Seit dem 1. April 2025 gilt in der Schweiz eine gesetzliche Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Betreiberinnen müssen Angriffe innert 24 Stunden nach der Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Seit dem 1. Oktober 2025 drohen bei Nichtmeldung Bussen bis 100 000 Franken. Für das Jahr 2025 hat das BACS 222 Meldungen kritischer Infrastrukturen gezählt. Dieser Beitrag beschreibt, wen die Pflicht trifft, was zu melden ist und wie man die 24 Stunden organisiert, bevor man sie braucht.
Wen die Pflicht trifft
Das Informationssicherheitsgesetz zählt die meldepflichtigen Organisationen auf. Dazu gehören unter anderem Unternehmen der Energie- und Trinkwasserversorgung, des Verkehrs, Listenspitäler sowie Verwaltungen von Kantonen und Gemeinden; weitere Sektoren präzisieren Gesetz und Cybersicherheitsverordnung. Die Prüfung, ob die eigene Organisation erfasst ist, sollte schriftlich festgehalten werden, mit Verweis auf die massgebliche Bestimmung. Wer nicht erfasst ist, kann freiwillig melden und erhält dafür Unterstützung und Warnungen aus dem Informationsaustausch.
Auch nicht erfasste Unternehmen spüren die Pflicht. Meldepflichtige Betreiberinnen geben Anforderungen an ihre IT-Dienstleister weiter: Erreichbarkeit im Vorfall, Lieferung von Angaben innert Stunden, Mitwirkung bei der Analyse. Wer kritische Infrastrukturen beliefert, sollte deshalb wissen, was seine Kunden im Ernstfall von ihm brauchen.
Was zu melden ist
Meldepflichtig sind nicht alle Angriffsversuche, sondern Angriffe mit bestimmten Folgen: Sie gefährden die Funktionsfähigkeit der Infrastruktur, sie haben zu einer Manipulation oder einem Abfluss von Informationen geführt, sie blieben über längere Zeit unentdeckt, insbesondere wenn Hinweise auf die Vorbereitung weiterer Angriffe bestehen, oder sie sind mit Erpressung, Drohung oder Nötigung verbunden. Eine erfolgreiche Ransomware-Infektion erfüllt in der Regel mehrere dieser Kriterien gleichzeitig. Ein abgewehrter Phishing-Versuch erfüllt keines.
Die 24 Stunden organisieren
Vierundzwanzig Stunden sind im Vorfall wenig Zeit. Bewährt hat sich ein Ablauf in vier Schritten, der vorher festgelegt und geübt wird:
- Erkennen und eskalieren: Wer einen möglichen Angriff bemerkt, weiss, an wen er sich wendet, auch nachts und am Wochenende. Die Uhr läuft ab der Entdeckung.
- Einstufen: Eine benannte Person prüft anhand der gesetzlichen Kriterien, ob eine Meldepflicht besteht, und hält die Begründung fest, auch wenn das Ergebnis Nein lautet.
- Erstmeldung: Gemeldet wird über das Meldeformular des BACS mit den Angaben, die vorliegen. Unvollständige Angaben sind zulässig; sie können innert 14 Tagen ergänzt werden.
- Nachreichen: Analyseergebnisse, Auswirkungen und Massnahmen werden innert der Frist nachgeliefert.
Der kritische Punkt ist fast immer der zweite Schritt. Wenn erst im Vorfall diskutiert wird, ob eine Meldepflicht besteht, verstreichen die Stunden. Eine kurze Entscheidungshilfe mit den gesetzlichen Kriterien und Beispielen gehört deshalb in den Incident-Response-Plan.
Parallele Meldepflichten
Die Meldung an das BACS ist selten die einzige. Sind Personendaten betroffen und besteht ein hohes Risiko für die Betroffenen, ist nach Art. 24 DSG zusätzlich der EDÖB so rasch als möglich zu informieren (Data-Breach-Meldung); unter Umständen sind auch die Betroffenen selbst zu benachrichtigen. Finanzinstitute haben gegenüber der FINMA eigene Meldepflichten mit eigenen Fristen. Unternehmen mit Tätigkeit in der EU können unter NIS2 fallen, Hersteller digitaler Produkte seit dem 11. September 2026 unter die Meldepflichten des Cyber Resilience Act. Wer diese Wege getrennt organisiert, meldet im Ernstfall doppelt, widersprüchlich oder zu spät.
Vorbereitung, die wirkt
Vier Massnahmen machen den grössten Unterschied. Erstens ein Inventar der Systeme und ihrer Verantwortlichen, inklusive der aus dem Internet erreichbaren Angriffsfläche (Attack Surface Management); was man nicht kennt, erkennt man auch nicht als angegriffen. Zweitens ein Incident-Response-Plan mit Rollen, Erreichbarkeiten, Entscheidungsbefugnissen und allen Meldewegen. Drittens getestete Sicherungen, deren Wiederherstellung nachweislich funktioniert. Viertens eine Übung pro Jahr, am Tisch, mit einem realistischen Szenario und Stoppuhr. Die Übung zeigt zuverlässig, welche Telefonnummer veraltet ist und welche Entscheidung niemand treffen will.
Häufige Fehler
Die Meldepflicht wird als reines IT-Thema behandelt, obwohl Entscheide über Abschaltungen, Kommunikation und Meldungen Führungsentscheide sind. Die Prüfung der Meldepflicht wird nicht dokumentiert, sodass später nicht nachvollziehbar ist, warum gemeldet oder nicht gemeldet wurde. Externe Dienstleister sind vertraglich nicht zur Mitwirkung verpflichtet. Und der Plan liegt als Datei auf einem System, das im Vorfall verschlüsselt ist.
Einordnung
Die Meldepflicht verlangt keine perfekte Abwehr, sondern Transparenz und Geschwindigkeit. Für gut organisierte Betreiberinnen ist sie ein zusätzlicher Prozessschritt. Für Organisationen, die ihre Systeme und Zuständigkeiten nicht kennen, ist sie der Anlass, das nachzuholen. Die Abfolge mit prüfbaren Kriterien enthält unsere Checkliste zur Cyber-Meldepflicht; den Aufbau begleiten wir im Cyber-Readiness-Check.