NIS2
NIS2 ist die EU-Richtlinie zur Cybersicherheit. In der Schweiz gilt sie nicht unmittelbar, erreicht Unternehmen aber über EU-Töchter, Kundenverträge und die Lieferkette. Diese Seite erklärt, wer betroffen ist, was Art. 21 der Richtlinie verlangt und wie sich das zum IKT-Minimalstandard und zur Meldepflicht nach dem Informationssicherheitsgesetz verhält.
Stand: 2. September 2026
Was ist NIS2?
NIS2 ist die Richtlinie (EU) 2022/2555 über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie verpflichtet Unternehmen in 18 Sektoren zu Risikomanagement, Meldung von Sicherheitsvorfällen und technischen Mindestmassnahmen. Sie gilt seit dem 18. Oktober 2024 in der EU und in der Schweiz nicht unmittelbar.
Die Schreibweise „NIS 2“ mit Leerzeichen meint dasselbe. Der Name steht für die zweite Fassung der Network-and-Information-Security-Richtlinie; sie ersetzt die erste von 2016 und erweitert deren Geltungsbereich erheblich. Für ein Schweizer Unternehmen zählt vor allem, ob es eine Einheit im Europäischen Wirtschaftsraum führt oder ob Kunden aus der EU ihre Anforderungen vertraglich weitergeben.
Neu ist vor allem die Verantwortung. NIS2 macht Cybersicherheit zur Leitungsaufgabe: die Geschäftsleitung muss die Risikomanagementmassnahmen billigen, ihre Umsetzung überwachen und trägt nach Art. 20 der Richtlinie eine eigene Verantwortung. Im Schweizer Recht findet sich der Gedanke in der Sorgfaltspflicht des Verwaltungsrats und in den Vorgaben des IKT-Minimalstandards wieder.
NIS2 in Zahlen
- 18
- Sektoren nach Anhang I und II der Richtlinie
- 24 Std.
- Meldefrist nach Art. 74b ISG und für die Frühwarnung nach NIS2
- 24 Std.
- Frist für die Erstmeldung eines Vorfalls
- 10 Mio. €
- Bussenrahmen, oder 2 % des Jahresumsatzes
Richtlinie, Schweizer Recht, Aufsicht
Drei Namen, ein Regelwerk. Wer die Kette kennt, findet die Vorschrift, die tatsächlich gilt.
- Europäische Ebene
Die NIS2-Richtlinie
Richtlinie (EU) 2022/2555, in Kraft seit Januar 2023. Eine Richtlinie gilt nicht unmittelbar: sie verpflichtet die Mitgliedstaaten, ihre Vorgaben in nationales Recht zu übersetzen. Für Unternehmen ist sie deshalb Auslegungshilfe, nicht Anspruchsgrundlage.
- Schweizer Ebene
Was in der Schweiz gilt
Die Schweiz hat NIS2 nicht übernommen. Massgebend sind der IKT-Minimalstandard des Bundes als Referenz für die Massnahmen, Art. 74b des Informationssicherheitsgesetzes mit der Meldepflicht für Betreiberinnen kritischer Infrastrukturen und, je nach Branche, das Aufsichtsrecht, etwa die Rundschreiben der FINMA.
- Mittelbare Wirkung
Wie NIS2 trotzdem greift
Über eine Tochter oder Niederlassung im Europäischen Wirtschaftsraum gilt dort das nationale Umsetzungsrecht unmittelbar. Über Art. 21 Abs. 2 lit. d der Richtlinie geben betroffene Kunden ihre Anforderungen an Lieferanten weiter, auch an solche ausserhalb der EU. Beides führt dazu, dass Schweizer Unternehmen die Massnahmen belegen müssen.
Wer ist betroffen?
Zwei Kriterien müssen zusammenkommen: der Sektor und die Grösse. Trifft beides zu, gilt NIS2 automatisch, ohne Bescheid und ohne Aufforderung.
Besonders wichtige Einrichtungen
ab 250 Beschäftigten, oder über 50 Mio. € Jahresumsatz und über 43 Mio. € Bilanzsumme
In den Sektoren hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum. Für Einheiten im Europäischen Wirtschaftsraum bedeutet das laufende Aufsicht durch die dortige Behörde.
Busse bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtungen
ab 50 Beschäftigten, oder über 10 Mio. € Jahresumsatz und Bilanzsumme
Alle übrigen Sektoren sowie kleinere Einrichtungen der oben genannten: Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung. Die Aufsicht erfolgt anlassbezogen, die Pflichten selbst sind dieselben.
Busse bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
Unabhängig von der Grösse
Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Dienste und Anbieter öffentlicher Telekommunikationsnetze fallen ohne Rücksicht auf Beschäftigtenzahl oder Umsatz unter NIS2.
Und die Lieferkette?
Zulieferer sind nicht automatisch selbst betroffen, werden aber vertraglich in die Pflicht genommen: Art. 21 Abs. 2 lit. d der Richtlinie verlangt von betroffenen Unternehmen, die Sicherheit ihrer unmittelbaren Anbieter zu bewerten. In der Praxis heisst das Fragebögen, Nachweise und Vertragsklauseln, die den Standard bis in die Schweiz weitergeben.
Die 18 Sektoren
Sektoren hoher Kritikalität zuerst, danach die sonstigen kritischen Sektoren.
- Energie
- Verkehr und Transport
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- IKT-Dienstleistungsmanagement
- Öffentliche Verwaltung
- Weltraum
- Post und Kurier
- Abfallwirtschaft
- Chemie
- Lebensmittel
- Verarbeitendes Gewerbe
- Digitale Dienste
- Forschung
Die zehn Anforderungen nach Art. 21 der Richtlinie
Art. 21 Abs. 2 der NIS2-Richtlinie listet zehn Massnahmen. Für Schweizer Unternehmen sind sie über EU-Einheiten und Kundenverträge massgebend; inhaltlich decken sie sich weitgehend mit dem IKT-Minimalstandard des Bundes.
Der Massstab ist die Verhältnismässigkeit: gefordert ist der Stand der Technik, gemessen am Risiko, an der Grösse des Unternehmens und an den möglichen Schäden. Eine feste Produktliste gibt es nicht.
| Nr. | Massnahme | Was dahintersteht | E-Mail-Bezug |
|---|---|---|---|
| §30 Abs. 2Nr. 1 | Risikoanalyse und Sicherheitskonzepte | Dokumentierte Analyse der Risiken für die eigenen Informationssysteme, daraus abgeleitete Konzepte. | kein direkter Bezug |
| §30 Abs. 2Nr. 2 | Bewältigung von Sicherheitsvorfällen | Erkennung, Reaktion, Wiederanlauf und Nachbereitung von Vorfällen als geregelter Prozess. | unmittelbar |
| §30 Abs. 2Nr. 3 | Aufrechterhaltung des Betriebs | Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement. | mittelbar |
| §30 Abs. 2Nr. 4 | Sicherheit der Lieferkette | Bewertung und vertragliche Absicherung der unmittelbaren Anbieter und Dienstleister. | unmittelbar |
| §30 Abs. 2Nr. 5 | Sicherheit bei Erwerb, Entwicklung und Wartung | Sicherheitsanforderungen über den Lebenszyklus von Systemen, einschliesslich Schwachstellenmanagement. | kein direkter Bezug |
| §30 Abs. 2Nr. 6 | Bewertung der Wirksamkeit | Verfahren, die prüfen, ob die getroffenen Massnahmen tatsächlich wirken. | mittelbar |
| §30 Abs. 2Nr. 7 | Cyberhygiene und Schulungen | Grundlegende Sicherheitspraktiken und regelmässige Schulung aller Beschäftigten. | mittelbar |
| §30 Abs. 2Nr. 8 | Kryptografie und Verschlüsselung | Konzepte und Verfahren für den Einsatz kryptografischer Verfahren, einschliesslich Schlüsselverwaltung. | unmittelbar |
| §30 Abs. 2Nr. 9 | Personalsicherheit und Zugriffskontrolle | Überprüfung von Personal, Rechtevergabe nach Bedarf, Verwaltung der Anlagen. | kein direkter Bezug |
| §30 Abs. 2Nr. 10 | Multi-Faktor und gesicherte Kommunikation | Mehrfaktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, Notfallkommunikation. | unmittelbar |
Vier der zehn Massnahmen betreffen E-Mail unmittelbar
Verschlüsselung, Vorfallsbewältigung, Lieferkettenkommunikation und gesicherte Textkommunikation lassen sich ohne ein Mail-Gateway kaum belegen. Wie das konkret aussieht, steht auf der Seite zur E-Mail-Sicherheit nach NIS2.
Fristen, Meldungen, Bussen
Neben den Massnahmen nach Art. 21 stehen drei formale Pflichten, die unabhängig von der IT-Ausstattung greifen.
Registrierung und Meldung
Betroffene Einheiten im Europäischen Wirtschaftsraum müssen sich bei der dortigen Behörde registrieren. In der Schweiz tritt an die Stelle der Registrierung die Meldepflicht: Betreiberinnen kritischer Infrastrukturen melden einen Cyberangriff nach Art. 74b des Informationssicherheitsgesetzes innert 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit.
Meldung von Sicherheitsvorfällen
Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder andere natürliche oder juristische Personen schädigen kann. Die Meldung erfolgt dreistufig:
- 1Innerhalb von 24 Stunden: Erstmeldung mit dem, was bekannt ist.
- 2Innerhalb von 72 Stunden: Bestätigung oder Aktualisierung mit erster Bewertung.
- 3Innerhalb eines Monats: Abschlussmeldung mit Ursache, Auswirkung und ergriffenen Massnahmen.
Pflichten der Geschäftsleitung
Nach Art. 20 der Richtlinie muss die Geschäftsleitung die Risikomanagementmassnahmen billigen und ihre Umsetzung überwachen. Sie ist zur regelmässigen Schulung verpflichtet und trägt für Pflichtverletzungen eine eigene Verantwortung. Im Schweizer Recht folgt Vergleichbares aus der Sorgfalts- und Treuepflicht des Verwaltungsrats nach Art. 717 OR.
Bussenrahmen
Besonders wichtige Einrichtungen: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen: bis 7 Mio. € oder 1,4 %. Für Verstösse gegen Melde- und Registrierungspflichten gelten eigene, niedrigere Rahmen.
NIS2 und kritische Infrastrukturen
Beides wird oft verwechselt. Kritische Infrastrukturen sind Einrichtungen, deren Ausfall die Versorgung der Bevölkerung gefährdet. In der Schweiz knüpft daran die Meldepflicht nach Art. 74b des Informationssicherheitsgesetzes an, und der IKT-Minimalstandard des Bundes beschreibt die erwarteten Massnahmen, teils mit eigenen Branchenausgaben.
NIS2 ist der weitere Begriff und stammt aus dem EU-Recht. Ein Schweizer Unternehmen kann von NIS2 über seine EU-Einheiten erfasst sein, ohne in der Schweiz als kritische Infrastruktur zu gelten; umgekehrt gilt für Betreiberinnen kritischer Infrastrukturen die schweizerische Meldepflicht unabhängig davon, ob NIS2 greift.
| Aspekt | NIS2 | Kritische Infrastruktur |
|---|---|---|
| Auslöser | Sektor und Unternehmensgrösse, für Einheiten im EWR | Zugehörigkeit nach Art. 74b des Informationssicherheitsgesetzes |
| Umfang | Unternehmen aus 18 Sektoren ab der Grössenschwelle | die in der Verordnung genannten Stellen |
| Nachweis | auf Verlangen der Aufsicht im EWR | Meldung innert 24 Stunden nach Entdeckung |
| Angriffserkennung | Teil der Verhältnismässigkeit | im IKT-Minimalstandard beschrieben |
Alle NIS2-Themen
Was auf dieser Seite im Überblick steht, ist an anderer Stelle ausgeführt. Dreizehn Seiten, nach Fragestellung sortiert.
Grundlagen und Haftung
- NIS2 und E-Mail-Sicherheit: der komplette GuideDer Einstieg über 30 Seiten: Geltungsbereich, Massnahmen, Fristen, Fallstricke.
- Welche E-Mail-Pflichten jetzt geltenWas die Richtlinie für den Mailkanal konkret vorschreibt, Absatz für Absatz.
- Verantwortung der Geschäftsleitung nach Art. 20 NIS2Warum die Leitung persönlich haftet und wie sich das dokumentieren lässt.
Die Massnahmen im Einzelnen
- Art. 21 NIS2: die zehn PflichtmassnahmenJede Massnahme einzeln erklärt, mit dem jeweiligen Bezug zur E-Mail.
- Ist E-Mail-Verschlüsselung Pflicht?Was Nr. 8 verlangt, wo TLS reicht und wo S/MIME oder PGP nötig werden.
- Meldepflicht bei einem VorfallDie 24-Stunden-Frist in der Praxis: wer meldet, was, an wen.
- Lieferkettensicherheit nach Nr. 4Wie Anforderungen an Zulieferer weitergegeben und nachgewiesen werden.
- Der E-Mail-NotfallplanBetriebskontinuität für den Mailkanal: Ausfall, Wiederanlauf, Ersatzweg.
- Protokollierung und SIEM-AnbindungWelche Nachweise die Aufsicht sehen will und wie E-Mail-Ereignisse dorthin kommen.
Umsetzung mit Conbool
- NIS2 und E-Mail-SicherheitDie vier E-Mail-relevanten Massnahmen und wie Conbool sie abdeckt.
- NIS2-VerschlüsselungS/MIME und PGP automatisiert, mit Schlüsselverwaltung und Regelwerk.
- NIS2-BetriebskontinuitätNotfallpostfach und Weiterbetrieb, wenn der Mailserver ausfällt.
- NIS2-SchulungspflichtCyberhygiene und Schulungen nach Nr. 7, nachweisbar dokumentiert.
Häufige Fragen zu NIS2
Gilt NIS2 für ein Schweizer Unternehmen?+
Nicht unmittelbar. NIS2 ist eine EU-Richtlinie und wird von den Mitgliedstaaten in nationales Recht übersetzt; die Schweiz hat sie nicht übernommen. Erfasst wird ein Schweizer Unternehmen über eine Tochter oder Niederlassung im Europäischen Wirtschaftsraum, über Kunden, die ihre Anforderungen nach Art. 21 Abs. 2 lit. d vertraglich weitergeben, und über Ausschreibungen, die NIS2-Nachweise verlangen. Im Inland gelten der IKT-Minimalstandard, Art. 74b des Informationssicherheitsgesetzes und das jeweilige Aufsichtsrecht.
Seit wann gilt NIS2?+
Die Richtlinie gilt seit dem 18. Oktober 2024 in der EU, ohne Übergangsfrist für die Massnahmen. Für Schweizer Unternehmen zählt der Zeitpunkt, ab dem eine EU-Einheit registriert sein muss oder ein Kunde den Nachweis verlangt. Die schweizerische Meldepflicht nach Art. 74b des Informationssicherheitsgesetzes gilt unabhängig davon.
Was ist der Unterschied zwischen einer besonders wichtigen und einer wichtigen Einrichtung?+
Die Einstufung folgt aus Sektor und Grösse. Wesentliche Einrichtungen sind grosse Unternehmen in Sektoren hoher Kritikalität, wichtige Einrichtungen alle übrigen betroffenen. Die Massnahmenpflichten nach Art. 21 sind identisch; sie unterscheiden sich in der Aufsicht, die bei wesentlichen Einrichtungen laufend erfolgt, und im Bussenrahmen von 10 gegenüber 7 Mio. Euro.
Muss ich einen Sicherheitsvorfall innerhalb von 24 Stunden vollständig aufklären?+
Nein. Die 24-Stunden-Frist gilt für eine Erstmeldung mit dem Kenntnisstand zu diesem Zeitpunkt, einschliesslich der Einschätzung, ob ein rechtswidriger Angriff vorliegt. Die Bewertung folgt binnen 72 Stunden, die Aufklärung mit der Abschlussmeldung binnen eines Monats.
Reicht eine ISO-27001-Zertifizierung für NIS2?+
Sie hilft, genügt aber nicht automatisch. ISO 27001 deckt einen grossen Teil der Massnahmen nach Art. 21 Abs. 2 und des IKT-Minimalstandards ab, adressiert die Melde- und Registrierungspflichten sowie die eigene Verantwortung der Geschäftsleitung nach Art. 20 jedoch nicht. Ein vorhandenes Managementsystem verkürzt die Arbeit, ersetzt die Prüfung der einzelnen Pflichten aber nicht.
Fällt mein Unternehmen als Zulieferer unter NIS2?+
Nicht allein deshalb, und in der Schweiz ohnehin nicht unmittelbar. Betroffene Kunden geben ihre Anforderungen nach Art. 21 Abs. 2 lit. d vertraglich weiter, sodass Zulieferer die Massnahmen faktisch nachweisen müssen, ohne selbst unter die Aufsicht einer EU-Behörde zu fallen.
Die E-Mail-Anforderungen abdecken
Vier der zehn Massnahmen nach Art. 21 der Richtlinie betreffen E-Mail unmittelbar, und dieselben Bausteine tragen den IKT-Minimalstandard. Conbool deckt sie mit Verschlüsselung, Bedrohungserkennung, Nachrichtenportal und lückenlosen Protokollen ab, gehostet in Europa.
Diese Seite fasst den Stand der Gesetzgebung allgemeinverständlich zusammen und ersetzt keine Rechtsberatung. Massgeblich ist der Gesetzestext in seiner jeweils geltenden Fassung.