Grundlagen
NIS2 für Lieferanten: Was Kunden in Deutschland und Österreich jetzt von KMU aus der Schweiz und Liechtenstein verlangen
Von Dominik Natter · Zuletzt aktualisiert am 5. November 2026 · 10 Min. Lesezeit
Kurz gesagt
Schweizer KMU fallen in der Regel nicht direkt unter NIS2, spüren die Richtlinie aber über ihre Kunden: Betroffene Unternehmen in Deutschland und Österreich müssen die Sicherheit ihrer Lieferkette steuern und verlangen deshalb Fragebögen, Nachweise und neue Vertragsklauseln. In Liechtenstein gilt NIS2 seit dem 1. Februar 2025 direkt, für mittelgrosse und grosse Gesellschaften in den erfassten Sektoren. Ein ISO-27001-Zertifikat ist für Lieferanten keine Pflicht. Entscheidend ist, dass Sie Ihre Sicherheitsmassnahmen nachvollziehbar belegen können.
Gilt NIS2 für Schweizer und Liechtensteiner Unternehmen?
Für die meisten Schweizer KMU nicht, jedenfalls nicht direkt. NIS2 ist eine EU-Richtlinie. Sie gilt über nationale Gesetze für Unternehmen, die in der EU oder im EWR niedergelassen und in bestimmten Sektoren tätig sind. In Deutschland und Österreich sind das grundsätzlich Unternehmen ab mittlerer Grösse: ab 50 Mitarbeitern oder mit mehr als EUR 10 Mio. Jahresumsatz und Jahresbilanzsumme.
In Liechtenstein ist das anders. Als EWR-Mitglied hat Liechtenstein NIS2 mit dem totalrevidierten Cyber-Sicherheitsgesetz (CSG) umgesetzt, das seit dem 1. Februar 2025 gilt. Erfasst sind mittelgrosse und grosse Gesellschaften nach dem Personen- und Gesellschaftsrecht, die in einem Sektor der Anhänge tätig sind. Dazu gehören neben Energie, Verkehr und Gesundheit auch Maschinenbau, die Herstellung elektronischer Erzeugnisse, elektrischer Ausrüstungen und Fahrzeugteile, Lebensmittel, Chemie sowie Anbieter verwalteter IT-Dienste für Unternehmen.
Die grössere Wirkung entsteht aber über die Kunden. Wer an ein betroffenes Unternehmen in Deutschland, Österreich oder Liechtenstein liefert, bekommt Fragebögen, neue Vertragsklauseln und Audit-Anfragen, auch als kleiner Betrieb in der Schweiz.
- Seit diesem Tag gilt NIS2 in Deutschland über das neue BSI-Gesetz
- 6. Dezember 2025
- NISG 2026 in Österreich in Kraft, Registrierung bis 31. Dezember 2026
- 1. Oktober 2026
- Totalrevidiertes Cyber-Sicherheitsgesetz in Liechtenstein in Kraft
- 1. Februar 2025
- Frist für die Frühwarnung bei erheblichen Sicherheitsvorfällen in DE, AT und FL
- 24 Stunden
NIS2 Lieferkette: Warum Sie Fragebögen bekommen, obwohl das Gesetz Sie nicht nennt
NIS2 verlangt von betroffenen Unternehmen Massnahmen zum Risikomanagement. Eine davon ist ausdrücklich die Sicherheit der Lieferkette, einschliesslich der Beziehungen zu den unmittelbaren Anbietern und Dienstleistern. So steht es im deutschen BSI-Gesetz in Paragraf 30 und im liechtensteinischen CSG in Artikel 4. Auch das österreichische NISG 2026 verlangt es. Die Unternehmen müssen dabei die Schwachstellen und die Sicherheitspraxis ihrer einzelnen Lieferanten berücksichtigen.
Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt klar, dass das Gesetz nicht alle Zulieferer automatisch verpflichtet. Die Pflicht liegt beim Kunden. Er muss seine Lieferanten aber vertraglich auf passende Sicherheitsanforderungen verpflichten. Das BSI empfiehlt dafür Vereinbarungen zu Risikomanagement, Umgang mit Sicherheitsvorfällen und Patch-Management. Erfüllt ein Lieferant die Anforderungen nicht, ist es laut BSI eine wirtschaftliche Entscheidung des Kunden, ob er weiter mit ihm zusammenarbeitet.
Die Wirtschaftskammer Österreich (WKO) sieht es ähnlich: Nicht alle Lieferanten sind erfasst, sondern vor allem jene, die Netz- und Informationssysteme für die Dienste des Kunden unterstützen. Ein allgemeiner Hinweis auf das Gesetz in den Einkaufsbedingungen reicht nicht. Der Kunde muss je nach Risiko konkrete Vorgaben machen.
Für Sie heisst das: Der Druck kommt nicht von einer Behörde, sondern von Ihrem Kunden. Und er wird umso grösser, je näher Ihre Leistung an dessen IT liegt.
NIS2 Schweiz, Liechtenstein, Deutschland, Österreich: Was gilt wo?
| Land | Gesetz | Gilt seit | Wer betroffen ist | Was es für Zulieferer heisst |
|---|---|---|---|---|
| Deutschland | BSI-Gesetz, neu gefasst mit dem NIS-2-Umsetzungsgesetz | 6. Dezember 2025 | Unternehmen in den Sektoren der Anlagen 1 und 2, in der Regel ab 50 Mitarbeitern oder mehr als EUR 10 Mio. Umsatz und Bilanzsumme. Registrierung beim BSI innert drei Monaten, die erste Frist ist abgelaufen. | Kunden verpflichten Lieferanten vertraglich auf Sicherheitsanforderungen. Fragebögen und Prüfungen sind üblich. |
| Österreich | NISG 2026 | 1. Oktober 2026 | Wesentliche und wichtige Einrichtungen ab mittlerer Unternehmensgrösse in den erfassten Sektoren. Registrierung bis 31. Dezember 2026, Selbstdeklaration bis 30. September 2027. | Vertragliche Vorgaben je nach Risiko. Ein allgemeiner Verweis in den Einkaufsbedingungen genügt dem Kunden nicht. |
| Liechtenstein | Cyber-Sicherheitsgesetz (CSG), totalrevidiert | 1. Februar 2025 | Mittelgrosse und grosse Gesellschaften in den Sektoren der Anhänge 1 und 2, einzelne Anbieter unabhängig von der Grösse. | Direkt betroffen, wenn Sie die Kriterien selbst erfüllen. Sonst wie in Deutschland: Anforderungen über die Kunden. |
| Schweiz | Informationssicherheitsgesetz (ISG), Meldepflicht für Cyberangriffe | 1. April 2025 | Betreiber kritischer Infrastrukturen und Hersteller von Hard- oder Software mit Fernwartungszugang für diese. NIS2 gilt nicht. | Meldung an das Bundesamt für Cybersicherheit innert 24 Stunden, falls Sie meldepflichtig sind. Sonst Anforderungen über die Kunden. |
| EU-Markt, Produkte | Cyber Resilience Act | Meldepflichten seit 11. September 2026 | Hersteller von Software und vernetzten Geräten, die in der EU verkauft werden, unabhängig vom Sitz. | Gilt direkt für Ihr Produkt, nicht über den Kunden. |
Fristen auf einen Blick
1. Februar 2025
Liechtenstein: CSG in Kraft
Bestehende Einrichtungen mussten sich innert vier Wochen bei der Stabsstelle Cyber-Sicherheit registrieren.
1. April 2025
Schweiz: Meldepflicht für Cyberangriffe
Seit dem 1. Oktober 2025 drohen bei Verstössen Bussen bis CHF 100'000.
6. Dezember 2025
Deutschland: neues BSI-Gesetz
Registrierung beim BSI innert drei Monaten. Laut BSI ist die gesetzliche Frist abgelaufen, Nachzügler registrieren sich umgehend.
11. September 2026
EU: Meldepflichten aus dem Cyber Resilience Act
Hersteller melden aktiv ausgenutzte Schwachstellen und schwere Vorfälle ihrer Produkte.
1. Oktober 2026
Österreich: NISG 2026 in Kraft
Bis dahin galt das NISG 2018.
31. Dezember 2026
Österreich: Registrierung endet
Wesentliche und wichtige Einrichtungen registrieren sich über das Unternehmensserviceportal.
30. September 2027
Österreich: Selbstdeklaration
Betroffene Einrichtungen übermitteln ihre Selbstdeklaration zu den umgesetzten Massnahmen.
11. Dezember 2027
EU: Cyber Resilience Act gilt vollständig
Ab dann gelten alle Anforderungen an Produkte mit digitalen Elementen.
Was verlangen Kunden von NIS2-Lieferanten konkret?
Die Fragebögen sehen unterschiedlich aus, die Themen kaum. Sie folgen den Mindestmassnahmen aus dem Gesetz, also Paragraf 30 BSI-Gesetz oder Artikel 4 CSG. Rechnen Sie mit diesen Fragen:
- Multi-Faktor-Anmeldung: Ist sie für E-Mail, Fernzugriff, Administratorkonten und Zugänge zu Kundensystemen aktiv?
- Backups und Wiederherstellung: Gibt es Sicherungen ausserhalb des Hauptsystems, und wurde die Wiederherstellung getestet?
- Patch-Management: Wie schnell spielen Sie Sicherheitsupdates ein, und wer ist dafür zuständig?
- Zugriffsrechte: Wer hat Zugang zu Kundendaten und Kundensystemen, und wie entziehen Sie Rechte bei einem Austritt?
- Verschlüsselung: Sind Daten bei der Übertragung und auf Laptops und Servern verschlüsselt?
- Meldung von Vorfällen: Innert welcher Frist informieren Sie den Kunden über einen Sicherheitsvorfall, der ihn betreffen könnte?
- Ansprechperson: Wer ist für Informationssicherheit zuständig und im Notfall erreichbar?
- Subunternehmer: Welche Dienstleister, Hoster und Cloud-Dienste setzen Sie ein, und wo liegen die Daten?
- Software-Stückliste und Updates: Welche Komponenten stecken in Ihrer Software, und wie lange liefern Sie Sicherheitsupdates? Hier überschneidet sich NIS2 mit dem Cyber Resilience Act, mehr dazu im Ratgeber «Cyber Resilience Act: Was gilt für Software von KMU aus der Schweiz und Liechtenstein?».
- Schulung: Werden Mitarbeiter regelmässig zu Phishing und sicheren Passwörtern sensibilisiert?
Brauchen Sie als Zulieferer ISO 27001?
Nein, das Gesetz verlangt es nicht. Weder NIS2 noch die Umsetzungen in Deutschland, Österreich oder Liechtenstein schreiben Lieferanten ein bestimmtes Zertifikat vor. Die WKO hält fest, dass es kein allgemeines Zertifikat zum Nachweis der Anforderungen des NISG 2026 gibt. Als Nachweis nennt sie neben Zertifizierungen auch Ratings, Audits und individuelle Nachweise, etwa das Cyber Risk Rating des Kuratoriums Sicheres Österreich (KSÖ). Selbst eine ISO-27001-Zertifizierung belegt laut WKO nur die organisatorische und operative Umsetzung, nicht die technische. Und sie taugt nur, wenn ihr Geltungsbereich die Leistung für den Kunden abdeckt.
Ihr Kunde darf ein Zertifikat aber vertraglich verlangen. Für einen Betrieb mit wenigen Mitarbeitern ist eine Zertifizierung nach unserer Einschätzung oft unverhältnismässig. Aufbau, externe Audits und jährliche Überwachung binden Zeit und Geld, die in konkreten Massnahmen meist mehr bewirken. Fragen Sie nach, ob ein beantworteter Fragebogen mit Belegen genügt. Das ist häufig verhandelbar, wenn Sie konkrete Belege vorlegen.
Fragebogen mit Belegen oder Zertifikat?
Ein Fragebogen mit Belegen reicht meist, wenn
- Sie keinen dauerhaften Zugriff auf Systeme des Kunden haben.
- Sie wenige NIS2-Kunden haben, die je eigene Fragebögen schicken.
- Sie Bauteile oder eine abgegrenzte Software liefern und nicht die IT des Kunden betreiben.
- Sie Ihre Massnahmen mit Richtlinien, Screenshots und Testprotokollen belegen können.
Eine Zertifizierung lohnt sich eher, wenn
- Mehrere grosse Kunden das Zertifikat ausdrücklich zur Bedingung machen.
- Sie Systeme von Kunden betreiben oder fernwarten.
- Sie Ausschreibungen gewinnen wollen, in denen ISO 27001 ein Kriterium ist.
- Sie ohnehin ein Managementsystem für Informationssicherheit aufbauen.
So beantworten Sie einen NIS2-Lieferanten-Fragebogen effizient
Ein umfangreicher Fragebogen wirkt abschreckend. Mit einem festen Ablauf beantworten Sie ihn einmal gründlich und verwenden die Antworten für die nächsten Kunden wieder.
01
Inventar erstellen
Listen Sie Systeme, Daten, Zugänge zu Kundensystemen und eingesetzte Dienstleister auf. Ohne diese Übersicht bleiben viele Antworten Vermutungen.
02
Lücken ehrlich markieren
Beantworten Sie jede Frage mit erfüllt, teilweise oder offen. Ein «teilweise» mit Plan überzeugt mehr als ein «Ja», das Sie bei einem Audit nicht belegen können.
03
Massnahmenplan mit Terminen
Legen Sie für jede offene Massnahme fest, wer sie bis wann umsetzt. Beginnen Sie mit dem grössten Risiko, meist Multi-Faktor-Anmeldung, Backups und Updates.
04
Nachweise sammeln
Legen Sie Belege ab: Richtlinien, Screenshots der Einstellungen, Protokolle von Wiederherstellungstests und die Liste der Subunternehmer. Der nächste Fragebogen geht dann viel schneller.
05
Vertragsklauseln prüfen
Prüfen Sie Meldefristen, Prüfrechte, Haftung und Weitergabe an Subunternehmer, bevor Sie unterschreiben. Verhandeln Sie, was Sie nicht einhalten können.
06
Jährlich aktualisieren
Halten Sie Antworten und Belege aktuell. Viele Kunden fragen periodisch nach, und Ihre Systeme ändern sich.
Was Software-Lieferanten konkret liefern sollten
Liefern Sie Individualsoftware oder betreiben Sie eine Anwendung für einen NIS2-Kunden, sind Sie Teil seiner Lieferkette im engsten Sinn. Das BSI-Gesetz nennt ausdrücklich Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschliesslich des Umgangs mit Schwachstellen. Diese Punkte sollten Sie Ihrem Kunden belegen können:
- Sicherheitsupdates: feste Fristen für kritische Lücken in der eigenen Software und in eingesetzten Bibliotheken und Frameworks.
- Liste der Komponenten: welche Bibliotheken, Frameworks und Dienste in der Software stecken, idealerweise als Software-Stückliste (SBOM).
- Protokollierung: Anmeldungen, Rechteänderungen und kritische Aktionen werden protokolliert und lange genug aufbewahrt, um einen Vorfall aufzuklären.
- Zugriffsschutz: Multi-Faktor-Anmeldung für Administratoren, Rollen mit möglichst wenigen Rechten und keine geteilten Konten.
- Backups und Wiederherstellung: dokumentierte Sicherungen und ein getesteter Ablauf, mit dem die Anwendung in vereinbarter Zeit wieder läuft.
- Notfallplan: wer bei einem Vorfall was tut, wer den Kunden informiert und wie Zugänge gesperrt werden.
- Hosting und Subunternehmer: wo die Daten liegen und welche Dienstleister Zugriff haben.
Vieles davon gehört ohnehin in einen guten Wartungsvertrag. Als Richtwert rechnen wir für Wartung und Betrieb mit rund 15 % der Projektkosten pro Jahr. Details im Ratgeber «Software-Wartungskosten: Was kosten Wartung und Betrieb pro Jahr?».
Fehlen in einer bestehenden Anwendung Multi-Faktor-Anmeldung oder Protokollierung, ist das Nachrüsten oft ein überschaubares Paket. Beispielrechnung, kein Festpreis: 30 bis 60 Stunden zu CHF 70 ergeben CHF 2'100 bis 4'200. Der tatsächliche Aufwand hängt von Technik und Zustand der Anwendung ab.
Was das für Ihre Rolle heisst
Sie entwickeln oder liefern Software für einen NIS2-Kunden. Rechnen Sie mit Fragen zu sicherer Entwicklung, Updates, Schwachstellen und Fernzugriff.
Verkaufen Sie die Software in der EU, gilt zusätzlich der Cyber Resilience Act direkt für Sie.
Sie betreiben, warten oder überwachen Systeme Ihrer Kunden. Sie stehen am nächsten an deren IT und bekommen die strengsten Anforderungen.
Ab mittlerer Grösse prüfen Sie, ob Sie als Anbieter verwalteter Dienste selbst unter NIS2 oder unter das liechtensteinische CSG fallen.
Sie liefern Bauteile oder Waren ohne Zugriff auf die IT des Kunden. Die Fragen sind meist kürzer und drehen sich um E-Mail-Sicherheit, Bestellwege und Schnittstellen.
Liefern Sie vernetzte Komponenten, kommen Fragen zu Software und Updates dazu.
Prüfen Sie zuerst, ob Sie selbst unter das CSG fallen: mittelgrosse oder grosse Gesellschaft und Tätigkeit in einem Sektor der Anhänge, etwa Maschinenbau, Elektronik, Lebensmittel oder IT-Dienste für Unternehmen. Dann gelten Registrierung, Risikomanagement und Meldepflichten direkt.
Die Stabsstelle Cyber-Sicherheit stellt dafür ein Prüfschema zum Geltungsbereich bereit.
NIS2 gilt für Sie nicht direkt, solange Sie keine Niederlassung in der EU haben und keine verwalteten IT-Dienste oder Cloud-Dienste in der EU anbieten.
Prüfen Sie aber die Meldepflicht nach dem Informationssicherheitsgesetz, wenn Sie Betreiber kritischer Infrastrukturen beliefern, etwa Energieversorger, Spitäler oder Verkehrsbetriebe, und Ihre Software dort fernwarten.
Was Sie jetzt tun sollten
Warten Sie nicht auf den ersten Fragebogen. Diese Schritte lohnen sich schon heute:
- Kunden prüfen: Welche Kunden in Deutschland, Österreich und Liechtenstein könnten unter NIS2 fallen? Branche und Grösse genügen für eine erste Liste.
- Eigene Betroffenheit klären: Niederlassung in der EU, verwaltete IT-Dienste, Sitz in Liechtenstein oder Software für kritische Infrastrukturen in der Schweiz?
- Grundschutz umsetzen: Multi-Faktor-Anmeldung, getestete Backups und regelmässige Updates decken einen grossen Teil der Fragen ab.
- Antworten vorbereiten: Ein Standarddokument zu Ihren Sicherheitsmassnahmen spart bei jedem Fragebogen Zeit.
- Meldeprozess festlegen: Wer meldet was, wem und wie schnell? Mit Kontaktdaten und Stellvertretung.
- Verträge prüfen: Neue Klauseln zu Meldefristen, Prüfrechten und Haftung vor der Unterschrift lesen und bei Bedarf verhandeln.
- Eigene Dienstleister fragen: Was Ihre Kunden von Ihnen verlangen, sollten Sie auch von Ihren Hostern und Software-Lieferanten verlangen.
Quellen und Hinweise
Deutschland
BSI-Gesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), verkündet am 5. Dezember 2025, insbesondere Paragraf 28 zu den Schwellenwerten, Paragraf 30 zu Risikomanagement und Lieferkette, Paragraf 32 zu den Meldefristen, Paragraf 33 zur Registrierung und Paragraf 60 zu Anbietern ohne Niederlassung in der EU. Dazu die Informationen des BSI zur Registrierung und das Infopaket «Sichere Lieferkette». Das Datum des Inkrafttretens am 6. Dezember 2025 stammt aus Mitteilungen der Industrie- und Handelskammern.
Österreich
Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025, kundgemacht am 23. Dezember 2025. Inkrafttreten, Registrierung, Selbstdeklaration, Lieferanten und Nachweise nach den Informationen der Wirtschaftskammer Österreich, FAQ zum NISG 2026 und Seite zur Sicherheit der Lieferkette. Die Grössenschwelle richtet sich nach der KMU-Empfehlung 2003/361/EG der EU-Kommission.
Liechtenstein
Cyber-Sicherheitsgesetz (CSG) vom 5. Dezember 2024, LGBl. 2025 Nr. 111, in Kraft seit 1. Februar 2025, insbesondere Artikel 1 zum Geltungsbereich, Artikel 4 zu Risikomanagement und Lieferkette, Artikel 6 zu den Berichtspflichten, Artikel 7 und 26 zur Registrierung sowie die Anhänge 1 und 2. Dazu die Cyber-Sicherheitsverordnung (CSV), LGBl. 2025 Nr. 163, Bericht und Antrag der Regierung Nr. 93/2024 und das Prüfschema der Stabsstelle Cyber-Sicherheit zum Geltungsbereich.
Einzelne kommerzielle Quellen nennen Fristen für organisatorische Massnahmen bis Februar 2026 und technische Massnahmen bis Februar 2027. Diese Fristen haben wir im Gesetz und in der Verordnung nicht gefunden. Die Pflichten gelten seit dem Inkrafttreten.
Schweiz und EU
Informationssicherheitsgesetz (ISG, SR 128), Artikel 74b, Stand 1. April 2025, und Cybersicherheitsverordnung (SR 128.51) mit den Ausnahmen von der Meldepflicht. Dazu die Informationen des Bundesamts für Cybersicherheit (BACS) zur Meldepflicht und zu den Bussen ab 1. Oktober 2025. Zum Cyber Resilience Act die Verordnung (EU) 2024/2847.
Keine Rechtsberatung
Dieser Ratgeber ist keine Rechts- oder Steuerberatung. Ob Ihr Unternehmen oder Ihr Kunde unter NIS2, das CSG oder die Schweizer Meldepflicht fällt, klären Sie im Einzelfall mit einer Fachperson oder der zuständigen Behörde. Die Betroffenheitsprüfung des BSI und das Prüfschema der Stabsstelle Cyber-Sicherheit geben eine erste Orientierung.
Stand: November 2026.
Häufige Fragen
Gilt NIS2 für Schweizer Unternehmen?
Direkt in der Regel nicht. NIS2 ist eine EU-Richtlinie und gilt über nationale Gesetze für Unternehmen in der EU und im EWR. Indirekt betrifft sie viele Schweizer KMU: Kunden in Deutschland und Österreich müssen die Sicherheit ihrer Lieferkette steuern und geben Anforderungen per Vertrag und Fragebogen weiter. Direkt betroffen sein können Schweizer Firmen mit Niederlassung in der EU oder mit Cloud-Diensten und verwalteten IT-Diensten, die sie in der EU anbieten.
Gilt NIS2 in Liechtenstein?
Ja. Liechtenstein hat NIS2 mit dem totalrevidierten Cyber-Sicherheitsgesetz (CSG) umgesetzt, das seit dem 1. Februar 2025 gilt. Betroffen sind vor allem mittelgrosse und grosse Gesellschaften in den Sektoren der Anhänge, etwa Energie, Gesundheit, Maschinenbau, Elektronik, Lebensmittel oder IT-Dienste für Unternehmen. Sie müssen sich bei der Stabsstelle Cyber-Sicherheit registrieren, Massnahmen zum Risikomanagement umsetzen und erhebliche Sicherheitsvorfälle innert 24 Stunden mit einer Frühwarnung melden.
Brauchen wir als Zulieferer ISO 27001?
Gesetzlich nein. Weder NIS2 noch die Umsetzungen in Deutschland, Österreich oder Liechtenstein schreiben Lieferanten ein bestimmtes Zertifikat vor, Ihr Kunde kann Nachweise aber vertraglich verlangen. Für kleine Lieferanten reichen oft ein sauber beantworteter Fragebogen, dokumentierte Massnahmen und ein Notfallplan. Eine Zertifizierung lohnt sich nach unserer Einschätzung eher, wenn mehrere grosse Kunden sie ausdrücklich fordern oder Sie Systeme von Kunden betreiben.
Was ist der Unterschied zwischen NIS2 und dem Cyber Resilience Act?
NIS2 regelt Unternehmen, der Cyber Resilience Act regelt Produkte. NIS2 verpflichtet Einrichtungen in wichtigen Sektoren zu Risikomanagement, Sicherheit der Lieferkette und Meldung von Sicherheitsvorfällen. Der CRA verpflichtet Hersteller von Software und vernetzten Geräten, die in der EU verkauft werden, zu sicherer Entwicklung, Sicherheitsupdates und der Meldung ausgenutzter Schwachstellen. Als Software-Lieferant können Sie beides spüren: NIS2 über Ihre Kunden, den CRA direkt.
Müssen Schweizer Unternehmen den Cyber Resilience Act einhalten?
Ja, sobald sie Software oder vernetzte Geräte in der EU anbieten. Der CRA gilt für den EU-Markt, unabhängig vom Sitz des Herstellers. In der Schweiz selbst gilt er nicht. Der Bundesrat lässt aber ein eigenes Cybersicherheitsgesetz ausarbeiten, das sich am CRA orientiert, die Vernehmlassungsvorlage ist bis Juni 2027 geplant.
Wer betreibt die Software nach dem Go-live?
Auf Wunsch wir. Ein Wartungsvertrag umfasst Hosting im EWR, Überwachung, Sicherheitsupdates, Backups und vereinbarte Reaktionszeiten. Üblich sind 15 bis 20 Prozent der Projektkosten pro Jahr. Sie können den Betrieb auch in Ihre eigene Infrastruktur oder zu Ihrem IT-Partner nehmen.
Passende Leistungen:IndividualsoftwareSchnittstellen
Sprechen wir über Ihren Fall.
20 Minuten genügen, um zu klären, ob sich eine eigene Lösung für Sie lohnt.