Die Schweiz ist an die Cyber-Anforderungen aus der EU-NIS2-Richtlinie nicht gebunden. Und dennoch: Trotz traditioneller regulatorischer Eigenständigkeit nähert sich die Schweiz den EU-Standards zunehmend an. Dies dürfte vor allem zwei Treiber haben.

Zum einen drängt die zunehmende Bedrohungslage die Schweiz zur Revision der Cyber-Regulierung und zu engerer Zusammenarbeit mit der EU. Zum anderen, und vermutlich entscheidender, ist es schlicht die Marktrealität: Wer 70% seiner Importe aus der EU bezieht und die Hälfte seiner Exporte dorthin verkauft, kann sich einen regulatorischen Alleingang kaum leisten.

Diese EU-Regulatorik bleibt für die Schweiz nicht folgenlos:

Nationalen NIS2-Umsetzungsgesetze betreffen Tochtergesellschaften Schweizer Unternehmen.

Schweizer Unternehmen der digitalen Infrastruktur fallen teils direkt unter NIS2 (Territorialität)

NIS2 über die Lieferkette von EU-Unternehmen zu ihren Schweizer Dienstleistern.

Da die EU der grösste Handelspartner der Schweiz ist, übernehmen Schweizer Unternehmen oft aus Eigeninteresse an reibungsloser wirtschaftlicher Zusammenarbeit und einem einheitlichen Compliance-Modell ähnliche Standards wie ihre EU-Kunden – unabhängig von einer rechtlichen Pflicht. De facto werden also bereits Teile der Schweizer Wirtschaft passiv an EU-Vorgaben gebunden.

Es fällt auf, dass es im Cyber- und Resilienzbereich bislang vor allem der wirtschaftliche – und weniger der sicherheitspolitische – Integrationswille ist, der regulatorische Eigenständigkeit und Neutralität der Schweiz zunehmend überwindet und sie in die europäische Sicherheitsarchitektur einbindet.