EU-Richtlinie 2022/2555 · NIS2

NIS2-Compliance, die Sie nachweisen können.

Von der Betroffenheitsanalyse über die zehn Mindestmassnahmen bis zum Bericht an die Aufsicht: Die SwissGRC® Plattform macht Ihre NIS2-Umsetzung strukturiert, nachvollziehbar und prüfungssicher.

Betroffenheits-Check

Fällt Ihr Unternehmen unter NIS2?

Drei Angaben genügen für eine strukturierte Ersteinschätzung: Standort, Sektor und Unternehmensgrösse. Direkt hier, ohne Formular.

1 · Standort
2 · Sektor
3 · Grösse
Ergebnis
Wo ist Ihr Unternehmen hauptsächlich tätig?
Massgeblich ist, wo Sie Ihre Dienste erbringen oder niedergelassen sind.

Diese Ersteinschätzung basiert auf den Grundkriterien der Richtlinie (EU) 2022/2555 und der nationalen Umsetzungen. Sonderfälle wie grössenunabhängig erfasste Einrichtungen (z.B. Vertrauensdienste, DNS, TLD, öffentliche Kommunikationsnetze) und sektorspezifisches Recht (z.B. DORA im Finanzsektor) sind gesondert zu prüfen. Sie ersetzt keine Rechtsberatung.

Fristen & Fahrplan

NIS2 im DACH-Raum: Die Uhr läuft.

Drei Länder, drei Geschwindigkeiten. Wählen Sie Ihr Land und sehen Sie, welche Fristen bereits laufen und was als Nächstes kommt.

Countdown: NISG 2026 in Österreich
0Tage
0Std
0Min
0Sek
06.12.2025
NIS2-Umsetzungsgesetz in Kraft
Das NIS2UmsuCG gilt ohne Übergangsfrist. Die Anforderungen sind im novellierten BSI-Gesetz verankert. Rund 29'500 Unternehmen sind betroffen.
In Kraft
06.03.2026
Registrierungspflicht beim BSI
Die gesetzliche Registrierungsfrist beim BSI (Portal seit 06.01.2026) ist abgelaufen. Das BSI gewährt Nachzüglern eine Kulanzfrist bis zum 31.07.2026, die verspätete Registrierung bleibt aber bussgeldbewehrt.
Nachfrist bis 31.07.2026
Laufend
Risikomanagement, Meldepflichten, Nachweise
Die Massnahmen nach Art. 21 und die dreistufige Meldepflicht (24h, 72h, 1 Monat) gelten. Die Aufsicht kann Nachweise verlangen, die Leitungsebene haftet für die Umsetzung.
Aktiv
Dezember 2028
Nachweisfrist für besonders wichtige Einrichtungen
Besonders wichtige Einrichtungen müssen die Umsetzung der Risikomanagementmassnahmen innerhalb von drei Jahren nach Inkrafttreten gegenüber dem BSI nachweisen.
Vorbereiten
23.12.2025
NISG 2026 kundgemacht
Österreich beschliesst die NIS2-Umsetzung. Neu geschaffen wird das Bundesamt für Cybersicherheit als zentrale Behörde. Geschätzt rund 4'000 Unternehmen sind direkt betroffen.
Beschlossen
01.10.2026
Inkrafttreten: Alle Pflichten gelten
Risikomanagementmassnahmen, Meldepflichten und die Schulungspflicht der Leitungsorgane werden verbindlich. Das bisherige NISG 2018 tritt ausser Kraft.
Stichtag
31.12.2026
Registrierungsfrist
Wesentliche und wichtige Einrichtungen müssen sich beim Bundesamt für Cybersicherheit registriert haben. Die Einstufung erfolgt per Selbsteinschätzung, das Konzernprivileg entfällt.
30.09.2027
Selbstdeklaration
Binnen zwölf Monaten nach Eintritt der Registrierungspflicht ist eine strukturierte Selbstdeklaration einzureichen: umgesetzte Massnahmen, Ergebnisse der Risikoanalyse, Lieferkettensicherheit.
01.10.2028
Behördliche Prüfungen möglich
Ab zwei Jahren nach Inkrafttreten kann die Cybersicherheitsbehörde die Vorlage von Nachweisen verlangen und Prüfungen durch unabhängige Stellen anordnen, bei wichtigen Einrichtungen anlassbezogen.
Vorbereiten
01.04.2025
Meldepflicht nach ISG
Cyberangriffe auf kritische Infrastrukturen müssen innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) gemeldet werden. Die Schweiz geht damit einen eigenen, NIS2-ähnlichen Weg.
In Kraft
Laufend
NIS2 wirkt über die Lieferkette
Schweizer Unternehmen mit EU-Kunden oder EU-Niederlassungen erhalten NIS2-Anforderungen indirekt: über Sicherheitsfragebögen, Vertragsklauseln und Nachweispflichten ihrer betroffenen Geschäftspartner.
Relevant für Exporteure & Zulieferer
16.01.2023
Richtlinie (EU) 2022/2555 in Kraft
NIS2 löst die NIS-Richtlinie von 2016 ab, erweitert den Anwendungsbereich auf 18 Sektoren und verschärft Aufsicht und Sanktionen.
18.10.2024
Anwendungsbeginn
Die Mitgliedstaaten hätten die Richtlinie bis zum 17.10.2024 in nationales Recht umsetzen müssen. Viele Länder folgten verspätet, die Umsetzung schreitet seither Land für Land voran.
Laufend
Nationale Umsetzungen und Durchführungsrechtsakte
Für bestimmte digitale Dienste konkretisiert die Durchführungsverordnung der Kommission die Sicherheitsanforderungen. National unterscheiden sich Fristen, Behörden und Terminologie, was Konzerne mit mehreren EU-Standorten besonders fordert.

Stand: Juli 2026. Fristen und Behördenpraxis entwickeln sich laufend weiter, massgeblich sind die jeweiligen Gesetzestexte und Behördenmitteilungen.

Art. 21 Abs. 2 · Die Pflichtmassnahmen

Zehn Massnahmen, ein System.

NIS2 schreibt jeder betroffenen Einrichtung zehn Mindestmassnahmen vor, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung. Klicken Sie sich durch: Was die Richtlinie verlangt und wie Sie es in der SwissGRC® Plattform umsetzen.

Art. 23 · Meldepflicht bei erheblichen Vorfällen
Drei Fristen, die Sie im Ernstfall treffen müssen.
24h
Frühwarnung

Unverzüglich nach Kenntnis: Erstmeldung an die zuständige Behörde bzw. das CSIRT, inklusive Verdacht auf rechtswidrige Handlung oder grenzüberschreitende Auswirkungen.

72h
Meldung

Strukturierte Bewertung des Vorfalls: Schweregrad, Auswirkungen und, soweit verfügbar, Kompromittierungsindikatoren.

1 Monat
Abschlussbericht

Ausführliche Beschreibung von Vorfall, Ursachen und ergriffenen Abhilfemassnahmen. Auf Ersuchen zusätzlich Zwischenberichte.

FAQ

Häufige Fragen

Die Fragen, die uns Unternehmen bei der Einführung ihrer NIS2-Lösung am häufigsten stellen. Direkt und ohne Umwege beantwortet.

Grundsätzlich mittlere und grosse Unternehmen (ab 50 Mitarbeitenden oder über 10 Mio. EUR Umsatz) in den 18 Sektoren der Anhänge I und II, von Energie über Gesundheit bis zum verarbeitenden Gewerbe. Einzelne Dienste wie DNS, TLD oder Vertrauensdienste sind grössenunabhängig erfasst, und über die Lieferkettenpflicht erreichen die Anforderungen auch nicht direkt regulierte Zulieferer. Die schnellste Orientierung gibt Ihnen der Betroffenheits-Check oben auf dieser Seite.
Erhebliche Vorfälle sind dreistufig zu melden (Art. 23): Frühwarnung innerhalb von 24 Stunden, ausführliche Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Frühwarnung. In der SwissGRC® Plattform hinterlegen Sie den Meldeprozess als Workflow mit Fristen, Verantwortlichen und Vorlagen, damit im Ernstfall niemand überlegen muss, wer was bis wann meldet.
Schneller, als die meisten erwarten. Die SwissGRC® Plattform bringt vorstrukturierte NIS2-Inhalte mit, Sie beginnen also nicht bei null. Erste Ergebnisse wie die Bestandsaufnahme und ein priorisierter Massnahmenplan sind in wenigen Tagen sichtbar, eine typische Einführung dauert je nach Umfang und Modulen wenige Wochen. Unser Onboarding begleitet Sie dabei Schritt für Schritt.
Nachweise werden direkt an der Anforderung oder Massnahme hinterlegt: Dokumente, Protokolle, Screenshots, Verweise. Jede Version bleibt erhalten, jede Änderung wird mit Nutzer und Zeitstempel protokolliert. So entsteht ein lückenloser, revisionssicherer Audit Trail. Wenn die Aufsicht oder ein Prüfer Nachweise verlangt, exportieren Sie den Stand auf Knopfdruck, statt Ordner und Postfächer zu durchsuchen.
Die Lizenzierung ist modular und transparent: Sie zahlen für die Module, die Sie einsetzen, abgestimmt auf Ihre Organisationsgrösse. Es gibt keine versteckten Kosten, keine Pflicht zum Vollausbau. Weil der Zuschnitt je nach Ausgangslage unterschiedlich ist, erstellen wir Ihnen nach einem kurzen Gespräch ein konkretes Angebot. Sales kontaktieren

Grundlagen zur Richtlinie selbst, etwa Sektoren, Sanktionen und Fristen, finden Sie oben im Betroffenheits-Check und im Fahrplan.

NIS2 nicht nur umsetzen.
Nachweisen.

Sehen Sie, wie Unternehmen in der DACH-Region ihre NIS2-Pflichten mit der SwissGRC® Plattform strukturieren, umsetzen und gegenüber Behörden und Prüfern belegen.

Swiss GRC | Switzerland (HQ) | Germany | UK | UAE