Andere Cookies sind konfigurierbar.
Die 24-Stunden-Meldepflicht für Cyberkriminalität in der Schweiz, erklärt.
Das Informationssicherheitsgesetz verpflichtet Betreiber kritischer Infrastrukturen, insbesondere Transportunternehmen, Cyberangriffe innerhalb von 24 Stunden nach deren Entdeckung der Bundesbehörde zu melden. Es drohen nun auch finanzielle Strafen. Hier erfahren Sie, was das Gesetz vorschreibt und wie Sie sich darauf vorbereiten können.
Was ist das Informationssicherheitsgesetz?
Das Schweizer Informationssicherheitsgesetz (ISG, SR 128) ist das Rahmengesetz der Schweiz für die Informationssicherheit im Föderalismus und den Schutz kritischer Infrastrukturen. Es ist seit dem 1. Januar 2024 in Kraft und verpflichtet Betreiber kritischer Infrastrukturen durch seine Cybersicherheitsbestimmungen, Cyberangriffe innerhalb von 24 Stunden nach deren Entdeckung dem Bundesamt für Cybersicherheit (BACS) zu melden. Diese Meldepflicht gilt seit dem 1. April 2025.
Die Mechanismen sind präzise. Die Frist beginnt mit der Entdeckung des Angriffs, nicht erst mit dessen Analyse. Die erste Meldung erfolgt über das Cyber Security Hub, und der Betreiber hat anschließend 14 Tage Zeit, den Bericht entsprechend der sich abzeichnenden Lage zu vervollständigen. Seit dem 1. Oktober 2025 wird die Nichteinhaltung mit Geldbußen von bis zu 100.000 CHF geahndet. Der Geltungsbereich umfasst alle Betreiber, auf die das Land angewiesen ist, insbesondere Transportunternehmen, wodurch Flughäfen, Bahn- und Logistikunternehmen direkt der Verantwortung unterliegen.
Die unbequeme Wahrheit über eine 24-Stunden-Frist ist, dass keine Organisation sie in einer echten Krise zum ersten Mal einhalten kann. Dafür braucht es ein funktionierendes Erkennungssystem, einen geübten Eskalationsweg, klare Meldebefugnisse und eine Krisenstruktur, die sich ein präzises erstes Lagebild verschaffen kann, während die technische Reaktion noch läuft. Die Meldepflicht ist im Grunde ein rechtlicher Test Ihrer Krisenreaktionsfähigkeit.
Die Leistungsfähigkeit hinter der Frist
Häufig gestellte Fragen
Wer muss gemäß den Schweizer ISG-Vorschriften meldepflichtig sein?+
Betreiber kritischer Infrastrukturen in allen Sektoren, darunter Energie, Verkehr, Wasser, Gesundheit, Finanzen und öffentliche Verwaltung, einschließlich Verkehrsunternehmen, sind betroffen. Wenn ein Ausfall Ihrer Organisation für die Schweiz von Bedeutung wäre, sollten Sie Ihren Geltungsbereich überprüfen.
Was genau muss gemeldet werden und wann?+
Ein Cyberangriff auf die kritische Infrastruktur muss innerhalb von vierundzwanzig Stunden nach seiner Entdeckung über den Cyber Security Hub dem Bundesamt für Cybersicherheit gemeldet werden. Der Bericht muss innerhalb von vierzehn Tagen fertiggestellt sein, sobald die Details klar sind.
Was passiert, wenn wir die Frist verpassen?+
Ab dem 1. Oktober 2025 wird die Nichteinhaltung mit Geldbußen von bis zu CHF 100.000 geahndet, zusätzlich zu den aufsichtsrechtlichen und reputationsbezogenen Konsequenzen, die sich aus der mangelnden Vorbereitung vor der Bundesbehörde ergeben.
In welchem Verhältnis steht die ISG zu NIS2?+
Es handelt sich um parallele Systeme: Das ISG regelt die Betreiber kritischer Infrastrukturen in der Schweiz, während NIS2 für wichtige Einrichtungen in der EU gilt. Schweizer Unternehmen mit Niederlassungen oder Kunden in der EU nutzen häufig beide Systeme und sollten eine gemeinsame Einsatzfähigkeit aufbauen, die auf beide Systeme abgestimmt ist.
Ist diese Seite auch auf Deutsch verfügbar?+
Ja: Unsere deutschsprachige Zusammenfassung zum Informationssicherheitsgesetz behandelt die gleichen Themen auch für Schweizer Leser.
Verwandte Dienstleistungen
Cyberresilienz
Über die Prävention hinaus: die Fähigkeit, Widerstand zu leisten, zu reagieren und sich zu erholen, während die grundlegenden Dienstleistungen weiterlaufen.
Übungen zur Geschäftskontinuität
Planspiele, Funktionsübungen, Cyber-Übungen und Großübungen, die die Pläne und Nachweise gemäß ISO 22301, NIS2 und DORA belegen.
Krisenmanagement
Doktrin, Strukturen und Kommunikationsmaßnahmen, die den Höhepunkt eindämmen und die Erholung verkürzen, verankert in ISO 22361.
NIS2-Konformität
Von der Festlegung des Anwendungsbereichs bis hin zu den Maßnahmen nach Artikel 21 und der 24-Stunden-Meldebereitschaft gemäß Richtlinie (EU) 2022/2555.
Informationssicherheit
Vertraulichkeit, Integrität und Verfügbarkeit werden durch ein lebendiges ISMS geschützt, das auf ISO 27001 ausgerichtet ist.
Geschäftskontinuitätsmanagement
BIA, ISO 22301-konforme Strategie, Pläne und Validierung: ein Kontinuitätsprogramm, das so konzipiert ist, dass es auch bei einer echten Störung bestehen kann.
DORA-Konformität
Die fünf Säulen der Verordnung (EU) 2022/2554, die für Finanzinstitute und ihre kritischen IKT-Anbieter umgesetzt wurden.
Lieferkettensicherheit
Das Risiko, das Sie von Lieferanten und gemeinsam genutzten Plattformen übernehmen: erfasst, zugesichert, vertraglich festgelegt und ausgeübt, gemäß ISO 28000, NIS2 und DORA.
DAEDALUS Flughafen-Resilienz-Rahmenwerk
Das Airport Resilience Framework: fünf Domänen als ein Betriebsmodell für den gesamten Flugplatz, angetrieben vom 7A-Motor, in den Editionen für kommerzielle Luftfahrt, Fracht- und Geschäftsluftfahrt.
Organisatorische Resilienz
Die Struktur über den Plänen: Risiko, Kontinuität, Krise, Cyber und Personal auf einer gemeinsamen Grundlage gemäß ISO 22316.
Risikomanagement
Vom Risikouniversum zum kontrollierten Risiko: Identifizierung, stressbewusste Bewertung, eigenverantwortliche Behandlung und Live-Überwachung.
7A Risikomanagement-Rahmenwerk
Unser firmeneigenes, entscheidungsorientiertes Betriebsmodell: Exposition und Entscheidungssicherheit werden für den Vorstand separat gemessen.
KI-Governance und Resilienz
Governance ist in jede Ebene intelligenter Systeme integriert, vom Modellverhalten bis zur Rechenschaftspflicht des Vorstands und der ISO 42001.
Finden Sie heraus, ob Sie die 24 Stunden schaffen würden.
Bitten Sie uns, Ihre Erkennungs- und Meldepfad-Funktion anhand eines realistischen Szenarios zu testen; Sie werden Ihre tatsächliche Meldezeit kennen, bevor BACS sie kennt.
Vereinbaren Sie einen Beratungstermin