NIS2 - auch ein Treiber für die Cybersicherheit in der Schweiz?

NIS2 ist eine EU-Richtlinie, die Mindestanforderungen für die Cybersicherheit in verschiedenen Branchen und Unternehmen beinhaltet. Insbesondere enthält sie Massnahmen, die Unternehmen verpflichtend umsetzen müssen, um ihre Netz- und Informationssysteme zu schützen. Die NIS2-Richtlinie ist dabei als EU-Richtlinie nicht direkt auf Schweizer Unternehmen anwendbar, dennoch kann sie als Beschleuniger auch für die Cybersicherheit in der Schweiz eine Wirkung entfalten – ein entscheidender Schritt, um die digitale Widerstandsfähigkeit des Landes zu stärken. Warum dies so ist und was der Inhalt von NIS2 ist, beschreibt der folgende Beitrag.

NIS2 (Abkürzung für «Network and Information Security») stellt einen bedeutenden Schritt in der europäischen Cyberpolitik dar. Sie zielt darauf ab, die Cybersicherheit in der EU zu stärken und die Widerstandsfähigkeit kritischer Infrastrukturen zu erhöhen. Obwohl die Schweiz nicht Teil der EU ist, besteht auch ein grosses Eigeninteresse an den generellen Entwicklungen in diesem Bereich.

Stärkung und Schaffung von rechtlichen Grundlagen

Einer der wesentlichen Kernpunkte von NIS2 liegt in der deutlichen Verschärfung der Cybersicherheitsanforderungen für Unternehmen und öffentliche Institutionen. Dies erfolgt durch nationale Gesetzgebungen, die verbindliche Sicherheitsvorgaben festlegen, darunter Mindeststandards im Risikomanagement, Meldepflichten sowie konkrete Massnahmen wie Verschlüsselung, Zugriffskontrollen und Mehrfaktor-Authentifizierung.

Im Bereich der Cybersicherheit sind in der Schweiz derzeit insbesondere das Datenschutzgesetz (DSG) sowie das Informationssicherheitsgesetz (ISG) relevant. Zwar existiert kein direktes Pendant zur NIS2-Richtlinie, dennoch entfaltet diese eine indirekte Wirkung: Die bestehenden schweizerischen Regelungen geraten zunehmend in den Vergleich mit den europäischen Vorgaben und werden dadurch kritisch überprüft. Dies kann als Impuls für eine kontinuierliche Weiterentwicklung des rechtlichen Rahmens verstanden werden.

Eine Annäherung an die NIS2-Standards könnte zudem zu einer kohärenteren Rechtsgrundlage beitragen und ein vergleichbares Sicherheitsniveau mit der EU schaffen. Entsprechende gesetzgeberische Anpassungen würden nicht nur die Cybersicherheit stärken, sondern auch die Rechtssicherheit für Unternehmen erhöhen. Insbesondere würde ein einheitlicher Rechtsrahmen es Unternehmen erleichtern, ihre Sicherheitsstrategien effizient zu entwickeln und umzusetzen, insbesondere wenn sie sowohl auf dem Schweizer als auch auf dem europäischen Markt tätig sind.

Investitionen geben wirtschaftliche Impulse und fördern Innovation

Für Schweizer Unternehmen kann NIS2 zur Anwendung gelangen, wenn bestimmte Dienstleistungen oder Produkte in der EU angeboten werden, das Unternehmen ein Teil einer EU-Lieferkette ist oder sich Tochtergesellschaften in der EU befinden. Insoweit kann NIS2 auch ein wirtschaftlicher Impuls für die Schweiz sein. Diese Unternehmen müssen vermehrt in ihre Cybersicherheitsmassnahmen investieren, um den neuen Standards gerecht zu werden. Dies erhöht generell die Cybersicherheit – gleichzeitig stellen die o.g. rechtlichen Grundlagen auch einen entsprechenden Business Case dar und fördern somit nicht nur neue Geschäftsmöglichkeiten und -modelle im Bereich der Cybersicherheit, sondern regen auch an neue Technologien und Lösungen zu entwickeln – dies könnte zu einem Wettbewerbsvorteil führen und wiederum generiert und sichert dies inländische Arbeitsplätze. 

Stärkeres Bewusstsein und Sensibilisierung der Öffentlichkeit

Durch NIS2 wird die öffentliche Diskussion um die Cybersicherheit angeregt, gleichzeitig findet eine Sensibilisierung statt. Eine informierte Öffentlichkeit ist entscheidend, um die allgemeine Cyberresilienz zu erhöhen – dieses Wissen wird auch in die Unternehmen hineingetragen. Wenn Menschen wissen, wie sie sich schützen können, ist das der Verhinderung von Cybervorfällen zuträglich. 

Stärkung der Zusammenarbeit

NIS2 fördert auch die Zusammenarbeit zwischen verschiedenen Akteuren in der Cybersicherheitslandschaft. Dies könnte auch in der Schweiz zu stärkerer Kooperation zwischen Unternehmen, Behörden und Bildungseinrichtungen führen und den Wissensaustausch fördern. Ein starkes Netzwerk auch zu Cybersecurity-Experten und -Institutionen in der EU aufzubauen, ist sicher ebenfalls hilfreich und zu begrüssen.

Inhalt NIS2

Die wichtigsten Inhalte sind:

• Betroffene Unternehmen werden in «besonders wichtig» und «wichtig» unterteilt, was die Höhe der Bussgelder und Ausprägung der behördlichen Aufsicht beeinflusst.

• Die Geschäftsleitung wird in die Verantwortung gezogen: Einbindung ins Risikomanagement, Schulungspflicht und Haftung.

• Der Aufbau einer Sicherheitsorganisation ist nötig: Risikomanagement (inkl. Lieferkette), technische & organisatorische Massnahmen (vergleichbar mit ISO 27001).

• Signifikante Sicherheitsvorfälle müssen den Behörden in 3 Stufen gemeldet werden: Frühwarnung, detaillierte Meldung & Abschlussbericht.

• Definition der behördlichen Aufsichtsfunktion und Bussgelder (bis 10 Mio. € oder 2% des Jahresumsatzes, bzw. bis 7 Mio. € oder 1,4% des Jahresumsatzes).

Fazit

NIS2 hat das Potenzial die Cybersicherheit in der Schweiz positiv zu beeinflussen. Es bleibt abzuwarten, wie die Schweiz auf diese Herausforderungen reagieren wird. Indessen bietet NIS2 auch als EU-Richtlinie eine wertvolle Gelegenheit, die Cybersicherheit nachhaltig zu verbessern und damit die digitale Resilienz zu stärken.

Quelle: Treuhand Suisse

Bei Fragen stehen wir Ihnen gerne zur Verfügung.