# Cyber Resilienz neu denken im Kontext von NIS2 > Der Beitrag von Swiss GRC erklärt, wie NIS2 von der Compliance-Pflicht zur Führungsaufgabe für Cyberresilienz geworden ist. Er richtet sich an Unternehmen in Europa und der Schweiz und zeigt, welche Rolle die GRC Toolbox bei der Umsetzung spielt. - URL: https://swissgrc.com/cyber-resilienz-neu-denken-im-kontext-von-nis2/ - Herausgeber: SwissGRC® - Veröffentlicht: 2025-11-06 - Zuletzt aktualisiert: 2026-08-20 ## Kernaussagen - NIS2 entwickelte sich aus NIS1 von 2016 zu einem Rahmenwerk mit höheren Erwartungen an Governance, Verantwortlichkeit und Resilienz. - NIS2 verlangt Risikomanagement, die Überwachung von Lieferketten und die Meldung schwerwiegender Sicherheitsvorfälle innerhalb von 24 Stunden nach Entdeckung. - In der Schweiz gilt seit dem 1. April 2025 eine vergleichbare Meldepflicht: Betreiber kritischer Infrastrukturen melden Cyberangriffe innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS). - Wer die Schweizer Meldepflicht nicht erfüllt, riskiert Bussen von bis zu 100’000 Franken. - Laut der Studie Cyber Message 2025 des Versicherungsbrokers Kessler erreichen Schweizer Industrieunternehmen einen Resilienz-Score von 2,71 und Dienstleistungsbranchen wie IT, Finanzwesen und Beratung 2,91, beide über dem EU-Durchschnitt. - Die GRC Toolbox vereint Governance, Risk und Compliance in einer zentralen Umgebung, in der Unternehmen Kontrollen dokumentieren, Vorfälle nachverfolgen und regulatorische Konformität nachweisen. **Während die NIS2-Richtlinie weiterhin die digitale Sicherheitslandschaft Europas prägt, verändert sich auch die Art und Weise, wie über Cybersicherheit gesprochen wird. Was 2016 mit NIS1, dem ersten Versuch der Europäischen Union, Netz- und Informationssicherheitsstandards zu harmonisieren, begann, hat sich mittlerweile zu einem deutlich umfassenderen Rahmenwerk entwickelt.** Mit NIS2 hat die EU nicht nur den Anwendungsbereich erweitert, sondern auch die Erwartungen an Governance, Verantwortlichkeit und Resilienz erhöht. Was einst als politische Antwort auf fragmentierte Sicherheitspraktiken gedacht war, hat sich zu einem Treiber für kulturellen und strukturellen Wandel entwickelt – hin zu einer stärkeren Verknüpfung von digitalem Risiko, Führung und nachhaltigem Unternehmenserfolg. Ein kontinentaler Wandel in der Cyber Governance Die Umsetzung von NIS2 in der Europäischen Union hat neu definiert, was es bedeutet, in einer vernetzten Welt sicher zu agieren. Die Richtlinie legt klare Anforderungen an das Risikomanagement, die Überwachung von Lieferketten und die Meldung schwerwiegender Sicherheitsvorfälle fest – und das innerhalb von nur 24 Stunden nach deren Entdeckung. Diese Vorgabe hat mittlerweile auch ausserhalb der EU Wirkung gezeigt. In der Schweiz trat am 1. April 2025 eine vergleichbare Meldepflicht in Kraft: Betreiber kritischer Infrastrukturen müssen Cyberangriffe innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden. Unternehmen, die dieser Verpflichtung nicht nachkommen, riskieren Bussen von bis zu 100’000 Franken. Wie [HZ Insurance](https://www.handelszeitung.ch/insurance/neue-meldepflichten-setzen-schweizer-unternehmen-unter-druck-877416) jüngst berichtete, spiegelt diese Entwicklung die europäische Angleichung im Bereich Cybersicherheit wider. Cyberbedrohungen kennen keine Grenzen – ebenso wenig wie die regulatorischen Rahmenbedingungen, die sie adressieren sollen. Ob durch NIS2 oder nationale Pendants: Europa bewegt sich in Richtung eines gemeinsamen Modells der Cyber-Accountability, in dem Resilienz als kollektive Verantwortung verstanden wird. Reifegradmessung und Handlungsbedarf Die neue Studie *Cyber Message 2025* des Versicherungsbrokers Kessler liefert ein aktuelles Bild des Cyber-Reifegrads. Schweizer Unternehmen schneiden demnach überdurchschnittlich ab: Industrieunternehmen erreichen einen **Resilienz-Score von 2,71**, während Dienstleistungsbranchen wie IT, Finanzwesen und Beratung mit **2,91** Punkten noch besser aufgestellt sind – beide Werte liegen über dem EU-Durchschnitt. Dennoch bleiben deutliche Lücken bestehen. Viele Unternehmen arbeiten noch mit manuellen Meldeprozessen, fragmentierten Governance-Strukturen und uneinheitlichen Reaktionsprotokollen. Die **24-Stunden-Meldepflicht**, zentral sowohl in **NIS2** als auch im Schweizer Recht, ist damit zu einem Praxistest für Koordination und operative Belastbarkeit geworden. Die Bedeutung von NIS2 liegt nicht allein im regulatorischen Text, sondern im Paradigmenwechsel, den sie auslöst. Cybersicherheit ist kein rein technisches Thema mehr – sie ist zu einer Führungsaufgabe geworden. Die Frage lautet nicht länger: *Sind wir compliant?* Sondern: *Sind wir resilient?* In ganz Europa nutzen vorausschauende Organisationen diesen Moment, um Cybersicherheit mit Governance, Risikomanagement und Business Continuity zu verbinden. Anstatt NIS2 als reine Compliance-Checkliste zu betrachten, verstehen sie die Richtlinie als Katalysator für stärkere Prozesse, klare Verantwortlichkeiten und mehr Vertrauen bei ihren Stakeholdern. Technologie als Enabler Die Erfüllung dieser Anforderungen setzt Struktur und Transparenz voraus. Die GRC Toolbox unterstützt Organisationen dabei, die Prinzipien von NIS2 und vergleichbaren Rahmenwerken wie dem Schweizer Informationssicherheitsgesetz operativ umzusetzen. Sie vereint Governance, Risk und Compliance in einer zentralen Umgebung, wodurch Unternehmen Kontrollen dokumentieren, Vorfälle nachverfolgen und regulatorische Konformität effizient nachweisen können. Technologie allein schafft keine Resilienz – aber sie macht sie erreichbar. In einer Welt, in der sich Cyberangriffe innerhalb weniger Stunden über Branchen und Grenzen hinweg ausbreiten, zählt die Fähigkeit, schnell und koordiniert zu reagieren – das ist wahre Stärke. Von NIS1 bis NIS2 erzählt die Entwicklung der europäischen Cybersicherheitslandschaft eine klare Geschichte: Resilienz entsteht nicht allein durch Technologie, sondern durch geteilte Verantwortung und wirksame Führung. Die nächste Phase wird nicht durch jene bestimmt, die am schnellsten compliant sind, sondern durch jene, die am besten führen – Organisationen, die Rahmenwerke wie NIS2 in ihr tägliches Governance-Verständnis integrieren, Risiken frühzeitig erkennen und nach Störungen gestärkt zurückkehren. 👉 [Erfahren Sie mehr darüber, wie Sie mit der GRC Toolbox NIS2-Compliance erreichen: GRC Toolbox für NIS2-Compliance](https://swissgrc.com/eu-nis2-richtlinie-fuer-cyber-sicherheit/) ## Häufige Fragen ### Was verlangt NIS2 bei Sicherheitsvorfällen? NIS2 schreibt vor, schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden nach deren Entdeckung zu melden. Zudem legt die Richtlinie Anforderungen an das Risikomanagement und die Überwachung von Lieferketten fest. ### Gibt es in der Schweiz eine Meldepflicht für Cyberangriffe? Ja, seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden. Bei Verstössen drohen Bussen von bis zu 100’000 Franken. ### Wie resilient sind Schweizer Unternehmen laut Cyber Message 2025? Die Studie des Versicherungsbrokers Kessler nennt für Industrieunternehmen einen Resilienz-Score von 2,71 und für Dienstleistungsbranchen 2,91. Beide Werte liegen über dem EU-Durchschnitt, dennoch bestehen Lücken wie manuelle Meldeprozesse und fragmentierte Governance-Strukturen. ### Wie unterstützt die GRC Toolbox bei der Umsetzung von NIS2? Die GRC Toolbox unterstützt Organisationen dabei, die Prinzipien von NIS2 und vergleichbaren Rahmenwerken wie dem Schweizer Informationssicherheitsgesetz operativ umzusetzen. Sie bündelt Governance, Risk und Compliance in einer Umgebung zur Dokumentation von Kontrollen und zur Nachverfolgung von Vorfällen. ### Warum reicht reine NIS2-Compliance nicht aus? Laut Beitrag ist Cybersicherheit eine Führungsaufgabe geworden, und die entscheidende Frage lautet nicht mehr, ob ein Unternehmen compliant ist, sondern ob es resilient ist. Resilienz entsteht demnach durch geteilte Verantwortung und wirksame Führung, nicht allein durch Technologie.