ISG · Schweiz Meldepflicht-Check

Cyberangriffe melden: Gilt die 24-Stunden-Pflicht für Sie?

Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innert 24 Stunden dem BACS melden. Wer erfasst ist, bestimmt eine namentliche Liste, nicht Ihre Mitarbeiterzahl. Vier Fragen, Ergebnis sofort, ohne E-Mail-Adresse.

Meldepflicht prüfen Demo vereinbaren

Keine Registrierung · Antworten bleiben im Browser · unverbindliche Ersteinschätzung

Zuerst die Klarstellung

NIS2 gilt für Schweizer Unternehmen nicht — bis auf drei Ausnahmen.

Die Schweiz hat die Richtlinie (EU) 2022/2555 nicht umgesetzt; ein Pendant zu ihren Risikomanagement- und Governance-Pflichten besteht nicht. Das ISG verpflichtet private Betreiber kritischer Infrastrukturen ausschliesslich zur Meldung (Art. 2 Abs. 5 ISG), nicht zu Risikomanagement, Unternehmensführung oder Wirksamkeitsnachweis.

Unmittelbar anwendbar wird NIS2 auf einen schweizerischen Rechtsträger in drei Konstellationen. Der Cyber Resilience Act knüpft dagegen an das Bereitstellen von Produkten auf dem EU-Markt an.

Über eine EU-Tochter

Adressat ist die EU-Gesellschaft, nicht die schweizerische Muttergesellschaft. Bei der Grössenprüfung werden Konzernwerte grundsätzlich mitgerechnet; eine kleine EU-Tochter eines grossen Konzerns erreicht die Schwellen daher im Regelfall. Ausserhalb bleibt sie nur, wenn sie bei ihren Netz- und Informationssystemen organisatorisch, technisch und operativ unabhängig ist.

Als digitaler Dienst ohne EU-Niederlassung

Nur für einen abschliessenden Kreis: DNS, TLD-Registries, Domain-Registrierung, Cloud, Rechenzentren, CDN, Managed Services, Managed Security Services, Online-Marktplätze, Suchmaschinen, soziale Netzwerke. Diese müssen einen Vertreter in der EU benennen. Für alle anderen Branchen gibt es diese Pflicht nicht, anders als bei der DSGVO.

Über den Vertrag Ihrer EU-Kunden

Verpflichtet ist der EU-Kunde, nicht der schweizerische Lieferant. Erfasste EU-Einrichtungen haben die Sicherheit ihrer unmittelbaren Anbieter zu beurteilen und zu dokumentieren (Art. 21 Abs. 2 lit. d und Abs. 3 NIS2). Die Anforderung wirkt vertraglich, als Sicherheitsfragebogen, Auditrecht oder Meldeklausel, nicht kraft Gesetzes.

Daneben: der Cyber Resilience Act

Wer Produkte mit digitalen Elementen auf den EU-Markt bringt, unterliegt der CRA unmittelbar, ohne Niederlassungserfordernis. Die Meldepflicht für aktiv ausgenutzte Schwachstellen (24 Stunden Frühwarnung, 72 Stunden Meldung an CSIRT und ENISA) gilt ab 11. September 2026, der Hauptteil ab 11. Dezember 2027.

Schritt für Schritt

Meldepflicht-Check

Der Schweizer Check läuft eine namentliche Liste ab (Art. 74b ISG), keine Grössenschwelle. Grössenausnahmen gibt es nur für vier Kategorien.

1 Welchem Organisationstyp entsprechen Sie?

Die Liste des Art. 74b Abs. 1 ISG ist abschliessend. Wählen Sie den Typ, der Ihre Tätigkeit am ehesten beschreibt. Betrifft ein Angriff ausschliesslich nicht gelistete Tätigkeiten eines gemischten Unternehmens, besteht keine Meldepflicht (Art. 74b Abs. 2).

Organisationstyp*

2 Wie gross ist der betroffene Bereich?

Diese Frage ist nur für vier Kategorien entscheidend — medizinische Laboratorien, Arzneimittelhersteller, Postdienste und Lieferanten unentbehrlicher Güter (Art. 12 Abs. 2 CSV). Für alle anderen gelten stattdessen sektorspezifische Ausnahmen mit ganz anderen Massstäben, etwa 2 000 Studierende, 100 MW oder 400 GWh pro Jahr (Art. 12 Abs. 1 CSV).

Weniger als 50 Mitarbeitende im betroffenen Bereich und Umsatz oder Bilanzsumme höchstens 10 Mio. CHF Darüber

3 Welchen Bezug haben Sie zur EU?

Mehrfachauswahl möglich. Diese Angaben ändern die Schweizer Meldepflicht nicht; sie zeigen, welche EU-Regelwerke Sie zusätzlich erreichen können.

Wir haben eine Tochtergesellschaft oder Niederlassung in der EU Wir bieten digitale Dienste in der EU an — Cloud, DNS, Rechenzentrum, CDN, Managed Services, Marktplatz, Suchmaschine oder soziales Netzwerk Wir bringen Produkte mit digitalen Elementen auf den EU-Markt Wir beliefern EU-regulierte Unternehmen Wir bieten Personen in der EU Waren oder Dienstleistungen an oder beobachten deren Verhalten

Schweizer Pflichten

Fristen und Stichtage

Demo buchen Jetzt kostenlos starten

Ohne Gewähr. Diese Ersteinschätzung gibt unsere Lesart des ISG, der CSV und der genannten EU-Rechtsakte wieder und ersetzt keine Rechtsberatung. Verbindlich klärt Ihre Unterstellung nur das BACS: Es informiert interessierte Organisationen und erlässt auf Verlangen eine Verfügung (Art. 74a Abs. 2 ISG). Ihre Antworten werden nicht übertragen und nicht gespeichert.

Sanktionen

Die Busse trifft nicht die verspätete Meldung, sondern die Missachtung einer Verfügung.

Eine verspätete oder unterlassene Meldung ist für sich genommen nicht strafbar. Der Ablauf ist zweistufig: Bei Anzeichen für eine Verletzung informiert das BACS die Organisation zunächst und setzt eine angemessene Frist (Art. 74g ISG). Erst nach deren Ablauf erlässt es eine Verfügung. Strafbar ist nur, wer einer rechtskräftigen Verfügung vorsätzlich nicht Folge leistet, mit Busse bis 100 000 Franken (Art. 74h ISG).

Die Strafbestimmungen sind am 1. Oktober 2025 in Kraft getreten, ein halbes Jahr nach der Meldepflicht selbst.

Massgeblich ist die Frist, nicht die Sanktion.
Die Meldefrist beträgt 24 Stunden ab Entdeckung des Cyberangriffs (Art. 74e Abs. 1 ISG). Sind zu diesem Zeitpunkt nicht alle Angaben verfügbar, räumt das BACS 14 Tage zur Vervollständigung ein (Art. 16 Abs. 1 CSV); die Frist für die Erstmeldung bleibt davon unberührt.

Nächster Schritt

Sehen Sie ReportAct an einem echten Nachweis.

30 Minuten, Ihr Regime, Ihre Pflichten. Wir richten einen Piloten ein — üblicherweise innerhalb einer Woche.

NIS2 gilt für Schweizer Unternehmen nicht — bis auf drei Ausnahmen.
Meldepflicht-Check.
Daneben: der Cyber Resilience Act.

Jetzt kostenlos starten Demo buchen