EU Cyber Solidarity Act 2026:
Was KMU Schweiz wissen müssen

Kurz vorweg: Der CSA (Verordnung 2025/38) ist seit 4. Februar 2025 in Kraft und ergänzt NIS2, CRA und DORA um eine EU-weite Krisenarchitektur. Drei Säulen: European Cybersecurity Alert System (Cyber Hubs), Cyber Emergency Mechanism mit EU Cybersecurity Reserve, Incident Review Mechanism. Für Schweizer KMU formal nicht bindend, aber wirksam über Lieferkette, Vertragsklauseln und Anbietermärkte. Praktische Konsequenz: Incident-Response-Plan aktualisieren, Trusted-Provider identifizieren, BACS-Meldepflicht (24h) integrieren, jährliche Übungen.

• Direkte Anwendbarkeit: Keine. Die Schweiz ist nicht EU-Mitglied; CSA-Verordnungen gelten nicht unmittelbar in CH.
• Indirekte Wirkung über Vertragsklauseln: EU-Kunden (DE, AT, FR) verlangen zunehmend CSA-/NIS2-konforme Incident-Response-Pläne von ihren CH-Lieferanten.
• Trusted-Provider-Markt: Reserve-Anbieter (z. B. grosse europäische IR-Firmen, MSSPs) gelten als qualifizierte Wahl – CH-KMU können sie vorvertraglich binden.
• BACS-Meldepflicht (24h): Seit 1. April 2025 für Betreiber kritischer Infrastruktur in CH. Parallel zur NIS2-Meldepflicht 24h für EU-Geschäft – Doppel-Compliance möglich.
• IoC-Ströme: Über BACS, ISACs und kommerzielle Threat-Intel-Anbieter profitieren CH-Unternehmen indirekt von den EU Cyber Hubs – Frühwarnung wird besser.
• Lieferketten-Mapping: Wer EU-Kunden hat, sollte die eigene Sub-Lieferanten-Kette dokumentieren (Cloud-Anbieter, Software-Lieferanten, MSPs) – das wird vertraglich verlangt.
• CRA-Bezug: Hardware-/Software-Hersteller, die in die EU verkaufen, brauchen ab Dezember 2027 CRA-Konformität – CSA verstärkt das Reaktions-Ökosystem dazu.
• Versicherung: Cyber-Policen referenzieren zunehmend Trusted-Provider-Bindung als Voraussetzung für volle Deckung – Pre-Contracting wird Standard.
• Schweizer Behördenkooperation: BACS, NCSC-CH und ENISA arbeiten bilateral; CH ist beim European Cyber Crisis Liaison Organisation Network (EU-CyCLONe) als Beobachter dabei.
• Pragmatischer Rat: CSA nicht als „EU-Theater" ignorieren – die Wirkung kommt indirekt, aber sicher über Verträge und Anbieterökosystem.

• CSA mit CRA verwechseln: CRA regelt Produkte (Hard-/Software), CSA regelt Krisenreaktion (Reserve, Hubs). Beide ergänzen sich, ersetzen sich aber nicht.
• CSA ignorieren weil „Schweiz nicht EU": Indirekte Wirkung über EU-Kunden-Verträge und Lieferantenmarkt ist real – wer ignoriert, verliert Aufträge.
• BACS-Meldepflicht (24h) übersehen: Seit 1. April 2025 für Betreiber kritischer Infrastruktur in CH bindend – unabhängig vom CSA. Verstoss kann mit Busse geahndet werden.
• Trusted Provider erst im Krisenfall suchen: Wer im Vorfall erst Verträge verhandelt, verliert kritische Stunden – Retainer-Vertrag vor dem Ernstfall ist Pflicht.
• NIS2-Pflicht der EU-Kunden auf eigene Compliance reflektieren: CH-Lieferanten werden vertraglich in NIS2-Lieferkettenanforderungen eingebunden – Klauseln aktiv prüfen.
• IRP nur auf Papier: Ein nie geübter Plan ist im Krisenfall wertlos. Mindestens jährliche Tabletop-Übung mit Geschäftsleitung ist Standard.
• Threat-Intel-Feeds ohne Konsumenten: IoC-Ströme nützen nur, wenn SIEM/SOC sie auswertet und Alerts generiert. Reines „Abonnieren" ist Theater.
• Cyber-Versicherung als Allheilmittel: Policen haben Ausschlüsse (staatliche Akteure, mangelnde Sorgfalt). Versicherung ersetzt keinen Plan – sie ergänzt ihn.
• Kommunikationsplan vergessen: Im Krisenfall sind Kundenkommunikation, Medien und Behördenmeldung gleich wichtig wie technische Eindämmung.
• CSA-Reserve-Mythos: Die Reserve hilft Staaten und kritische Institutionen, nicht jedes KMU. Eigener Retainer mit kommerziellem IR-Anbieter bleibt nötig.