NIS2 und DORA: Relevanz für Schweizer KMU

Drei Ebenen sauber trennen

Die erste Ebene ist Schweizer Recht. Die Schweiz hat mit der Meldepflicht für Cyberangriffe auf kritische Infrastrukturen eine eigene Regelung. Sie betrifft die im Informationssicherheitsgesetz genannten Behörden und Organisationen, darunter unter bestimmten Voraussetzungen auch Cloudcomputing-, Suchmaschinen-, digitale Sicherheits- und Vertrauensdienste sowie Rechenzentren mit Sitz in der Schweiz. Ein meldepflichtiger Cyberangriff ist innert 24 Stunden nach Entdeckung zu melden. Sind innerhalb dieser Frist nicht alle erforderlichen Informationen bekannt, gewährt das BACS für die Ergänzung der Meldung eine Frist von 14 Tagen. Ob Ihr Unternehmen in den Katalog fällt, muss anhand der konkreten Tätigkeit und gegebenenfalls mit dem BACS geklärt werden. Diese Schweizer Pflicht ist nicht NIS2. ^{[1] [14]}

Die zweite Ebene ist NIS2, die Richtlinie (EU) 2022/2555 für ein hohes Cybersicherheitsniveau in der Union. Eine Richtlinie gilt nicht wie ein Schweizer Gesetz unmittelbar für jedes Unternehmen. Die Mitgliedstaaten müssen sie in nationales Recht umsetzen. NIS2 setzte dafür den 17. Oktober 2024 als Frist. Der Umsetzungsstand und die Detailregeln bleiben deshalb je nach Mitgliedstaat relevant. Am 8. Juli 2026 verwies die Europäische Kommission Irland, Spanien, Frankreich und die Niederlande wegen fehlender Notifizierung von Umsetzungsmassnahmen an den Gerichtshof der Europäischen Union. Prüfen Sie stets das geltende Recht des betroffenen EU-Staates, nicht nur den Richtlinientext. ^{[2] [3] [13]}

Die dritte Ebene ist DORA, die EU-Verordnung über digitale operationale Resilienz im Finanzsektor. Eine Verordnung unterscheidet sich grundsätzlich von einer Richtlinie: DORA gilt seit dem 17. Januar 2025. Artikel 2 führt Finanzunternehmen und IKT-Drittdienstleister getrennt auf. Ein Schweizer Anbieter wird nicht allein wegen eines Bankkunden zu einem DORA-Finanzunternehmen. DORA verpflichtet Finanzunternehmen unter anderem zum Management von IKT-Drittparteirisiken und zu Vertragsvorgaben; für als kritisch eingestufte IKT-Drittdienstleister besteht zudem ein eigener EU-Überwachungsrahmen. Welche unmittelbaren Pflichten in einem konkreten grenzüberschreitenden Fall bestehen, ist fachjuristisch zu prüfen. ^{[4] [5]}

Diese drei Ebenen können gleichzeitig bestehen. Ein Schweizer Unternehmen kann etwa einer Schweizer Meldepflicht unterstehen, EU-Kunden mit NIS2-Anforderungen bedienen und für ein EU-Finanzunternehmen DORA-Vertragsauflagen erfüllen. Daraus folgt aber noch keine einheitliche Meldefrist oder ein einheitliches Aufsichtsverhältnis.

NIS2: Wann ein direkter Bezug möglich ist

NIS2 erfasst öffentliche und private Einrichtungen bestimmter Arten in den Anhängen I und II, die ihre Dienste in der Union erbringen oder dort tätig sind. Als Grundregel stehen mittlere und grössere Einrichtungen in kritischen oder wichtigen Sektoren im Fokus. Die Richtlinie enthält jedoch Ausnahmen von der Grössenschwelle, etwa für bestimmte Anbieter elektronischer Kommunikation, Vertrauensdienste, DNS-Dienste und Top-Level-Domain-Register sowie für spezifisch kritische Einrichtungen. Die Einordnung als wesentliche oder wichtige Einrichtung hängt damit nicht nur von der Mitarbeiterzahl ab. ^[6]

Für Schweizer IT-Dienstleister ist die Kategorie des digitalen Dienstes besonders relevant. NIS2 nennt unter anderem Cloudcomputing, Rechenzentren, Inhaltszustellnetze, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste. Ein Anbieter verwalteter Dienste unterstützt oder verwaltet beispielsweise die Installation, den Betrieb oder die Wartung von IKT-Produkten, Netzen, Infrastruktur oder Anwendungen beim Kunden oder aus der Ferne. Ob die eigene Leistung diese Definition tatsächlich erfüllt, ist eine Sachverhalts- und Rechtsfrage, keine Frage des Marketings. ^[6]

Dienstleistungen in der EU und fehlende EU-Niederlassung

Für die genannten digitalen Anbieter knüpft NIS2 bei der Zuständigkeit grundsätzlich an die Hauptniederlassung in der Union an. Entscheidend ist in erster Linie, wo Entscheidungen über Cybersicherheitsrisikomassnahmen überwiegend getroffen werden. Hat ein solcher Anbieter keine Niederlassung in der Union, bietet aber Dienste in der Union an, sieht Artikel 26 Absatz 3 der Richtlinie die Benennung eines Vertreters in der Union vor. Die konkrete Durchsetzung und Ausgestaltung folgt allerdings dem anwendbaren nationalen Umsetzungsrecht. Lassen Sie bei diesem Prüfschritt die Dienstleistung, die Länder, den Vertriebsweg und eine allfällige EU-Struktur fachjuristisch prüfen. ^[7]

Die NIS2-Pflichten betreffen bei Anwendbarkeit nicht nur Technik. Artikel 21 verlangt einen risikobasierten, verhältnismässigen Ansatz. Genannt werden unter anderem Risikoanalyse, Vorfallbewältigung, Backup und Wiederherstellung, Lieferkettensicherheit, Schwachstellenmanagement, Wirksamkeitskontrollen, Schulung, Zugriffskontrolle und Multi-Faktor-Authentisierung. Für erhebliche Vorfälle sieht die Richtlinie in der Grundstruktur eine Frühwarnung innert 24 Stunden, eine Vorfallmeldung innert 72 Stunden und einen Abschlussbericht vor. Die operative Umsetzung richtet sich nach dem nationalen Recht und den zuständigen Stellen. Kopieren Sie diese Zeiten daher nicht ungeprüft in ein Kunden-SLA. ^[8]

DORA: Finanzregulierung mit Lieferantenwirkung

DORA zählt Kredit- und Zahlungsinstitute, Versicherungen, Wertpapierfirmen, bestimmte Krypto-Dienstleister und weitere Finanzunternehmen auf. Sie umfasst zugleich IKT-Drittdienstleister im Anwendungsbereich und schafft einen Überwachungsrahmen für diejenigen, die von den europäischen Aufsichtsbehörden als kritisch eingestuft werden. Eine solche Einstufung knüpft unter anderem an mögliche systemische Auswirkungen, Abhängigkeiten und Ersetzbarkeit an. Für einen als kritisch eingestuften IKT-Drittdienstleister mit Sitz in einem Drittland sieht DORA eine EU-Tochtergesellschaft innerhalb von zwölf Monaten nach der Einstufung vor. Dies ist ein Sonderfall und kein allgemeiner Grund, für jeden Schweizer Lieferanten eine EU-Gesellschaft zu gründen. Auch hier ist eine ⚖️ Fachprüfung erforderlich durch EU-rechtskundige Fachpersonen. ^{[4] [9]}

Im Alltag spüren die meisten Schweizer Lieferanten DORA über den EU-Finanzkunden. Dieser muss seine IKT-Drittparteirisiken steuern, ein Informationsregister über seine IKT-Verträge führen, Kritikalität bewerten und bei kritischen oder wichtigen Funktionen Ausstiegsstrategien planen. Er wird deshalb Informationen und belastbare Vertragsrechte verlangen. Dass ein Kunde DORA erwähnt, beweist für sich allein weder eine direkte DORA-Unterstellung des Lieferanten noch die Angemessenheit jeder vorgelegten Vertragsforderung. ^[10]

Was EU-Finanzkunden typischerweise vertraglich brauchen

DORA verlangt für IKT-Verträge unter anderem eine klare Leistungsbeschreibung, Regeln zur Unterauftragsvergabe, Angaben zu Leistungs- und Datenstandorten, Schutz von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit sowie Regelungen zu Datenzugang, Wiederherstellung und Rückgabe bei Vertragsende oder Ausfall. Auch Vorfallunterstützung, Zusammenarbeit mit zuständigen Behörden, Kündigungsrechte und Schulungen sind genannt. ^[11]

Unterstützt die Leistung eine vom Finanzkunden als kritisch oder wichtig eingestufte Funktion, kommen namentlich Notfallpläne und Tests, Meldungen über wesentliche Entwicklungen, Zugangs-, Inspektions- und Auditrechte sowie eine praktikable Ausstiegs- und Übergangsregelung hinzu. Der Vertrag muss diese Punkte auf die konkrete Leistung übertragen. Bei erlaubter Unterauftragsvergabe präzisiert die Delegierte Verordnung (EU) 2025/532 für solche Funktionen insbesondere die Bewertung der Unterauftragskette und die rechtzeitige Information über wesentliche Änderungen. Daraus folgt keine pauschale unmittelbare Schweizer Lieferantenpflicht; es erklärt aber, weshalb ein EU-Finanzkunde hierzu konkrete Vertrags- und Nachweisfragen stellen kann. Ein Anbieter sollte weder pauschale Zusagen zu nicht beherrschbaren Unterauftragnehmern abgeben noch unklare Audit- oder Vorfallklauseln stehen lassen. Vertragsklauseln, Zuständigkeiten und Datenschutzfragen gehören in eine fachjuristische Vertragsprüfung. ^{[11] [15]}

Hilfreiche Unterlagen sind kein allgemeingültiges «DORA-Zertifikat». Ein EU-Finanzkunde kann beispielsweise eine aktuelle Leistungsbeschreibung, eine Liste relevanter Unterauftragnehmer und Datenstandorte, Sicherheits- und Notfallkonzepte, Nachweise zu Tests, einen geregelten Vorfallkontakt und einen nachvollziehbaren Exit-Ansatz verlangen. Welche Nachweise ausreichend sind, bestimmt das Risikoprofil des Kunden, der Dienst und der Vertrag.

Hypothetisches Praxisbeispiel: Managed Service für eine EU-Bank

Hypothetisch: Die Schweizer AlpNet GmbH überwacht Endgeräte und verwaltet Administratorzugänge für eine österreichische Bank. Die Bank stuft den Dienst als Unterstützung einer wichtigen Funktion ein und sendet einen DORA-Vertragsnachtrag.

AlpNet sollte nicht zuerst ein Label «DORA-konform» ausstellen. Zuerst beschreibt sie den Dienst, die Zugriffsrechte, Subunternehmer, Daten- und Betriebsstandorte sowie die Wiederherstellungsabhängigkeiten. Danach klärt sie mit fachjuristischer Hilfe, ob sie in der EU einen NIS2-relevanten Managed Service erbringt und welche österreichischen Regeln massgeblich sind. Für den Vertrag verhandelt sie eine klare Ereignisdefinition, einen Kundenkontaktweg, die Mitwirkung bei Untersuchungen, zulässige Auditformen und eine realistische Datenrückgabe. Anschliessend testet sie nicht nur die technische Wiederherstellung, sondern auch die Information der Bank bei einem angenommenen Sicherheitsvorfall. So entsteht ein prüfbarer Ablauf statt einer unbelegten Zusicherung.

Typische Fehler, die Risiken schaffen

Schweizer Standort mit Freipass verwechseln. Der Sitz allein löst keine pauschale EU-Unterstellung aus. Bei bestimmten digitalen Diensten in der Union kann die fehlende EU-Niederlassung aber gerade ein Prüfpunkt sein. ^[7]

EU-Fristen als eigenes Incident-SLA übernehmen. Die NIS2-Grundstruktur und DORA-Meldungen richten sich an regulierte Einrichtungen und Behörden. Ein Lieferantenvertrag braucht eine eigene, klare und realistisch leistbare Eskalationslogik. ^{[8] [11]}

Unterauftragnehmer ausblenden. Datenstandorte, Hosting, Fernwartung und weitere Anbieter müssen zum gelieferten Service passen. DORA verlangt bei kritischen oder wichtigen Funktionen ausdrücklich eine Betrachtung der Unterauftragsvergabe. ^{[10] [11]}

Auditrecht mit einer Garantie verwechseln. Ein Auditbericht, eine Kundenprüfung oder ein Standard ersetzt weder die laufende Risikosteuerung noch eine konkrete Vertragsprüfung. NIS2 und DORA setzen beide auf risikobasierte Massnahmen und Nachweise. ^{[8] [10]}

Die Schweizer Meldepflicht ungeprüft mit EU-Pflichten vermischen. Für erfasste kritische Infrastrukturen gilt die Schweizer 24-Stunden-Meldung nach den eigenen Tatbeständen. Sie ersetzt keine vertragliche oder EU-bezogene Vorfallkommunikation. ^[1]

Readiness in drei Prioritätsstufen statt starrer Fristen

Nutzen Sie die nachstehende Reihenfolge, wenn EU-Kunden Nachweise verlangen oder Ihr Geltungsbereich unklar ist. Der NIST Cybersecurity Framework 2.0 kann als Organisationshilfe dienen: Govern, Identify, Protect, Detect, Respond und Recover strukturieren Risikosteuerung und Resilienz, ohne selbst eine Rechtsunterstellung zu entscheiden.^[12]

Zuerst: Sachverhalt und Verantwortung klären

Benennen Sie eine verantwortliche Person aus Geschäftsleitung, IT und Vertrieb. Erfassen Sie EU-Kunden, Länder, Gesellschaften, Dienste, Fernzugriffe, Daten- und Betriebsstandorte sowie Unterauftragnehmer. Legen Sie pro Dienst fest, ob er einen kritischen Geschäftsprozess des Kunden unterstützen könnte. Prüfen Sie alle laufenden Verträge, Anhänge und Kundenfragebögen auf Vorfallmeldungen, Audit, Datenrückgabe, Tests und Exit. Nutzen Sie dazu die druckbare NIS2-/DORA-Relevanzmatrix. Sie ordnet jeden Dienst zunächst den Kategorien nicht erkennbar betroffen, vertraglich betroffen, möglicher direkter Anwendungsbereich oder fachjuristisch zu prüfen zu.

Prüfen Sie parallel, ob Sie unter die Schweizer Meldepflicht fallen könnten. Dokumentieren Sie die offene Frage statt sie durch eine Annahme zu schliessen. Das BACS kann zur Unterstellung Auskunft erteilen und auf Antrag verfügen. ^[1]

Danach: Lücken und belastbare Nachweise bearbeiten

Vergleichen Sie die priorisierten Dienste mit den Anforderungen aus Vertrag und Risikoprofil. Schliessen Sie zuerst Lücken mit hoher Auswirkung: privilegierte Zugriffe, Multi-Faktor-Authentisierung, dokumentierte Wiederherstellung, Protokollierung, Vorfallrollen, Kontaktwege, Lieferantenübersicht und sichere Übergabe von Daten. Die Massnahmen gehören in ein nachvollziehbares Risikomanagement, nicht in eine einmalige Ordnerstruktur.

Erstellen oder aktualisieren Sie ein Nachweispaket pro kritischem Service. Es kann die freigegebene Leistungsbeschreibung, Verantwortlichkeiten, Unterauftragnehmer- und Standortübersicht, relevante Richtlinien, Testprotokolle und den Status offener Massnahmen enthalten. Kennzeichnen Sie Annahmen und Datenstände. Zusagen zu Verfügbarkeit, Meldung oder Wiederherstellung dürfen Sie nur machen, wenn Vertrag, Architektur und Betrieb sie tragen.

Anschliessend: Abläufe testen und Führung entscheiden lassen

Führen Sie mindestens eine Szenarioübung durch: etwa einen Sicherheitsvorfall bei einem Subunternehmer, den Ausfall einer administrativen Plattform oder einen verdächtigen Zugriff auf Kundendaten. Prüfen Sie dabei Erkennung, interne Eskalation, vertragliche Kundeninformation, Beweissicherung, Wiederherstellung und Entscheidungsbefugnisse. Überführen Sie offene Punkte in die IT-Notfallplanung und in ein terminisiertes Risikoregister.

Die Geschäftsleitung sollte am Ende über Restrisiken, benötigte Investitionen und Vertragspositionen entscheiden. Wiederholen Sie die Einordnung bei neuen EU-Märkten, geänderten Diensten, einem neuen Subunternehmer oder angepassten Kundenanforderungen. Eine vorgängige Sicherheitsanalyse kann ergänzend zeigen, ob Anspruch und Betriebsrealität zusammenpassen. Vertiefen Sie ausserdem Ihre Lieferantensteuerung im Beitrag zu Lieferantenrisiken bei IT- und Cloud-Partnern und die Testpraxis im Leitfaden zur Backup-Wiederherstellung.

Fazit: Relevanz belegen statt Etiketten vergeben

Für Schweizer KMU ist NIS2/DORA-Readiness kein einheitliches Zertifizierungsprojekt. Der sachgerechte Weg trennt Schweizer Meldepflichten, möglichen direkten EU-Anwendungsbereich und vertragliche Kundenanforderungen. Erst diese Trennung erlaubt es, die richtigen Verantwortlichkeiten, Nachweise und technischen Massnahmen zu priorisieren. Wo EU-Tätigkeit, digitaler Dienst, Niederlassung, Vertreter oder Vertragsklauseln eine Rolle spielen, ist die fachjuristische Prüfung Teil der Readiness und kein nachträglicher Formalismus.

Quellen