Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen in der Schweiz Cyberangriffe innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden. Grundlage ist das revidierte Informationssicherheitsgesetz (ISG). Seit Oktober 2025 drohen bei Verstössen auch Bussen.
Betroffen ist ein breiter Kreis: Energie, Gesundheit, Finanzen, Verkehr, Gemeinden, aber auch IT-Dienstleister und Hersteller von Hard- und Software für kritische Infrastrukturen.
Was sich in der Praxis gezeigt hat:
• Die 24 Stunden sind kurz. Wer erst im Ernstfall klärt, wer meldet, verliert Zeit.
• Eine Erstmeldung darf unvollständig sein. Details werden nachgereicht.
• Die Abgrenzung «meldepflichtig oder nicht» gehört in den Incident-Response-Plan, nicht in die Krisensitzung.
Unser Rat: Prüfen Sie einmal, ob Ihr Unternehmen unter die Meldepflicht fällt.
Unabhängig davon lohnt sich ein Ablauf mit Zuständigkeiten, Vorlagen und Kontakten.
Freiwillige Meldungen ans BACS/NCSC helfen zudem, das Lagebild für alle zu verbessern.
