Wir denken Cybersicherheit aus der Konfliktperspektive — Investitionen müssen dem Wert der Information entsprechen. Diese Verhandlung führen wir dort, wo sie hingehört: zwischen Vorstand, Recht und Compliance.
Von der strategischen Positionierung über die juristisch belastbare Bewertung bis zur regulatorischen Praxis. Sektor- und grössenagnostisch, vom KMU bis zum Konzern.
Wir arbeiten auf der Ebene, auf der Sicherheitsentscheidungen tatsächlich getroffen werden — zwischen Vorstand, Recht und Compliance. Schutzbedarf, Doktrin und Investitionslogik werden hier nicht delegiert, sondern verhandelt.
Unabhängige Einschätzungen, die vor Versicherern, in der Due Diligence und im Verfahren bestehen. Wir beziffern, was sonst beschworen wird — Stand der Technik, Sorgfaltspflicht, Schadenpotenzial.
Wir übersetzen Richtlinien in betriebliche Realität — ohne Buzzword-Theater, mit prüfbaren Spuren. Stark am Schnittpunkt Schweiz / EU, vom Inkrafttreten bis zum Audit.
Mit der NIS-2-Richtlinie und dem Cyber Resilience Act formuliert die EU ihren bisher umfassendsten Anspruch an Cybersicherheit. Schweizer Unternehmen sind zwar nicht direkt verpflichtet — über Tochtergesellschaften, EU-Märkte und Lieferketten gilt der Druck dennoch fast lückenlos.
Die NIS-2-Richtlinie löst die ursprüngliche NIS-Richtlinie von 2016 ab und verschiebt Cybersicherheit endgültig vom IT-Keller in den Verwaltungsrat. Erfasst werden nicht mehr nur klassische kritische Infrastrukturen, sondern unter anderem auch Hersteller kritischer Produkte, digitale Dienste, Abfallwirtschaft, öffentliche Verwaltung und ein erheblicher Teil des verarbeitenden Gewerbes.
Adressaten werden in zwei Kategorien eingeteilt — „wesentliche" und „wichtige" Einrichtungen. Der Unterschied liegt vor allem in der Aufsichtsintensität und der Bussenobergrenze. Für beide gilt: die Geschäftsleitung steht persönlich in der Verantwortung.
Während NIS-2 die Sicherheit von Organisationen regelt, adressiert der Cyber Resilience Act (CRA) die Sicherheit von Produkten — präziser: aller „Produkte mit digitalen Elementen", die im EU-Binnenmarkt in Verkehr gebracht werden. Vom IoT-Sensor über Industriekomponenten bis zur reinen Standalone-Software.
Die Stossrichtung ist eindeutig: Security by Design wird Pflicht, die CE-Kennzeichnung schliesst künftig Cybersicherheit ein, und die Verantwortung endet nicht mit dem Verkauf — Hersteller müssen ein produktspezifisches Schwachstellenmanagement und Sicherheitsupdates über den definierten „Support-Zeitraum" garantieren.
Die Schweiz ist nicht EU-Mitglied — die NIS-2-Richtlinie und der CRA gelten hier nicht direkt. Trotzdem ist es eine Illusion, Schweizer Unternehmen seien nicht betroffen. Die Wirkung läuft über drei Kanäle, und sie ist real.
Eine Niederlassung im EU-Raum unterliegt direkt der dortigen NIS-2-Umsetzung — mit allen Meldepflichten und Bussenrahmen.
Wer aus der Schweiz digitale Dienste in der EU anbietet — Cloud, Managed Services, DNS — fällt häufig unmittelbar in den Geltungsbereich.
EU-Kunden sind verpflichtet, ihre Zulieferer auf Cybersicherheit zu prüfen. NIS-2 wird so „nach hinten" durchgereicht — mit Verträgen statt Gesetzen.
Parallel verschärft die Schweiz ihren eigenen Rahmen. Das Informationssicherheitsgesetz (ISG) ist seit Januar 2024 in Kraft; seit dem 1. April 2025 gilt eine 24-Stunden-Meldepflicht für Betreiberinnen kritischer Infrastrukturen an das Bundesamt für Cybersicherheit (BACS). Bei Versäumnissen drohen Bussen bis CHF 100'000. Eine Erweiterung des Geltungsbereichs in Richtung NIS-2-Logik ist absehbar.
Die regulatorische Welle rollt nicht 2027 an — sie ist seit 2024 in Bewegung. Die folgenden Daten sind die Eckpfeiler. Vorbereitung beginnt mehrere Quartale früher.
Kein Sales-Pitch.
15 Minuten Klarheit darüber, was Sie wirklich schützen müssen.
Schildern Sie uns kurz Ihre Lage. Wir melden uns binnen 24 Stunden mit einer ehrlichen Einschätzung — ohne Verpflichtung, ohne Mailingliste.
Ihre Anfrage wurde in Ihrem E-Mail-Programm geöffnet — bitte schicken Sie sie dort ab. Falls kein Programm erscheint, schreiben Sie direkt an contact@clypeus.ch.