Werkzeuge · IT & Daten

Meldepflicht Cybervorfall: Excel-Vorlage für ISG, DSG und CRA

Die Excel-Vorlage prüft, ob Ihr Unternehmen der Meldepflicht nach ISG, DSG oder dem EU Cyber Resilience Act untersteht, und rechnet im Vorfall aus dem Entdeckungszeitpunkt alle Fristen je Meldung. Sie richtet sich an IT-Leitung, Geschäftsleitung und Produktverantwortliche in KMU, die kritische Infrastrukturen betreiben oder beliefern, Personendaten bearbeiten oder Produkte in die EU verkaufen.

Download

XLSX

Excel-Vorlage

Stand Oktober 2026 · Grundlage: Art. 74a bis 74h ISG, Art. 12 und 16 CSV, Art. 24 DSG, Art. 14 Cyber Resilience Act · kostenlos, ohne Anmeldung

Kostenlos herunterladen

SKILL

KI-Skill

Der KI-Skill prüft mit Ihnen, ob ISG, DSG und CRA gelten, erstellt im Vorfall die Fristenübersicht mit Datum und Uhrzeit und entwirft die Meldungen an BACS, EDÖB und die ENISA-Plattform. Für Microsoft 365 Copilot, ChatGPT und Claude.

Skill herunterladen

Was in der Vorlage steckt

  • Blatt Anleitung mit sechs Arbeitsschritten und 16 Fristen und Regeln mit Grundlage und Link.
  • Blatt Betroffenheit mit Fragen zu ISG (Art. 74b inklusive Hersteller nach Bst. u und Ausnahmen nach Art. 12 CSV), DSG, CRA und FINMA und je einem Ergebnis.
  • Ermittlung des zuständigen EU-Mitgliedstaats für CRA-Meldungen in der Reihenfolge Hauptniederlassung, Bevollmächtigter, Importeur, Händler, meiste Nutzer.
  • Blatt Fristen rechnet aus Entdeckung und Kenntnis die Fälligkeit von BACS-Erstmeldung und Ergänzung, CRA-Frühwarnung, Meldung und Abschlussbericht und zeigt Reststunden und Status.
  • Im Blatt Fristen führen drei Fragen zum Entscheid über die Meldung an den EDÖB, inklusive Information der Kunden als Auftragsbearbeiter und Aufbewahrung der Dokumentation.
  • Blatt Meldeprozess mit acht Rollen, acht Phasen mit Zeitzielen, externen Stellen und Zugängen sowie Freigabe durch die Geschäftsleitung.
  • Blatt Meldeinhalte mit 22 Angaben für die Meldungen nach ISG, DSG und CRA mit Status pro Punkt.
  • Blatt Protokoll für 150 Einträge mit Stunden seit Entdeckung; fiktive Beispielwerte sind als «Beispiel» markiert.

So setzen Sie die Vorlage ein

  1. Betroffenheit prüfen. Beantworten Sie die Fragen zu ISG, DSG und CRA vor einem Vorfall. Ist das Ergebnis unklar, fragen Sie beim BACS nach.
  2. Meldeprozess festlegen. Tragen Sie Vorfallleitung, Stellvertretungen und Zugänge ein, legen Sie EU-Login-Konten an und lassen Sie den Prozess freigeben.
  3. Im Vorfall Zeitpunkt erfassen. Tragen Sie Entdeckung und Kenntnis mit Uhrzeit ein. Die Vorlage zeigt alle Fristen und was offen oder überfällig ist.
  4. Melden und nachliefern. Melden Sie fristgerecht, auch wenn noch nicht alles bekannt ist, und ergänzen Sie fehlende Angaben anhand des Blatts Meldeinhalte.
  5. Dokumentieren und üben. Halten Sie jeden Entscheid im Protokoll fest, bewahren Sie die Dokumentation mindestens zwei Jahre auf und üben Sie den Ablauf jährlich.

Häufige Fehler

  • Nur an das BACS gedacht: Die Meldung nach ISG ersetzt weder die Meldung an den EDÖB noch die CRA-Meldung über die ENISA-Plattform.
  • Die Frist ab Arbeitsbeginn gerechnet, obwohl die 24 Stunden ab Entdeckung laufen, auch über Nacht und am Wochenende.
  • Als Hersteller die Fernwartung übersehen: Nutzen kritische Infrastrukturen ein Produkt mit Fernwartungszugang, gilt Art. 74b Abs. 1 Bst. u ISG.
AnleitungMeldepflichten bei Cybervorfällen: ISG, DSG und der EU Cyber Resilience Act im MeldeprozessDie ganze Anleitung mit Fristen, Beispielen und Quellen.KI-SkillDie Vorlage mit KI ausfüllenLaden Sie den Skill oben herunter und fügen Sie ihn in Copilot, ChatGPT oder Claude hinzu. Er führt durch die Schritte und prüft nach Schweizer Regeln.WerkzeugeAlle VorlagenKostenlose Vorlagen und Rechner für Finanzen, Einkauf, IT, Personal, Vertrieb, Recht und Steuern.

Grundlage und Stand

Grundlage sind das Informationssicherheitsgesetz (Stand 1.10.2025) mit der Meldepflicht für kritische Infrastrukturen seit 1. April 2025, die Cybersicherheitsverordnung, Art. 24 DSG und Art. 15 DSV sowie die Meldepflichten nach Art. 14 des EU Cyber Resilience Act, die seit dem 11. September 2026 gelten; die übrigen CRA-Pflichten gelten ab dem 11. Dezember 2027. Die CRA-Fristen sind an den Angaben der EU-Kommission und der ENISA geprüft. Stand der Vorlage: Oktober 2026.

Die Vorlage ersetzt keine Beratung im Einzelfall. Beispielwerte sind als Beispiel markiert.

Häufige Fragen

Meldepflichtig sind die Behörden und Organisationen nach Art. 74b ISG, also Betreiber kritischer Infrastrukturen wie Energieversorger, Spitäler oder Banken. Dazu kommen Hersteller von Hard- oder Software, deren Produkte kritische Infrastrukturen nutzen, wenn die Produkte einen Fernwartungszugang haben, betriebstechnische Systeme steuern und überwachen oder der öffentlichen Sicherheit dienen. Eine Ausnahme für kleine Hersteller sieht die Verordnung nicht vor. Sie melden innert 24 Stunden nach Entdeckung an das BACS.

Hersteller, die Produkte mit digitalen Elementen in der EU auf den Markt bringen, senden innert 24 Stunden ab Kenntnis eine Frühwarnung und innert 72 Stunden die Meldung über die ENISA-Plattform. Der Abschlussbericht folgt bei einer Schwachstelle 14 Tage nach verfügbarer Korrektur, bei einem schwerwiegenden Vorfall einen Monat nach der 72-Stunden-Meldung.

Ja, wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Dann melden Sie so rasch als möglich dem EDÖB, unabhängig von der Meldung an das BACS. Jede Verletzung dokumentieren Sie; nach einer Meldung bewahren Sie die Dokumentation mindestens zwei Jahre ab der Meldung auf.