EU NIS2 und die Schweiz

Die Schweiz und EU-Regulatorik

Bislang blieb das Schweizer Informationssicherheitsgesetz (ISG) lange leitlinienbasiert, zersplittert und bundeszentriert – anders als die EU-NIS2-Richtlinie, die auf verbindliche, grenzüberschreitend koordinierte Standards setzt.

Angesichts der Bedrohungslage führte der Bundesrat mit der Gesetzesänderung vom 29. September 2023 und der Cybersicherheitsverordnung (CSV) die 2020 zunächst abgelehnte Meldepflicht ein (Art. 74a–74f ISG). Seit 1. April 2025 müssen Betreiber kritischer Infrastrukturen in neun Sektoren Vorfälle innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden.

Konkret erfasst Art. 74b ISG folgende Sektoren: Behörden, Energie, Entsorgung, Finanzen, Gesundheit, Information und Kommunikation, Nahrung, öffentliche Sicherheit und Verkehr. Die konkreten Schwellenwerte und Ausnahmen, etwa für Kleinunternehmen unter 50 Mitarbeitenden und CHF 10 Millionen Jahresumsatz, Gemeinden unter 1.000 Einwohnenden oder Hochschulen mit weniger als 2.000 Studierenden, regelt die zugehörige CSV. Verstöße gegen die Meldepflicht können gem. Art. 74g, 74h ISG ab dem 1. Oktober 2025 mit Bussen bis CHF 100.000 sanktioniert werden.

Dennoch bleibt die EU-Regulatorik weiterer gefasst: NIS2 erfasst 18 Sektoren (9 im ISG), definiert zwei Kategorien von Einrichtungen ("wesentlich" und "wichtig") nach Größe, und greift ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz. Auch das Strafmass ist deutlich höher: Bußen bis 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes, dazu persönliche Haftung der Geschäftsleitung.

Hinzu kommen EU-DORA (seit Januar 2025) für IKT-Risikomanagement im Finanzsektor, und der EU Cyber Resilience Act (CRA, ab September 2026) mit Meldepflichten für Sicherheitslücken und umfangreichen Sicherheitsvorgaben für digitale Produkte.

Folgen für die Schweiz

Wie NIS2 trotzdem in der Schweiz greift

Diese EU-Regulatorik bleibt für die Schweiz nicht folgenlos:

• Erstens betreffen die nationalen NIS2-Umsetzungsgesetze Tochtergesellschaften Schweizer Unternehmen in den jeweiligen EU-Mitgliedstaaten – was vor allem Schweizer Konzerne und Versorger mit weitverzweigten Infrastrukturen betreffen könnte.
• Zweitens können Schweizer Unternehmen, die digitale Infrastruktur wie Cloud-Computing, DNS oder Managed Services im EU-Raum erbringen, unabhängig von ihrem Firmensitz auch in den Anwendungsbereich von NIS2 fallen – Territorialität (Art. 26 NIS2-RL)
• Drittens, und für die meisten Schweizer KMU am relevantesten, greift NIS2 über die Lieferkette: EU-Unternehmen müssen die Cybersicherheit ihrer gesamten Lieferkette gewährleisten und geben die Anforderungen über Vertragsklauseln, Audit-Rechte und Incident-Notification-Pflichten an ihre Schweizer Zulieferer und Dienstleister weiter.

Perspektive: Von de facto zu de jure

Da die EU der grösste Handelspartner der Schweiz ist, übernehmen Schweizer Unternehmen oft aus Eigeninteresse an reibungsloser wirtschaftlicher Zusammenarbeit und einem einheitlichen Compliance-Modell ähnliche Standards wie ihre EU-Kunden – unabhängig von einer rechtlichen Pflicht. De facto werden also bereits Teile der Schweizer Wirtschaft passiv an EU-Vorgaben gebunden.

Vor diesem Hintergrund reagierte auch der Bundesrat: Seit August 2025 arbeiten zuständige Behörden an einer eigenen Gesetzgebung zur Cyberresilienz digitaler Produkte, die sich am EU-CRA orientiert. Eine Vernehmlassungsvorlage ist bis Herbst 2026 vorgesehen.

Und nun? Was die Schweiz plant

Darüber hinaus treibt der Bundesrat seit dem 18. Februar 2026 zwei weitere Gesetzesvorlagen zur Stärkung der Resilienz kritischer Infrastruktur voran. Die Motion 23.3001 soll dem Bund erstmals die Kompetenz geben, verbindliche Mindestvorgaben zur Ausfallsicherheit und Störungsbehebung branchenübergreifend zu erlassen.

Heute existieren solche nur vereinzelt, etwa in der Stromversorgung, während in Bereichen wie Gesundheitswesen oder Kommunikation verbindliche Standards fehlen. Strukturell geht dies in Richtung der EU-CER-Richtlinie für Resilienz, für die es in der Schweiz bisher auch noch kein Pendant gibt.

Strategischer Diskurs

Letztlich fällt auf, dass es im Cyber- und Resilienzbereich bislang vor allem der wirtschaftliche – und weniger der sicherheitspolitische – Integrationswille ist, der regulatorische Eigenständigkeit und Neutralität der Schweiz zunehmend überwindet und sie in die europäische (Cyber-)Sicherheitsarchitektur einbindet.

Währenddessen türmt sich auf außen- und sicherheitspolitischer Ebene der Handlungsdruck immer weiter auf. Der Entwurf der Sicherheitsstrategie 2026 erklärt Resilienz und den Schutz kritischer Infrastrukturen zu einer zentralen Priorität und betont damit die Bedeutung grenzüberschreitender Risiken sowie die Notwendigkeit einer dafür unabdingbaren engeren Kooperation mit EU und NATO.

Im Detail verfolgt die Sicherheitsstrategie 2026 drei Stoßrichtungen: Resilienz stärken, Schutz und Abwehr verbessern und Verteidigungsfähigkeit erhöhen. Diese werden heruntergebrochen auf zehn Ziele und über 40 Massnahmen. Ziel 4, Krisenfeste Infrastrukturen, legt beispielsweise fest, dass kritische Infrastrukturen gegenüber Störungen und Angriffen robust sein sollen. Die zugehörige Massnahme M8, Erhöhung der Cybersicherheit in der Schweiz", verweist dabei auf das ISG, das als erste sektorübergreifende Regulierung den EU-Standards entspreche, nennt die 2025 eingeführte Meldepflicht und bietet einen guten überblick über laufende Arbeiten in diesem Bereich.

Inwieweit sich dieser Handlungsdruck in konkreten Kooperationsinitiativen niederschlägt, bleibt jedoch abzuwarten. Am 27. September 2026 werden die Schweizer über die Neutralitätsinitiative abstimmen, die diesen Spielraum verfassungsrechtlich einschränken würde.

Am Ende stehen dahinter grundsätzlichere Fragen: Welches Neutralitätsverständnis erachten die Schweizerinnen und Schweizer als zeitgemäß? Schützt die Neutralität die Schweiz noch, oder wird sie aus einer daraus resultierenden Resilienzlücke selbst zum größten Sicherheitsrisiko?

Sicherheitspolitische Strategie der Schweiz 2026, Staatssekretariat für Sicherheitspolitik SEPOS

Quellen

1. Informationssicherheitsgesetz (ISG), SR 128, Fedlex
2. NIS2 – Fällt mein Schweizer Unternehmen darunter?, SIDD Institut, 2026
3. Der Bundesrat will die Cyberresilienz von digitalen Produkten stärken, Bundesrat 2025
4. Besserer Schutz der kritischen Infrastrukturen in der Schweiz", Bundesrat 2026
5. Schweiz-EU in Zahlen, Abteilung Europa Staatssekretariat STS-EDA, 2025
6. Bericht zur Nationalen Risikoanalyse, in: OpenKRITIS CER-Risikoanalysen
7. Lagebericht Nachrichtendienst des Bundes, in: OpenKRITIS CER-Risikoanalysen
8. Schweizer Sicherheitsstrategie 2026, Staatssekretariat für Sicherheitspolitik (SEPOS) 2025
9. Ein Vergleich aktueller kritischer Infrastrukturansätze, ETH Zürich Center for Security Studies 2024
10. Cybersicherheit ohne Regulierungsillusionen, economiesuisse 2026
11. Die Schweiz will ihre kritischen Infrastrukturen identifizieren und besser schützen, SWI 2026