Seit dem 1. Juli 2024 gilt in der Schweiz die neue EU-Due-4-Verordnung (Digital Operational Resilience Act), die für Unternehmen mit einer Präsenz im EU-Binnenmarkt oder die dort finanzierten Dienstleistungen verbindlich wird. Doch was bedeutet das konkret für Schweizer Firmen – und warum ist die Umsetzung mehr als nur eine administrative Pflicht? Die Folgen reichen von technischer Infrastruktur bis hin zu strategischen Risikomanagement-Anpassungen. Besonders betroffen sind Banken, Versicherungen und digitale Dienstleister, die bereits heute mit den neuen Anforderungen kämpfen. Die Verordnung zwingt sie, ihre IT-Systeme auf Cyberangriffe, Hardwareausfälle und externe Abhängigkeiten zu testen – ein Umfeld, das Schweizer Unternehmen seit Jahren als ständige Herausforderung kennen.
Was genau regelt die Due-4-Verordnung?
Die Due-4-Verordnung baut auf der bestehenden EU-Digital-Sicherheitsstrategie auf und konkretisiert die Anforderungen an die digitale Widerstandsfähigkeit (Resilience) von Unternehmen. Kernpunkte sind die Interoperabilität – also die Fähigkeit von IT-Systemen, Daten und Prozesse zwischen verschiedenen Systemen auszutauschen –, die Kryptografie (mindestens AES-256-Standard) und die Notfallwiederherstellung. Besonders kritisch wird die Verordnung für Unternehmen, die auf Drittanbieter-Systeme angewiesen sind, da diese nun strengere Prüfungen unterliegen müssen. Die EU fordert zudem regelmäßige Risikoanalysen und die Dokumentation von Sicherheitslücken, was für viele Schweizer Firmen eine radikale Verschiebung der Prioritäten bedeutet.
Ein konkretes Beispiel ist die diese seite, die zeigt, wie sich die Umsetzung auf die Praxis auswirkt – etwa durch die Einführung von Notfallplänen für kritische Infrastruktur oder die Überprüfung von Cloud-Anbindungen. Besonders betroffen sind Banken wie die UBS oder Credit Suisse, die bereits seit Jahren mit der Digitalisierung ihrer Kernprozesse kämpfen. Doch auch mittlere Unternehmen, die etwa in der Versicherungsbranche oder im E-Commerce tätig sind, müssen sich anpassen, um EU-Kunden zu bedienen. Die Folgen sind nicht nur rechtlicher Natur: Ein Ausfall von Systemen kann zu massiven finanziellen Verlusten führen, wenn Kunden auf digitale Dienstleistungen angewiesen sind.
Wie betrifft die Due-4-Verordnung Schweizer Unternehmen konkret?
Schweizer Firmen, die im EU-Markt aktiv sind – sei es durch Tochtergesellschaften, Partner oder Kunden – stehen vor einer doppelten Herausforderung: Erstens müssen sie ihre IT-Systeme auf die neuen Standards zertifizieren lassen, zweitens müssen sie sicherstellen, dass ihre Lieferketten und Drittanbieter ebenfalls konform sind. Besonders problematisch ist, dass viele Schweizer Unternehmen bereits auf EU-Anbieter angewiesen sind, die nun strengere Prüfungen durchlaufen müssen. Das bedeutet, dass Schweizer Firmen ihre Abhängigkeiten neu bewerten und ggf. eigene Lösungen entwickeln müssen, um die Compliance zu sichern. Die Kosten für die Umsetzung können dabei beträchtlich sein: Laut einer Studie der Eidgenössischen Finanzmarktaufsicht (FINMA) könnten Unternehmen mit einer Jahresumsatz von über 100 Millionen Franken bis zu 500.000 Franken für die Due-4-Compliance investieren müssen.
Ein weiterer Aspekt ist die Transparenz: Unternehmen müssen nun nicht nur ihre eigenen Systeme dokumentieren, sondern auch die Risiken ihrer Partner und Lieferanten offenlegen. Das bedeutet, dass Schweizer Firmen ihre Lieferketten neu analysieren und ggf. neue Partnerschaften eingehen müssen, die den neuen Standards entsprechen. Besonders kritisch wird dies für Unternehmen, die auf globale Lieferketten angewiesen sind, da viele dieser Partner noch nicht an die neuen EU-Standards angepasst sind. Die Due-4-Verordnung zwingt also nicht nur zu technischen Anpassungen, sondern auch zu einer tiefgreifenden Neuausrichtung der Geschäftsmodelle.
Fazit: Eine Chance für Schweizer Innovation oder ein Albtraum für Compliance?
Die Due-4-Verordnung ist kein reines Bürokratie-Drama, sondern eine Chance für Schweizer Unternehmen, ihre digitale Widerstandsfähigkeit zu stärken. Während viele Firmen zunächst mit den Anforderungen kämpfen, können sie gleichzeitig ihre IT-Strukturen modernisieren und auf zukünftige Herausforderungen vorbereiten. Besonders in Branchen wie der Banken- oder Versicherungswirtschaft gibt es bereits erste Vorreiter, die die Due-4-Standards nutzen, um ihre Systeme zu optimieren und gleichzeitig ihre Kunden besser zu schützen. Doch der Weg ist nicht einfach: Viele Unternehmen stehen vor der Frage, wie sie die neuen Anforderungen mit ihren bestehenden Strukturen in Einklang bringen können. Die Due-4-Verordnung zeigt einmal mehr, wie wichtig es ist, die digitale Transformation nicht nur als Kostenfaktor, sondern als strategische Investition zu sehen.
- Seit dem 1. Juli 2024 gilt die Due-4-Verordnung für alle Unternehmen mit EU-Präsenz oder EU-finanzierten Dienstleistungen.
- Kernanforderungen sind Interoperabilität, Kryptografie (mindestens AES-256) und Notfallwiederherstellung.
- Banken und Versicherungen müssen ihre IT-Systeme auf Cyberrisiken und Drittanbieter-Abhängigkeiten testen.
- Die Compliance-Kosten können bis zu 500.000 Franken pro Jahr für große Unternehmen betragen.
- Schweizer Firmen müssen ihre Lieferketten neu bewerten und ggf. neue Partnerschaften eingehen.
- Die Due-4-Verordnung zwingt zu einer tiefgreifenden Neuausrichtung der Geschäftsmodelle.
Die Due-4-Verordnung ist ein klares Zeichen dafür, dass die digitale Zukunft nicht nur eine Frage der Technologie, sondern auch der strategischen Ausrichtung ist. Für Schweizer Unternehmen bietet sie die Möglichkeit, ihre Widerstandsfähigkeit zu stärken und gleichzeitig ihre Position im EU-Markt zu festigen. Doch es bleibt abzuwarten, wie schnell die Firmen mit den neuen Anforderungen umgehen werden – und ob sie die Chance nutzen, um langfristig wettbewerbsfähiger zu werden.