NIS2 in Deutschland und die Cyber-Meldepflicht in der Schweiz: Aufgaben für Legal und Compliance

Kurzantwort: In Deutschland gilt NIS2 über das neue BSI-Gesetz (BSIG) seit dem 6. Dezember 2025 ohne Übergangsfrist. Rund 29’500 Unternehmen müssen sich beim BSI registrieren (§ 33 BSIG), erhebliche Sicherheitsvorfälle in drei Stufen melden (24 Stunden, 72 Stunden, ein Monat; § 32 BSIG), und die Geschäftsleitung muss die Risikomanagementmassnahmen billigen, überwachen und haftet bei Pflichtverletzungen (§ 38 BSIG). Die Schweiz kennt kein NIS2, aber seit dem 1. April 2025 eine Pflicht für Betreiberinnen kritischer Infrastrukturen, Cyberangriffe innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) zu melden; Bussen sind seit dem 1. Oktober 2025 möglich.

Dieser Ratgeber richtet sich an Heads of Legal, Compliance-Verantwortliche und Informationssicherheitsbeauftragte in Deutschland und der Schweiz. Er zeigt, was die NIS2-Umsetzung für Unternehmen konkret bedeutet, was das Schweizer Informationssicherheitsgesetz verlangt und welche juristischen Arbeitspakete daraus folgen.

Deutschland: wer betroffen ist, Registrierung, Pflichten, Haftung

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft. Die Kernpflichten stehen im neuen BSIG. Betroffen sind nach Schätzungen rund 29’500 Unternehmen und Einrichtungen.

Betroffenheit

Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung gilt, hängt von Sektor und Grösse ab. Besonders wichtig sind unter anderem Unternehmen aus Sektoren nach Anlage 1 BSIG mit mindestens 250 Beschäftigten oder mehr als 50 Mio. EUR Jahresumsatz und mehr als 43 Mio. EUR Bilanzsumme. Wichtig sind Unternehmen aus Sektoren nach Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder mehr als 10 Mio. EUR Jahresumsatz und Bilanzsumme (§ 28 Abs. 1 und 2 BSIG). Betreiber kritischer Anlagen und einige digitale Dienste sind unabhängig von der Grösse erfasst. Das BSI bietet eine Online-Betroffenheitsprüfung an. Legal sollte das Ergebnis dokumentieren, auch wenn es negativ ausfällt.

Registrierung

Betroffene Einrichtungen registrieren sich in zwei Schritten: zuerst ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“, dann die Registrierung im BSI-Portal, das seit dem 6. Januar 2026 online ist (§ 33 BSIG). Die gesetzliche Frist endete am 6. März 2026. Das BSI weist darauf hin, dass die Frist abgelaufen ist, und fordert betroffene Einrichtungen ohne Registrierung auf, diese umgehend nachzuholen. Die Registrierungspflicht besteht fort; eine unterlassene Registrierung kann mit einem Bussgeld bis 500’000 EUR geahndet werden (§ 65 Abs. 5 BSIG).

Meldepflichten

Erhebliche Sicherheitsvorfälle werden dem BSI gestuft gemeldet: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens nach einem Monat (§ 32 BSIG).

Geschäftsleitung und Bussgelder

Die Geschäftsleitung muss die Risikomanagementmassnahmen billigen und überwachen und regelmässig an Schulungen teilnehmen; bei Pflichtverletzungen haftet sie gegenüber der Einrichtung (§ 38 BSIG). Die Bussgelder reichen bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen; bei wichtigen Einrichtungen bis 7 Mio. EUR oder 1,4 %. Eine unterlassene Registrierung kann mit bis zu 500’000 EUR geahndet werden (§ 65 Abs. 5 bis 7 BSIG).

Schweiz: Meldepflicht nach dem Informationssicherheitsgesetz

Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen Cyberangriffe innerhalb von 24 Stunden nach der Entdeckung dem BACS melden (Art. 74a ff. ISG). Gemeldet wird über das Formular im Cyber Security Hub; fehlende Angaben können innerhalb von 14 Tagen ergänzt werden. Der Bundesrat setzte die Regelung am 7. März 2025 in Kraft, Ausnahmen regeln Art. 74c ISG und die Cybersicherheitsverordnung.

• Wer meldet: Betreiberinnen kritischer Infrastrukturen und die dem ISG unterstellten Behörden und Organisationen, laut BACS etwa Energie- und Trinkwasserversorger, Transportunternehmen sowie kantonale und kommunale Verwaltungen.
• Sanktionen: Seit dem 1. Oktober 2025 sind Bussen bis CHF 100’000 möglich, allerdings erst in einem zweiten Schritt: Bei Hinweisen auf eine Meldepflichtverletzung setzt das BACS zuerst eine Frist; verstreicht sie, erlässt es eine Verfügung mit neuer Frist und Hinweis auf die Strafdrohung (Art. 74g ISG). Gebüsst wird, wer diese rechtskräftige Verfügung vorsätzlich nicht befolgt (Art. 74h ISG).
• Finanzsektor: FINMA-Beaufsichtigte melden wesentliche Cyberangriffe zusätzlich der FINMA: Erstmeldung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden (Aufsichtsmitteilung 05/2020).
• Datenschutz: Führt ein Angriff voraussichtlich zu einem hohen Risiko für betroffene Personen, meldet der Verantwortliche dies dem EDÖB „so rasch als möglich“ (Art. 24 DSG).

Deutschland und Schweiz im Vergleich

Die beiden Regime unterscheiden sich vor allem im Kreis der Betroffenen und im Pflichtenumfang. Die Tabelle stellt die Kernpunkte gegenüber.

Juristische Arbeitspakete: Verträge, Richtlinien, Schulung

Die NIS2-Umsetzung im Unternehmen und die Schweizer Meldepflicht erzeugen sechs juristische Arbeitspakete, die sich gut abgrenzen und temporär besetzen lassen.

1. Betroffenheitsanalyse: Sektoren, Gesellschaften und Standorte prüfen, das Ergebnis begründet dokumentieren, in Gruppen je Gesellschaft und Land.
2. Registrierung nachholen oder aktualisieren: fehlende BSI-Registrierungen sofort nachholen und Änderungen nachführen.
3. Meldeprozess: einen gemeinsamen Ablauf für BSI, BACS, FINMA und Datenschutzbehörden festlegen, mit Klassifizierungskriterien, Zuständigkeiten und Vorlagen. Parallel laufen oft die 72 Stunden nach Art. 33 DSGVO.
4. Verträge mit Dienstleistern: Sicherheitsanforderungen, Meldepflichten des Dienstleisters und Prüfrechte in IT- und Auslagerungsverträgen verankern.
5. Richtlinien und Nachweise: Informationssicherheits- und Meldeweisungen anpassen; Beschlüsse der Geschäftsleitung zur Billigung der Massnahmen dokumentieren.
6. Schulung der Geschäftsleitung: regelmässige Schulungen nach § 38 BSIG planen und nachweisen; das BSI hat dafür 2026 ein Curriculum veröffentlicht.

Für Verträge und Datenschutzfragen arbeiten diese Pakete eng mit dem IT- und Datenschutzrecht zusammen; mehr dazu auf unserer Seite zu Datenschutz und IT-Recht. Finanzinstitute kombinieren die Arbeit oft mit DORA, siehe DORA-Arbeitspakete.

Rollen und Kapazität

Ein NIS2- oder ISG-Projekt braucht juristische Kapazität vor allem in der Aufbauphase und nach Vorfällen. Typische Rollen:

• Senior Legal Counsel IT/Cyber: Betroffenheitsanalyse, Haftungsfragen, Vorlagen für die Geschäftsleitung.
• Projektjuristinnen und Projektjuristen: Vertragsreview und Nachträge mit Dienstleistern.
• Compliance Officer: Meldeprozess, Richtlinien, Schulungsnachweise.
• Datenschutzspezialistin oder Datenschutzspezialist: Schnittstelle zu DSGVO und revDSG.

Alpinum Solutions stellt diese Rollen über Staff Leasing oder Freelancing bereit, in Teilzeit oder Vollzeit, einzeln oder als Team. Im Staff Leasing gibt das Unternehmen die fachlichen Weisungen, im Freelancing arbeitet die Fachkraft eigenverantwortlich im Rahmen des Mandats. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

Grenzen und Risiken

Die Pflichten aus BSIG und ISG treffen die Einrichtung und, in Deutschland ausdrücklich, ihre Geschäftsleitung. Temporäre Fachkräfte entlasten bei Analyse, Verträgen und Prozessen; die Verantwortung bleibt beim Unternehmen. Technische Sicherheitsmassnahmen gehören zur IT-Sicherheit, nicht zu Legal. Alpinum ist keine Kanzlei.

Häufige Fragen zu NIS2 und zur Schweizer Meldepflicht

Bin ich als Schweizer Unternehmen von NIS2 betroffen?

Als Schweizer Gesellschaft nicht direkt, denn NIS2 ist eine EU-Richtlinie. Hat Ihre Gruppe aber Gesellschaften oder Niederlassungen in Deutschland, die unter das BSIG fallen, gelten dort Registrierung, Meldepflichten und Geschäftsleiterpflichten. Für die Grössenschwellen werden Daten verbundener Unternehmen grundsätzlich mitgezählt, ausser die deutsche Gesellschaft ist bei ihren IT-Systemen und -Prozessen von der Gruppe unabhängig (§ 28 Abs. 4 BSIG). In der Schweiz selbst gilt die Meldepflicht nach dem ISG, wenn Sie eine kritische Infrastruktur betreiben.

Haftet die Geschäftsleitung?

In Deutschland ja. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmassnahmen billigen und überwachen und regelmässig an Schulungen teilnehmen. Verletzt sie diese Pflichten, haftet sie gegenüber der Einrichtung. Beschlüsse, Berichte und Schulungsnachweise sollten deshalb lückenlos dokumentiert werden. Das Schweizer ISG kennt keine vergleichbare ausdrückliche Regelung; es regelt für Unternehmen vor allem die Meldepflicht.

Was gilt, wenn wir die Registrierungsfrist verpasst haben?

Die gesetzliche Frist endete am 6. März 2026. Die Registrierungspflicht besteht weiter, das BSI fordert zur umgehenden Registrierung auf, und eine unterlassene Registrierung kann mit bis zu 500’000 EUR geahndet werden (§ 65 Abs. 5 BSIG). Betroffene Unternehmen sollten die Registrierung sofort nachholen und den Grund der Verspätung dokumentieren.

Wie verhalten sich BSI-Meldung und Datenschutzmeldung zueinander?

Beide Pflichten bestehen nebeneinander. Ein erheblicher Sicherheitsvorfall wird dem BSI nach § 32 BSIG gemeldet. Sind personenbezogene Daten betroffen, muss zusätzlich die Datenschutzaufsicht innerhalb von 72 Stunden informiert werden (Art. 33 DSGVO). Ein gemeinsamer Meldeprozess mit klaren Rollen stellt sicher, dass beide Fristen eingehalten werden.

Wer muss in der Schweiz Cyberangriffe melden?

Melden müssen Betreiberinnen kritischer Infrastrukturen sowie die dem ISG unterstellten Behörden und Organisationen, zum Beispiel Energie- und Trinkwasserversorger, Transportunternehmen und kantonale oder kommunale Verwaltungen. Die Meldung geht innerhalb von 24 Stunden nach der Entdeckung an das BACS. Ausnahmen regeln Art. 74c ISG und die Cybersicherheitsverordnung.

Nächster Schritt

Schildern Sie uns Ihren Stand bei Betroffenheit, Registrierung und Meldeprozess. Wir zeigen Ihnen passende Profile für die offenen Arbeitspakete.

• Regulatory Compliance und Regulatory Change
• Projektjuristen für Datenschutz und IT-Recht
• Regulatorik-Kalender Legal & Compliance
• Bedarf besprechen

Stand: 30. Oktober 2026.