Art. 21 Abs. 2 Bst. d der Richtlinie (EU) 2022/2555 (NIS2) verpflichtet die EU-Kundin, nicht den Schweizer Zulieferer. Beim Zulieferer landet die Pflicht als Vertragsnachtrag, weil das Leitungsorgan der Kundin nach Art. 20 Abs. 1 NIS2 persönlich für die Risikomanagementmassnahmen einsteht: In Deutschland haften Geschäftsleitungen dafür nach § 38 Abs. 2 BSIG ihrer Einrichtung, nach den Regeln des jeweiligen Gesellschaftsrechts. Wer diesen Nachtrag aus dem DORA-Anhang von 2025 kopiert, gibt drei Positionen preis, die NIS2 nicht verlangt: das uneingeschränkte Vor-Ort-Audit, eine feste Stundenfrist und die Weiterleistung nach der Kündigung.

Woher der Klauseltext stammt

Die Richtlinie nennt keine einzige Klausel. Art. 21 Abs. 2 Bst. d verlangt Lieferkettensicherheit «einschliesslich sicherheitsbezogener Aspekte der Beziehungen» zu den unmittelbaren Anbietern und Diensteanbietern; Art. 21 Abs. 3 verlangt, die Schwachstellen jedes einzelnen Anbieters und dessen Cybersicherheitspraxis zu berücksichtigen. § 30 Abs. 2 Nr. 4 BSIG, in Kraft seit dem 6. Dezember 2025, übernimmt den Satz nahezu wörtlich.

Einen Klauselkatalog gibt es an genau einer Stelle: Durchführungsverordnung (EU) 2024/2690, Anhang Nr. 5.1.4. Acht Buchstaben, von Cybersicherheitsanforderungen (Bst. a) über die Zuverlässigkeitsüberprüfung der Mitarbeitenden (Bst. c) bis zu den Pflichten bei Vertragskündigung (Bst. h). Nach Art. 1 gilt sie nur für die digitalen Kategorien: Cloud, Rechenzentren, CDN, verwaltete Dienste, Managed Security, DNS, Registrierstellen, Online-Plattformen, Vertrauensdiensteanbieter. Für den Vertrag eines Maschinenbauers ist sie kein anwendbares Recht, aber die Quelle der Vorlage, die er zugeschickt bekommt; die technische Umsetzungsanleitung der ENISA vom Juni 2025 legt dieselben Anforderungen aus: Die Kundin führt ein aktuelles Verzeichnis ihrer unmittelbaren Anbieter, mit Kontaktstelle und Liste der bezogenen IKT-Produkte und -Dienste.

Drei Positionen, die von DORA abweichen

Prüfrecht. Anhang Nr. 5.1.4 Bst. e verlangt «das Recht auf Prüfung oder das Recht auf Erhalt von Prüfberichten». In diesem «oder» steckt die Verhandlungsposition. Art. 30 Abs. 3 Bst. e der Verordnung (EU) 2022/2554 (DORA) kennt sie nicht und verlangt uneingeschränkte Zugangs-, Inspektions- und Auditrechte, auch für die zuständige Behörde (wir haben den Katalog hier aufgeschlüsselt). Unter NIS2 fehlt der Anlass für die Behördenklausel: Die Aufsicht nach Art. 32 NIS2 richtet sich gegen die Einrichtung, und eine eigene Aufsicht über Anbieter, wie DORA sie in Art. 31 ff. für kritische IKT-Drittdienstleister einrichtet, kennt die Richtlinie nicht. Ein Prüfbericht wird einmal erstellt und an alle Kundinnen abgegeben; das Vor-Ort-Audit vervielfältigt sich mit jeder.

Meldefrist. Bst. d verlangt die Meldung «unverzüglich», ohne Stundenzahl. Die Uhr der Kundin läuft dagegen präzise: Art. 23 Abs. 4 NIS2 und § 32 Abs. 1 BSIG verlangen die Erstmeldung binnen 24 Stunden, die Folgemeldung binnen 72 Stunden und die Abschlussmeldung binnen eines Monats, gerechnet ab ihrer Kenntniserlangung. Darum steht in jedem Nachtrag eine Stundenzahl. Verhandelbar ist nicht sie, sondern der Auslöser: Kenntnis des Zulieferers von einem Vorfall, der die Netz- und Informationssysteme der Kundin gefährdet, nicht jede Störung im eigenen Betrieb. Steht der Zulieferer selbst im ISG-Katalog, läuft nach Art. 74h ISG eine zweite Uhr im gleichen Zeitfenster; beide Meldewege gehören in dieselbe Klausel.

Kündigung. Bst. h verlangt nur, dass der Vertrag die Pflichten bei Kündigung regelt, etwa Abruf und Entsorgung der erlangten Informationen. Ein gesetzliches Kündigungsrecht wegen Sicherheitsmängeln fehlt in NIS2, ebenso eine Übergangsphase. DORA hat beides: Art. 28 Abs. 7 zählt die Kündigungsgründe auf, Art. 30 Abs. 3 Bst. f verlangt eine angemessene Übergangsphase, in der auch der gekündigte Anbieter weiterleistet. Wer diese Pflicht in einen NIS2-Vertrag übernimmt, schuldet Leistung ohne gesetzliche Grundlage. Will die Kundin sie trotzdem, ist sie Preisbestandteil.

Zwei Annahmen, die nicht tragen

Erstens: NIS2 gelte für Schweizer Unternehmen nie direkt. Für den Maschinenbauer stimmt das, für den Schweizer Cloud-, Managed-Service- oder Managed-Security-Anbieter nicht. Art. 26 Abs. 1 Bst. b erfasst genau diese Kategorien, und Art. 26 Abs. 3 verlangt von der Einrichtung ohne Niederlassung in der Union, die dort Dienste anbietet, einen Vertreter in einem Mitgliedstaat ihrer Tätigkeit; die Zuständigkeit folgt dem Vertreter. Die Konstruktion entspricht dem EU-Vertreter nach Art. 13 DSA. Für diese Anbieter ist die Benennung das erste Problem, die Klausel das zweite.

Zweitens: der Durchgriff auf die ganze Kette. Art. 21 Abs. 2 Bst. d spricht von unmittelbaren Anbietern, und Anhang Nr. 5.1.4 Bst. g behandelt die Unterauftragsvergabe als Vertragsanforderung, nicht als Pflicht zur Prüfung der Kette. Ein Nachtrag, der Auditrechte bis zum Rechenzentrumsbetreiber des Zulieferers durchzieht, geht über die Richtlinie hinaus.

Warum der Nachtrag jetzt kommt

Der Anlass ist die Registrierung. § 33 BSIG verlangte sie binnen drei Monaten nach Inkrafttreten, also bis zum 6. März 2026. Nach den eigenen Zahlen des BSI waren am 2. April 2026 15’477 Einrichtungen registriert, davon 5’583 besonders wichtige und 9’894 wichtige. Erwartet wurden rund 30’000. Das BSI setzte darum mit Schreiben an die Branchenverbände vom 12. Juni 2026 eine Nachfrist, nach der Darstellung von BDO mit der Erwartung, «dass alle bisher noch nicht registrierten Einrichtungen die Registrierung bis zum 31. Juli 2026 erfolgreich abschliessen» — das ist morgen. Wer sich registriert, arbeitet als Nächstes das Anbieterverzeichnis ab. Der Druck ist bezifferbar: § 65 BSIG droht besonders wichtigen Einrichtungen bis zu 10 Mio. Euro oder, ab 500 Mio. Euro Gesamtumsatz, bis zu 2 Prozent davon; wichtigen Einrichtungen bis zu 7 Mio. Euro oder 1,4 Prozent.

Für die kommende Woche: Nehmen Sie den DORA-Nachtrag von 2025 und streichen Sie für NIS2-Kundinnen die drei Positionen: Prüfbericht statt Vor-Ort-Audit, Meldefrist ab eigener Kenntnis, Übergangsphase nur gegen Vergütung. Bei Kundinnen in Frankreich, Spanien, Irland und den Niederlanden kommt eine vierte hinzu. Diese vier Staaten hat die Kommission am 8. Juli 2026 an den EuGH verwiesen, mit Antrag auf Pauschalbetrag und Zwangsgeld. Die Niederlande haben zwischenzeitlich reagiert: Die Eerste Kamer nahm die Cyberbeveiligingswet bereits am 7. Juli 2026 an, in Kraft ab 15. August 2026 für rund 8’000 Organisationen. Für Kundinnen in Frankreich, Spanien und Irland gilt weiterhin: Solange kein nationales Umsetzungsgesetz gilt, bindet die Richtlinie den privaten Vertragspartner nicht, und die Klauselforderung ist rein kommerziell. Dort gehört eine Anpassungsklausel auf das künftige Umsetzungsrecht in den Vertrag, nicht der deutsche Katalog als Vorleistung.

Bekannt ist der Klauselinhalt für die digitalen Kategorien: acht Buchstaben in Anhang Nr. 5.1.4, mit dem Prüfbericht als zugelassener Alternative zum Audit. Offen ist, ob die noch fehlenden Umsetzungsgesetze diesen Katalog auf Industrie, Energie und Gesundheit ausdehnen oder ob die Kommission dafür Art. 21 Abs. 5 UAbs. 2 NIS2 nutzt, der die technischen Anforderungen auf weitere Einrichtungen erstrecken lässt. Die niederländische Cyberbeveiligingswet liefert die erste datierte Antwort. Lesen Sie deren Lieferkettenbestimmung, bevor Sie den nächsten Nachtrag zeichnen.