Checkliste: meldefähig für Cyberangriffe innert 24 Stunden
Für: Betreiberinnen kritischer Infrastrukturen und ihre Dienstleister
Aktualisiert: 2026-11
Meldefähig ist ein Unternehmen, wenn es seine Betroffenheit nach ISG geklärt hat, Rollen und Erreichbarkeit rund um die Uhr geregelt sind, eine Entscheidungshilfe zur Meldepflicht vorliegt, die Erstmeldung vorbereitet ist, parallele Meldepflichten bekannt sind, Dienstleister zur Mitwirkung verpflichtet sind und der Ablauf geübt wurde.
Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen Cyberangriffe innert 24 Stunden nach Entdeckung dem BACS melden; seit Oktober 2025 drohen bei Nichtmeldung Bussen. Diese Checkliste beschreibt, was vorher organisiert sein muss.
Sie ist auch für Unternehmen nützlich, die nicht meldepflichtig sind: Die Schritte decken sich weitgehend mit der Vorbereitung auf Datenschutzmeldungen nach DSG und DSGVO.
Die Checkliste
- 01
Betroffenheit klären
Anhand des ISG prüfen, ob die Organisation meldepflichtig ist, und das Ergebnis festhalten.
Erledigt, wenn: Eine schriftliche Feststellung mit Verweis auf die massgebliche Bestimmung liegt vor.
- 02
Rollen festlegen
Leitung im Vorfall, Stellvertretung und die Person benennen, die über die Meldung entscheidet.
Erledigt, wenn: Die Rollen sind namentlich benannt und den Personen bekannt.
- 03
Erreichbarkeit sichern
Kontaktliste für Vorfälle rund um die Uhr, auch ohne E-Mail und Firmennetz.
Erledigt, wenn: Die Liste ist ausserhalb der IT-Systeme verfügbar und in den letzten drei Monaten überprüft worden.
- 04
Entscheidungshilfe bereitstellen
Die gesetzlichen Kriterien für meldepflichtige Angriffe mit Beispielen in einer Seite zusammenfassen.
Erledigt, wenn: Die Entscheidungshilfe liegt bei den entscheidenden Personen und wurde in einer Übung verwendet.
- 05
Erstmeldung vorbereiten
Zugang zum Meldeweg des BACS klären und die typischen Angaben als Vorlage vorbereiten.
Erledigt, wenn: Eine Vorlage mit den Feldern der Erstmeldung ist vorhanden; wer meldet, kennt den Zugang.
- 06
Parallele Meldepflichten abbilden
Datenschutzmeldung an den EDÖB, Branchenaufsicht, gegebenenfalls NIS2 oder CRA neben die BACS-Meldung stellen.
Erledigt, wenn: Eine Übersicht nennt alle Meldewege mit Frist und verantwortlicher Person.
- 07
Dienstleister einbinden und üben
Mitwirkungspflichten mit IT-Dienstleistern vereinbaren und den Ablauf einmal jährlich am Tisch üben.
Erledigt, wenn: Die Verträge enthalten Mitwirkungs- und Erreichbarkeitsregeln, und das Protokoll der letzten Übung liegt vor.
Häufige Fehler
- —Die Frage der Meldepflicht erst im Vorfall diskutieren und die 24 Stunden verlieren.
- —Die Kontaktliste nur auf einem System ablegen, das im Vorfall verschlüsselt ist.
- —Die Datenschutzmeldung vergessen, weil das BACS bereits informiert wurde.
- —Entscheidungen über Abschaltungen und Kommunikation der IT allein überlassen.
Was diese Checkliste nicht abdeckt
- —Die Checkliste ersetzt keine rechtliche Prüfung der Meldepflicht im Einzelfall.
- —Technische Massnahmen zur Erkennung und Abwehr von Angriffen sind nicht Gegenstand dieser Checkliste.
- —Branchenspezifische Meldepflichten, etwa gegenüber der FINMA, sind gesondert zu klären.
Übergeordnete Leistung: Cyber-Readiness & IT-Sicherheit
Passende Angebote
Cyber-Readiness-Check
Der Cyber-Readiness-Check klärt, ob Ihr Unternehmen einen Angriff rechtzeitig erkennt, richtig reagiert und fristgerecht meldet: Prüfung der Meldepflichten nach ISG, DSG und gegebenenfalls NIS2, Inventar der Angriffsfläche, Durchsicht der Cloud- und Microsoft-365-Grundkonfiguration, Wiederherstellbarkeit der Backups, Incident-Response-Plan und eine Übung am Tisch.
Datenpannen-Readiness: Playbook, Meldeprozess und Übung
Mit der Datenpannen-Readiness erhalten Sie ein einsatzbereites Playbook: benannte Rollen und Notfallkontakte, eine Entscheidungsmatrix pro System für die Meldepflichten nach DSG und DSGVO, Vorlagen für Behörden, Betroffene und Kunden, ein Vorfallregister und eine geleitete Übung. Im Ernstfall entscheiden Sie in Minuten statt Stunden.
Häufige Fragen
Ab wann laufen die 24 Stunden?
Ab der Entdeckung des Angriffs. Deshalb muss die Eskalation sofort funktionieren.
Was, wenn noch nicht alle Angaben vorliegen?
Die Erstmeldung darf unvollständig sein; fehlende Angaben können innert 14 Tagen nachgereicht werden.
Müssen auch abgewehrte Angriffe gemeldet werden?
In der Regel nicht. Meldepflichtig sind Angriffe mit den im Gesetz genannten Folgen.
Weitere Checklisten
Checkliste: SRO-Anschluss vorbereiten
Ein SRO-Anschluss wird in sieben Schritten vorbereitet: Unterstellung und Berufsmässigkeit klären, die passende SRO anhand der aktuellen FINMA-Liste wählen, Organisation und GwG-Verantwortung festlegen, Weisungen auf das Reglement abstimmen, eine Risikoanalyse erstellen, das Gesuch vollständig einreichen und den Betrieb mit Dokumentation ab dem ersten Kunden aufsetzen.
Checkliste: Microsoft-365-Governance einführen
Microsoft-365-Governance wird in sieben Schritten eingeführt: Bestand erheben, Regeln für das Erstellen von Teams und Sites festlegen, mindestens zwei Besitzer pro Team verlangen, Gastzugriffe regelmässig überprüfen, Vertraulichkeit und Aufbewahrung klassifizieren, einen Lebenszyklus mit Archivierung definieren und Flows und Apps über einen Freigabeprozess steuern.
Checkliste: App-Briefing erstellen
Ein gutes App-Briefing beschreibt das Ziel und die Nutzergruppen, die drei bis fünf wichtigsten Abläufe, die Plattformanforderungen, die nötigen Daten und Schnittstellen, Anforderungen an Betrieb und Datenschutz sowie messbare Erfolgskriterien. Es lässt offen, wie die Lösung technisch aussieht, und macht Angebote vergleichbar.