Risiken & Compliance
NIS2 in Frankreich noch nicht umgesetzt, ein eigenes Schweizer Regime, ein AI Act mit neu gezogenen Fristen, Kunden, die bereits Nachweise verlangen. Compliance ist keine Juristensache mehr: Sie ist eine Führungsentscheidung.
Was wir beobachten
≈ 15 000
Einrichtungen, die in Frankreich im NIS2-Anwendungsbereich erwartet werden, gegenüber einigen Hundert heute
Europäische Kommission; Schätzung
24 h
Frist zur Meldung eines Cyberangriffs an das BACS für kritische Infrastrukturen in der Schweiz, seit 1. April 2025
BACS, bacs.admin.ch
35 Mio. € · 7 %
Bussenobergrenze des AI Act für verbotene Praktiken; 15 Mio. € oder 3 % für die meisten übrigen Pflichten
Verordnung (EU) 2024/1689, Art. 99
Frankreich. NIS2 soll die Zahl der regulierten Einrichtungen von einigen Hundert auf rund 15 000 erhöhen, in 18 Sektoren, ab 50 Beschäftigten oder 10 Mio. €. Das Umsetzungsgesetz ist nicht verabschiedet; die Kommission hat den Gerichtshof am 8. Juli 2026 angerufen. Auf das Gesetz zu warten ist eine Wette, kein Plan.
Schweiz. NIS2 gilt nicht direkt. Seit dem 1. April 2025 melden Betreiber kritischer Infrastrukturen jeden Cyberangriff innerhalb von 24 Stunden dem BACS, mit einer Busse von bis zu 100 000 CHF seit dem 1. Oktober 2025. Sechs Monate nach Inkrafttreten waren 164 Meldungen eingegangen. Ausserhalb kritischer Infrastrukturen besteht keine gesetzliche Pflicht, aber Ihre EU-Kunden können sie Ihnen vertraglich auferlegen.
KI. Artikel 50 des AI Act gilt seit dem 2. August 2026. Die Hochrisiko-Pflichten des Anhangs III sind durch die Verordnung (EU) 2026/1744 auf den 2. Dezember 2027 verschoben. Die Bussen erreichen 35 Mio. € oder 7 % des weltweiten Umsatzes für verbotene Praktiken, 15 Mio. € oder 3 % für die meisten übrigen Pflichten.
Was das ändert
Drei Kalender, drei Rechtsordnungen. Die richtige Frage lautet nicht «Sind wir konform?», sondern «Wozu sind wir verpflichtet, gegenüber wem, bis wann?».
Was Sie erhalten
Einen klaren Blick darauf, was gilt, was vertraglich verlangt wird und was warten kann.
Nachweise, die Sie einem Kunden übergeben, ohne sie neu zusammenzustellen.
Einen namentlich benannten Verantwortlichen für jede Pflicht.
Sechs Situationen
01« Ein Grosskunde schickt uns einen vierzigseitigen Sicherheitsfragebogen. »
Entscheidung
Welches Nachweisniveau liefern, nach welchem Referenzrahmen.
Ergebnis
Nachweisdossier und Plan zur Schliessung der Lücken, wiederverwendbar für die nächsten Kunden.
Einige Wochen
02« Wir wissen nicht, ob wir im Anwendungsbereich sind. »
Entscheidung
Was für uns gilt, was uns auferlegt wird, was warten kann.
Ergebnis
Expositionskarte mit drei Spuren.
Kurzmandat
03« Unsere Teams nutzen KI ohne Regeln. »
Entscheidung
Welche Werkzeuge, mit welchen Daten, unter wessen Verantwortung.
Ergebnis
Nutzungsrichtlinie, Systeminventar, Einstufung gemäss AI Act.
Kurzmandat
04« Wir hatten einen Vorfall. »
Entscheidung
Wen informieren (Behörde, Kunden, Versicherer), innerhalb welcher Fristen.
Ergebnis
Dokumentiertes Vorfalldossier und Verbesserungsplan, mit Incident-Response-Experten aus dem Netzwerk.
Auf Anfrage
05« Ein Investor oder ein Käufer wird uns prüfen. »
Entscheidung
Was vorher zu bereinigen ist, was man offenlegt.
Ergebnis
Compliance-Dossier, bereit für den Datenraum.
Einige Wochen
06« Wir verkaufen aus der Schweiz in die EU (oder umgekehrt). »
Entscheidung
Vertreter, DSB, Datenübermittlungen.
Ergebnis
Matrix der Rechtsordnungen (DSG / DSGVO) und zugehörige Pflichten.
Kurzmandat
Unsere Leistungen
Unser Rahmenwerk
Jeder Erlass wird einer der drei Spuren zugeordnet, mit Frist, internem Verantwortlichen und festgestellter Lücke.
Verpflichtend
Was das Gesetz Ihnen heute auferlegt, je nach Rolle: wesentliche oder wichtige Einrichtung, KI-Betreiber oder -Anbieter, Verantwortlicher für die Datenbearbeitung.
Vertraglich
Was Ihre Kunden, Versicherer und Investoren verlangen, auch ohne Gesetz.
Zu beobachten
Bekannte Frist, derzeit nicht anwendbar.
Ergebnis
Eine einseitige Zusammenfassung, detaillierte Anhänge je Erlass.
Nach Grösse
KMU · 10 bis 50 Mio. €
Selten ein CISO oder DSB in Vollzeit. Wir zielen auf einen Sockel belastbarer Kontrollen, nicht auf ein vollständiges Managementsystem, und ziehen ausgelagerte Funktionen aus dem Netzwerk bei.
Mid-Cap · ab 50 Mio. €
Eine Risikofunktion existiert, mehrere Referenzrahmen überlagern sich. Wir konsolidieren sie in einem einzigen Plan und bereiten das interne Audit vor.
Nach Branche
Finance & Capital
DORA, anwendbar seit 17. Januar 2025: kritische IKT-Drittanbieter, Resilienztests, Anbieterregister. In der Schweiz FINMA-Anforderungen an operationelle Risiken und Resilienz (Rundschreiben 2023/1).
Health & Life Sciences
HDS in Frankreich, MDR/IVDR, EHDS. In ein Medizinprodukt eingebettete KI: Hochrisiko nach Anhang I, Frist 2. August 2028.
Industrie, Energie & Infrastruktur
NIS2 (Energie, Wasser, Verkehr, Fertigung); in der Schweiz BACS-Meldung innerhalb von 24 h; IT/OT-Segmentierung.
Handel, Dienstleistungen & Kundenerlebnis
DSGVO und DSG (Kundenbindung, Profiling); Artikel 50 (Konversationsagenten, generierte Inhalte); Werkzeuge zur Bewerbervorauswahl: Hochrisiko, Anhang III, 2. Dezember 2027.
Tech, Innovation & öffentlicher Sektor
Ihre NIS2- und DORA-Kunden verlangen Nachweise von Ihnen; Cyber Resilience Act (Meldepflichten ab September 2026, Produktanforderungen im Dezember 2027); Softwareanbieter in kritischen Infrastrukturen: prüfen, ob das ISG Sie betrifft.
Typisches Szenario · illustrativ
Schweizer Softwareanbieter mit 25 Mio. € Umsatz, Kunden im Energiesektor in Deutschland und Frankreich. Sein grösster Kunde verlangt vor der Verlängerung Nachweise zur Sicherheit der Lieferkette. Innerhalb von drei Wochen: Anwendungsbereich geklärt (verpflichtend für den Kunden, vertraglich für den Anbieter), acht Lücken priorisiert, Nachweise wiederverwendbar für die drei anderen Kunden.
Was ein KI-Werkzeug nicht für Sie tun wird
Ein Assistent fasst NIS2 zusammen. Er trägt Ihr Dossier nicht vor Ihren Kunden, wählt nicht die Lücken aus, die Sie akzeptieren, und verantwortet nicht die Qualität des Nachweises. Aegryn verpflichtet einen namentlich benannten Experten, der für seinen Bereich einsteht.
Unsere Begleitung ersetzt keine Rechtsberatung; wir arbeiten mit Partnerkanzleien.
Umsetzen
Den Compliance-Plan ausrollen: Richtlinien, Verfahren und Register.
Kontrollen und eine gegenüber Kunden belastbare Nachweisakte einrichten.
Teams und Geschäftsleitungen zu den neuen Anforderungen schulen.
Die Behebung steuern, bis die Abweichungen geschlossen sind.
Dreissig Minuten mit einem namentlich benannten Experten aus unserem Netzwerk, verantwortlich für seinen Bereich. Keine Verpflichtung in dieser Phase; die Konditionen folgen nach dem Erstgespräch.
Ihre Exposition bewertenNewsletter · Built to Last
Marktanalysen, Lebenszyklen von Unternehmen, Erfahrungen aus der Praxis. Ein Brief, keine Akquise.
