Mit der Änderung des Informationssicherheitsgesetzes hat die Schweiz eine gesetzliche Meldepflicht für Cyberangriffe eingeführt. Sie gilt seit dem 1. April 2025 und richtet sich an Betreiberinnen kritischer Infrastrukturen. Das BACS hat für das Jahr 2025 insgesamt 222 Meldungen kritischer Infrastrukturen gezählt.
Wer melden muss
Das ISG zählt die meldepflichtigen Organisationen auf. Dazu gehören unter anderem Unternehmen der Energie- und Trinkwasserversorgung, des Verkehrs, Listenspitäler sowie Verwaltungen von Kantonen und Gemeinden; dazu kommen weitere Sektoren, die das Gesetz und die Cybersicherheitsverordnung präzisieren. Ob ein Unternehmen erfasst ist, sollte anhand des Gesetzestextes festgestellt und festgehalten werden. Wer nicht meldepflichtig ist, kann Vorfälle freiwillig melden.
Was meldepflichtig ist
Nicht jeder Angriffsversuch ist zu melden. Meldepflichtig sind Angriffe, die die Funktionsfähigkeit der kritischen Infrastruktur gefährden, die zu einer Manipulation oder einem Abfluss von Informationen geführt haben, die über längere Zeit unentdeckt blieben, insbesondere wenn Hinweise bestehen, dass sie weitere Angriffe vorbereiten sollten, oder die mit Erpressung, Drohung oder Nötigung verbunden sind. Ein abgewehrter Phishing-Versuch ist in der Regel nicht meldepflichtig, eine erfolgreiche Ransomware-Infektion schon.
Fristen und Weg
Die Erstmeldung erfolgt innert 24 Stunden nach Entdeckung über das Meldeformular des BACS. Angaben, die noch nicht vorliegen, können innert 14 Tagen nachgereicht werden. Seit dem 1. Oktober 2025 sind Bussen bis 100 000 Franken möglich; das BACS kontaktiert säumige Betreiberinnen zuerst und setzt eine Frist. Die 24 Stunden sind knapp: Wer erst im Ernstfall klärt, wer meldet und mit welchen Angaben, verliert Zeit, die für die Abwehr fehlt.
Verhältnis zu anderen Meldepflichten
Die Meldung an das BACS ersetzt keine anderen Pflichten. Sind Personendaten betroffen und besteht ein hohes Risiko, ist zusätzlich nach Art. 24 DSG der EDÖB so rasch als möglich zu informieren (Data-Breach-Meldung). Branchenaufsichten wie die FINMA haben eigene Meldewege. Wer in der EU tätig ist, kann zudem unter NIS2 fallen. Ein Incident-Response-Plan sollte alle diese Wege nebeneinander abbilden. Alle Stichtage im Überblick zeigt die Seite Regulierungsfristen 2025 bis 2028.
Weiterführend
Die ersten Stunden nach einem Angriff beschreibt unser Beitrag zu Ransomware im KMU; alle Inhalte zum Thema bündelt die Themenwelt Cybersecurity.