Lieferkette und NIS2: Was Schweizer KMU jetzt prüfen sollten

Schweizer Zulieferer ohne Sitz in der EU unterliegen nicht direkt der NIS2-Richtlinie. Dennoch können sie über ihre Kunden und Lieferketten indirekt betroffen sein, wenn diese Nachweise zur Informationssicherheit verlangen. Der IKT-Minimalstandard und vertragliche Anforderungen schaffen für Geschäftsleitungen, IT-Leiter und Verwaltungsräte eine neue Realität: Sicherheit wird zur Geschäftsbedingung.

Dieser Beitrag hilft Ihnen, keine Rechtsfrage mit einer pauschalen Ja-Nein-Antwort zu behandeln. Sie erhalten einen klaren Prüfpfad in vier Schritten, der Kundenbezug, kritische Leistungen, Nachweise und interne Verantwortlichkeit abdeckt. Die klare Abgrenzung verhindert Angstmacherei und erhöht Vertrauen.

Direkte Pflicht und indirekter Kundendruck unterscheiden

Viele Schweizer KMU fragen sich, ob sie NIS2 ignorieren können, nur weil sie keinen Sitz in der EU haben. Die Antwort ist differenziert: Direkte gesetzliche Betroffenheit besteht in der Schweiz nicht durch NIS2, sondern durch nationale Vorgaben wie den IKT-Minimalstandard für kritische Infrastrukturen.

Indirekt entsteht jedoch Druck über Kunden, die selbst unter NIS2 oder dem IKT-Minimalstandard fallen oder ihre Lieferkette absichern müssen. Diese Kunden verlangen zunehmend Nachweise über Informationssicherheit, Risikomanagement und Governance. Wer diese nicht liefern kann, riskiert Aufträge zu verlieren oder aus Ausschreibungen ausgeschlossen zu werden.

Die Unterscheidung ist entscheidend: Es geht nicht um persönliche Haftung oder pauschale Pflichten, sondern um vertragliche Anforderungen und gute Risikosteuerung. Geschäftsleitungen sollten prüfen, welche Kunden welche Anforderungen stellen und IT-Leiter benötigen einen strukturierten Prüfpfad, um diese Anforderungen zu erfüllen.

ISMS und Compliance

Welche Nachweise Kunden verlangen können

Kunden, die unter NIS2, IKT-Minimalstandard oder vergleichbare Regelungen fallen, müssen ihre Lieferkette absichern. Das bedeutet konkret: Sie verlangen von ihren Zulieferern Nachweise, dass diese ein angemessenes Sicherheitsniveau erreichen.

Typische Nachweise umfassen:

• Nachweis eines funktionierenden Informationssicherheits-Managementsystems (ISMS), beispielsweise nach ISO 27001

• Dokumentierte Risikoanalysen und Massnahmenpläne

• Nachweise zu Datenschutz, Zugriffskontrolle und Verschlüsselung

• Incident-Management-Prozesse und Meldewege

• Regelmässige Audits oder Selbstauskunft zu Sicherheitsmassnahmen

Diese Anforderungen sind nicht willkürlich. Sie dienen dazu, dass Kunden ihre eigene Compliance sicherstellen können. Für KMU bedeutet das: Wer diese Nachweise nicht erbringen kann, wird aus Lieferketten ausgeschlossen oder verliert Wettbewerbsvorteile.

Die gute Nachricht: Viele dieser Nachweise lassen sich pragmatisch aufbauen, ohne dass ein vollständiges ISMS von Anfang an vorhanden sein muss. Entscheidend ist, dass Verantwortlichkeiten klar sind, Risiken bekannt sind und Massnahmen dokumentiert werden.

ISMS und Governance pragmatisch aufbauen

Ein ISMS muss nicht komplex sein, um wirksam zu sein. Viele KMU scheuen den Aufbau, weil sie befürchten, dass Zertifizierungen teuer und aufwendig sind. Doch ein ISMS ist zunächst ein Werkzeug zur Steuerung von Risiken, nicht ein Papierstapel.

Der pragmatische Aufbau beginnt mit drei Schritten:

1. Risiken identifizieren: Welche Informationen und Systeme sind für Ihr Unternehmen kritisch? Welche Bedrohungen bestehen?

2. Massnahmen priorisieren: Nicht alles auf einmal, sondern das Wichtigste zuerst. Welche Massnahmen reduzieren die grössten Risiken?

3. Verantwortlichkeiten klären: Wer ist für welche Massnahme zuständig? Wer überwacht die Umsetzung?

Governance bedeutet in diesem Kontext: Die Geschäftsleitung muss wissen, welche Risiken bestehen, welche Massnahmen ergriffen werden und wer verantwortlich ist. Der Verwaltungsrat muss diese Informationen in verständlicher Form erhalten, um seiner Aufsichtspflicht nachzukommen.

IT-Compliance-Beratung und ISMS-Beratung helfen dabei, diese Strukturen aufzubauen, ohne dass interne Ressourcen überlastet werden. IT-Governance-Beratung stellt sicher, dass Sicherheit nicht nur technisch, sondern auch organisatorisch verankert wird.

Vier Fragen für die Geschäftsleitung

Um Klarheit zu schaffen, sollten Geschäftsleitungen diese vier Fragen prüfen:

1. Kundenbezug: Welche unserer Kunden fallen unter NIS2, dem IKT-Minimalstandard oder vergleichbare Regelungen? Welche Anforderungen stellen sie an uns?

2. Kritische Leistungen: Welche unserer Leistungen sind für diese Kunden kritisch? Welche Systeme und Informationen sind dafür notwendig?

3. Nachweise: Welche Nachweise können wir heute erbringen? Welche fehlen noch? Welche Lücken bestehen?

4. Interne Verantwortlichkeit: Wer ist intern für die Erfüllung dieser Anforderungen zuständig? Wer überwacht die Umsetzung? Wer berichtet an die Geschäftsleitung?

Diese vier Fragen schaffen Orientierung und verhindern, dass Sicherheit als abstraktes Thema behandelt wird. Sie machen deutlich, dass es um Geschäftsbeziehungen, Risiken und Verantwortlichkeiten geht, nicht um pauschale Pflichten oder persönliche Haftung.

Praxisbezug: Ein Zulieferer im Energiesektor

Ein mittelgrosses Schweizer Unternehmen liefert Steuerungssysteme an Energieversorger in der Schweiz und Deutschland. Ein deutscher Kunde verlangt im Rahmen einer Ausschreibung den Nachweis eines ISMS nach ISO 27001 oder vergleichbar.

Das Unternehmen hat bisher keine formale Zertifizierung, aber dokumentierte Sicherheitsmassnahmen. Die Geschäftsleitung prüft die vier Fragen: Der Kunde fällt unter NIS2, die gelieferten Steuerungssysteme sind kritisch, Nachweise fehlen teilweise und die Verantwortlichkeit liegt beim IT-Leiter, der jedoch keine Ressourcen für eine Zertifizierung hat.

Die Lösung: Das Unternehmen baut ein pragmatisches ISMS auf, dokumentiert bestehende Massnahmen, schliesst identifizierte Lücken und lässt sich durch eine externe IT-Governance-Beratung unterstützen. Nach sechs Monaten kann das Unternehmen die geforderten Nachweise erbringen und behält den Auftrag.

Mein Experten-Tipp

Schweizer KMU sollten NIS2 oder den IKT-Minimalstandard nicht ignorieren, auch wenn sie nicht direkt betroffen sind. Indirekte Anforderungen über Kunden und Lieferketten schaffen eine neue Realität. Der Prüfpfad in vier Schritten hilft, Klarheit zu schaffen: Kundenbezug, kritische Leistungen, Nachweise und interne Verantwortlichkeit.

Ein pragmatischer Aufbau von ISMS und Governance ist möglich, ohne dass interne Ressourcen überlastet werden. Entscheidend ist, dass Verantwortlichkeiten klar sind und Risiken gesteuert werden. Wer diese Schritte geht, sichert nicht nur Compliance, sondern auch Wettbewerbsfähigkeit.

Häufig gestellte Fragen

Muss ein Schweizer KMU NIS2 erfüllen, wenn es keinen Sitz in der EU hat?
Nein, direkt nicht. Schweizer Unternehmen unterliegen nicht der NIS2-Richtlinie. Indirekt können jedoch Kunden, die unter NIS2 fallen, Nachweise zu Informationssicherheit verlangen. Diese vertraglichen Anforderungen sollten geprüft werden.

Welche Nachweise verlangen Kunden typischerweise?
Kunden verlangen oft Nachweise zu einem funktionierenden ISMS, Risikoanalysen, Incident-Management-Prozessen und Audits. ISO 27001 ist ein häufig geforderter Standard, aber auch pragmatische Selbstauskünfte können ausreichen.

Wie aufwendig ist der Aufbau eines ISMS für ein KMU?
Der Aufwand hängt von der Unternehmensgrösse und den bestehenden Strukturen ab. Ein pragmatischer Aufbau ist möglich, ohne dass eine vollständige Zertifizierung von Anfang an notwendig ist. Externe Unterstützung reduziert den internen Aufwand erheblich.

Wer ist intern für die Erfüllung von Kundenanforderungen zur Informationssicherheit verantwortlich?
Die Verantwortlichkeit sollte klar geregelt sein. Typischerweise liegt sie beim IT-Leiter oder einer externen CISO-Funktion. Die Geschäftsleitung trägt die Gesamtverantwortung und muss über Risiken und Massnahmen informiert sein.