Checkliste: NIS2-Betroffenheit für Schweizer Unternehmen prüfen
Für: Schweizer Unternehmen mit EU-Geschäft
Aktualisiert: 2026-11
Ob NIS2 ein Schweizer Unternehmen betrifft, klärt man in sieben Schritten: Gesellschaften in der EU erfassen, Sektoren und Grösse dieser Gesellschaften prüfen, digitale Dienste in der EU identifizieren, Anforderungen von EU-Kunden aus der Lieferkette sammeln, die Meldepflichten abgleichen, Verantwortlichkeiten festlegen und das Ergebnis dokumentieren.
NIS2 gilt in der Schweiz nicht direkt, betrifft Schweizer Unternehmen aber auf drei Wegen: über Tochtergesellschaften in der EU, über bestimmte digitale Dienste in der EU und über die Lieferkette erfasster Kunden.
Diese Checkliste hilft bei der Einordnung. Die nationalen Umsetzungen unterscheiden sich je Mitgliedstaat; für Deutschland gilt das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025.
Die Checkliste
- 01
EU-Gesellschaften erfassen
Alle Tochter- und Beteiligungsgesellschaften in der EU mit Sitz, Tätigkeit und Grösse auflisten.
Erledigt, wenn: Eine Liste aller EU-Gesellschaften mit Mitarbeitenden, Umsatz und Tätigkeit liegt vor.
- 02
Sektor und Grösse prüfen
Für jede EU-Gesellschaft prüfen, ob sie in einem erfassten Sektor tätig ist und die Grössenschwellen erreicht.
Erledigt, wenn: Für jede Gesellschaft ist festgehalten, ob sie als wichtige oder besonders wichtige Einrichtung gilt, mit Begründung.
- 03
Digitale Dienste identifizieren
Prüfen, ob das Unternehmen digitale Dienste wie Cloud, Rechenzentrum, Managed Services oder Online-Marktplätze in der EU anbietet.
Erledigt, wenn: Es ist geklärt, ob für solche Dienste ein Vertreter in der EU zu bezeichnen ist.
- 04
Anforderungen aus der Lieferkette sammeln
Sicherheitsanforderungen erfasster EU-Kunden aus Verträgen und Lieferantenfragebögen zusammenstellen.
Erledigt, wenn: Die vertraglichen Anforderungen der wichtigsten EU-Kunden sind bekannt und bewertet.
- 05
Meldepflichten abgleichen
Meldepflichten nach NIS2 neben jene nach ISG, DSG und gegebenenfalls CRA stellen.
Erledigt, wenn: Eine Übersicht zeigt alle Meldewege mit Fristen und Zuständigkeiten.
- 06
Verantwortung festlegen
Bestimmen, wer in der Geschäftsleitung für die Cybersicherheit verantwortlich ist und die Massnahmen billigt.
Erledigt, wenn: Die Verantwortung ist schriftlich zugewiesen, und die Geschäftsleitung ist informiert.
- 07
Ergebnis dokumentieren
Die Einordnung mit Datum und Begründung festhalten und bei Änderungen im Geschäft wiederholen.
Erledigt, wenn: Die Einordnung ist dokumentiert und mit einem Termin für die nächste Überprüfung versehen.
Häufige Fehler
- —Annehmen, NIS2 betreffe Schweizer Unternehmen grundsätzlich nicht.
- —Nur die Muttergesellschaft betrachten und EU-Töchter übersehen.
- —Vertragliche Anforderungen von Kunden ignorieren, die selbst unter NIS2 fallen.
- —Die Verantwortung der Geschäftsleitung an die IT delegieren.
Was diese Checkliste nicht abdeckt
- —Die Checkliste ersetzt keine rechtliche Prüfung im jeweiligen Mitgliedstaat.
- —Die Umsetzung von NIS2 unterscheidet sich je Land in Details wie Schwellen, Registrierung und Behörden.
- —Technische Sicherheitsmassnahmen sind nicht Gegenstand dieser Checkliste.
Übergeordnete Leistung: Cyber-Readiness & IT-Sicherheit
Häufige Fragen
Gilt NIS2 für eine Schweizer AG ohne EU-Gesellschaft?
Direkt meist nicht, ausser sie erbringt bestimmte digitale Dienste in der EU. Indirekt über Kundenverträge oft schon.
Welche Fristen gelten bei NIS2-Meldungen?
Eine Frühwarnung innert 24 Stunden, eine Meldung innert 72 Stunden und ein Abschlussbericht innert eines Monats.
Was ist mit der Schweizer Meldepflicht?
Für kritische Infrastrukturen gilt seit April 2025 die ISG-Meldepflicht innert 24 Stunden, unabhängig von NIS2.
Weitere Checklisten
Checkliste: Datenschutz-Folgenabschätzung durchführen
Eine Datenschutz-Folgenabschätzung wird in sieben Schritten erstellt: prüfen, ob ein hohes Risiko besteht, die geplante Bearbeitung beschreiben, Risiken für die Betroffenen bewerten, Massnahmen festlegen, das Restrisiko beurteilen, bei hohem Restrisiko den EDÖB oder den Datenschutzberater konsultieren und die Abschätzung aufbewahren und aktualisieren.
Checkliste: Datenschutzerklärung nach DSG und DSGVO prüfen
Eine Datenschutzerklärung prüft man in sieben Schritten: Verantwortlicher und Kontakt, Zwecke der Bearbeitung, Kategorien von Daten, Empfänger und Auftragsbearbeiter, Bekanntgaben ins Ausland mit Garantien, Rechte der Betroffenen und Aktualität gegenüber den tatsächlich eingesetzten Diensten. Wer auch Personen in der EU anspricht, ergänzt die zusätzlichen Angaben der DSGVO.
Checkliste: Cookies und Einwilligung richtig umsetzen
Cookies setzt man in sieben Schritten richtig um: alle Cookies und Tracker inventarisieren, notwendige von optionalen trennen, die Regeln für das Zielpublikum bestimmen, in der Schweiz informieren und eine Ablehnung ermöglichen, für EU-Besucher optionale Cookies erst nach Einwilligung setzen, die Wahl technisch durchsetzen und regelmässig prüfen.