Was Schweizer nun beachten müssen hinsichtlich Informationssicherheit und Cyber Security infolge der gesetzlichen Vorschriften in der EU

Die wichtigsten gesetzlichen Vorgaben der EU, die Schweizer Unternehmen direkt oder indirekt betreffen, sind:

• NIS2-Richtlinie (Network and Information Security Directive):
  • Verpflichtet Unternehmen kritischer Infrastrukturen (z. B. Energie, Gesundheit, Banken, IT-Dienstleister) zu einem hohen Maß an Cybersicherheit.
  • Schweizer Unternehmen, die in der EU tätig sind oder dort Dienstleistungen anbieten, müssen die Anforderungen an IT-Notfallmanagement, Risikomanagement und Vorfallsberichterstattung erfüllen.
• DSGVO (Datenschutz-Grundverordnung):
  • Regelt den Schutz personenbezogener Daten von EU-Bürgern.
  • Schweizer Unternehmen, die Daten von EU-Bürgern verarbeiten, müssen entsprechende Sicherheitsvorkehrungen wie IT-Notfallpläne und Meldeverfahren implementieren.
• Cyber Resilience Act (CRA):
  • Ab 2025 verpflichtend für Anbieter digitaler Produkte und Software.
  • Erfordert die Sicherstellung von Cybersicherheitsmaßnahmen über den gesamten Lebenszyklus von Produkten.

Erfüllung von Compliance-Vorgaben:

• Schweizer Unternehmen müssen ihre IT-Notfallmanagementprozesse an EU-Standards wie NIS2 und DSGVO anpassen, um rechtliche Konsequenzen und Handelshindernisse zu vermeiden.
• Beispielsweise müssen Vorfälle innerhalb strenger Fristen (z. B. 72 Stunden) gemeldet werden.

Erhöhte Anforderungen an IT-Sicherheitsmassnahmen:

• Unternehmen müssen technische und organisatorische Massnahmen zur Abwehr von Cyberrisiken treffen. Dazu gehören:
  • Regelmässige IT-Notfallübungen.
  • Implementierung eines Incident Response Plans.
  • Kontinuierliche Risikobewertung und Sicherheitsprüfungen.

Meldepflicht und Zusammenarbeit mit EU-Behörden:

• Unternehmen, die Dienstleistungen in der EU anbieten, müssen mit Behörden zusammenarbeiten und Vorfälle über Meldeportale melden.

Indirekte Auswirkungen durch Geschäftspartner:

• Schweizer Unternehmen, die Teil einer Lieferkette mit EU-Unternehmen sind, müssen häufig NIS2-konforme Sicherheitsmassnahmen nachweisen, da Geschäftspartner dies fordern.

Einrichtung eines IT-Notfallmanagements:

• Aufbau eines effektiven Systems zur Erkennung, Analyse und Behebung von IT-Sicherheitsvorfällen.
• Erstellung und regelmässige Überprüfung von IT-Notfallplänen (z. B. nach ISO 27001/27035).

Meldeprozesse etablieren:

• Sicherstellen, dass Vorfälle schnell erkannt und innerhalb der vorgeschriebenen Fristen gemeldet werden können.

Zusammenarbeit mit Partnern:

• Sicherstellen, dass externe Dienstleister und Partner in der EU ebenfalls den Standards entsprechen.

Investition in Schulungen:

• Teams für IT-Sicherheit und IT-Notfallmanagement sollten regelmässig geschult und auf neue Bedrohungen vorbereitet werden.

Technologische Anpassungen:

• Einführung von Monitoring-Systemen, um Risiken frühzeitig zu erkennen.
• Nutzung von Verschlüsselung, Zugangskontrollen und Backup-Strategien zur Datensicherung.