Wir denken Cybersicherheit aus der Konfliktperspektive — Investitionen müssen dem Wert der Information entsprechen. Diese Verhandlung führen wir dort, wo sie hingehört: zwischen Vorstand, Recht und Compliance.
Von der strategischen Positionierung über die juristisch belastbare Bewertung bis zur regulatorischen Praxis. Sektor- und grössenagnostisch, vom KMU bis zum Konzern.
Wir arbeiten auf der Ebene, auf der Sicherheitsentscheidungen tatsächlich getroffen werden — zwischen Vorstand, Recht und Compliance. Schutzbedarf, Doktrin und Investitionslogik werden hier nicht delegiert, sondern verhandelt.
Unabhängige Einschätzungen, die vor Versicherern, in der Due Diligence und im Verfahren bestehen. Wir beziffern, was sonst beschworen wird — Stand der Technik, Sorgfaltspflicht, Schadenpotenzial.
Wir übersetzen Richtlinien in betriebliche Realität — ohne Buzzword-Theater, mit prüfbaren Spuren. Stark am Schnittpunkt Schweiz / EU, von der Cyber- bis zur KI-Regulierung.
Von NIS-2 über den Cyber Resilience Act bis zum AI Act formuliert die EU ihren bisher umfassendsten Anspruch an Cybersicherheit — und erstmals auch an den KI-Einsatz. Schweizer Unternehmen sind zwar nicht direkt verpflichtet — über Tochtergesellschaften, EU-Märkte und Lieferketten gilt der Druck dennoch fast lückenlos.
Die EU reguliert Cybersicherheit auf zwei Achsen. Die NIS-2-Richtlinie nimmt Organisationen in die Pflicht: 18 Sektoren, Risikomanagement, Lieferketten-Sorgfalt, 24-Stunden-Meldepflicht — und die Geschäftsleitung steht persönlich in der Verantwortung.
Der Cyber Resilience Act adressiert Produkte — alle „Produkte mit digitalen Elementen" im EU-Binnenmarkt, vom IoT-Sensor bis zur Standalone-Software. Security by Design wird Pflicht, die CE-Kennzeichnung schliesst künftig Cybersicherheit ein, und die Verantwortung endet nicht mit dem Verkauf.
Mit dem AI Act reguliert die EU erstmals den KI-Einsatz umfassend — risikobasiert, von verbotenen Praktiken über Hochrisiko-Systeme bis zu Transparenzpflichten. Die Verordnung wirkt über die EU hinaus: Sie greift auch, wenn ein System ausserhalb der EU betrieben wird, sein Ergebnis aber in der EU verwendet wird. Schweizer Unternehmen sind damit schneller im Geltungsbereich, als vielen bewusst ist.
Das Recht ist dabei nur die halbe Rechnung. Wer KI einführt, schafft neue Angriffs- und Abflussflächen: unkontrollierte KI-Nutzung durch Mitarbeitende, Geschäftsgeheimnisse in fremden Modellen, manipulierbare Systeme. Und wo Personendaten im Spiel sind, gelten revDSG und DSGVO vollumfänglich — Technologieneutralität schützt nicht vor Aufsicht.
Die Schweiz ist nicht EU-Mitglied — NIS-2, CRA und AI Act gelten hier nicht direkt. Trotzdem ist es eine Illusion, Schweizer Unternehmen seien nicht betroffen. Die Wirkung läuft über drei Kanäle, und sie ist real.
Eine Niederlassung im EU-Raum unterliegt direkt dem dortigen EU-Recht — mit allen Meldepflichten und Bussenrahmen.
Wer aus der Schweiz digitale Dienste oder KI-Systeme in der EU anbietet, fällt häufig unmittelbar in den Geltungsbereich — der AI Act greift schon, wenn der Output in der EU verwendet wird.
EU-Kunden sind verpflichtet, ihre Zulieferer zu prüfen. EU-Pflichten werden so „nach hinten" durchgereicht — mit Verträgen statt Gesetzen.
Parallel verschärft die Schweiz ihren eigenen Rahmen. Das Informationssicherheitsgesetz (ISG) ist seit Januar 2024 in Kraft; seit dem 1. April 2025 gilt eine 24-Stunden-Meldepflicht für Betreiberinnen kritischer Infrastrukturen an das Bundesamt für Cybersicherheit (BACS). Bei Versäumnissen drohen Bussen bis CHF 100'000. Eine Erweiterung des Geltungsbereichs in Richtung der EU-Logik ist absehbar.
Die regulatorische Welle rollt nicht 2027 an — sie ist seit 2024 in Bewegung. Die folgenden Daten sind die Eckpfeiler. Vorbereitung beginnt mehrere Quartale früher.
Kein Sales-Pitch.
15 Minuten Klarheit darüber, was Sie wirklich schützen müssen.
Schildern Sie uns kurz Ihre Lage. Wir melden uns binnen 24 Stunden mit einer ehrlichen Einschätzung — ohne Verpflichtung, ohne Mailingliste.
Ihre Anfrage wurde in Ihrem E-Mail-Programm geöffnet — bitte schicken Sie sie dort ab. Falls kein Programm erscheint, schreiben Sie direkt an contact@clypeus.ch.