Seit dem 1. April 2025 gilt in der Schweiz eine verbindliche Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Was neu geregelt ist, wen es betrifft – und warum das Thema auch für alle anderen Unternehmen relevant ist.
Lange war die Meldung eines Cyberangriffs in der Schweiz freiwillig. Das hat sich mittlerweile geändert: Seit dem 1. April 2025 sind Betreiberinnen und Betreiber kritischer Infrastrukturen gesetzlich verpflichtet, erhebliche Cyberangriffe dem Bundesamt für Cybersicherheit (BACS) zu melden. Die rechtliche Grundlage dafür liefert das revisierte Informationssicherheitsgesetz, ergänzt durch die neu in Kraft getretene Cybersicherheitsverordnung (CSV). Für viele Unternehmen ist die Frage damit nicht mehr nur eine strategische, sondern eine rechtliche.
Die Pflicht gilt für Betreiberinnen und Betreiber kritischer Infrastrukturen – also Organisationen, die wesentliche gesellschaftliche Funktionen sicherstellen. Das ISG (Informationssicherheitsgesetz) nennt dafür neun Sektoren:
Behörden
Energie
Entsorgung
Finanzen
Gesundheit
Information und Kommunikation
Nahrung
Öffentliche Sicherheit
Verkehr
Konkret erfasst sind damit unter anderem Energieversorger, Trinkwasserunternehmen, Listenspitäler, Transportunternehmen, Anbieter von Cloud-Computing und Rechenzentren sowie Kantone und Gemeinden.
Wichtig für kleinere und mittlere Unternehmen: Wer nicht in diesen Sektoren tätig ist, unterliegt aktuell keiner gesetzlicher Meldepflicht. Das BACS empflieht ausdrücklich, Vorfälle auch freiwillig zu melden. Damit trägt man zur gesamtschweizerischen Bedrohungslage bei und erhält gegebenfalls auch direkt Unterstützung. Verletzungen der Datensicherheit müssen aber weiterhin dem EDOEB gemeldet werden – egal, ob man in den Sektoren tätig ist oder nicht.
Nicht jede Störung oder jeder Angriff löst automatisch eine Meldepflicht aus. Meldepflichtig sind laut ISG Cyberangriffe, die die Funktionsfähigkeit der betroffenen Infrastruktur gefährden, zu einer Manipulation oder einem Abfluss von Informationen geführt haben, über längere Zeit unentdeckt blieben oder mit Erpressung, Drohung oder Nötigung verbunden sind.
Kleinere Vorfälle ohne relevante Auswirkungen auf die öffentliche Ordnung oder das Funktionieren der Wirtschaft können unter die Ausnahmebestimmungen der CSV fallen.
Das Gesetz setzt klare zeitliche Vorgaben: Die Erstmeldung muss innerhalb von 24 Stunden nach Entdeckung des Angriffs beim BACS eingehen. Dabei ist ausdrücklich vorgesehen, dass zu diesem Zeitpunkt noch nicht alle Informationen bekannt sein müssen – fehlende Angaben können innerhalb von 14 Tagen nachgereicht werden.
Die Meldung erfolgt über die Onlineplattform Cyber Security Hub (CSH) des BACS oder alternativ per E-Mail. Auf Wunsch kann die BACS-Plattform eine Meldung auch gleichzeitig an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten weiterleiten, sofern der Vorfall datenschutzrechtliche relevant ist.
Seit dem 1. Oktober 2025 sind Bussen bei Nichtmeldung möglich. Das Gesetz sieht für die vorsätzliche Unterlassung einer Meldung Bussen von bis zu CHF 100'000 vor – wobei die Busse nicht das Unternehmen, sondern die zuständige Person trifft. In der Praxis hat das BACS in der Anfangsphase primär auf Sensibilisierung und Kooperation gesetzt.
Eine Busse wird aber nicht sofort verhängt: Sie setzt voraus, dass das BACS zunächst eine entsprechende Verfügung erlässt und dieser nicht Folge geleistet wird.
Auch wer nicht gesetzlich meldepflichtig ist, sollte das Thema nicht ignorieren. Erstens kann sich die Rechtlage weiterentwickeln und zweitens bleibt parallel zur neuen ISG-Pflicht die datenschutzrechtliche Meldepflicht nach dem revidierten Datenschutzgesetz (DSG) bestehen: Verletzungen der Datensicherheit müssen dem EDOEB gemeldet werden.
Unternehmen, die unsicher sind, ob sie unter die Meldepflicht fallen, können beim BACS direkt eine Auskunft beantragen.
Stellen Sie mit wenigen Klicks Ihre IT-Lösung zusammen.
Jetzt konfigurieren!