Cybersicherheitsgesetz Liechtenstein und NIS2: Pflichten für Unternehmen und Hosting-Anbieter

Stand: 30.09.2026 · Keine Rechtsberatung

Kurzantwort

  1. Das Cyber-Sicherheitsgesetz (CSG, LR 784.13) vom 5. Dezember 2024 setzt in Liechtenstein die NIS-2-Richtlinie (EU) 2022/2555 um und ist am 1. Februar 2025 in Kraft getreten.
  2. Es gilt grundsätzlich für mittelgrosse und grosse Einrichtungen der Sektoren in den Anhängen 1 und 2, die ihre Dienste in Liechtenstein erbringen; bei einzelnen Diensten gilt es unabhängig von der Grösse.
  3. Betroffene Einrichtungen müssen Risikomanagementmassnahmen umsetzen, erhebliche Sicherheitsvorfälle melden (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden) und sich registrieren.
  4. Zuständig ist die Stabsstelle Cyber-Sicherheit. Bei Verstössen drohen Bussen von bis zu 10 Mio. Franken (wesentliche) bzw. 7 Mio. Franken (wichtige Einrichtungen).
  5. Ob Ihr Unternehmen oder Ihr Hosting-Anbieter erfasst ist, klären Sie anhand der Anhänge des Gesetzes und bei Bedarf mit der Stabsstelle. Ein Hosting-Anbieter kann diese Prüfung nicht für Sie übernehmen.

Was das CSG regelt und wen es betrifft

Nach Art. 1 Abs. 1 CSG erfasst das Gesetz öffentliche und private Einrichtungen der Anhänge 1 und 2, die nach dem Personen- und Gesellschaftsrecht als mittelgrosse oder grosse Gesellschaften gelten und ihre Dienste in Liechtenstein erbringen. Art. 1 Abs. 2 nennt Fälle, in denen die Grösse keine Rolle spielt, etwa Anbieter öffentlicher elektronischer Kommunikationsnetze, Vertrauensdiensteanbieter sowie TLD-Namenregister und DNS-Diensteanbieter.

Anhang 1 führt unter „Digitale Infrastruktur“ unter anderem Cloud-Computing-Dienste und Rechenzentrumsdienste auf, unter „Verwaltung von IKT-Diensten“ verwaltete Dienste und verwaltete Sicherheitsdienste. Das Gesetz unterscheidet wesentliche und wichtige Einrichtungen (Art. 3 Abs. 2). Die zuständige Stelle ist die Stabsstelle Cyber-Sicherheit.

Die Pflichten im Überblick

Art. 4 CSG

Risikomanagementmassnahmen: geeignete und verhältnismässige technische, operative und organisatorische Massnahmen. Die Liste in Abs. 3 nennt unter anderem Bewältigung von Sicherheitsvorfällen, Backup-Management und Wiederherstellung, Sicherheit der Lieferkette, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.

Art. 5 CSG

Verantwortung der Leitungsorgane: Sie billigen die Massnahmen, überwachen deren Umsetzung und nehmen an Schulungen teil.

Art. 6 CSG

Meldepflichten bei erheblichen Sicherheitsvorfällen: Frühwarnung innert 24 Stunden, Meldung innert 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung. Empfänger der Dienste sind bei Bedarf unverzüglich zu informieren.

Art. 7 CSG

Registrierung bei der Stabsstelle Cyber-Sicherheit, unter anderem mit Sektor, Kontaktdaten und IP-Adressbereichen; Änderungen sind innert zwei Wochen zu melden.

Art. 23 CSG

Bussen: bis zu 10 Mio. Franken oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. bis zu 7 Mio. Franken oder 1,4 % (wichtige Einrichtungen), je nachdem, welcher Betrag höher ist.

Quelle: Cyber-Sicherheitsgesetz, LR 784.13, gesetze.li. Das Gesetz wurde durch ein Gesetz vom 13. Juni 2025 abgeändert; massgeblich ist die jeweils aktuelle Fassung.

Was das für Kunden von Hosting-Anbietern bedeutet

Art. 4 Abs. 3 Bst. d und Abs. 4 CSG verlangen von erfassten Einrichtungen, die Sicherheit der Lieferkette zu berücksichtigen, einschliesslich ihrer unmittelbaren Anbieter. Praktisch heisst das: Wer einen Server mietet, sollte wissen, wo die Daten liegen, wie Backups laufen, wer Zugriff hat und wie Vorfälle kommuniziert werden. Die Pflichten nach dem CSG bleiben bei der Einrichtung. Die 4hosting-Rechenzentren stehen in Frankfurt, nicht in Liechtenstein.

Zwei Szenarien

Szenario A: Mittelgrosses Unternehmen mit eigenem Online-Shop

Illustratives Beispiel. Ein Unternehmen prüft zuerst, ob seine Tätigkeit in Anhang 1 oder 2 des CSG genannt ist und ob es die Grössenschwelle erreicht. Ist das der Fall, betrifft Art. 4 auch den Shop-Server: Backups, Zugriffskontrolle, Patch-Stand und ein Plan für Sicherheitsvorfälle.

Szenario B: Software-Anbieter, der Kunden aus regulierten Sektoren bedient

Illustratives Beispiel. Selbst wenn der Anbieter nicht direkt erfasst ist, fragen seine Kunden im Rahmen der Lieferkettensicherheit (Art. 4 Abs. 3 Bst. d) nach Massnahmen. Er sollte Hosting, Backups und Notfallprozesse dokumentieren können.

Häufige Fehler

  • Annehmen, NIS2 betreffe nur Grosskonzerne: Art. 1 Abs. 2 CSG nennt Dienste, bei denen die Grösse keine Rolle spielt.
  • Die Lieferkette vergessen: Art. 4 Abs. 3 Bst. d verlangt, die Sicherheit gegenüber unmittelbaren Anbietern zu berücksichtigen, etwa Hosting-Anbietern.
  • Backups nie testen: Art. 4 Abs. 3 Bst. c nennt Backup-Management und Wiederherstellung ausdrücklich.
  • Die Registrierung aufschieben: Art. 7 verlangt sie unverzüglich, Art. 23 sieht bei Nichtbefolgung Bussen vor.

Wie 4hosting Sie unterstützt

4hosting ist kein Zertifizierer und unterschreibt keine rechtliche Compliance für Sie. Wir halten keine NIS2-, ISO-, SOC-2- oder ACN-Zertifizierung; bei ISO 27001 sprechen wir von Ausrichtung, nicht von Zertifikat. Wir liefern Infrastruktur und Betriebsstunden:

  • Server in EU-Rechenzentren (Frankfurt), DDoS-Schutz auf Netzebene (L3/L4) inklusive.
  • Jedes Abonnement enthält monatliche DevOps-, CyberSecurity- und Programmierstunden; bei cPanel ab dem Plan Advanced, die Basispläne enthalten keine.
  • Dienstleistungen wie Hardening, Backup-Konzepte, WAF, SIEM und Incident Response, abrufbar über das Kundenpanel.
  • Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und Standardvertragsklauseln für Datenübermittlungen.

FAQ

Steht das Cybersicherheitsgesetz in Liechtenstein direkt im Gesetzesblatt?

Ja. Das Cyber-Sicherheitsgesetz (CSG) vom 5. Dezember 2024 ist als LGBl. 2025 Nr. 111 am 29. Januar 2025 kundgemacht worden und trägt die LR-Nummer 784.13. Es trat am 1. Februar 2025 in Kraft. Die konsolidierte Fassung auf gesetze.li trägt den Stand 01.01.2026.

Stehen Hosting-Anbieter im Gesetz?

Anhang 1 des CSG nennt unter „Digitale Infrastruktur“ unter anderem Anbieter von Cloud-Computing-Diensten und von Rechenzentrumsdiensten sowie unter „Verwaltung von IKT-Diensten“ Anbieter verwalteter Dienste. Ob ein konkreter Anbieter erfasst ist, hängt von der Tätigkeit und den Schwellenwerten ab. Für 4hosting treffen wir dazu hier keine Aussage.

Hat 4hosting eine NIS2-Zertifizierung?

Nein. 4hosting hält keine NIS2-, ISO-, SOC-2- oder ACN-Zertifizierung. Es gibt kein NIS2-Zertifikat, das ein Anbieter ausstellen könnte. Wir sind an ISO 27001 ausgerichtet („Alignment“), nicht zertifiziert.

Siehe auch

Stand der Rechtsangaben: 30.09.2026. Primärquelle: gesetze.li (LR 784.13). Dies ist keine Rechtsberatung.

Ratgeber für Unternehmen in Liechtenstein