Meldepflicht für Cyberangriffe auf kritische Infrastrukturen ab 1. April
Die Bedrohung durch Cybervorfälle in der Schweiz nimmt stetig zu. Um damit besser umgehen zu können bzw. diese zu reduzieren gilt nunr eine Meldepflicht für Cyberangriffe bei kritischen Infrastrukturen: Damit werden die Betreibenden von kritischen Infrastrukturen verpflichtet, dem Bundesamt für Cybersicherheit (BACS) Cyberangriffe zu melden. Die dafür erforderliche Änderung des Bundesgesetzes über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG) ist seit 1. April in Kraft. Das ISG legt konkret fest, dass meldepflichtige Behörden und Organisationen wie die Energie- oder Trinkwasserversorgung, Transportunternehmen und die Verwaltungen von Kantonen und Gemeinden Cyberangriffe innerhalb von 24 Stunden nach der Entdeckung an das BACS melden müssen.
Eine Meldepflicht besteht etwa dann, wenn der Angriff die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet, zu einer Manipulation oder zu einem Abfluss von Informationen geführt hat oder mit Erpressung, Drohung oder Nötigung verbunden ist. Sollte die Meldepflicht nicht eingehalten werden, sieht das Gesetz Bussen vor. Die gesetzlichen Grundlagen für die Bussen treten allerdings erst per 1. Oktober 2025 in Kraft. In den ersten 6 Monaten gilt somit die Meldepflicht ohne Sanktionierung.
Meldevorgang und Ausnahmen
Das BACS stellt auf seiner bestehenden Plattform für den Informationsaustausch mit Betreiberinnen und Betreiber kritischer Infrastrukturen ein Meldeformular zur Verfügung, alternativ können die Meldungen per E-Mail-Formular abgegeben werden, welches auf der Website des BACS zu finden ist. Falls bei der Erstmeldung innerhalb von 24 Stunden nicht alle Angaben vorliegen, besteht die Möglichkeit, die Meldung innerhalb von 14 Tagen zu vervollständigen.
Ebenfalls seit 1. April ist die Cybersicherheitsverordnung (CSV) in Kraft, welche die Ausführungsbestimmungen zur Meldepflicht und die Ausnahmeregelung enthält. Des Weiteren enthält die Verordnung auch Bestimmungen über die Nationale Cyberstrategie, die Aufgaben des BACS und den Informationsaustausch des BACS mit Behörden und Organisationen.
Wichtiger Schritt
Die Einführung der Meldepflicht als erste sektorübergreifende Regulierung gilt als elementar für die Cybersicherheit der Schweiz. Die Stärkung des Informationsaustausches ist entscheidend, um der raschen Entwicklung der Cyberbedrohungen mit geeigneten Massnahmen entgegenzutreten. Die Einführung der Meldepflicht für Cyberangriffe in der Schweiz entspricht internationalen Standards. Seit 2018 gilt in allen EU-Mitgliedstaaten eine Meldepflicht für Cybervorfälle gemäss der NIS-Richtlinie.
