Version: 1. November 2026 (1.3)
Zweck: Erstorientierung für Geschäftsleitung, IT und Vertrieb zu Schweizer Meldepflichten, möglicher NIS2-Relevanz und DORA-veranlassten Kundenanforderungen.
Geeignet für: Schweizer Anbieter von IKT-, Cloud-, Managed-, Sicherheits- oder Datendiensten mit EU-Kunden.
Nicht geeignet als: Rechtsgutachten, Unterstellungsentscheid, Vertragsfreigabe oder Konformitätsbescheinigung.
Zweck
Diese Matrix hilft Ihnen, je Dienstleistung drei Fragen getrennt zu dokumentieren: Besteht eine Schweizer Pflicht? Gibt es Anhaltspunkte für einen möglichen direkten NIS2-Anwendungsbereich? Und welche DORA-bezogenen Anforderungen gibt ein EU-Finanzkunde vertraglich weiter? Das Ergebnis ist eine Arbeitsgrundlage für Priorisierung, Vertragsprüfung und technische Readiness.
Anwendung in fünf Schritten
- Füllen Sie zuerst die Dienstlandkarte für jede relevante Leistung aus. Eine Leistung ist etwa Managed Endpoint Service, Hosting, SOC, SaaS oder Fernwartung.
- Prüfen Sie die Schweizer Meldepflicht getrennt von NIS2 und DORA. Notieren Sie Fakten und offene Fragen, nicht nur eine Schlussfolgerung.
- Prüfen Sie den NIS2-Bezug anhand der Leistung, der EU-Länder, einer allfälligen EU-Struktur und der nationalen Umsetzung.
- Prüfen Sie für jeden EU-Finanzkunden die vertraglich verlangten DORA-Nachweise und Vertragsrechte.
- Entscheiden Sie den nächsten Schritt, weisen Sie einen Eigentümer zu und halten Sie den Prüftermin fest.
A. Dienstlandkarte: Ausgangslage erfassen
Unternehmen: ________________________________________________
Datum / Version: ______________________________________________
Ausgefüllt durch: ______________________________________________
Geschäftsleitungs-Verantwortung: _______________________________
Relevanter Dienst / Produktname: _______________________________
Kurzbeschreibung der tatsächlich erbrachten Leistung:
__________________________________________________________________
__________________________________________________________________
| Kontrollpunkt | Feststellung / Quelle | Offen / Massnahme |
|---|---|---|
| EU-Kunde und Land/Länder, in denen der Dienst genutzt wird | ||
| Kundensektor; ist der Kunde ein EU-Finanzunternehmen? | ||
| Eigene Niederlassung, Zweigniederlassung oder Personal in der EU | ||
| Vertriebsweg und Ort der Leistungserbringung | ||
| Entscheidungen zu Cybersicherheitsrisiken; Ort und verantwortliche Rolle | ||
| Daten-, Hosting-, Backup- und Betriebsstandorte | ||
| Fernzugriffe und privilegierte Zugriffe auf Kundensysteme | ||
| Unterauftragnehmer, Konzernunternehmen und deren Länder | ||
| Abhängigkeiten: Welche Kundenfunktion würde bei Ausfall beeinträchtigt? | ||
| Vertrag, Nachtrag, Fragebogen oder Auditforderung vorhanden |
B. Schweizer Recht: eigenständige Meldepflicht prüfen
Die Schweizer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen ist eigenständig. Das Informationssicherheitsgesetz nennt bestimmte Behörden und Organisationen, darunter unter Voraussetzungen auch Cloudcomputing-, Suchmaschinen-, digitale Sicherheits- und Vertrauensdienste sowie Rechenzentren mit Sitz in der Schweiz. Ein erfasster Cyberangriff ist innert 24 Stunden nach Entdeckung zu melden. Sind innerhalb dieser Frist nicht alle erforderlichen Informationen bekannt, gewährt das BACS für die Ergänzung der Meldung eine Frist von 14 Tagen. Das BACS kann zur Unterstellung Auskunft erteilen und auf Antrag verfügen. [1] [6]
| Prüffrage | Ja | Nein | Unklar | Fakten / Folgehandlung |
|---|---|---|---|---|
| Haben wir einen Sitz in der Schweiz? | ☐ | ☐ | ☐ | |
| Erbringen wir eine in Art. 74b ISG genannte Tätigkeit? | ☐ | ☐ | ☐ | |
| Betrifft die Tätigkeit die Schweiz in der vorgesehenen Weise? | ☐ | ☐ | ☐ | |
| Gibt es eine schriftliche Einordnung oder BACS-Auskunft? | ☐ | ☐ | ☐ | |
| Sind 24-Stunden-Eskalation, Rollen und Zugang zum Meldeweg vorbereitet? | ☐ | ☐ | ☐ | |
| Ist für fehlende Angaben der 14-Tage-Ergänzungsprozess vorbereitet? | ☐ | ☐ | ☐ | |
| Ist die DSG-/EDÖB-Einordnung von Datenschutzverletzungen getrennt geregelt? | ☐ | ☐ | ☐ |
Zwischenresultat Schweizer Recht:
☐ Nicht erkennbar betroffen ☐ Abklärung beim BACS / fachjuristisch prüfen ☐ Wahrscheinlich meldepflichtig; Prozess prüfen
Nächste Handlung, Eigentümer, Termin:
__________________________________________________________________
C. NIS2: möglicher direkter Anwendungsbereich
NIS2 ist eine EU-Richtlinie. Sie erfasst als Grundregel mittlere und grössere Einrichtungen bestimmter Arten, die Dienste in der Union erbringen oder dort tätig sind. Zu den relevanten digitalen Kategorien zählen unter anderem Cloudcomputing, Rechenzentren, Inhaltszustellnetze, verwaltete Dienste und verwaltete Sicherheitsdienste. Für bestimmte digitale Anbieter ohne Niederlassung in der EU sieht die Richtlinie bei Diensten in der Union einen EU-Vertreter vor. Die rechtliche Anwendung hängt jedoch vom nationalen Umsetzungsgesetz des jeweiligen Mitgliedstaats ab. [2] [3]
| Prüffrage | Ja | Nein | Unklar | Tatsachenbeleg / fachjuristische Frage |
|---|---|---|---|---|
| Erbringen wir den Dienst in einem oder mehreren EU-Mitgliedstaaten? | ☐ | ☐ | ☐ | |
| Gehört der Dienst möglicherweise zu Cloud, Rechenzentrum, CDN, Managed Service oder Managed Security Service? | ☐ | ☐ | ☐ | |
| Erfüllt die Leistung die NIS2-Definition oder nur eine ähnliche Marktbezeichnung? | ☐ | ☐ | ☐ | |
| Fallen wir nach Grösse, Sektor oder einer Ausnahme von der Grössenschwelle in Betracht? | ☐ | ☐ | ☐ | |
| Besteht eine EU-Niederlassung; falls ja, in welchem Staat? | ☐ | ☐ | ☐ | |
| Falls keine EU-Niederlassung: werden Dienste in der EU erbracht und ist ein EU-Vertreter zu prüfen? | ☐ | ☐ | ☐ | |
| Welches nationale NIS2-Umsetzungsgesetz und welche Behörde sind einschlägig? | ☐ | ☐ | ☐ | |
| Sind Risiko-, Vorfall-, Backup-, Lieferanten- und Zugriffsprozesse nachweisbar? | ☐ | ☐ | ☐ |
Zwischenresultat NIS2:
☐ Nicht erkennbar betroffen ☐ Vertraglich/kundenbezogen relevant ☐ Möglicher direkter Anwendungsbereich ☐ Fachjuristisch zu prüfen
D. DORA: Finanzkunden und Lieferantenvertrag prüfen
DORA nennt in Artikel 2 sowohl die dort definierten Finanzunternehmen als auch IKT-Drittdienstleister. Sie verpflichtet Finanzunternehmen unter anderem, IKT-Drittparteirisiken zu steuern; für als kritisch eingestufte IKT-Drittdienstleister besteht ein eigener Überwachungsrahmen. Deshalb können EU-Finanzkunden von Schweizer IKT-Drittdienstleistern Informationen, Vertragsregelungen und Nachweise verlangen. Welche unmittelbaren Pflichten im konkreten grenzüberschreitenden Fall bestehen, ist fachjuristisch zu prüfen. Für Verträge nennt DORA unter anderem Leistungsbeschreibung, Standorte, Datenzugang und -rückgabe, Vorfallunterstützung, Zusammenarbeit mit Behörden, Kündigungsrechte, Audit sowie bei kritischen oder wichtigen Funktionen Notfall- und Ausstiegsregelungen. Bei erlaubter Unterauftragsvergabe für kritische oder wichtige Funktionen präzisiert die Delegierte Verordnung (EU) 2025/532 die Bewertung der Kette und die Information über wesentliche Änderungen. Diese Matrix leitet daraus keine pauschale direkte Pflicht eines Schweizer Anbieters ab. [4] [5] [7]
| Prüffrage | Ja | Nein | Unklar | Fakten / Vertragsstelle / Massnahme |
|---|---|---|---|---|
| Ist der Kunde ein von DORA erfasstes EU-Finanzunternehmen? | ☐ | ☐ | ☐ | |
| Erbringen wir fortlaufende IKT- oder Datendienste? | ☐ | ☐ | ☐ | |
| Hat der Kunde den Dienst als kritisch oder wichtig eingestuft? | ☐ | ☐ | ☐ | |
| Sind Leistung und zulässige Unterauftragsvergabe eindeutig beschrieben? | ☐ | ☐ | ☐ | |
| Sind Daten-, Leistungs- und Unterauftragsstandorte dokumentiert? | ☐ | ☐ | ☐ | |
| Sind die Unterauftragskette und wesentliche Änderungen für kritische/wichtige Funktionen nachvollziehbar geregelt? | ☐ | ☐ | ☐ | |
| Ist die Vorfallunterstützung inklusive Ansprechpartner und Informationsweg geregelt? | ☐ | ☐ | ☐ | |
| Sind Datenzugang, Wiederherstellung, Rückgabe und Löschung am Vertragsende geregelt? | ☐ | ☐ | ☐ | |
| Sind Audit-, Inspektions- und Informationsrechte umsetzbar und datenschutzkonform eingegrenzt? | ☐ | ☐ | ☐ | |
| Besteht ein belastbarer Notfall-, Übergangs- oder Exit-Ansatz? | ☐ | ☐ | ☐ | |
| Wurden konkrete Leistungszusagen technisch und betrieblich gegengeprüft? | ☐ | ☐ | ☐ |
Zwischenresultat DORA:
☐ Kein DORA-Finanzkunde erkennbar ☐ Vertraglich relevant ☐ Kritische/wichtige Kundenfunktion möglich ☐ Fachjuristisch und vertraglich zu prüfen
E. Entscheid und priorisierte Folgearbeiten
Gesamtkategorie
☐ Nicht erkennbar betroffen: Nach heutigem dokumentierten Faktenstand keine direkte oder vertragliche Relevanz erkennbar. Dies ist keine Rechtsbeurteilung; Faktenstand bei Änderungen erneut prüfen.
☐ Vertraglich betroffen: EU-Kundenvertrag oder Fragebogen verlangt Sicherheits-, Audit-, Vorfall- oder Exit-Nachweise.
☐ Möglicher direkter Anwendungsbereich: Sachverhalt weist auf EU-Dienst, Sektor, Grösse oder digitale Kategorie hin.
☐ Fachjuristisch zu prüfen: Die Tatsachen oder nationale Rechtslage reichen für eine belastbare Einordnung nicht aus.
1. Fakten und Verträge
| Kontrollpunkt | Erledigt | Eigentümer | Termin / Nachweis |
|---|---|---|---|
| Dienstlandkarte und EU-Kundenliste vervollständigen | ☐ | ||
| Länder, EU-Struktur, Vertreter und nationale Umsetzung fachjuristisch klären | ☐ | ||
| Kundenverträge, Anhänge und Fragebögen zentral erfassen | ☐ | ||
| Schweizer Meldepflicht als offene Frage oder Ergebnis dokumentieren | ☐ |
2. Lücken und Nachweise
| Kontrollpunkt | Erledigt | Eigentümer | Termin / Nachweis |
|---|---|---|---|
| Zugriffe, MFA, Protokollierung und privilegierte Konten prüfen | ☐ | ||
| Unterauftragnehmer und Datenstandorte versioniert erfassen | ☐ | ||
| Backup, Wiederherstellung und Kundenkommunikation dokumentieren | ☐ | ||
| Nachweispaket für priorisierte Dienste erstellen | ☐ |
3. Test und Führungsentscheid
| Kontrollpunkt | Erledigt | Eigentümer | Termin / Nachweis |
|---|---|---|---|
| Vorfall- und Kundeninformationsszenario üben | ☐ | ||
| Wiederherstellung oder Exit-Annahme testen bzw. bewerten | ☐ | ||
| Restrisiken, Vertragspositionen und Investitionen der Geschäftsleitung vorlegen | ☐ | ||
| Review bei neuem EU-Land, Kundenvertrag oder Subunternehmer festlegen | ☐ |
Grenzen und fachliche Prüfung
⚖️ Fachprüfung erforderlich Diese Matrix ersetzt keine Prüfung durch zuständige Behörden, Rechtsberatung, Datenschutzfachpersonen, Finanzaufsicht oder Kundenfreigabe. Sie trifft keine Aussage über Sanktionen, Meldewege, Fristen oder Vertragsanwendbarkeit im Einzelfall. Nationale NIS2-Umsetzungen, EU-Leitlinien und Kundenverträge können sich ändern. Halten Sie Quellen, Annahmen, Prüfdatum und Entscheider fest. Aktualisieren Sie die Matrix bei einer neuen EU-Tätigkeit, wesentlichen Leistungsänderung, einem neuen Unterauftragnehmer, einem Vorfall oder einem Vertragsnachtrag.