Meldepflicht für Cyberangriffe in der Schweiz: Das Bussgeldregime gilt seit Oktober 2025

Am 7. März 2025 beschloss der Bundesrat, die vom Parlament am 29. September 2023 verabschiedete Änderung des Informationssicherheitsgesetzes (ISG) auf den 1. April 2025 in Kraft zu setzen. Seit diesem Datum müssen Betreiber kritischer Infrastrukturen Cyberangriffe auf ihre IT-Mittel dem Bundesamt für Cybersicherheit (BACS) innerhalb von 24 Stunden nach Entdeckung melden.

Der Anwendungsbereich wird durch Artikel 74b des Gesetzes festgelegt und umfasst Behörden und Organisationen, die in Bereichen wie Energieversorgung, Trinkwasserversorgung, Verkehr sowie kantonale oder kommunale Behörden tätig sind. Das ist eine engere Liste als bei der EU-Richtlinie NIS2, aber die Meldelogik ist ähnlich: Entdeckung, Frist, Eskalation.

Was gemeldet werden muss, und wann

• Ein Cyberangriff muss gemeldet werden, wenn er den Betrieb der betroffenen kritischen Infrastruktur gefährdet, eine Manipulation oder ein Leck von Informationen verursacht hat, oder mit Erpressung, Drohungen oder Nötigung einhergeht.
• Die erste Meldung ist innerhalb von 24 Stunden nach Entdeckung fällig. Sind zu diesem Zeitpunkt nicht alle erforderlichen Informationen verfügbar, kann die Meldung innerhalb von 14 Tagen vervollständigt werden.
• Meldungen erfolgen über den Cyber Security Hub (CSH), die dedizierte Austauschplattform des BACS, oder über eine E-Mail-Vorlage für Organisationen ohne Zugang zur Plattform.

Sechs Monate Toleranz, dann ein Bussgeldregime

Der Bundesrat entschied sich für ein schrittweises Inkrafttreten. Die Nichtmeldung wurde in den ersten sechs Monaten, bis Anfang Oktober 2025, nicht sanktioniert. Seitdem ist die Nichteinhaltung der Meldepflicht mit Bussgeldern nach dem Gesetz belegt. Zum Zeitpunkt dieses Artikels ist dieses Bussgeldregime seit fast einem Jahr in Kraft.

Ein engeres Gesetz, aber dieselbe Governance-Frage

Der Anwendungsbereich des ISG ist enger als der von NIS2, sowohl bei den erfassten Sektoren als auch bei der Zahl der betroffenen Organisationen. Aber die grundlegende Frage, die sich ein Verwaltungsrat stellen muss, ist identisch mit der von NIS2 oder DORA aufgeworfenen: Weiss die Organisation heute, wie sie einen erheblichen Cyberangriff innerhalb von 24 Stunden erkennen, klassifizieren und melden würde, und kann sie diese Fähigkeit nachweisen, statt sie nur zu behaupten. Für Konzerne, die neben der Schweiz auch in Frankreich oder anderswo in der EU tätig sind, laufen die beiden Regime nun parallel, mit unterschiedlichen Anwendungsbereichen und Fristen, und beide erfordern einen koordinierten Vorfallreaktionsplan statt zweier separat improvisierter Pläne.

“Eine 24-Stunden-Meldefrist ist keine Papierübung. Sie ist ein Test, ob die Vorfallserkennung tatsächlich funktioniert, zum ersten Mal durchgeführt während eines echten Vorfalls.”

— Aegryn

Aegryn Advisory unterstützt Schweizer und europäische Organisationen bei der Dokumentation ihrer Bereitschaft zur Vorfallserkennung und -meldung im Rahmen von NIS2, DORA und dem Schweizer ISG, und zertifiziert das Ergebnis unter der Dimension Sicherheit & Souveränität des CIFSO, noch bevor ein Prüfer, ein Versicherer oder ein Regulator einen Nachweis verlangt.