Seit dem 1. April 2025 gilt in der Schweiz die gesetzliche Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Betroffene Organisationen müssen Cybervorfälle innerhalb von 24 Stunden nach deren Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden.
In diesem Blog erfahren Sie:
welche Unternehmen von der Meldepflicht betroffen sind
welche Cybervorfälle gemeldet werden müssen
welche Fristen und Meldewege zu beachten sind
wie Sie Ihre Prozesse anpassen und Ihre Cyberresilienz stärken können
Neue Spielregeln
Was ändert sich mit der neuen Meldepflicht?
Mit der neuen Meldepflicht stärkt der Bund die Cybersicherheit in der Schweiz und verbessert die nationale Lagebeurteilung bei Cybervorfällen. Bis Oktober 2025 galt eine Übergangsfrist, jetzt sollten betroffene Organisationen sicherstellen, dass ihre Melde- und Incident-Response-Prozesse den gesetzlichen Anforderungen entsprechen.
Cyberresilienz
Was bedeutet das für Unternehmen?
Unternehmen, die ihre Prozesse frühzeitig anpassen, reduzieren rechtliche Risiken und stärken gleichzeitig ihre Cyberresilienz. Bereits etablierte Prozesse aus dem revidierten Datenschutzgesetz (DSG) können häufig als Grundlage genutzt und erweitert werden.
Empfohlene Schritte
01
Rechtslage prüfen
Klären Sie, ob Ihr Unternehmen unter die Meldepflicht fällt. Ziehen Sie bei Unsicherheiten juristische Beratung hinzu.
02
Prozesse anpassen
Integrieren Sie die Meldepflicht in bestehende Notfall- und Incident-Response-Pläne.
03
Sensibilisierung
Schulen Sie Mitarbeitende, um die Einhaltung gewähren zu können. Gerne hilft Ihnen die SmartIT dabei.
IT-Sicherheit ist von höchster Relevanz, um den Betrieb zu sichern. Gerne unterstützen wir Sie mit unserem umfangreichen Angebot.
Ob Ihr Unternehmen der Meldepflicht unterliegt, ergibt sich aus Artikel 74b des Bundesgesetzes über die Informationssicherheit. Ausnahmen sind in Artikel 74c geregelt und werden durch Artikel 12 der Cybersicherheitsverordnung konkretisiert. Besonders betroffen sind Unternehmen mit kritischer Infrastrukturen in Bereichen wie Energie, Gesundheit, Telekommunikation, Transport oder Finanzwesen.
Nicht jeder Angriff
Welche Vorfälle müssen gemeldet werden?
Nicht jeder Vorfall ist meldepflichtig. Die Kriterien für meldepflichtige Cyberangriffe sind ebenfalls in Artikel 74d des Gesetzes definiert. Dazu zählen unter anderem:
Angriffe mit erheblichem Einfluss auf die Verfügbarkeit oder Integrität von Systemen
Vorfälle mit potenzieller Auswirkung auf die öffentliche Sicherheit
Kompromittierung sensibler Daten mit systemischer Relevanz
Die Uhr läuft
Bis wann muss die Meldung erfolgen?
Die Erstmeldung muss innerhalb von 24 Stunden nach Entdeckung des Vorfalls erfolgen. Entscheidend ist deshalb, dass intern klar geregelt ist, wer einen Vorfall beurteilt, wer die Meldung auslöst und welche Informationen dafür benötigt werden. Sind zu diesem Zeitpunkt noch nicht alle Angaben verfügbar, kann die Meldung zunächst mit dem aktuellen Kenntnisstand eingereicht und innerhalb von 14 Tagen vervollständigt werden. Ein klar definierter Ablauf im Incident-Response-Prozess hilft dabei, im Ernstfall keine wertvolle Zeit zu verlieren.
Meldeprozess
Wie erfolgt die Meldung?
Der Übermittlungsweg ist nicht vorgeschrieben. Möglich sind E-Mail, Telefon oder das Online-Formular des BACS unter report.ncsc.admin.ch. Für Mitglieder des Cyber Security Hubs steht ein erweitertes Meldeformular zur Verfügung. Der Bund hat ein Erklärvideo erstellt, welches auf der BACS Website sowie auf Youtube eingesehen werden kann.
Das SmartIT Security Operations Center (SOC) unterstützt Unternehmen bei der Überwachung ihrer IT-Umgebung und der frühzeitigen Erkennung von Sicherheitsvorfällen.
Zu den Leistungen gehören:
24/7-Überwachung Ihrer IT-Systeme
Früherkennung und Analyse von Cyberbedrohungen
Schnelle Reaktion auf Sicherheitsvorfälle
Unterstützung bei Incident Response und Meldeprozessen
Kontinuierliche Optimierung Ihrer Sicherheitsmassnahmen
