Cyberaanvalmelding in Zwitserland: het boeteregime is actief sinds oktober 2025

Op 7 maart 2025 besloot de Federale Raad om de wijziging van de federale wet op informatiebeveiliging (ISG), aangenomen door het Parlement op 29 september 2023, op 1 april 2025 in werking te laten treden. Sinds die datum moeten exploitanten van kritieke infrastructuur cyberaanvallen op hun IT-middelen binnen 24 uur na detectie melden aan het Federaal Bureau voor Cyberveiligheid (OFCS).

Het toepassingsgebied wordt bepaald door artikel 74b van de wet en omvat autoriteiten en organisaties actief in sectoren zoals energievoorziening, drinkwatervoorziening, transport, en kantonale of gemeentelijke autoriteiten. Het is een beperktere lijst dan die van NIS2 op Europees niveau, maar de meldingslogica is vergelijkbaar: detectie, termijn, escalatie.

Wat gemeld moet worden, en wanneer

• Een cyberaanval moet worden gemeld wanneer deze de werking van de betrokken kritieke infrastructuur in gevaar brengt, manipulatie of lekkage van informatie heeft veroorzaakt, of gepaard gaat met chantage, dreigementen of dwang.
• De eerste melding moet binnen 24 uur na detectie gebeuren. Als op dat moment niet alle vereiste informatie beschikbaar is, kan de melding binnen 14 dagen worden aangevuld.
• Meldingen verlopen via de Cyber Security Hub (CSH), het speciale uitwisselingsplatform van OFCS, of via een standaard e-mailsjabloon voor organisaties zonder toegang tot het platform.

Zes maanden tolerantie, dan een boeteregime

De Federale Raad koos voor een geleidelijke inwerkingtreding. Het niet melden werd tijdens de eerste zes maanden, tot begin oktober 2025, niet gesanctioneerd. Sindsdien is niet-naleving van de meldplicht onderworpen aan boetes krachtens de wet. Op het moment van schrijven is dat boeteregime al bijna een jaar van kracht.

Een beperktere wet, maar dezelfde governancevraag

Het toepassingsgebied van de ISG is beperkter dan dat van NIS2, zowel wat de gedekte sectoren als het aantal betrokken organisaties betreft. Maar de onderliggende vraag die een raad van bestuur zich moet stellen is identiek aan die van NIS2 of DORA: weet de organisatie vandaag hoe zij een significante cyberaanval binnen 24 uur zou detecteren, classificeren en melden, en kan zij dat vermogen aantonen in plaats van het louter te beweren. Voor groepen die naast Zwitserland ook in Frankrijk of elders in de EU actief zijn, lopen de twee regimes nu parallel, met verschillende toepassingsgebieden en termijnen, en vereisen beide een gecoördineerd incidentresponsplan in plaats van twee afzonderlijk geïmproviseerde plannen.

“Een meldingstermijn van 24 uur is geen papieren oefening. Het is een test of incidentdetectie werkelijk werkt, voor het eerst uitgevoerd tijdens een echt incident.”

— Aegryn

Aegryn Advisory ondersteunt Zwitserse en Europese organisaties bij het documenteren van hun paraatheid voor incidentdetectie en -melding onder NIS2, DORA en de Zwitserse ISG, en certificeert het resultaat onder de CIFSO-dimensie Veiligheid & Soevereiniteit, vóór het moment waarop een auditor, verzekeraar of toezichthouder om bewijs vraagt.