Wann NIS2 Schweizer Firmen betrifft

Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung. Stand: Oktober 2026.

Die NIS2-Richtlinie gilt in der Schweiz nicht. Sie richtet sich an die Mitgliedstaaten der EU (Art. 46), und Pflichten für Unternehmen entstehen erst durch deren Umsetzungsgesetze. Eine Schweizer Firma ist trotzdem betroffen, wenn sie in der EU niedergelassen ist, dort in einem der Sektoren der Anhänge I oder II tätig ist und mindestens als mittleres Unternehmen gilt. Gerechnet wird dabei in der Regel mit den Zahlen der ganzen Gruppe. Ohne Niederlassung trifft es Anbieter bestimmter digitaler Dienste wie Cloud, Rechenzentren oder Managed Services ab mittlerer Grösse (DNS und Domains unabhängig von der Grösse), die ihre Dienste gezielt Kunden in der EU anbieten: Sie unterliegen den Pflichten selbst und müssen zusätzlich einen Vertreter in der EU benennen.

Alle anderen spüren NIS2 über ihre Kunden. Wer in der EU unter die Richtlinie fällt, muss die Sicherheit seiner Lieferkette berücksichtigen und gibt diese Anforderungen an seine Lieferanten weiter. In Deutschland gilt das Umsetzungsgesetz seit dem 6. Dezember 2025, in Österreich seit dem 1. Oktober 2026. In Österreich müssen sich erfasste Einrichtungen bis Ende 2026 bei der Cybersicherheitsbehörde registrieren, innerhalb von drei Monaten ab dem Inkrafttreten (§ 29 Abs. 3 NISG 2026). Das gilt auch für österreichische Tochtergesellschaften und Zweigniederlassungen Schweizer Gruppen. Anbieter digitaler Dienste wie Cloud oder Managed Services registrieren sich nach der Richtlinie nur im Staat der Hauptniederlassung in der EU, und zwar je Gesellschaft: Eine Zweigniederlassung zählt zur Gesellschaft, eine österreichische Tochter-GmbH hat ihre eigene Hauptniederlassung in Österreich (zum Wortlaut des NISG 2026 siehe Frage 2). In Deutschland ist die Frist zur Registrierung für Einrichtungen, die seit dem Inkrafttreten erfasst sind, schon Anfang März 2026 abgelaufen.

Die Schweizer Meldepflicht für Cyberangriffe nach dem Informationssicherheitsgesetz (ISG) gilt unabhängig davon und kann für denselben Vorfall zusätzlich greifen.

Okt. 2024Apr. 2025Okt. 2025Dez. 2025Jan. 2026Okt. 2026Ende 20262027

1. EURichtlinie (EU) 2022/255517.10.2024 Umsetzungsfrist14.1.2026 ÄnderungsvorschlagMärz 2027 Plenum, indikativ17.10.2024 Umsetzungsfrist14.1.2026 ÄnderungsvorschlagMärz 2027 Plenum, indikativ
2. DeutschlandBSIG6.12.2025 in Kraft6.12.2025 in Kraft
3. ÖsterreichNISG 202623.12.2025 kundgemacht1.10.2026 in Kraftbis Ende 2026 Registrierung23.12.2025 kundgemacht1.10.2026 in Kraftbis Ende 2026 Registrierung
4. SchweizISG1.4.2025 Meldepflicht1.10.2025 Strafbestimmung1.4.2025 Meldepflicht1.10.2025 Strafbestimmung

Wichtige Daten auf einer gemeinsamen Zeitachse. EU: Frist zur Umsetzung der NIS2-Richtlinie am 17. Oktober 2024; Vorschlag der Kommission für eine gezielte Änderung am 14. Januar 2026; erste Lesung im Plenum des Europäischen Parlaments indikativ im März 2027. Deutschland: neues BSI-Gesetz in Kraft seit 6. Dezember 2025. Österreich: NISG 2026 kundgemacht am 23. Dezember 2025, in Kraft seit 1. Oktober 2026, Registrierung bis Ende 2026. Schweiz: Meldepflicht für Cyberangriffe nach ISG seit 1. April 2025, Strafbestimmung seit 1. Oktober 2025.

Der Entscheidungsweg in fünf Fragen

Die folgenden Fragen prüfen Sie für jede Gesellschaft und jede Niederlassung in der EU einzeln. Das Ergebnis ist eine Einordnung, keine verbindliche Auskunft: Massgebend ist am Ende das Gesetz des zuständigen Mitgliedstaats.

1. Anhang I oder II1. Sektor

   Ist die Tätigkeit dort als Art der Einrichtung genannt? Wenn nein: keine eigenen Pflichten, weiter mit Frage 5.

2. Art. 26 Abs. 1 und 22. Niederlassung in der EU

   Tochtergesellschaft oder Zweigniederlassung mit fester Einrichtung? Wenn ja: weiter mit Frage 4, nach dem Recht dieses Staates (digitale Dienste: Staat der Hauptniederlassung der Gesellschaft in der EU). Wenn nein: Frage 3.

3. Art. 26 Abs. 1 und 33. Ohne Niederlassung

   Nur Cloud, Rechenzentren, Managed (Security) Services, DNS, Domains, Inhaltszustellnetze, Online-Marktplätze, Suchmaschinen und soziale Netzwerke: weiter mit Frage 4; sind sie erfasst und bieten sie Dienste in der EU an, müssen sie die Pflichten erfüllen und einen Vertreter in der EU benennen. Telekommunikation: dort, wo die Dienste erbracht werden. Sonst keine eigenen Pflichten, weiter mit Frage 5.

4. Empfehlung 2003/361/EG4. Grösse

   Mindestens 50 Mitarbeitende oder mehr als 10 Mio. EUR Umsatz und Bilanzsumme, mit den Zahlen der Gruppe. DNS, TLD-Register, Domain- Registrierung und einige weitere Anbieter sind unabhängig von der Grösse erfasst.

5. Art. 21 Abs. 2 Bst. d5. Lieferkette

   Liefern Sie an eine Einrichtung in der EU, die unter NIS2 fällt? Dann kann sie Nachweise zu Ihrer Sicherheit verlangen, etwa im Vertrag.

↩ Zusätzlich in der Schweiz

Die Meldepflicht für Cyberangriffe nach Art. 74a ff. ISG gilt unabhängig von NIS2 für die dort genannten Organisationen.

Fünf Fragen nacheinander: 1. Fällt die Tätigkeit unter Anhang I oder II der Richtlinie? 2. Gibt es eine Niederlassung in der EU? Dann gilt das Recht dieses Staates, für digitale Dienste wie Cloud oder Managed Services das Recht des Staates der Hauptniederlassung in der EU. 3. Falls keine Niederlassung: Ist es ein digitaler Dienst nach Art. 26 Abs. 1 Buchstabe b, dann gilt Frage 4; ist der Anbieter erfasst und bietet er Dienste in der EU an, unterliegt er den Pflichten und braucht zusätzlich einen Vertreter in der EU. 4. Ist das Unternehmen mit den Zahlen der Gruppe mindestens mittelgross, oder ist es unabhängig von der Grösse erfasst? 5. Liefert es an Einrichtungen in der EU, die unter NIS2 fallen? Dann können diese Nachweise zur Sicherheit verlangen. Zusätzlich gilt in der Schweiz die Meldepflicht nach ISG.

Frage 1: Fällt die Tätigkeit unter Anhang I oder II?

NIS2 gilt nur für Einrichtungen „der in den Anhang I oder II genannten Art“ (Art. 2 Abs. 1). Die Anhänge zählen Sektoren, Teilsektoren und Arten von Einrichtungen auf, meist mit Verweis auf andere EU-Rechtsakte oder auf Abteilungen der Wirtschaftszweige (NACE). Entscheidend ist die Art der Einrichtung, nicht die Branche, der sich ein Unternehmen zurechnet.

Für Schweizer Firmen sind vor allem vier Sektoren einschlägig: die Verwaltung von IKT-Diensten und die digitale Infrastruktur (Anhang I), Anbieter digitaler Dienste und das verarbeitende Gewerbe (Anhang II).

Alle Sektoren der Anhänge I und II

Anhang I, „Sektoren mit hoher Kritikalität“: 1. Energie, 2. Verkehr, 3. Bankwesen, 4. Finanzmarktinfrastrukturen, 5. Gesundheitswesen, 6. Trinkwasser, 7. Abwasser, 8. digitale Infrastruktur, 9. Verwaltung von IKT-Diensten (Business-to-Business), 10. öffentliche Verwaltung, 11. Weltraum.

Anhang II, „Sonstige kritische Sektoren“: 1. Post- und Kurierdienste, 2. Abfallbewirtschaftung, 3. chemische Stoffe (Produktion, Herstellung, Handel), 4. Lebensmittel (Produktion, Verarbeitung, Vertrieb), 5. verarbeitendes Gewerbe: Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau, 6. Anbieter digitaler Dienste, 7. Forschung.

Für viele Schweizer IT-Dienstleister ist Anhang I Nummer 9 einschlägig: „Anbieter verwalteter Dienste“ sind Unternehmen, die IKT-Produkte, Netze, Infrastruktur oder Anwendungen installieren, verwalten, betreiben oder warten, beim Kunden oder aus der Ferne (Art. 6 Nr. 39). Deutschland erlaubt ausdrücklich, Geschäftstätigkeiten wegzulassen, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind (§ 28 Abs. 3 BSIG).

Für Banken, Versicherungen und andere Finanzunternehmen gilt in der EU die Verordnung (EU) 2022/2554 (DORA). Stellt ein solcher sektorspezifischer Rechtsakt mindestens gleichwertige Anforderungen, gehen seine Regeln vor (Art. 4). Wie Deutschland und Österreich das umsetzen, zeigen die Karten weiter unten.

Frage 2: Hat Ihre Firma eine Niederlassung in der EU?

Grundsätzlich ist der Mitgliedstaat zuständig, in dem eine Einrichtung niedergelassen ist (Art. 26 Abs. 1). Eine Niederlassung setzt nach Erwägungsgrund 114 „die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung voraus“; ob es sich um eine Zweigstelle oder eine Tochtergesellschaft handelt, ist unerheblich. Hat ein Unternehmen Niederlassungen in mehreren Mitgliedstaaten, sind diese nebeneinander zuständig (Erwägungsgrund 113).

Eine Ausnahme gilt für Cloud, Rechenzentren, Managed (Security) Services, DNS und die anderen digitalen Dienste nach Art. 26 Abs. 1 Bst. b: Für sie ist nur der Mitgliedstaat der Hauptniederlassung in der EU zuständig, also dort, wo die Entscheide zum Risikomanagement vorwiegend fallen (Art. 26 Abs. 2; § 60 BSIG, § 28 Abs. 2 Z 2 und Abs. 3 NISG 2026). Fallen diese Entscheide nicht in der EU, zählt der Staat, in dem die Massnahmen durchgeführt werden, und lässt er sich nicht bestimmen, der Staat, in dem die Einrichtung ihre Niederlassung mit den meisten Beschäftigten in der EU hat.

Die Hauptniederlassung wird für jede Gesellschaft gesondert bestimmt, unter ihren eigenen Niederlassungen (Art. 26 Abs. 2). Eine Zweigniederlassung gehört zur Gesellschaft. Eine österreichische Tochter-GmbH einer Schweizer Gruppe ist dagegen eine eigene Einrichtung mit Hauptniederlassung in Österreich, auch wenn eine Schwestergesellschaft in Deutschland sitzt und die Entscheide in der Schweiz fallen. Erwägungsgrund 114 schliesst zwar: „Werden die Dienste von einer Unternehmensgruppe ausgeführt, so sollte die Hauptniederlassung des herrschenden Unternehmens als Hauptniederlassung der Unternehmensgruppe gelten.“ Liegt das herrschende Unternehmen in der Schweiz, führt das in keinen Mitgliedstaat, und weder Art. 26 noch BSIG oder NISG 2026 übernehmen den Satz (Einschätzung der Redaktion).

Die Umsetzungsgesetze knüpfen sonst an die Niederlassung an. In Deutschland beaufsichtigt das Bundesamt für Sicherheit in der Informationstechnik (BSI) Einrichtungen, „die in der Bundesrepublik Deutschland niedergelassen sind“ (§ 59 Nr. 1 BSIG). In Österreich gelten die Pflichten für wesentliche und wichtige Einrichtungen, „wenn sie in Österreich niedergelassen sind“ (§ 28 Abs. 1 NISG 2026).

Für eine Schweizer Gruppe heisst das: Jede Gesellschaft und jede Zweigniederlassung in der EU wird für sich geprüft, nach dem Gesetz ihres Staates; bei den digitalen Diensten nach Art. 26 Abs. 1 Bst. b nur nach dem Gesetz des Staates der Hauptniederlassung der jeweiligen Gesellschaft. Ein Managed Service Provider mit Hauptniederlassung in Deutschland und einer Zweigniederlassung in Österreich untersteht deshalb nach der Richtlinie nur dem BSI und registriert sich dort.

Das NISG 2026 ist hier nicht eindeutig. Es lässt seine Pflichten für solche Anbieter gelten, wenn sie ihre Hauptniederlassung in Österreich haben oder wenn sie „weder in Österreich, noch in einem anderen Mitgliedstaat der Europäischen Union einen Vertreter gemäß Abs. 4 bestellt haben“ (§ 28 Abs. 2 Z 2 NISG 2026). Nach dem blossen Wortlaut trifft das Zweite auch auf den deutschen Anbieter zu, denn er hat keinen Vertreter und braucht keinen. Gemeint sind nach dem Bezug auf Abs. 4, der nur Anbieter ohne Niederlassung in der EU betrifft, und nach Art. 26 der Richtlinie wohl nur diese Anbieter (Einschätzung der Redaktion); eine veröffentlichte Praxis der Behörde dazu kennen wir nicht. Wer in dieser Lage ist, klärt die Frage vor Ende 2026 mit der Cybersicherheitsbehörde. Hätte dieselbe Gruppe statt der Zweigniederlassung eine eigene GmbH in Österreich, wäre diese für sich zu prüfen und registrierte sich in Österreich. Die Schweizer Muttergesellschaft wird dadurch nicht selbst zur Einrichtung in der EU, ihre Zahlen zählen aber bei der Grösse mit (Frage 4).

Frage 3: Ohne Niederlassung zählt die Art des Dienstes

Für die meisten Sektoren gibt es nach dem Wortlaut ohne Niederlassung in der EU keinen Anknüpfungspunkt: Art. 26 Abs. 1 und die Gesetze in Deutschland und Österreich setzen eine Niederlassung voraus. Zwei Ausnahmen sind für Schweizer Anbieter wichtig. Die Übersicht zeigt, welcher Staat jeweils zuständig ist.

Art des Anbieterszuständiger Staat

• Telekommunikation

  Art. 26 Abs. 1 Bst. a

  Staat, in dem die Dienste erbracht werden
• Digitale Dienste mit Niederlassung in der EU

  Art. 26 Abs. 1 Bst. b, Abs. 2

  Staat der Hauptniederlassung in der EU
• Digitale Dienste ohne Niederlassung, erfasst

  Art. 26 Abs. 3

  Vertreter benennen, Staat des Vertreters
• Übrige ohne Niederlassung

  Wortlaut Art. 26 Abs. 1

  kein Anknüpfungspunkt, nur Lieferkette

Vier Fälle. Telekommunikation: zuständig ist der Staat, in dem die Dienste erbracht werden (Art. 26 Abs. 1 Bst. a). Digitale Dienste nach Art. 26 Abs. 1 Bst. b mit Niederlassung in der EU: zuständig ist der Staat der Hauptniederlassung in der EU (Art. 26 Abs. 2). Digitale Dienste ohne Niederlassung in der EU, sofern sie nach der Grösse erfasst sind und Dienste in der EU anbieten: sie benennen einen Vertreter, zuständig ist der Staat des Vertreters (Art. 26 Abs. 3). Übrige Anbieter ohne Niederlassung in der EU: nach dem Wortlaut kein Anknüpfungspunkt, sie spüren NIS2 höchstens über die Lieferkette.

Telekommunikation: Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste unterliegen dem Mitgliedstaat, in dem sie ihre Dienste erbringen (Art. 26 Abs. 1 Bst. a).

Digitale Dienste nach Art. 26 Abs. 1 Bst. b: DNS-Diensteanbieter, TLD-Namenregister, Domänennamen-Registrierungsdienste, Cloud-Computing-Dienste, Rechenzentrumsdienste, Inhaltszustellnetze, verwaltete Dienste und verwaltete Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen und Plattformen sozialer Netzwerke. Hat ein solcher Anbieter keine Niederlassung in der EU, „bietet aber Dienste innerhalb der Union an, muss sie einen Vertreter in der Union benennen“ (Art. 26 Abs. 3). Zuständig ist dann der Mitgliedstaat, in dem der Vertreter niedergelassen ist. Ohne Vertreter kann jeder Mitgliedstaat, in dem der Anbieter Dienste erbringt, rechtlich gegen ihn vorgehen. Wie Deutschland und Österreich das umsetzen, steht in den Karten weiter unten.

Ob ein Anbieter Dienste in der EU anbietet, beurteilt sich nach Erwägungsgrund 116 an seiner Absicht. Eine Website, die von der EU aus erreichbar ist, genügt nicht. Ebenso wenig genügt eine Sprache, die im eigenen Land gebräuchlich ist; für eine deutschsprachige Schweizer Website zählen also eher Preise in Euro, Bestellmöglichkeiten für Kunden in der EU oder genannte Kunden in der EU. Für Schweizer Software-Anbieter wichtig: Erwägungsgrund 33 zählt Software as a Service (SaaS) ausdrücklich zu den Dienstmodellen des Cloud-Computing.

Auch hier gilt die Grösse aus Frage 4. Cloud-Anbieter, Rechenzentren und Managed Service Provider sind nicht unabhängig von ihrer Grösse erfasst. Ein Schweizer SaaS-Anbieter, der als kleines Unternehmen gilt, fällt deshalb nicht allein durch Kunden in der EU unter NIS2, es sei denn, ein Mitgliedstaat stuft ihn nach Art. 2 Abs. 2 Bst. b bis e oder Abs. 3 besonders ein.

Frage 4: Grösse, gerechnet mit der ganzen Gruppe

NIS2 erfasst Einrichtungen, die nach der Empfehlung 2003/361/EG „als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen […] überschreiten“ (Art. 2 Abs. 1). Kleine Unternehmen und Kleinstunternehmen sind also grundsätzlich ausgenommen. Deutschland und Österreich schreiben die Grenzen ausdrücklich ins Gesetz (§ 28 BSIG, § 25 NISG 2026):

• Mindestens mittelgross ist, wer mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von je über 10 Mio. EUR hat.
• Gross ist, wer mindestens 250 Mitarbeitende beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und eine Jahresbilanzsumme von über 43 Mio. EUR hat.

Für die meisten Einrichtungen entscheidet die Grösse über die Einstufung: Einrichtungen nach Anhang I, die die Schwellen für mittlere Unternehmen überschreiten, also gross sind, gelten als wesentliche Einrichtungen, die übrigen erfassten in der Regel als wichtige (Art. 3 Abs. 1 Bst. a und Abs. 2). Ausnahmen: Qualifizierte Vertrauensdiensteanbieter, TLD-Register und DNS-Diensteanbieter sind immer wesentlich, Telekommunikationsanbieter schon ab mittlerer Grösse (Art. 3 Abs. 1 Bst. b und c); dazu kommen Einrichtungen, die ein Mitgliedstaat besonders einstuft. Deutschland spricht von „besonders wichtigen“ und „wichtigen“ Einrichtungen, Österreich von „wesentlichen“ und „wichtigen“.

Drei Einzelheiten der KMU-Empfehlung, die über die Einordnung entscheiden können (Anhang, Art. 3 bis 6):

1. Die Gruppe zählt mit. Die Daten von verbundenen Unternehmen (etwa einer Mutter mit Stimmenmehrheit) werden zu 100 % hinzugerechnet, die von Partnerunternehmen (Beteiligung ab 25 %) anteilig (Art. 6 Abs. 2). Deutschland und Österreich machen eine Ausnahme, wenn die Einrichtung bei ihren Netz- und Informationssystemen unabhängig von der Gruppe ist (§ 28 Abs. 4 BSIG, § 25 Abs. 4 NISG 2026); die Richtlinie lässt das in Erwägungsgrund 16 zu. Wer gemeinsame IT, ein gemeinsames Rechenzentrum oder eine zentrale IT-Abteilung in der Schweiz nutzt, wird diese Unabhängigkeit kaum begründen können (Einschätzung der Redaktion).
2. Mitarbeitende sind Jahresarbeitseinheiten. Teilzeit zählt anteilig, Lernende zählen nicht (Art. 5).
3. Schwankungen wirken erst nach zwei Jahren. Wer die Schwellen am Stichtag des Abschlusses über- oder unterschreitet, wechselt die Grössenklasse erst, wenn das in zwei aufeinanderfolgenden Geschäftsjahren der Fall ist (Art. 4 Abs. 2). Bei einer Übernahme oder Fusion gilt das nach dem rechtlich nicht verbindlichen Benutzerleitfaden der Kommission nicht: Massgebend ist die Beteiligungsstruktur zum Zeitpunkt des Vorgangs, der Status kann sich sofort ändern.

1. Tochter in Deutschland allein20 JAE

   Für sich allein ein kleines Unternehmen.

   ↓ Daten verbundener Unternehmen zu 100 % hinzurechnen
2. Schweizer Mutter und übrige verbundene Unternehmen+ 100 JAE

   Verbunden über die Stimmenmehrheit; Partnerunternehmen ab 25 % zählen anteilig.

   ↓ Daten verbundener Unternehmen zu 100 % hinzurechnen
3. Zahl für die Tochter120 JAE

   Mindestens mittelgross, nicht gross. Ausnahme nur bei unabhängiger IT.

Rechnung in drei Gliedern: Eine deutsche Tochter hat allein 20 Mitarbeitende (Jahresarbeitseinheiten) und wäre ein kleines Unternehmen. Hinzugerechnet werden zu 100 Prozent die Schweizer Muttergesellschaft mit Stimmenmehrheit und die übrigen verbundenen Unternehmen mit zusammen 100 Mitarbeitenden. Für die Tochter zählen damit 120 Mitarbeitende: mindestens mittelgross, aber nicht gross. Ausnahme: Die Tochter ist bei ihren Netz- und Informationssystemen unabhängig von der Gruppe.

Die Schwellen lauten auf Euro; wer in Franken abschliesst, muss umrechnen. Unabhängig von der Grösse erfasst sind unter anderem Anbieter öffentlicher Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter (Art. 2 Abs. 2 Bst. a), Domänennamen-Registrierungsdienste (Art. 2 Abs. 4) sowie Einrichtungen, die ein Mitgliedstaat besonders einstuft, etwa als einziger Anbieter eines unerlässlichen Dienstes.

Auch bei den Bussgeldern zählt die Gruppe. Die Mitgliedstaaten müssen für Verstösse wesentlicher Einrichtungen gegen Art. 21 oder 23 Geldbussen „mit einem Höchstbetrag von mindestens 10 000 000 EUR oder mit einem Höchstbetrag von mindestens 2 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wesentliche Einrichtung angehört“ vorsehen, für wichtige Einrichtungen mindestens 7 Mio. EUR bzw. 1,4 % (Art. 34 Abs. 4 und 5). Das sind Mindestwerte für den Höchstbetrag, die nationale Gesetze überschreiten dürfen, und der Prozentsatz bemisst sich am Umsatz des Unternehmens, dem die Einrichtung angehört.

Frage 5: Betroffen über die Lieferkette

Auch wer keine der Fragen 1 bis 4 bejaht, kann NIS2 spüren. Wesentliche und wichtige Einrichtungen müssen in ihrem Risikomanagement die „Sicherheit der Lieferkette einschliesslich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ regeln (Art. 21 Abs. 2 Bst. d). Dabei berücksichtigen sie die Schwachstellen jedes unmittelbaren Anbieters sowie die Gesamtqualität seiner Produkte und seiner Cybersicherheitspraxis, einschliesslich der Sicherheit seiner Entwicklungsprozesse (Art. 21 Abs. 3). Als Beispiele nennt die Richtlinie Anbieter von Datenspeicherung und -verarbeitung, verwaltete Sicherheitsdienste und Softwarehersteller (Erwägungsgrund 85).

Die Richtlinie verpflichtet damit nicht den Schweizer Lieferanten, sondern seinen Kunden in der EU. Wie der Kunde das umsetzt, legt er selbst fest; die Richtlinie schreibt weder einen Fragebogen noch ein Zertifikat vor. Typische Wege sind Vertragsklauseln, Fragebogen, Nachweise wie ein Zertifikat nach ISO/IEC 27001 oder Prüfrechte. Für einen Zulieferer lohnt es sich, solche Nachweise bereitzuhalten, bevor die erste Anfrage kommt: eine Beschreibung des eigenen Sicherheitsmanagements, eine Kontaktstelle für Sicherheitsvorfälle und eine Aussage, wie schnell Kunden über Vorfälle informiert werden.

Stand in Deutschland und Österreich

Die Mitgliedstaaten hätten die Richtlinie bis zum 17. Oktober 2024 umsetzen und ab dem 18. Oktober 2024 anwenden müssen (Art. 41 Abs. 1). Deutschland und Österreich haben das später getan. Die Karten zeigen beide Gesetze mit denselben Zeilen.

Deutschland: BSI-Gesetz

Österreich: NISG 2026

EU: Die Kommission hat im Januar 2026 eine gezielte Änderung der Richtlinie vorgeschlagen (COM(2026) 13). Der Vorschlag lag im Oktober 2026 im zuständigen Ausschuss des Europäischen Parlaments (Verfahren 2026/0012(COD)), die erste Lesung im Plenum ist indikativ für März 2027 vorgesehen. Der Vorschlag ändert am geltenden Recht derzeit nichts.

Abgrenzung zur Schweizer Meldepflicht nach ISG

Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen in der Schweiz, also die in Art. 74b ISG genannten Behörden und Organisationen, Cyberangriffe dem Bundesamt für Cybersicherheit (BACS) melden (Art. 74a ff. ISG). Die Meldepflicht dient nach Art. 74a Abs. 4 ISG „ausschliesslich“ dazu, dass das BACS Angriffsmuster früh erkennt und andere warnen kann. Sie greift unabhängig von NIS2. Die beiden Karten stellen sie der Meldepflicht nach NIS2 gegenüber; alle Fristen nebeneinander zeigt unser Beitrag zu den Meldefristen für Sicherheitsvorfälle.

ISG: Meldung der Schweizer Gesellschaft an das BACS

NIS2: Meldung der Gesellschaft in der EU

Für eine Schweizer Gruppe mit Tochter in der EU kann derselbe Angriff deshalb zwei Meldungen auslösen: die der Tochter nach dem Recht ihres Mitgliedstaats und die der Schweizer Gesellschaft an das BACS, wenn sie unter Art. 74b ISG fällt. Beide Wege sollten im Vorfallprozess vorgesehen sein, mit eigener Zuständigkeit und den jeweiligen Fristen.

Methodik und Grenzen

Der Entscheidungsweg folgt dem Wortlaut der Richtlinie (EU) 2022/2555 in der Fassung des Amtsblatts (Art. 2, 3, 6, 20, 21, 23, 26, 34, 41 und 46, Anhänge I und II, Erwägungsgründe 16, 33, 85, 113, 114 und 116), der Empfehlung 2003/361/EG mit dem Benutzerleitfaden der Kommission, dem BSIG in der geltenden Fassung, dem NIS2-Umsetzungsgesetz (BGBl. 2025 I Nr. 301), dem NISG 2026 sowie Art. 74a bis 74h ISG und Art. 12 CSV. Stand der Quellen: 29. Oktober 2026.

Bewusst weggelassen sind die Umsetzungen in den übrigen Mitgliedstaaten, die öffentliche Verwaltung, die Einzelheiten zu DORA, die Durchführungsverordnung (EU) 2024/2690 für digitale Anbieter und die Regeln zu kritischen Einrichtungen nach der Richtlinie (EU) 2022/2557. Der Beitrag beschreibt nicht, welche Massnahmen Art. 21 im Einzelnen verlangt. Wo der Text „voraussichtlich“ oder „Einschätzung“ sagt, beruht die Aussage auf einer Auslegung des Wortlauts; Behörden und Gerichte haben dazu noch wenig Praxis. Bei Gruppenstrukturen, der Hauptniederlassung und Grenzfällen in den Anhängen lohnt sich eine rechtliche Prüfung für den Einzelfall.

Was Sie jetzt tun können

Gehen Sie die fünf Fragen für jede Gesellschaft und jede Niederlassung in der EU durch und halten Sie das Ergebnis schriftlich fest: Art der Einrichtung, Zahlen der Gruppe mit Stichtag, Begründung zur Unabhängigkeit der IT, zuständiger Staat. Diese Prüfung gehört einmal jährlich in die Managementbewertung und zusätzlich zu jedem Kauf, Verkauf oder jeder Umstrukturierung in der Gruppe. Fällt eine Gesellschaft in Österreich unter das NISG 2026, ist die Registrierung bis Ende 2026 der nächste Termin; bei digitalen Diensten prüfen Sie vorher, wo die Hauptniederlassung der jeweiligen Gesellschaft liegt. Ist eine deutsche Gesellschaft erfasst und noch nicht beim BSI registriert, holen Sie das sofort nach; für Einrichtungen, die seit dem Inkrafttreten erfasst sind, ist die Frist seit Anfang März 2026 vorbei. Und wer nur Lieferant ist, bereitet die Nachweise vor, die seine Kunden in der EU nach Art. 21 Abs. 3 verlangen können.

Quellen geprüft am 29. Oktober 2026.