Seit dem 1. April 2025 gilt in der Schweiz die gesetzliche Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Betroffene Organisationen müssen Cybervorfälle innerhalb von 24 Stunden nach deren Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden.
Mit der neuen Meldepflicht stärkt der Bund die Cybersicherheit in der Schweiz und verbessert die nationale Lagebeurteilung bei Cybervorfällen. Bis Oktober 2025 galt eine Übergangsfrist, jetzt sollten betroffene Organisationen sicherstellen, dass ihre Melde- und Incident-Response-Prozesse den gesetzlichen Anforderungen entsprechen.
Kurzübersicht
Wer ist von der Meldepflicht betroffen?
Ob Ihr Unternehmen der Meldepflicht unterliegt, ergibt sich aus Artikel 74b des Bundesgesetzes über die Informationssicherheit. Ausnahmen sind in Artikel 74c geregelt und werden durch Artikel 12 der Cybersicherheitsverordnung konkretisiert. Besonders betroffen sind Unternehmen mit kritischer Infrastrukturen in Bereichen wie Energie, Gesundheit, Telekommunikation, Transport oder Finanzwesen.
Welche Vorfälle müssen gemeldet werden?
Nicht jeder Vorfall ist meldepflichtig. Die Kriterien für meldepflichtige Cyberangriffe sind ebenfalls in Artikel 74d des Gesetzes definiert. Dazu zählen unter anderem:
Angriffe mit erheblichem Einfluss auf die Verfügbarkeit oder Integrität von Systemen
Vorfälle mit potenzieller Auswirkung auf die öffentliche Sicherheit
Kompromittierung sensibler Daten mit systemischer Relevanz
Bis wann muss die Meldung erfolgen?
Die Erstmeldung muss innerhalb von 24 Stunden nach Entdeckung des Vorfalls erfolgen. Falls noch nicht alle Informationen verfügbar sind, können diese nachgereicht werden.
Wie erfolgt die Meldung?
Der Übermittlungsweg ist nicht vorgeschrieben. Möglich sind E-Mail, Telefon oder das Online-Formular des BACS unter report.ncsc.admin.ch. Für Mitglieder des Cyber Security Hubs steht ein erweitertes Meldeformular zur Verfügung. Der Bund hat ein Erklärvideo erstellt, welches auf der BACS Website sowie auf Youtube eingesehen werden kann.
Unternehmen, die ihre Prozesse frühzeitig anpassen, reduzieren rechtliche Risiken und stärken gleichzeitig ihre Cyberresilienz. Empfohlene Schritte:
Rechtslage prüfen: Klären Sie, ob Ihr Unternehmen unter die Meldepflicht fällt. Ziehen Sie bei Unsicherheiten juristische Beratung hinzu.
Prozesse anpassen: Integrieren Sie die Meldepflicht in bestehende Notfall- und Incident-Response-Pläne.
Sensibilisierung: Schulen Sie Mitarbeitende und – falls relevant – externe Partner:innen im Umgang mit meldepflichtigen Vorfällen.
Bereits etablierte Prozesse aus dem revidierten Datenschutzgesetz (DSG) können häufig als Grundlage genutzt und erweitert werden.
Nächste Schritte
Wie unterstützt SmartIT?
Das SmartIT Security Operations Center (SOC) unterstützt Unternehmen bei der Überwachung ihrer IT-Umgebung und der frühzeitigen Erkennung von Sicherheitsvorfällen.
Zu den Leistungen gehören:
24/7-Überwachung Ihrer IT-Systeme
Früherkennung und Analyse von Cyberbedrohungen
Schnelle Reaktion auf Sicherheitsvorfälle
Unterstützung bei Incident Response und Meldeprozessen
Kontinuierliche Optimierung Ihrer Sicherheitsmassnahmen
