Softwarehersteller in der Schweiz prüfen: Handelsregister, Zertifizierungen und Referenzen

Warum einen Softwarehersteller in der Schweiz prüfen?

Prüfen Sie die rechtliche Identität des Herstellers im Handelsregister und fordern Sie anschliessend geeignete Nachweise für Compliance und Sicherheit. Für Software, die auf dem europäischen Markt bereitgestellt wird, sieht der Cyber Resilience Act (CRA) ab 2027 geltende Anforderungen vor.

Wenn der Vertrag die Eidgenossenschaft betrifft oder Zugang zu ihren IT-Mitteln gewährt, prüfen Sie zudem die Anforderungen des Informationssicherheitsgesetzes (ISG). Fordern Sie schliesslich Kundenreferenzen an, anhand deren Projekte sich die Erfahrung des Herstellers beurteilen lässt.

Existenz und Rechtsform über das Handelsregister prüfen

Das Handelsregister ist eine öffentliche Datenbank, die von den Kantonen geführt wird. Konsultieren Sie den täglich aktualisierten Zentralindex Zefix oder die kantonale Suche; jede Person kann online kostenlos Auszüge einholen.

Prüfen Sie die exakte Firma, den Sitz, die Adresse, die Rechtsform, den Zweck und die zur Vertretung der Unternehmung befugten Personen. Das neuenburgische Portal weist diese Daten insbesondere aus und ermöglicht die Einsichtnahme oder den Download bestimmter Dokumente als PDF.

AGs und GmbHs werden durch einen Notar eingetragen. Eine Einzelfirma muss sich bei einem Jahresumsatz von CHF 100'000 eintragen lassen; ihr Familienname muss in der Firma enthalten sein. Der Firmenname ist durch die Eintragung geschützt, wobei der Schutzumfang von der Rechtsform abhängt.

Seit dem 1. Oktober 2026 verpflichtet das Bundesgesetz über die Transparenz juristischer Personen einen grossen Teil der Schweizer Unternehmen sowie bestimmte ausländische Gesellschaften dazu, ihre wirtschaftlich Berechtigten bei TranspaReg zu melden. Das Handelsregister unterwirft die eingetragene Unternehmung zudem dem Konkursverfahren.

Für eine kantonale Suche nutzen Sie beispielsweise Freiburg oder Neuenburg. In Genf bietet die Seite Handelsregister einsehen und Dokumente bestellen Zugriff auf Informationen und Dokumente.

Praktische Referenzen: Zugang zum Handelsregister nach Kanton

Zertifizierungen und regulatorische Compliance (CRA, ISG)

Für den CRA fordern Sie die Konformitätserklärung und die technische Dokumentation des Produkts an. Der Hersteller muss Cybersicherheit bereits bei der Entwicklung integrieren, das Schwachstellenmanagement dokumentieren und Sicherheitsupdates während der gesamten Lebensdauer des Produkts vorsehen.

Verlangen Sie zudem Unterlagen, welche die Risikoanalyse, die Bedrohungsmodellierung, die Bewertung von Schwachstellen und die priorisierten Schutzmassnahmen beschreiben. Bei kritischen Produkten kann eine Bewertung durch eine dritte Stelle erforderlich sein.

Das ISG gilt für Bundesbehörden sowie für Organisationen und Unternehmen, die einen Auftrag für den Bund ausführen oder Zugang zu dessen IT-Mitteln haben. Es sieht einen risikobasierten Ansatz, die Klassifizierung von Informationen und Systemen sowie die Planung, Umsetzung und regelmässige Überwachung der Schutzmassnahmen vor; die Meldung von Cyberangriffen ist seit April 2025 vorgeschrieben.

Eine CRA-Erklärung oder Elemente, die ISG-Prozesse bescheinigen, sind nicht mit einer Sicherheitszertifizierung zu verwechseln. Prüfen Sie den Geltungsbereich jedes angeforderten Dokuments genau: Eine Zertifizierung kann sich beispielsweise auf eine Applikation oder die Kompetenzen eines Partners beziehen und nicht auf die Sicherheit des Herstellers.

Ein konkretes Referenzbeispiel ist das Projekt von Cogestim rund um AbaImmo, eine Software von Abacus: Cogestim wählte sie 2011 als Ersatz für OFIGER und betraute OFISA Informatique mit der Integration. Deren Rückmeldung erwähnt insbesondere die Hinzufügung von Automatisierungsfunktionen und Massenverarbeitung für eine grosse Immobilienverwaltung.

Um diese Referenz zu ergänzen, verlangen Sie vom Hersteller Kunden mit vergleichbarer Branche und Projektstruktur, mit deren Zustimmung für einen Austausch. Prüfen Sie die genaue Rolle des Herstellers oder Integrators, den gelieferten Umfang, die Inbetriebnahme, die durchgeführten Weiterentwicklungen und die aufgetretenen Schwierigkeiten.

Die in einer Referenz genannten Zertifizierungen müssen ebenfalls eingeordnet werden: Zwei Beraterinnen von OFISA Informatique, Fanny Bron und Mara Coppex, waren seit 2017 für die Applikation AbaImmo zertifiziert; OFISA Informatique erhielt 2018 den Status als Abacus Gold-Partner. Diese Elemente betreffen die Applikation und die Partnerschaft, nicht jedoch eine Sicherheitszertifizierung des Unternehmens.

Unterschiede zwischen CRA-, ISG-Zertifizierungen und Partnerstatus

Zusammenfassung und Best Practices

Bevor Sie unterschreiben, gleichen Sie die Firma und die vertretungsberechtigten Personen mit den Informationen im Handelsregister ab. Bewahren Sie den eingesehenen Auszug sowie die für die Akte nützlichen offiziellen Dokumente auf.

Fordern Sie für die Software die CRA-Erklärung und die relevante technische Dokumentation an; prüfen Sie bei einem Bundesauftrag die Massnahmen und Prozesse im Zusammenhang mit dem ISG. Bei Referenzen überprüfen Sie die Kundenerfahrungen und den genauen Geltungsbereich der angeführten Zertifizierungen oder Status.