Meldepflichten bei Cybervorfällen: ISG, DSG und der EU Cyber Resilience Act im Meldeprozess

Für wen

IT-Leitung, Geschäftsleitung und Produktverantwortliche von KMU mit 10 bis 200 Mitarbeitenden, die kritische Infrastrukturen betreiben oder beliefern, Personendaten bearbeiten oder Software und Geräte in die EU verkaufen

Zeitbedarf

2 Stunden für die Betroffenheitsprüfung, ein halber Tag für Meldeprozess, Rollen und Übung

Rechtsgrundlage

Art. 5, 73b und 74a bis 74h ISG; Art. 6, 12, 15 und 16 CSV; Art. 5 Bst. h und Art. 24 DSG; Art. 15 DSV; Art. 14 Verordnung (EU) 2024/2847 (Cyber Resilience Act)

Stand

Oktober 2026

Prüfen Sie jede der drei Pflichten einzeln, bevor ein Vorfall eintritt.

ISG: Meldepflichtig sind die Behörden und Organisationen in Art. 74b Abs. 1 ISG, von Hochschulen über Energieversorger und Banken bis zu Cloud-Anbietern mit Sitz in der Schweiz. Für KMU wichtig ist Bst. u: Hersteller von Hard- oder Software, deren Produkte von kritischen Infrastrukturen genutzt werden, sofern das Produkt einen Fernwartungszugang hat, betriebstechnische Systeme steuert und überwacht oder der öffentlichen Sicherheit dient. Die Cybersicherheitsverordnung nimmt einige Gruppen aus. Kleine Unternehmen unter 50 Beschäftigten und bis CHF 10 Mio. Umsatz oder Bilanzsumme im betroffenen Bereich befreit sie nur in den Bereichen Bst. g, h, l und p (Art. 12 Abs. 2 CSV). Für Hersteller nach Bst. u sieht die Verordnung keine Ausnahme vor. Sind Sie unsicher, gibt das BACS Auskunft und erlässt auf Antrag eine Verfügung (Art. 74a Abs. 2 ISG).

DSG: Bearbeiten Sie Personendaten, gilt Art. 24 DSG für Sie, unabhängig von Branche und Grösse.

CRA: Er betrifft Sie, wenn Sie Software oder Hardware herstellen und in der EU auf den Markt bringen, auch über einen Importeur oder Händler.

Beispiel (fiktiv): Ein Hersteller mit 60 Mitarbeitenden liefert Steuerungssoftware mit Fernwartung an Wasserversorgungen in der Schweiz und über einen Importeur in die EU. Er fällt unter alle drei Regime.

Die Fristen beginnen nicht beim Angriff, sondern bei der Entdeckung (ISG) oder der Kenntnis (CRA). Das BACS erklärt es so: Fällt ein System am Freitagabend aus und zeigt sich erst am Montag ein Angriff, läuft die Frist ab Montag (BACS, FAQ). Halten Sie diesen Zeitpunkt deshalb sofort mit Datum und Uhrzeit fest. Er ist die Grundlage aller weiteren Fristen.

Bestimmen Sie im Voraus eine Vorfallleitung und eine Stellvertretung. Diese Person stuft den Vorfall ein und entscheidet über die Meldungen. Die 24 Stunden gelten auch am Wochenende. Das BACS ist über eine Pikettnummer ausserhalb der Bürozeiten erreichbar. Ihr Prozess muss es ebenfalls sein.

Als Zeitziele empfiehlt die Redaktion: Einstufung innert 2 Stunden nach Entdeckung, Entscheid über alle Meldungen innert 12 Stunden. Das ist ein Vorschlag, keine gesetzliche Vorgabe.

Klären Sie die Rolle Ihres IT-Dienstleisters. Ein externer Dienstleister kann die Meldung an das BACS stellvertretend einreichen, die Pflicht bleibt aber bei Ihnen (BACS, FAQ). Halten Sie im Vertrag fest, wie schnell er Sie über einen Vorfall informiert.

Beispiel: Vorfallleitung ist die IT-Leitung, Stellvertretung die Leitung Produktentwicklung. Die Geschäftsleitung wird bei jeder Meldung informiert, entscheidet aber nicht mit.

Ein Cyberangriff ist ein absichtlich ausgelöster Cybervorfall (Art. 5 Bst. e ISG). Melden müssen Sie ihn, wenn er die Funktionsfähigkeit der kritischen Infrastruktur gefährdet, zu Manipulation oder Abfluss von Informationen geführt hat, über längere Zeit unentdeckt blieb oder mit Erpressung, Drohung oder Nötigung verbunden ist (Art. 74d ISG). Erfasst sind auch Angriffe auf Informatikmittel im Ausland, wenn sie sich in der Schweiz auswirken.

Die Erstmeldung muss innert 24 Stunden nach Entdeckung erfolgen (Art. 74e Abs. 1 ISG), auch wenn noch nicht alles bekannt ist. Sie nennt Organisation, Art und Ausführung des Angriffs, Auswirkungen, Massnahmen und geplantes Vorgehen. Die Verordnung verlangt unter anderem Datum und Uhrzeit der Feststellung (Art. 15 CSV). Fehlende Angaben ergänzen Sie innert 14 Tagen (Art. 16 Abs. 1 CSV). Angaben, die Sie selbst strafrechtlich belasten, müssen Sie nicht machen.

Gemeldet wird über das Formular auf dem Cyber Security Hub, ohne Zugang über den Meldebutton des BACS (BACS). Das Formular leitet die Meldung auf Wunsch an weitere Behörden weiter, etwa an EDÖB oder FINMA. FINMA-Institute reichen die ausführliche Meldung innert 72 Stunden weiterhin bei der FINMA ein (BACS, FAQ).

Wer nicht meldet, wird zuerst vom BACS kontaktiert und erhält eine Frist. Verstreicht sie, erlässt das BACS eine Verfügung mit Strafdrohung. Erst wer diese rechtskräftige Verfügung vorsätzlich missachtet, riskiert eine Busse bis CHF 100’000; Verfolgung und Urteil liegen bei den Kantonen (Art. 74g und 74h ISG). Mit der Meldung haben Sie Anspruch auf Unterstützung durch das BACS.

Die Meldung an das BACS ersetzt die Datenschutzmeldung nicht.

Eine Verletzung der Datensicherheit liegt vor, wenn Personendaten verlorengehen, gelöscht, verändert oder Unbefugten offengelegt oder zugänglich gemacht werden (Art. 5 Bst. h DSG). Führt sie voraussichtlich zu einem hohen Risiko für die Betroffenen, melden Sie sie dem EDÖB so rasch als möglich (Art. 24 Abs. 1 DSG). Eine feste Stundenzahl nennt das Gesetz nicht. Bei Ransomware-Angriffen können Sie laut Leitfaden des EDÖB in der Regel nicht länger dauernde Abklärungen abwarten. Fehlende Angaben liefern Sie nach (Art. 15 Abs. 2 DSV). Gemeldet wird über das Meldeportal DataBreach auf edoeb.admin.ch.

Sind Sie Auftragsbearbeiter, etwa als Hersteller mit Fernwartung, der Daten im Auftrag Ihrer Kunden bearbeitet, melden Sie jede Verletzung so rasch als möglich Ihrem Kunden (Art. 24 Abs. 3 DSG). Ihr Kunde entscheidet dann über die Meldung an den EDÖB.

Jede Verletzung dokumentieren Sie, auch ohne Meldung. Nach einer Meldung bewahren Sie die Dokumentation mindestens zwei Jahre ab der Meldung auf (Art. 15 Abs. 4 DSV). Für Fälle ohne Meldung nennt die Verordnung keinen Fristbeginn; die Vorlage rechnet dann ab Entdeckung.

Wie Sie das hohe Risiko an einem konkreten Fall einschätzen, zeigt die Anleitung zur PHP2Shell-Nachsorge. Dort geht es um die technische Nachsorge einer Lücke, hier um den Meldeprozess über alle drei Regime.

Seit dem 11. September 2026 müssen Hersteller zwei Arten von Ereignissen melden: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit des Produkts beeinträchtigen (EU-Kommission). Aktiv ausgenutzt heisst laut ENISA: Es gibt verlässliche Hinweise, dass ein Angreifer die Schwachstelle ohne Erlaubnis des Systembetreibers ausgenutzt hat. Die Pflicht gilt auch für Produkte, die schon vor dem 11. Dezember 2027 auf dem Markt waren.

Die Fristen laufen ab Kenntnis (ENISA, FAQ 7): Frühwarnung innert 24 Stunden, Meldung innert 72 Stunden, Abschlussbericht bei einer Schwachstelle spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei einem schwerwiegenden Vorfall innert eines Monats nach der 72-Stunden-Meldung.

Gemeldet wird einmal über die Single Reporting Platform der ENISA. Sie leitet an das zuständige CSIRT und gleichzeitig an die ENISA weiter. Ohne Niederlassung in der EU bestimmt sich der Mitgliedstaat in dieser Reihenfolge: Bevollmächtigter, Importeur, Händler, Mitgliedstaat mit den meisten Nutzern (ENISA, FAQ 18). Halten Sie diese Zuordnung im Voraus fest. Eine falsche Wahl kann die Meldung ungültig machen.

Der Zugang läuft über ein persönliches EU-Login-Konto mit Zwei-Faktor-Anmeldung, die Plattform ist zum Start nur englisch. Das EU-Login-Konto lässt sich vorab anlegen, die Registrierung auf der Plattform empfiehlt die ENISA erst, wenn eine Meldung ansteht (ENISA, FAQ 9). Die Redaktion empfiehlt, EU-Login-Konten für zwei Personen jetzt anzulegen und englische Textbausteine vorzubereiten. Kleinst- und Kleinunternehmen erhalten für eine verpasste 24-Stunden-Frist keine Geldbusse (EU-Kommission). Die Frist gilt für sie trotzdem.

Ein Vorfall kann alle drei Pflichten gleichzeitig auslösen. Führen Sie deshalb ein einziges Vorfallprotokoll und eine Zeitachse, auf der jede Frist mit Datum und Uhrzeit steht.

Beispiel (fiktiv, Hersteller aus Schritt 1): Am Freitag, 13. November 2026, um 16:40 Uhr stellt ein Techniker fest, dass Unbekannte über eine Schwachstelle in der Fernwartungskomponente auf zwei Kundenanlagen zugegriffen haben. Die Zeitachse:

• BACS, Erstmeldung: bis Samstag, 14. November, 16:40 Uhr. Gemeldet am Samstag um 10:15 Uhr.
• CRA, Frühwarnung: ebenfalls bis Samstag, 14. November, 16:40 Uhr. Gemeldet um 11:00 Uhr über die ENISA-Plattform, zuständig ist das CSIRT im Mitgliedstaat des Importeurs.
• CRA, Meldung: bis Montag, 16. November, 16:40 Uhr.
• Korrektur verfügbar am Freitag, 20. November. CRA-Abschlussbericht damit bis Freitag, 4. Dezember.
• BACS, Ergänzung: Die Vorlage rechnet die 14 Tage vorsichtshalber ab der Erstmeldung, also bis Samstag, 28. November. Massgebend ist die Frist, die Ihnen das BACS nennt.
• DSG: Abgeflossen sind Name und Telefonnummer von zwei Servicetechnikern der Kunden, die der Hersteller im Auftrag bearbeitet. Als Auftragsbearbeiter meldet er die Verletzung den beiden Kunden noch am Freitagabend. Die Kunden entscheiden als Verantwortliche über die Meldung an den EDÖB. Die Vorfallleitung dokumentiert den Vorgang.

Umgekehrt setzt das BACS Herstellern bei gemeldeten Schwachstellen in der Regel 90 Tage zur Behebung (Art. 6 Abs. 2 CSV).

Ein Meldeprozess, der nur auf Papier existiert, versagt am Samstagmorgen. Lassen Sie ihn von der Geschäftsleitung freigeben und legen Sie fest, wo er liegt: ausserhalb der Systeme, die bei einem Angriff ausfallen können, etwa als Ausdruck und auf einem privaten Mobiltelefon der Vorfallleitung.

Hinterlegen Sie Kontakte und Zugänge: BACS-Formular und Pikettnummer, EDÖB-Meldeportal, ENISA-Plattform, EU-Login-Konten, IT-Dienstleister, Datenschutz- und Rechtsberatung. Prüfen Sie zweimal pro Jahr, ob alles stimmt.

Üben Sie einmal pro Jahr mit einem Szenario, zum Beispiel einem Erpressungsangriff am Freitagabend. Messen Sie, wie lange die Einstufung und der Entscheid dauern. Liegt der Entscheid nicht innert 12 Stunden vor, passen Sie Rollen oder Stellvertretungen an.

Behalten Sie die Rechtsentwicklung im Blick. Bis Juni 2027 entsteht eine Vernehmlassungsvorlage für ein Cybersicherheitsgesetz. Die ISG-Meldepflicht soll dorthin wechseln, die Produktanforderungen orientieren sich am CRA (Bundesrat).

Nur an das BACS gedacht. Die Meldung nach ISG ersetzt weder die Meldung an den EDÖB noch die CRA-Meldung. Jede Pflicht hat eigene Auslöser und Empfänger.

Die Frist ab Arbeitsbeginn gerechnet. Die 24 Stunden laufen ab Entdeckung, auch über Nacht und am Wochenende.

Auf volle Klarheit gewartet. ISG, DSG und CRA sehen vor, dass Sie Angaben nachliefern. Melden Sie fristgerecht, auch unvollständig.

Den EU-Zugang erst im Vorfall angelegt. EU Login, Zwei-Faktor und die Zuordnung zum Mitgliedstaat kosten Zeit, die in den ersten 24 Stunden fehlt.

Die Fernwartung übersehen. Hat Ihr Produkt einen Fernwartungszugang und nutzen es kritische Infrastrukturen, fallen Sie unter Art. 74b Abs. 1 Bst. u ISG, auch als kleiner Hersteller.

Ist unklar, ob Sie unter Art. 74b ISG fallen, fragen Sie beim BACS nach. Ob Ihr Produkt unter den CRA fällt, wer als Importeur oder Bevollmächtigter gilt und was ab Dezember 2027 gilt, klärt eine Technologierechtlerin. Ob ein hohes Risiko nach Art. 24 DSG vorliegt und ob zusätzlich die Datenschutz-Grundverordnung der EU gilt, klärt eine Anwältin mit Schwerpunkt Datenschutz. Bei einem laufenden Angriff ziehen Sie eine Fachfirma für Incident Response bei, bevor Sie Systeme löschen oder neu aufsetzen.