NIS2 und die Schweiz: Was Schweizer Unternehmen mit EU-Geschäftsbeziehungen wissen müssen

Die NIS2-Richtlinie richtet sich an die Mitgliedstaaten der Europäischen Union. Die Schweiz ist kein EU-Mitglied und muss NIS2 nicht umsetzen. Trotzdem beschäftigt das Thema immer mehr Schweizer Unternehmen – und das aus gutem Grund. Wer als Zulieferer, Dienstleister oder Partner für EU-regulierte Organisationen tätig ist, spürt die Anforderungen von NIS2 in der Regel indirekt, aber spürbar. Und bestimmte Anbieter digitaler Dienste können auch ohne EU-Niederlassung unmittelbar erfasst sein.

Dieser Leitfaden erklärt, in welchen Konstellationen Schweizer Unternehmen tatsächlich betroffen sein können, was das Schweizer Informationssicherheitsgesetz (ISG) dazu beiträgt und welche konkreten Schritte jetzt sinnvoll sind.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen variieren je nach Unternehmensstruktur und Geschäftsmodell. Konsultieren Sie für Ihren konkreten Fall einen qualifizierten Rechts- oder Compliance-Experten.

Die Ausgangslage: Schweiz außerhalb der EU – trotzdem betroffen?

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) verpflichtet die Mitgliedstaaten der Europäischen Union, Mindestanforderungen an die Cybersicherheit von Netz- und Informationssystemen in kritischen Sektoren einzuführen. Die Schweiz ist nicht Mitglied der EU und nicht im Europäischen Wirtschaftsraum (EWR). Rein formal ist NIS2 damit kein Schweizer Recht.

Warum ist das Thema dennoch relevant? Weil die EU-Richtlinie nicht nur für EU-Unternehmen Konsequenzen hat, sondern auch für deren Lieferketten. Ein Stadtwerk in München, ein Energieversorger in Stuttgart oder ein Krankenhausverbund in Hamburg muss nach dem deutschen Umsetzungsrecht in seinem Risikomanagement auch die Sicherheit der Lieferkette berücksichtigen (Art. 21 Abs. 2 Buchst. d NIS2, umgesetzt in § 30 BSIG). Erfüllt der Schweizer IT-Dienstleister, Softwareanbieter oder Logistikpartner die vereinbarten Sicherheitsanforderungen nicht, wird das für den EU-Kunden zum Compliance-Risiko – aufsichtsrechtliche Konsequenzen drohen dann ihm, nicht dem Schweizer Lieferanten.

Mehr zum Aufbau und den Grundlagen der NIS2-Richtlinie lesen Sie in unserem einführenden Leitfaden.

Drei Szenarien, in denen NIS2 für Schweizer Unternehmen relevant wird

Es gibt drei konkrete Situationen, in denen NIS2 für ein Schweizer Unternehmen relevant wird. Die ersten beiden können unmittelbare gesetzliche Pflichten auslösen, das dritte wirkt mittelbar über Verträge.

Szenario 1: Niederlassung oder Tochtergesellschaft in der EU

Hat ein Schweizer Konzern eine Tochtergesellschaft, Zweigniederlassung oder sonstige Niederlassung in einem EU-Mitgliedstaat, unterliegt diese Einheit grundsätzlich dem NIS2-Umsetzungsrecht des Staates, in dem sie niedergelassen ist (Art. 26 Abs. 1 NIS2) – vorausgesetzt, sie gehört zu einer der Einrichtungsarten der Anhänge I oder II und erreicht die Größenschwellen. In Deutschland ist das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, BGBl. 2025 I Nr. 301) seit dem 6. Dezember 2025 in Kraft; die Pflichten stehen im neu gefassten BSIG, die Einstufung richtet sich nach § 28 BSIG. In anderen Mitgliedstaaten gilt das jeweilige nationale Gesetz, wobei die Umsetzung noch nicht überall abgeschlossen ist: Die EU-Kommission hat am 8. Juli 2026 Irland, Spanien, Frankreich und die Niederlande wegen fehlender vollständiger Umsetzung vor dem Gerichtshof der EU verklagt.

Für eine erfasste deutsche Tochter gelten unter anderem die Registrierung beim BSI (§ 33 BSIG), Risikomanagementmaßnahmen (§ 30 BSIG, entsprechend Artikel 21 NIS2), die gestuften Meldepflichten bei erheblichen Sicherheitsvorfällen (§ 32 BSIG) sowie Nachweise auf Anforderung der Aufsicht. Wichtig für Konzerne: Bei der Bestimmung von Mitarbeiterzahl, Umsatz und Bilanzsumme ist nach § 28 Abs. 4 BSIG die KMU-Empfehlung 2003/361/EG anzuwenden – Daten verbundener Unternehmen, unter Umständen also auch der Schweizer Muttergesellschaft, werden grundsätzlich mitgezählt, es sei denn, die IT der Tochter ist von der Gruppe unabhängig. Die Schweizer Muttergesellschaft sollte daher sicherstellen, dass die EU-Tochter diese Anforderungen organisatorisch und technisch umsetzen kann – gerade wenn IT-Dienste zentral aus der Schweiz erbracht werden.

Szenario 2: Bestimmte digitale Dienste in der EU ohne EU-Niederlassung

Grundsätzlich unterliegen Einrichtungen der Zuständigkeit des Mitgliedstaats, in dem sie niedergelassen sind. Für eine abschließend aufgezählte Gruppe digitaler Anbieter gilt eine Sonderregel (Art. 26 Abs. 1 Buchst. b NIS2): DNS-Diensteanbieter, TLD-Namenregister, Domain-Registrierungsdienste, Anbieter von Cloud-Computing- und Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider (MSP), Managed Security Service Provider (MSSP) sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen sozialer Netzwerke. Haben solche Anbieter keine Niederlassung in der EU, bieten aber Dienste innerhalb der EU an, müssen sie nach Artikel 26 Absatz 3 NIS2 einen Vertreter in einem der Mitgliedstaaten benennen, in denen sie ihre Dienste anbieten; sie unterliegen dann der Zuständigkeit dieses Mitgliedstaats. In Deutschland setzt § 60 Abs. 3 BSIG diese Regel um.

Ob Dienste in der EU „angeboten“ werden, hängt nach Erwägungsgrund 116 von der erkennbaren Absicht ab, Kunden in Mitgliedstaaten zu bedienen – etwa durch Preise in Euro, Bestellmöglichkeiten in einer Sprache eines Mitgliedstaats oder die Nennung von Kunden in der EU. Die bloße Erreichbarkeit der Website aus der EU genügt nicht, ebenso wenig die Verwendung einer Sprache, die im Drittland allgemein gebräuchlich ist; Deutsch, Französisch oder Italienisch allein sind bei Schweizer Anbietern also kein Indiz. Zusätzlich müssen in der Regel die Größenschwellen erreicht sein: mindestens mittleres Unternehmen, also mindestens 50 Beschäftigte oder mehr als 10 Mio. € Jahresumsatz und zugleich mehr als 10 Mio. € Jahresbilanzsumme (Art. 2 Abs. 1 NIS2 i. V. m. Empfehlung 2003/361/EG). DNS-Diensteanbieter und TLD-Namenregister sind unabhängig von ihrer Größe erfasst (Art. 2 Abs. 2 NIS2).

Für alle anderen Schweizer Unternehmen gilt: Allein die Belieferung oder Betreuung von Kunden in der EU macht sie nicht zu NIS2-Einrichtungen. Eine Sonderstellung haben noch Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, die der Zuständigkeit des Mitgliedstaats unterliegen, in dem sie ihre Dienste erbringen (Art. 26 Abs. 1 Buchst. a NIS2).

Wer grundsätzlich von NIS2 erfasst wird, erklärt unser Artikel zum Anwendungsbereich der NIS2-Richtlinie detailliert.

Szenario 3: Vertragliche Lieferkettenpflichten

Dies ist das häufigste Szenario für Schweizer KMU. NIS2 verpflichtet wesentliche und wichtige Einrichtungen in der EU, in ihren Risikomanagementmaßnahmen auch die Sicherheit der Lieferkette zu adressieren, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern (Artikel 21 Absatz 2 Buchstabe d). Dabei sind unter anderem die spezifischen Schwachstellen der einzelnen Anbieter sowie die Qualität ihrer Produkte und ihrer Cybersicherheitspraxis zu berücksichtigen (Art. 21 Abs. 3). In der Praxis geschieht das häufig über Fragebögen, Vertragsklauseln und Auditrechte. Ein Schweizer Maschinenbauer, der Teile an einen deutschen Automobilhersteller liefert, oder ein Zürcher Software-Startup, das seine Anwendung an ein deutsches Krankenhaus verkauft, wird daher zunehmend mit Sicherheitsfragebögen, Vertragsklauseln und Auditrechten konfrontiert.

Diese vertraglichen Anforderungen sind keine gesetzliche NIS2-Pflicht für das Schweizer Unternehmen, haben aber faktisch Gewicht – wer sie nicht erfüllt, riskiert, Aufträge zu verlieren oder vertragliche Sanktionen auszulösen.

Das Schweizer Pendant: ISG und die Rolle des BACS

Die Schweiz ist nicht ohne eigenes Regelwerk. Das Bundesgesetz über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG, SR 128) ist im Wesentlichen seit dem 1. Januar 2024 in Kraft. Es regelt in erster Linie die Informationssicherheit bei den Behörden und Organisationen des Bundes, unter anderem die Klassifizierung von Informationen und Schutzmaßnahmen für Bundesstellen. Mit der Änderung vom 29. September 2023, in Kraft seit dem 1. April 2025, kamen Maßnahmen zum Schutz der Schweiz vor Cyberbedrohungen und eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen hinzu (Art. 73a ff. ISG). Für Betreiberinnen kritischer Infrastrukturen außerhalb der Bundesverwaltung gelten nur diese Bestimmungen (Art. 2 Abs. 5 ISG). Die Ausführungsbestimmungen enthält die Cybersicherheitsverordnung (CSV, SR 128.51).

Das Bundesamt für Cybersicherheit (BACS) hat am 1. Januar 2024 seine Tätigkeit aufgenommen und ist aus dem früheren Nationalen Zentrum für Cybersicherheit (NCSC) hervorgegangen. Es ist das Kompetenzzentrum des Bundes für Cybersicherheit, nimmt Meldungen entgegen, warnt vor Bedrohungen, unterstützt Betreiberinnen kritischer Infrastrukturen und betreibt mit dem Cyber Security Hub (CSH) eine Plattform für den Informationsaustausch. Seit dem 1. April 2025 müssen meldepflichtige Behörden und Organisationen dem BACS Cyberangriffe innerhalb von 24 Stunden nach der Entdeckung melden (Art. 74e ISG); fehlende Angaben können innerhalb von 14 Tagen ergänzt werden (Art. 16 CSV). Meldepflichtig ist ein Angriff unter anderem, wenn er die Funktionsfähigkeit der kritischen Infrastruktur gefährdet, zu einer Manipulation oder einem Abfluss von Informationen geführt hat, über einen längeren Zeitraum unentdeckt blieb oder mit Erpressung, Drohung oder Nötigung verbunden ist (Art. 74d ISG). Seit dem 1. Oktober 2025 gilt zudem die Strafbestimmung: Wer einer rechtskräftigen Verfügung des BACS vorsätzlich nicht Folge leistet, kann mit Busse bis zu 100 000 Franken bestraft werden (Art. 74g und 74h ISG). Eine Busse setzt also eine vorherige Fristsetzung und Verfügung des BACS voraus.

Der Kreis der Meldepflichtigen in Art. 74b ISG ist breit: Er reicht von Energieversorgung, Banken und Versicherungen, Spitälern und Eisenbahnunternehmen bis zu Fernmeldedienstanbieterinnen und Domain-Registraren. Für Technologieanbieter besonders relevant sind Buchstabe t – Anbieterinnen und Betreiberinnen von Cloudcomputing, Suchmaschinen, digitalen Sicherheits- und Vertrauensdiensten sowie Rechenzentren mit Sitz in der Schweiz – und Buchstabe u: Herstellerinnen von Hard- oder Software, deren Produkte von kritischen Infrastrukturen genutzt werden, sofern die Produkte einen Fernwartungszugang haben oder der Steuerung und Überwachung betriebstechnischer Systeme oder der öffentlichen Sicherheit dienen. Die CSV nimmt bestimmte, vor allem kleinere Organisationen von der Meldepflicht aus (Art. 12 CSV); ob eine Organisation meldepflichtig ist, beantwortet das BACS auf Anfrage (Art. 74a Abs. 2 ISG). Die Meldepflicht ist ein wichtiger Schritt, aber nicht deckungsgleich mit NIS2: Umfassende Risikomanagementpflichten wie in Artikel 21 NIS2 enthält das ISG für private Betreiberinnen nicht.

Relevante Unterschiede zwischen ISG/BACS und NIS2:

Merkmal	ISG / BACS (Schweiz)	NIS2 (EU)
Rechtsgrundlage	Bundesgesetz (ISG, SR 128) + Cybersicherheitsverordnung (CSV)	EU-Richtlinie, national umgesetzt (in DE: BSIG)
Geltungsbereich	Bundesbehörden; für krit. Infrastr. nur Art. 73a–79 (v. a. Meldepflicht)	Wesentl. + wichtige Einrichtungen in 18 Sektoren (Anhänge I und II)
Meldepflicht	Seit 1.4.2025: Meldung an das BACS innert 24 h, Ergänzung innert 14 Tagen	Frühwarnung 24 h, Meldung 72 h, Abschlussbericht nach einem Monat; in DE seit 6.12.2025 (§ 32 BSIG)
Lieferkette	Keine allgemeine Lieferkettenpflicht; meldepflichtig sind aber bestimmte Hard-/Softwareherstellerinnen (Art. 74b Abs. 1 Bst. u)	Lieferkettensicherheit als Mindestmaßnahme (Art. 21 Abs. 2 Buchst. d)
Bußgelder	Busse bis zu CHF 100 000 bei vorsätzlicher Missachtung einer BACS-Verfügung (Art. 74h, seit 1.10.2025)	Richtlinie: Höchstbetrag mind. 10 Mio. € bzw. 2 % (wesentliche) / 7 Mio. € bzw. 1,4 % (wichtige); in DE bis zu 10 Mio. € / 7 Mio. €, Umsatzbezug erst ab 500 Mio. € Umsatz (§ 65 BSIG)
Rahmen	Keine allgemeinen Sicherheitsmaßnahmen für private Betreiberinnen im ISG; sektorale Vorgaben bleiben unberührt	Mindestmaßnahmen (Art. 21 Abs. 2 Buchst. a–j)

Für Schweizer Unternehmen, die sich bereits an ISO/IEC 27001 oder vergleichbaren Rahmenwerken orientieren, ist der Schritt zu einem an NIS2 ausgerichteten Sicherheitsniveau oft kleiner als angenommen – die konzeptionellen Überschneidungen bei Risikomanagement, Incident Response und Zugangskontrolle sind erheblich. Die Erfüllung der Schweizer Meldepflicht allein deckt die NIS2-Anforderungen dagegen nicht ab.

Was EU-Kunden konkret von Schweizer Lieferanten verlangen

In der Praxis richten Einkaufsabteilungen und Compliance-Teams europäischer Unternehmen ihre Lieferantenbewertungen zunehmend an NIS2-Kriterien aus. Schweizer Unternehmen erhalten daher häufig folgende Anfragen:

• Sicherheitsfragebögen (Security Questionnaires) – standardisierte Fragebögen (häufig auf Basis von ISO 27001 oder NIST CSF), die Risikomanagement, Patch-Prozesse, Zugangskontrolle, Backup-Strategien und Incident-Response-Fähigkeiten abfragen.
• Vertragsklauseln zu Meldepflichten – der EU-Kunde verlangt, bei sicherheitsrelevanten Vorfällen innerhalb definierter Fristen informiert zu werden, häufig orientiert an den NIS2-Fristen von 24 bzw. 72 Stunden.
• Nachweise über Zertifizierungen – ISO 27001, SOC 2 Type II oder branchenspezifische Zertifikate werden als Vertrauensanker gefordert.
• Auditrechte – das Recht, die Sicherheitsmaßnahmen des Schweizer Lieferanten durch eigene Prüfer oder beauftragte Auditoren zu überprüfen.
• Erklärungen zur Unterlieferkette – NIS2 stellt zwar auf die unmittelbaren Anbieter einer Einrichtung ab (Art. 21 Abs. 2 Buchst. d), viele EU-Kunden fragen aber auch nach den Zulieferern ihrer Lieferanten, etwa nach eingesetzten Cloud-Diensten oder Subunternehmern.

Unternehmen, die auf diese Anfragen unvorbereitet reagieren, riskieren, Ausschreibungen zu verlieren oder in teure Nachbesserungsrunden kurz vor Vertragsabschluss zu geraten.

Praktische Schritte für Schweizer Unternehmen

Die gute Nachricht: NIS2-Readiness muss nicht heißen, EU-Recht vollständig zu implementieren. Für die meisten Schweizer Unternehmen, die als Lieferanten agieren, reichen gezielte Maßnahmen, um EU-Kundenanforderungen zu erfüllen und gleichzeitig die eigene Sicherheitsreife zu stärken.

Schritt 1 – Betroffenheitsanalyse durchführen
Klären Sie, ob Ihr Unternehmen in eines der drei Szenarien fällt: EU-Niederlassung, Erbringung eines der in Art. 26 Abs. 1 Buchst. b NIS2 genannten digitalen Dienste in der EU oder vertragliche Lieferkettenpflichten. Prüfen Sie parallel, ob Ihre Organisation unter die Schweizer Meldepflicht nach Art. 74b ISG fällt. Diese Analyse ist Grundlage aller weiteren Entscheidungen.

Schritt 2 – Gap-Analyse gegen NIS2-Artikel 21
Artikel 21 Absatz 2 NIS2 nennt zehn Mindestmaßnahmen (Buchstaben a bis j): Konzepte zur Risikoanalyse und Informationssicherheit, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs (Backup, Notfallwiederherstellung, Krisenmanagement), Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Prüfen Sie, welche dieser Bereiche bereits abgedeckt sind und wo Lücken bestehen.

Schritt 3 – Lieferantenvereinbarungen anpassen
Wenn Sie Sub-Lieferanten haben, die Zugang zu EU-Kundendaten oder -systemen haben, sollten auch diese in Ihre Sicherheitsbewertung einbezogen werden. Passen Sie Lieferantenverträge entsprechend an.

Schritt 4 – Dokumentation aufbauen
NIS2-pflichtige EU-Einrichtungen müssen Lieferkettenrisiken in ihrem Risikomanagement berücksichtigen und dies gegenüber der Aufsicht belegen können. Für Sie bedeutet das: Führen Sie Richtlinien, Risikoregister, Incident-Response-Pläne und Schulungsnachweise, die Sie auf Anfrage vorlegen können.

Schritt 5 – ISO 27001 als Brücke nutzen
Eine ISO 27001-Zertifizierung ist kein NIS2-Äquivalent, deckt aber viele Kernbereiche von Artikel 21 NIS2 ab und wird von vielen EU-Kunden als glaubwürdiger Nachweis akzeptiert. Für viele Schweizer KMU ist das ein effizienter Weg zu einem an NIS2 orientierten Sicherheitsniveau.

Schritt 6 – Meldeprozess etablieren
Ist Ihre Organisation nach Art. 74b ISG meldepflichtig, muss ein Cyberangriff innerhalb von 24 Stunden an das BACS gemeldet werden. Unabhängig davon: Definieren Sie intern, wer bei einem Sicherheitsvorfall zuständig ist, wie schnell externe Meldungen erfolgen und welche Eskalationskette gilt. Dieser Prozess wird in EU-Kundenverträgen häufig als Mindestvorgabe gefordert.

Häufig gestellte Fragen

Muss ein Schweizer KMU NIS2 umsetzen, wenn es nur Schweizer Kunden hat?
In der Regel nein. Wer ausschließlich im Schweizer Markt tätig ist und keine EU-Niederlassung hat, unterliegt NIS2 nicht. Unmittelbar relevant wird NIS2 bei einer Niederlassung in der EU oder wenn eines der in Art. 26 Abs. 1 Buchst. b genannten digitalen Angebote (etwa Cloud, Rechenzentrum, MSP/MSSP) in der EU angeboten wird. Mittelbar relevant wird es, sobald NIS2-pflichtige EU-Kunden Sicherheitsanforderungen vertraglich weitergeben. Unabhängig davon kann die Schweizer Meldepflicht nach dem ISG greifen.

Genügt die Einhaltung des Schweizer ISG, um EU-Anforderungen zu erfüllen?
Nein. Für private Betreiberinnen kritischer Infrastrukturen regelt das ISG vor allem die Meldepflicht gegenüber dem BACS, nicht aber umfassende Risikomanagementmaßnahmen wie Artikel 21 NIS2. Für EU-Kundenanforderungen empfiehlt es sich, die Lücken durch eine gezielte NIS2-Gap-Analyse zu schließen.

Wer ist in der Schweiz zuständige Behörde für NIS2-ähnliche Fragen?
Das Bundesamt für Cybersicherheit (BACS), hervorgegangen aus dem früheren NCSC, ist die zentrale Anlaufstelle. Es nimmt Meldungen entgegen – meldepflichtige Organisationen über den Cyber Security Hub (CSH) oder einen alternativen Meldeweg –, veröffentlicht Sicherheitsempfehlungen und unterstützt bei Vorfällen.

Ab welcher Unternehmensgröße ist NIS2 für Schweizer Anbieter relevant?
NIS2 erfasst grundsätzlich Einrichtungen der Anhänge I und II, die mindestens mittlere Unternehmen sind: mindestens 50 Beschäftigte oder mehr als 10 Mio. € Jahresumsatz und zugleich mehr als 10 Mio. € Jahresbilanzsumme. Wesentliche Einrichtungen sind in der Regel Einrichtungen aus Anhang I oberhalb der Schwellen für mittlere Unternehmen (ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und zugleich mehr als 43 Mio. € Bilanzsumme). Einige Anbieter wie DNS-Diensteanbieter und TLD-Namenregister sind unabhängig von ihrer Größe erfasst. Unterhalb der Schwellen sind direkte Pflichten unwahrscheinlich – indirekte Lieferkettenanforderungen können aber auch kleinere Unternehmen treffen, wenn ihre EU-Kunden entsprechend verpflichtet sind.

Gibt es einen bilateralen Rahmen zwischen der Schweiz und der EU für Cybersicherheit?
Eine Anerkennung Schweizer Cybersicherheitsregeln als NIS2-gleichwertig gibt es nach unserem Kenntnisstand (Oktober 2026) nicht. NIS2 sieht dafür auch keinen Mechanismus vor: Artikel 17 erlaubt der EU lediglich internationale Übereinkünfte, die Drittländern die Beteiligung an bestimmten Tätigkeiten der Kooperationsgruppe, des CSIRTs-Netzwerks und von EU-CyCLONe ermöglichen. Einzelne Unternehmen müssen die geforderte Sicherheit daher gegenüber ihren EU-Kunden eigenständig nachweisen.

Quellen

1. Bundesamt für Cybersicherheit (BACS). Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Schweizerische Eidgenossenschaft, abgerufen Oktober 2026.
2. Schweizerische Eidgenossenschaft. Informationssicherheitsgesetz (ISG), SR 128, Stand 1. Oktober 2025. Fedlex – Publikationsplattform des Bundesrechts.
3. Europäisches Parlament und Rat. Richtlinie (EU) 2022/2555 (NIS2). Amtsblatt der Europäischen Union, Dezember 2022.
4. Schweizerischer Bundesrat. Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV), SR 128.51, vom 7. März 2025. Fedlex – Publikationsplattform des Bundesrechts.
5. Bundesministerium der Justiz. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), insbesondere §§ 28, 60 und 65. gesetze-im-internet.de.