenüber Kunden und Behörden nachzuweisen.
Wie lange dauert die Umsetzung?
Die Betroffenheit klären wir in wenigen Tagen. Die Umsetzung dauert je nach Reifegrad einige Wochen bis wenige Monate. Mit Swiss GRC Hosting und unseren AI-Agents reduzieren Sie den laufenden Aufwand deutlich.
Wo stehen Sie heute?
In einem kostenlosen Erstgespräch klären wir Ihren Scope und die nächsten drei Schritte.