NIS2
NIS2 ist die EU-Richtlinie zur Cybersicherheit und Teil des EU-Rechts, nicht des Schweizer Rechts. In der Schweiz gilt sie nicht unmittelbar, erreicht Unternehmen aber über EU-Töchter, Kundenverträge und die Lieferkette. Diese Seite erklärt, wer betroffen ist, was Art. 21 der Richtlinie verlangt und wie sich das zum IKT-Minimalstandard und zur Meldepflicht nach dem Informationssicherheitsgesetz verhält.
Stand: 2. September 2026
Was ist NIS2?
NIS2 ist die Richtlinie (EU) 2022/2555 über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie verpflichtet Unternehmen in 18 Sektoren zu Risikomanagement, Meldung von Sicherheitsvorfällen und technischen Mindestmassnahmen. Sie gilt seit dem 18. Oktober 2024 in der EU und in der Schweiz nicht unmittelbar.
Ob „NIS2“ oder „NIS 2“ mit Leerzeichen: gemeint ist dieselbe Richtlinie, auch in Schweizer Ausschreibungen und Lieferantenfragebögen. Der Name steht für die zweite Fassung der Network-and-Information-Security-Richtlinie; sie ersetzt die erste von 2016 und erweitert deren Geltungsbereich erheblich. Für ein Schweizer Unternehmen zählt vor allem, ob es eine Einheit im Europäischen Wirtschaftsraum führt oder ob Kunden aus der EU ihre Anforderungen vertraglich weitergeben.
Neu ist vor allem die Verantwortung. NIS2 macht Cybersicherheit zur Leitungsaufgabe: die Geschäftsleitung muss die Risikomanagementmassnahmen billigen, ihre Umsetzung überwachen und trägt nach Art. 20 der Richtlinie eine eigene Verantwortung. Im Schweizer Recht findet sich der Gedanke in der Sorgfaltspflicht des Verwaltungsrats und in den Vorgaben des IKT-Minimalstandards wieder.
NIS2 in Zahlen
- 18
- Sektoren nach Anhang I und II der Richtlinie
- 24 Std.
- Meldefrist nach Art. 74b ISG und für die Frühwarnung nach NIS2
- 14 Tage
- Frist zur Ergänzung einer Meldung an das BACS nach Art. 16 CSV
- 10 Mio. €
- Bussenrahmen, oder 2 % des Jahresumsatzes
Richtlinie, Schweizer Recht, Aufsicht
Richtlinie, Bundesrecht, Vertrag: drei Ebenen, die für Schweizer Unternehmen zusammenspielen. Wer sie auseinanderhält, weiss, welche Pflicht aus welcher Quelle stammt.
- Europäische Ebene
Die NIS2-Richtlinie
Richtlinie (EU) 2022/2555, von den Mitgliedstaaten seit dem 18. Oktober 2024 angewendet. Sie richtet sich an die EU-Staaten, die sie in eigenes Recht übersetzen; die Schweiz gehört nicht dazu. Für ein Schweizer Unternehmen ist sie deshalb Massstab für EU-Einheiten und Kundenverträge, nicht Rechtsgrundlage im Inland.
- Schweizer Ebene
Was in der Schweiz gilt
Die Schweiz hat NIS2 nicht übernommen. Massgebend sind der IKT-Minimalstandard des Bundes als Referenz für die Massnahmen, Art. 74b des Informationssicherheitsgesetzes mit der Meldepflicht für Betreiberinnen kritischer Infrastrukturen und, je nach Branche, das Aufsichtsrecht, etwa die Rundschreiben der FINMA.
- Mittelbare Wirkung
Wie NIS2 trotzdem greift
Über eine Tochter oder Niederlassung im Europäischen Wirtschaftsraum gilt dort das nationale Umsetzungsrecht unmittelbar. Über Art. 21 Abs. 2 lit. d der Richtlinie geben betroffene Kunden ihre Anforderungen an Lieferanten weiter, auch an solche ausserhalb der EU. Beides führt dazu, dass Schweizer Unternehmen die Massnahmen belegen müssen.
Wer ist betroffen?
Zwei Kriterien müssen zusammenkommen: der Sektor und die Grösse. Trifft beides auf eine Einheit im Europäischen Wirtschaftsraum zu, gilt NIS2 dort ohne Bescheid und ohne Aufforderung der Behörde.
Wesentliche Einrichtungen
Schwelle für die Einheit im EWR: ab 250 Beschäftigten, oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme
In den Sektoren hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum. Für Einheiten im Europäischen Wirtschaftsraum bedeutet das laufende Aufsicht durch die dortige Behörde.
Höchstbetrag im EU-Staat mindestens 10 Mio. € oder 2 % des weltweiten Umsatzes
Wichtige Einrichtungen
Schwelle für die Einheit im EWR: ab 50 Beschäftigten, oder mehr als 10 Mio. € sowohl bei Jahresumsatz als auch bei Bilanzsumme. Dieselbe Grenze zieht Art. 12 Abs. 2 CSV in Franken für einzelne ISG-Meldepflichtige.
Alle übrigen Sektoren nach Anhang II sowie kleinere Einrichtungen aus Anhang I: Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung. Hierunter fallen typischerweise EU-Werke Schweizer Industrie-, Chemie- und Lebensmittelgruppen; die dortige Behörde prüft anlassbezogen, die Pflichten nach Art. 21 sind dieselben.
Höchstbetrag im EU-Staat mindestens 7 Mio. € oder 1,4 % des weltweiten Umsatzes
Unabhängig von der Grösse
Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Dienste und Anbieter öffentlicher Telekommunikationsnetze fallen unabhängig von ihrer Grösse unter NIS2. Schweizer Anbieter von Cloud-, Rechenzentrums- oder verwalteten Sicherheitsdiensten, die in den Anwendungsbereich fallen, aber keine Niederlassung in der EU haben, müssen nach Art. 26 Abs. 3 der Richtlinie einen Vertreter in der Union benennen.
Und die Lieferkette?
Zulieferer sind nicht automatisch selbst betroffen, werden aber vertraglich in die Pflicht genommen: Art. 21 Abs. 2 lit. d der Richtlinie verlangt von betroffenen Unternehmen, die Sicherheit ihrer unmittelbaren Anbieter zu bewerten. In der Praxis heisst das Fragebögen, Nachweise und Vertragsklauseln, die den Standard bis in die Schweiz weitergeben.
Die 18 Sektoren
Zuerst Anhang I der Richtlinie, danach Anhang II. Energie, Banken, Spitäler und Post kennt auch Art. 74b ISG als meldepflichtige Bereiche.
- Energie
- Verkehr und Transport
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- IKT-Dienstleistungsmanagement
- Öffentliche Verwaltung
- Weltraum
- Post und Kurier
- Abfallwirtschaft
- Chemie
- Lebensmittel
- Verarbeitendes Gewerbe
- Digitale Dienste
- Forschung
Die zehn Anforderungen nach Art. 21 der Richtlinie
Art. 21 Abs. 2 der NIS2-Richtlinie listet zehn Massnahmen. Für Schweizer Unternehmen sind sie über EU-Einheiten und Kundenverträge massgebend; inhaltlich decken sie sich weitgehend mit dem IKT-Minimalstandard des Bundes.
Der Massstab ist die Verhältnismässigkeit: gefordert ist der Stand der Technik, gemessen am Risiko, an der Grösse des Unternehmens und an den möglichen Schäden. Eine feste Produktliste enthalten weder die Richtlinie noch der IKT-Minimalstandard mit seinen 108 Massnahmen.
| Nr. | Massnahme | Was dahintersteht | E-Mail-Bezug |
|---|---|---|---|
| §30 Abs. 2Nr. 1 | Risikoanalyse und Sicherheitskonzepte, lit. a | Dokumentierte Analyse der Risiken für die eigenen Informationssysteme; der IKT-Minimalstandard führt sie unter Identifizieren. | kein direkter Bezug |
| §30 Abs. 2Nr. 2 | Bewältigung von Sicherheitsvorfällen, lit. b | Erkennung, Reaktion und Nachbereitung als geregelter Prozess, im IKT-Minimalstandard die Bereiche Erkennen und Reagieren. | unmittelbar |
| §30 Abs. 2Nr. 3 | Aufrechterhaltung des Betriebs, lit. c | Backup-Management, Wiederherstellung und Krisenmanagement, im IKT-Minimalstandard unter Wiederherstellen. | mittelbar |
| §30 Abs. 2Nr. 4 | Sicherheit der Lieferkette, lit. d | Bewertung und vertragliche Absicherung der unmittelbaren Anbieter; der IKT-Minimalstandard sieht dafür Vertragsklauseln nach ID.SC-3 vor. | unmittelbar |
| §30 Abs. 2Nr. 5 | Sicherheit bei Erwerb, Entwicklung und Wartung, lit. e | Sicherheitsanforderungen über den Lebenszyklus von Systemen, einschliesslich Schwachstellenmanagement. | kein direkter Bezug |
| §30 Abs. 2Nr. 6 | Bewertung der Wirksamkeit, lit. f | Verfahren, die prüfen, ob die getroffenen Massnahmen tatsächlich wirken. | mittelbar |
| §30 Abs. 2Nr. 7 | Cyberhygiene und Schulungen, lit. g | Grundlegende Sicherheitspraktiken und regelmässige Schulung aller Beschäftigten. | mittelbar |
| §30 Abs. 2Nr. 8 | Kryptografie und Verschlüsselung, lit. h | Konzepte und Verfahren für den Einsatz kryptografischer Verfahren, einschliesslich Schlüsselverwaltung. | unmittelbar |
| §30 Abs. 2Nr. 9 | Personalsicherheit und Zugriffskontrolle, lit. i | Überprüfung von Personal, Rechte nach Bedarf, Verwaltung der Anlagen; Daten über Beschäftigte begrenzt Art. 328b OR auf das für das Arbeitsverhältnis Nötige. | kein direkter Bezug |
| §30 Abs. 2Nr. 10 | Multi-Faktor und gesicherte Kommunikation, lit. j | Mehrfaktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, Notfallkommunikation; der IKT-Minimalstandard stuft die Authentifizierung nach dem Risiko ab. | unmittelbar |
Vier der zehn Massnahmen betreffen E-Mail unmittelbar
Verschlüsselung nach lit. h, Vorfallsbewältigung nach lit. b, Lieferkette nach lit. d und gesicherte Kommunikation nach lit. j lassen sich ohne Mail-Gateway kaum belegen, weder gegenüber einer EU-Behörde noch gegenüber einem Kunden. Wie das für Schweizer Unternehmen aussieht, steht auf der Seite zur E-Mail-Sicherheit nach NIS2.
Fristen, Meldungen, Bussen
Neben den Massnahmen nach Art. 21 stehen drei formale Pflichten, die unabhängig von der IT-Ausstattung greifen.
Registrierung und Meldung
Betroffene Einheiten im Europäischen Wirtschaftsraum müssen sich bei der dortigen Behörde registrieren. In der Schweiz tritt an die Stelle der Registrierung die Meldepflicht: Betreiberinnen kritischer Infrastrukturen melden einen Cyberangriff nach Art. 74e des Informationssicherheitsgesetzes innert 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit.
Meldung in der EU und an das BACS
Erheblich ist ein Vorfall nach Art. 23 Abs. 3 der Richtlinie, wenn er schwere Betriebsstörungen oder finanzielle Verluste verursacht oder anderen Personen erheblichen Schaden zufügen kann. In der Schweiz fragt Art. 74d ISG ähnlich, ob die Funktionsfähigkeit gefährdet ist oder Informationen abgeflossen sind. Die Meldung an die EU-Behörde erfolgt dreistufig:
- 1Innerhalb von 24 Stunden: Frühwarnung im EU-Staat, gleich lang wie die Meldefrist nach Art. 74e ISG.
- 2Innerhalb von 72 Stunden: Meldung mit erster Bewertung. Im Schweizer Verfahren ergänzt man stattdessen innert 14 Tagen nach Art. 16 CSV.
- 3Innerhalb eines Monats: Abschlussmeldung mit Ursache, Auswirkung und ergriffenen Massnahmen.
Geschäftsleitung und Verwaltungsrat
Nach Art. 20 der Richtlinie muss die Geschäftsleitung die Risikomanagementmassnahmen billigen und ihre Umsetzung überwachen. Sie ist zur regelmässigen Schulung verpflichtet und trägt für Pflichtverletzungen eine eigene Verantwortung. Im Schweizer Recht folgt Vergleichbares aus der Sorgfalts- und Treuepflicht des Verwaltungsrats nach Art. 717 OR.
Bussenrahmen
Wesentliche Einrichtungen in der EU: Höchstbetrag mindestens 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; wichtige Einrichtungen mindestens 7 Mio. € oder 1,4 %. In der Schweiz droht Art. 74h ISG eine Busse bis zu 100 000 Franken an, wenn eine Verfügung des BACS zur Meldepflicht vorsätzlich missachtet wird.
NIS2 und kritische Infrastrukturen
Beides wird oft verwechselt. Kritische Infrastrukturen sind Einrichtungen, deren Ausfall die Versorgung der Bevölkerung gefährdet. In der Schweiz knüpft daran die Meldepflicht nach Art. 74b des Informationssicherheitsgesetzes an, und der IKT-Minimalstandard des Bundes beschreibt die erwarteten Massnahmen, teils mit eigenen Branchenausgaben.
NIS2 ist der weitere Begriff und stammt aus dem EU-Recht. Ein Schweizer Unternehmen kann von NIS2 über seine EU-Einheiten erfasst sein, ohne in der Schweiz als kritische Infrastruktur zu gelten; umgekehrt gilt für Betreiberinnen kritischer Infrastrukturen die schweizerische Meldepflicht unabhängig davon, ob NIS2 greift.
| Aspekt | NIS2 | Kritische Infrastruktur |
|---|---|---|
| Auslöser | NIS2Sektor und Unternehmensgrösse, für Einheiten im EWR | Kritische InfrastrukturZugehörigkeit nach Art. 74b des Informationssicherheitsgesetzes |
| Umfang | NIS2Unternehmen aus 18 Sektoren ab der Grössenschwelle | Kritische Infrastrukturdie in der Verordnung genannten Stellen |
| Nachweis | NIS2auf Verlangen der Aufsicht im EWR | Kritische InfrastrukturMeldung innert 24 Stunden nach Entdeckung |
| Angriffserkennung | NIS2Teil der Verhältnismässigkeit | Kritische Infrastrukturim IKT-Minimalstandard beschrieben |
Alle NIS2-Themen
Die Vertiefungen gehen von der Richtlinie aus; wo das Schweizer Recht abweicht, steht es auf dieser Seite. Dreizehn Beiträge, nach Fragestellung sortiert.
Grundlagen und Haftung
- NIS2 und E-Mail-Sicherheit: der komplette GuideDer Einstieg über 30 Seiten: Geltungsbereich, Massnahmen, Fristen, Fallstricke.
- E-Mail-Pflichten aus Art. 21 der RichtlinieWas die Richtlinie für den Mailkanal konkret vorschreibt, Absatz für Absatz.
- Verantwortung der Geschäftsleitung nach Art. 20 NIS2Was Art. 20 der Richtlinie von der Leitung verlangt und wie sich das dokumentieren lässt.
Die Massnahmen im Einzelnen
- Art. 21 NIS2: die zehn PflichtmassnahmenJede Massnahme einzeln erklärt, mit dem jeweiligen Bezug zur E-Mail.
- Ist E-Mail-Verschlüsselung Pflicht?Was Art. 21 Abs. 2 lit. h verlangt, wo TLS reicht und wo S/MIME oder PGP nötig werden.
- Meldepflicht bei einem VorfallDie 24-Stunden-Frist in der Praxis: wer meldet, was, an wen.
- Lieferkettensicherheit nach lit. dWie EU-Kunden ihre Anforderungen an Zulieferer weitergeben, auch an solche in der Schweiz, und wie der Nachweis gelingt.
- Der E-Mail-NotfallplanBetriebskontinuität für den Mailkanal: Ausfall, Wiederanlauf, Ersatzweg.
- Protokollierung und SIEM-AnbindungWelche Nachweise die Aufsicht sehen will und wie E-Mail-Ereignisse dorthin kommen.
Umsetzung mit Conbool
- E-Mail-Sicherheit für Schweizer Unternehmen nach NIS2Die vier E-Mail-relevanten Massnahmen und wie Conbool sie abdeckt.
- NIS2-VerschlüsselungS/MIME und PGP automatisiert, für lit. h der Richtlinie und die Datensicherheit nach Art. 8 revDSG.
- NIS2-BetriebskontinuitätNotfallpostfach und Weiterbetrieb bei Ausfall des Mailservers, passend zur Wiederherstellungsplanung im IKT-Minimalstandard.
- NIS2-SchulungspflichtSchulungen nach lit. g und Art. 20, dazu Sensibilisierung nach IKT-Minimalstandard, nachweisbar dokumentiert.
Häufige Fragen zu NIS2
Gilt NIS2 für ein Schweizer Unternehmen?+
Nicht unmittelbar. NIS2 ist eine EU-Richtlinie und wird von den Mitgliedstaaten in nationales Recht übersetzt; die Schweiz hat sie nicht übernommen. Erfasst wird ein Schweizer Unternehmen über eine Tochter oder Niederlassung im Europäischen Wirtschaftsraum, über Kunden, die ihre Anforderungen nach Art. 21 Abs. 2 lit. d vertraglich weitergeben, und über Ausschreibungen, die NIS2-Nachweise verlangen. Im Inland gelten der IKT-Minimalstandard, Art. 74b des Informationssicherheitsgesetzes und das jeweilige Aufsichtsrecht.
Seit wann gilt NIS2?+
Die Richtlinie gilt seit dem 18. Oktober 2024 in der EU, ohne Übergangsfrist für die Massnahmen. Für Schweizer Unternehmen zählt der Zeitpunkt, ab dem eine EU-Einheit registriert sein muss oder ein Kunde den Nachweis verlangt. Die schweizerische Meldepflicht nach Art. 74b des Informationssicherheitsgesetzes gilt unabhängig davon.
Worin unterscheiden sich wesentliche und wichtige Einrichtungen nach der Richtlinie?+
Die Einstufung folgt aus Sektor und Grösse. Wesentliche Einrichtungen sind grosse Unternehmen in Sektoren hoher Kritikalität, wichtige Einrichtungen alle übrigen betroffenen. Die Massnahmenpflichten nach Art. 21 sind identisch; sie unterscheiden sich in der Aufsicht, die bei wesentlichen Einrichtungen laufend erfolgt, und im Bussenrahmen von 10 gegenüber 7 Mio. Euro.
Muss ein Vorfall innert 24 Stunden vollständig aufgeklärt sein, in der EU oder gegenüber dem BACS?+
Nein. Die 24-Stunden-Frist gilt für eine Erstmeldung mit dem Kenntnisstand zu diesem Zeitpunkt, einschliesslich der Einschätzung, ob ein rechtswidriger Angriff vorliegt. Nach der Richtlinie folgt die Bewertung binnen 72 Stunden und die Abschlussmeldung binnen eines Monats; im Schweizer Verfahren gewährt das BACS nach Art. 16 CSV 14 Tage zur Ergänzung.
Reicht eine ISO-27001-Zertifizierung für NIS2 und den IKT-Minimalstandard?+
Sie hilft, zumal der IKT-Minimalstandard 2023 auf ISO 27001:2022 aktualisiert ist, genügt aber nicht automatisch. ISO 27001 deckt einen grossen Teil der Massnahmen nach Art. 21 Abs. 2 und des IKT-Minimalstandards ab, adressiert die Melde- und Registrierungspflichten sowie die eigene Verantwortung der Geschäftsleitung nach Art. 20 jedoch nicht. Ein bestehendes ISMS verkürzt die Arbeit, die Prüfung der Meldepflicht nach dem ISG und der Kundenvorgaben ersetzt es nicht.
Fällt ein Schweizer Zulieferer unter NIS2?+
Nicht allein deshalb, und in der Schweiz ohnehin nicht unmittelbar. Betroffene Kunden geben ihre Anforderungen nach Art. 21 Abs. 2 lit. d vertraglich weiter, sodass Zulieferer die Massnahmen faktisch nachweisen müssen, ohne selbst unter die Aufsicht einer EU-Behörde zu fallen.
E-Mail-Anforderungen aus NIS2 und IKT-Minimalstandard abdecken
Vier der zehn Massnahmen nach Art. 21 der Richtlinie betreffen E-Mail unmittelbar, und dieselben Bausteine tragen den IKT-Minimalstandard. Conbool deckt sie mit Verschlüsselung, Bedrohungserkennung, Nachrichtenportal und lückenlosen Protokollen ab, gehostet in Europa.
Diese Seite fasst EU-Richtlinie und Schweizer Recht allgemeinverständlich zusammen und ersetzt keine Rechtsberatung. Massgeblich ist der Gesetzestext in seiner jeweils geltenden Fassung.