Die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit, kurz NIS-2, hebt das geforderte Sicherheitsniveau in Europa spürbar an. «Betrifft uns nicht, wir sind in der Schweiz» greift dabei zu kurz: Über Lieferketten, Tochterfirmen und Dienste für EU-Kunden landen viele hiesige Unternehmen mitten im Anwendungsbereich.

Warum die Schweiz nicht aussen vor ist

NIS-2 bezieht Lieferketten ausdrücklich ein. Wer kritische Dienste für europäische Kunden erbringt, zu einem Konzern mit EU-Sitz gehört oder als Zulieferer in regulierten Branchen tätig ist, bekommt die Anforderungen früher oder später vertraglich weitergereicht, auch ohne eigenen Sitz in der EU.

Cyber Security wird zur Pflicht der Leitung

Das eigentlich Neue an NIS-2 ist weniger technisch als organisatorisch: Die Richtlinie nimmt die Leitungsebene direkt in die Pflicht. Geschäftsleitung und Verwaltungsrat können das Thema nicht mehr an die IT abschieben. Konkret bedeutet das:

  • Risiken identifizieren, bewerten und dokumentieren.
  • Massnahmen angemessen und nachweisbar umsetzen.
  • Vorfälle innerhalb der vorgegebenen Fristen melden.
  • Die Wirksamkeit regelmässig überprüfen.

Vier Schritte ohne Aktionismus

Niemand muss von heute auf morgen alles umstellen. Sinnvoll ist ein geordnetes Vorgehen:

  1. Betroffenheit klären. Über welche Geschäftsbeziehungen fällt Ihr Unternehmen in den Anwendungsbereich?
  2. Reifegrad bestimmen. Ein strukturiertes Assessment zeigt, wo Sie stehen.
  3. Governance schaffen. Verantwortlichkeiten, Berichtswege und Entscheidungsgrundlagen gehören auf die Leitungsebene.
  4. Roadmap aufsetzen. Massnahmen nach Risiko und Wirkung priorisieren.

Was bleibt

NIS-2 ist weniger ein IT-Projekt als eine Führungsaufgabe. Wer früh handelt, reduziert nicht nur regulatorischen Druck, sondern wird als ganzes Unternehmen widerstandsfähiger – ein Nebeneffekt, der sich auch ohne Richtlinie lohnt.

Sie möchten Ihre Betroffenheit und Ihren Reifegrad einschätzen lassen? Vereinbaren Sie ein unverbindliches Erstgespräch.