NIS2 hat den Kreis der Unternehmen, die gesetzliche Cybersicherheitspflichten tragen, in der EU stark erweitert. Nicht mehr nur klassische Betreiber kritischer Infrastrukturen sind erfasst, sondern auch mittlere Unternehmen in Sektoren wie Abfallwirtschaft, Lebensmittel, Herstellung, digitale Dienste oder Verwaltung von IKT-Diensten.
Wer betroffen ist
Massgebend sind Sektor und Grösse. Grob gilt: Ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme in einem erfassten Sektor kann ein Unternehmen eine wichtige Einrichtung sein; grosse Unternehmen in Sektoren hoher Kritikalität und Betreiber kritischer Anlagen sind besonders wichtige Einrichtungen. In Deutschland ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz am 6. Dezember 2025 in Kraft getreten; betroffen sind rund 29 500 Einrichtungen.
Die Pflichten
Betroffene Einrichtungen müssen geeignete technische und organisatorische Risikomanagementmassnahmen umsetzen, von Richtlinien über Backup und Krisenmanagement bis zur Sicherheit der Lieferkette. Erhebliche Sicherheitsvorfälle sind gestuft zu melden: eine Frühwarnung innert 24 Stunden, eine Meldung innert 72 Stunden und ein Abschlussbericht innert eines Monats. Die Geschäftsleitung muss die Massnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. In Deutschland mussten sich bereits erfasste Einrichtungen bis zum 6. März 2026 beim BSI registrieren.
Sanktionen
Die Bussgelder reichen in Deutschland für besonders wichtige Einrichtungen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent. Hinzu kommt die persönliche Verantwortung der Leitungsorgane für die Umsetzung.
Bezug zur Schweiz
NIS2 gilt in der Schweiz nicht. Schweizer Unternehmen sind trotzdem auf drei Wegen betroffen: über Tochtergesellschaften in der EU, über bestimmte digitale Dienste, die sie in der EU erbringen und für die ein Vertreter in der EU nötig sein kann, und über die Lieferkette, weil erfasste Kunden Sicherheitsanforderungen vertraglich an ihre Lieferanten weitergeben. In der Schweiz selbst gilt für kritische Infrastrukturen die Meldepflicht nach ISG. Für Hersteller digitaler Produkte kommt der Cyber Resilience Act hinzu.