Meldepflicht für Cyberangriffe: Wer ist in der Schweiz davon betroffen, und wer nicht?

Seit dem 1. April 2025 sind Betreiber kritischer Infrastrukturen verpflichtet, Cyberangriffe innerhalb von 24 Stunden nach ihrer Entdeckung dem Bundesamt für Cybersicherheit (BFC) zu melden. Die beiden Artikel, die die Sanktion regeln – Artikel 74g und 74h des Gesetzes über die Informationssicherheit –, sind am 1. Oktober 2025 in Kraft getreten.

Um herauszufinden, ob das eigene Unternehmen betroffen ist, muss man den Gesetzestext öffnen. Artikel 74b des Gesetzes enthält eine Liste von Behörden und Organisationen, und die Aufnahme in diese Liste hängt weder von der Größe noch vom Umsatz noch von der Verarbeitung personenbezogener Daten ab: Sie hängt von der Art der Tätigkeit ab.

Was das Gesetz vorschreibt: eine Meldung an das OFCS innerhalb von 24 Stunden

Das Informationssicherheitsgesetz (ISG, SR 128) schreibt vor, dass die Meldung innerhalb von 24 Stunden nach Feststellung des Cyberangriffs erfolgen muss. Sie muss Angaben zur meldepflichtigen Organisation, zur Art und zum Ablauf des Cyberangriffs, zu dessen Auswirkungen, zu den ergriffenen Maßnahmen sowie – sofern bekannt – zu den geplanten Maßnahmen enthalten.

Die Verordnung über die Cybersicherheit (CySV, SR 128.51) ergänzt diese Liste. Sie verlangt die Angabe von Datum und Uhrzeit der Feststellung, Datum und Uhrzeit des Angriffs sowie Angaben zum Angreifer. In der Meldung muss zudem angegeben werden, ob der Angriff mit Erpressung, Drohung oder Nötigung in Zusammenhang steht und ob er strafrechtlich angezeigt wurde. Schliesslich muss angegeben werden, wie schwerwiegend die Beeinträchtigung der Verfügbarkeit, Integrität und Vertraulichkeit der Informationen war und welche Auswirkungen der Angriff auf den Betrieb der Organisation hatte.

Diese 24 Stunden setzen keine vollständige Akte voraus. Sind innerhalb dieser Frist nicht alle erforderlichen Informationen bekannt, räumt das OFCS 14 Tage Zeit ein, um die Meldung zu vervollständigen. Es weist darauf hin, dass es sich tatsächlich um 14 Tage handelt, einschließlich Samstag und Sonntag, und dass eine erste Meldung innerhalb von 24 Stunden erwartet wird, auch wenn noch keine Informationen vorliegen. Es wird auch das Beispiel eines Systems angeführt, das an einem Freitagabend ausfällt und bei dem erst am Montag festgestellt wird, dass es sich um einen Angriff handelt: Die Frist beginnt mit der Feststellung, also am Montagmorgen.

Das Gesetz sieht für die Person, die die Meldung verfasst, eine Ausnahme vor: Wer die Meldepflicht gegenüber einer Behörde oder Organisation wahrnimmt, ist in diesem Zusammenhang nicht verpflichtet, Informationen preiszugeben, die ihn einer strafrechtlichen Verfolgung aussetzen würden.

Die Meldung erfolgt über ein Formular im Cyber Security Hub, der Austauschplattform, die das BFS den Betreibern kritischer Infrastrukturen zur Verfügung stellt. Organisationen, die dort kein Konto haben, nutzen die Meldefunktion auf der Website des BFS oder die dort bereitgestellte E-Mail-Vorlage. Über dasselbe Formular kann die Meldung auf Antrag an andere Behörden weitergeleitet werden, bei denen ebenfalls eine Meldepflicht besteht, beispielsweise an die Eidgenössische Finanzmarktaufsicht (FINMA) oder den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Das Gesetz legt fest, welchem Zweck die Meldepflicht für Cyberangriffe dient: Sie soll es dem OFCS ermöglichen, die bei Angriffen auf kritische Infrastrukturen angewandten Vorgehensweisen frühzeitig zu erkennen, um potenzielle Opfer zu warnen und ihnen die erforderlichen präventiven und reaktiven Maßnahmen zu empfehlen. Die meldende Organisation hat zudem Anspruch auf Unterstützung durch das OFCS bei der Bewältigung des Vorfalls.

Wer ist steuerpflichtig: die Liste gemäß § 74b LSI

In Artikel 74b Absatz 1 sind einundzwanzig Kategorien von Behörden und Organisationen aufgeführt, von Buchstabe a bis Buchstabe u.

Brief	Zielorganisationen
a	Hochschulen im Sinne des Gesetzes über die Förderung und Koordination der Hochschulen
b	die Bundes-, Kantons- und Gemeindebehörden sowie die interkantonalen, kantonalen und interkommunalen Organisationen, mit Ausnahme des Verteidigungsverbands, wenn die Armee einen Unterstützungs- oder Aktivdienst leistet
c	Organisationen, die mit öffentlich-rechtlichen Aufgaben in den Bereichen Sicherheit und Rettungswesen, Trinkwasserversorgung, Abwasserbehandlung und Abfallentsorgung betraut sind
d	Unternehmen aus den Bereichen Energieversorgung sowie Energiehandel, -messung und -management, ausgenommen Angriffe auf eine kerntechnische Anlage
e	Unternehmen, die dem Bankengesetz, dem Versicherungsaufsichtsgesetz oder dem Finanzmarktinfrastrukturgesetz unterliegen
f	die in der kantonalen Krankenhausliste aufgeführten Gesundheitseinrichtungen
g	medizinische Laboratorien, die über eine Bewilligung im Sinne des Epidemiegesetzes verfügen
h	Unternehmen, die über eine Genehmigung zur Herstellung, zum Inverkehrbringen oder zur Einfuhr von Arzneimitteln verfügen
i	Organisationen, die Leistungen zur Absicherung gegen die Folgen von Krankheit, Unfall, Arbeits- und Erwerbsunfähigkeit, Alter, Invalidität und Pflegebedürftigkeit erbringen
j	die Schweizerische Radio- und Fernsehgesellschaft
k	die überregionalen Nachrichtenagenturen
l	die bei der Postkommission registrierten Postdienstleister
m	Eisenbahnunternehmen sowie Konzessionsunternehmen für Seilbahnen, Oberleitungsbusse, Busse und Schifffahrt
n	die vom Bundesamt für Zivilluftfahrt zugelassenen Unternehmen der Zivilluftfahrt sowie die im Sachplan Luftfahrt aufgeführten nationalen Flughäfen
o	Unternehmen, die Güter auf dem Rhein befördern, sowie solche, die im Hafen von Basel Güter abfertigen, verladen oder entladen
p	Unternehmen, die die Bevölkerung mit unverzichtbaren Gütern des täglichen Bedarfs versorgen und deren teilweiser oder vollständiger Ausfall zu schwerwiegenden Versorgungsengpässen führen würde
q	die beim Bundesamt für Kommunikation registrierten Telekommunikationsdienstleister
r	die Register und Registrare von Internet-Domains
s	Anbieter und Betreiber von Diensten und Infrastrukturen, die der Ausübung politischer Rechte dienen
t	Anbieter und Betreiber von Diensten cloud, von Suchmaschinen, digitalen Sicherheits- oder Vertrauensdiensten sowie von Rechenzentren, sofern sie ihren Sitz in der Schweiz haben
u	Hersteller von Hardware oder Software, die in kritischen Infrastrukturen zum Einsatz kommen, sofern diese Produkte über einen Fernwartungszugang verfügen oder zur Steuerung und Überwachung technischer Systeme oder zur Gewährleistung der öffentlichen Sicherheit dienen

Das Gesetz enthält zwei Präzisierungen. Eine Organisation, die auch Tätigkeiten ausserhalb dieser Kategorien ausübt, muss Cyberangriffe, die sich ausschliesslich auf diese anderen Tätigkeiten auswirken, nicht melden. Zudem gilt die Meldepflicht für Cyberangriffe, die Auswirkungen in der Schweiz haben, selbst wenn sich die betroffenen IT-Systeme im Ausland befinden.

Das Gesetz beauftragt das OFCS, die Behörden und betroffenen Organisationen über ihre allfällige Unterstellung zu informieren und auf Antrag eine Entscheidung in dieser Angelegenheit zu treffen.

Was durch die Verordnung ausgenommen ist und was nicht unter diese Ausnahmen fällt

Artikel 74c des Informationssicherheitsgesetzes (LSI) beauftragt den Bundesrat, Behörden und Organisationen von der Pflicht zu befreien, wenn die durch Cyberangriffe verursachten Störungen nur begrenzte Auswirkungen auf das Funktionieren der Wirtschaft oder das Wohlergehen der Bevölkerung haben. Die Verordnung über die Cybersicherheit regelt diese Ausnahmen in Artikel 12 und führt sie einzeln auf.

Im ersten Absatz sind fünf Fälle aufgeführt:

• Hochschulen mit weniger als 2000 Studierenden;
• bestimmte Energieunternehmen, je nach dem ihnen auferlegten Schutzniveau, oder – im Falle von Gasleitungsbetreibern – ein jährlicher Energietransport von durchschnittlich weniger als 400 GWh in den letzten fünf Jahren;
• bestimmte Verkehrsunternehmen, je nach den ihnen übertragenen systemrelevanten Aufgaben und der Art der Konzession, über die sie verfügen;
• bestimmte Unternehmen der Zivilluftfahrt, entsprechend den für sie geltenden Verpflichtungen im Bereich der Informationssicherheit;
• Anbieter der Kategorie „t“, die keine entgeltlichen Dienstleistungen für Dritte erbringen.

Der zweite Absatz regelt die Grössengrenze. Die unter den Buchstaben g, h, l und p genannten Organisationen sind von der Pflicht befreit, wenn sie in dem betreffenden Bereich weniger als 50 Mitarbeiter beschäftigen und ihr Jahresumsatz oder die in ihrer Jahresbilanz ausgewiesene Summe dort 10 Millionen Franken nicht übersteigt.

Dieser Schwellenwert gilt somit nur für vier der einundzwanzig Kategorien: medizinische Labore, Arzneimittelhersteller, Postdienstleister und Anbieter von Artikeln des täglichen Bedarfs. Eine Gemeinde, ein auf der kantonalen Liste aufgeführtes Krankenhaus oder ein Telekommunikationsdienstleister unterliegt der Steuerpflicht unabhängig von seiner Größe.

Warum ein Unternehmen, das nicht in der Liste aufgeführt ist, nicht betroffen ist

Das BFS schreibt: Für Unternehmen, die nicht zur kritischen Infrastruktur gehören, besteht derzeit keine gesetzliche Meldepflicht für Cybervorfälle. Keine der einundzwanzig Kategorien bezieht sich auf ein Unternehmen aufgrund seiner Größe, seines Umsatzes oder der Tatsache, dass es personenbezogene Daten verarbeitet. Ein Schweizer KMU wie beispielsweise eine Treuhandgesellschaft, eine Anwaltskanzlei oder ein Ingenieurbüro fällt im Rahmen dieser Tätigkeit unter keinen dieser Buchstaben.

Im Schweizer Recht besteht jedoch eine weitere Meldepflicht, die nicht auf denselben Kriterien beruht. Das Datenschutzgesetz sieht in Artikel 24 vor, dass der für die Datenbearbeitung Verantwortliche dem EDÖB unverzüglich Fälle von Datenschutzverletzungen meldet, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person darstellen. Diese Meldepflicht bezieht sich nicht auf eine Liste von Tätigkeiten: Auslöser ist das Risiko für die betroffene Person, nicht die Kritikalität der Infrastruktur. Die beiden Texte überschneiden sich übrigens, da die Verordnung über die Cybersicherheit davon ausgeht, dass eine Manipulation oder ein Informationsleck als nachgewiesen gilt, wenn eine Verletzung der Datensicherheit gemäss diesem Artikel 24 gemeldet wird.

Für bestimmte Meldepflichtige gelten zusätzlich branchenspezifische Verpflichtungen. Das OFCS weist daher darauf hin, dass ein Institut, das ebenfalls dem LSI unterliegt, seine erste 24-Stunden-Meldung zwar über das Formular des OFCS übermitteln kann, die detaillierte 72-Stunden-Meldung jedoch stets über die Plattform der FINMA erfolgen muss.

Der Fall der Schweizer IT-Dienstleister und der Gemeinden

Ein Schreiben richtet sich direkt an IT-Unternehmen. Das Schreiben betrifft Anbieter und Betreiber von cloud, von Suchmaschinen, digitalen Sicherheits- oder Vertrauensdiensten sowie von Rechenzentren mit Sitz in der Schweiz. Die für diesen Buchstaben vorgesehene Ausnahme gilt nur für diejenigen, die keine entgeltlichen Dienstleistungen für Dritte erbringen. Der Buchstabe q umfasst zudem die beim Bundesamt für Kommunikation registrierten Anbieter von Telekommunikationsdiensten, und der Buchstabe u bestimmte Hersteller von Hardware und Software.

Die Meldepflicht liegt weiterhin bei der vom Angriff betroffenen Organisation, auch wenn ein Dritter die Systeme verwaltet. Das BFS hält dies fest und führt ein Beispiel an: Im Falle einer Gemeinde kann der Dienstleister die Meldung im Namen der betroffenen Gemeinde vornehmen, dies muss jedoch dokumentiert werden. Es klärt auch die Frage nach dem gemeinsam genutzten Netzwerk: Wenn eine Gemeinde die IT-Dienste und das Netzwerk des Kantons nutzt, erfolgt die Meldung durch den Netzbetreiber, also den Kanton. Die Frage, wer den Vorfall zuerst bemerkt, hängt damit zusammen, wer Ihre Umgebung kontrolliert Microsoft 365.

Was den Hinweis auslöst

Artikel 74d LSI nennt vier Fälle. Ein Cyberangriff muss gemeldet werden, wenn er den Betrieb der betroffenen kritischen Infrastruktur gefährdet, wenn er zu einer Manipulation oder einem Informationsleck geführt hat, wenn er über einen längeren Zeitraum unentdeckt geblieben ist oder wenn er mit Erpressung, Drohungen oder Nötigung einhergeht.

Die Verordnung definiert jeden dieser Begriffe. Der Betriebsablauf ist gefährdet, wenn Mitarbeiter oder Dritte von Systemausfällen betroffen sind oder wenn die Organisation ihre Aktivitäten nur mithilfe von Notfallplänen aufrechterhält. Eine Manipulation oder ein Datenleck liegt vor, wenn Unbefugte geschäftskritische Informationen einsehen, ändern oder veröffentlichen. Ein Angriff gilt als über einen längeren Zeitraum unentdeckt, wenn er mehr als 90 Tage zurückliegt. Erpressung schließlich liegt vor, wenn sie sich gegen die betroffene Organisation oder die für sie tätigen Personen richtet.

Nicht alle Vorfälle werden also gemeldet, und das BFS verdeutlicht dies anhand konkreter Fälle. Ein Denial-of-Service-Angriff auf eine für das Unternehmen nicht kritische Anwendung löst keine automatische Meldepflicht aus: Entscheidend ist, ob der Angriff den Betrieb der kritischen Infrastruktur als Ganzes gefährdet. Und das private Gerät eines Mitarbeiters, das gehackt wird, stellt laut BFS keinen Angriff auf die kritische Infrastruktur dar, auch wenn das BFS empfiehlt, die Situation von einem Spezialisten abklären zu lassen.

Die Sanktionen und das Verfahren, das dazu führt

Die Busse wird nicht wegen der unterlassenen Meldung selbst verhängt. Wenn Anhaltspunkte auf einen Verstoss gegen die Meldepflicht hindeuten, informiert das BSV die Organisation darüber und setzt ihr eine Frist zur Erfüllung dieser Pflicht. Kommt sie dieser nicht nach, erlässt das BSV eine Verfügung, in der eine neue Frist gesetzt und ihr mitgeteilt wird, dass ihr eine Busse droht. Die vorsätzliche Weigerung, dieser rechtskräftigen Verfügung nachzukommen, wird mit einer Busse von höchstens 100'000 Franken geahndet. Die Strafverfolgung und die Urteilsverkündung obliegen den Kantonen.

Das OFCS schreibt zudem, dass es keine aktive Überwachung der Einhaltung dieser Verpflichtung geben werde: Es könne eine Organisation erst dann darauf hinweisen, wenn es selbst Kenntnis von einem Vorfall erhalte.

Die freiwillige Meldung, die allen Unternehmen offensteht

Ein Unternehmen, das nicht meldepflichtig ist, kann einen Cybervorfall beim BFS melden, was dieses auch empfiehlt: Dies trägt zur allgemeinen Cybersicherheit bei und hilft, Bedrohungen frühzeitig zu erkennen. Das Formular ist öffentlich zugänglich unter der Adresse report.ncsc.admin.ch. Privatpersonen unterliegen keiner Meldepflicht, und ihre freiwilligen Meldungen ermöglichen es dem BFS, Trends zu erkennen und Gegenmassnahmen zu ergreifen.

Die beiden Systeme haben nicht das gleiche Volumen. Im ersten Halbjahr 2026 gingen beim OFCS 27.128 freiwillige Meldungen und 200 Meldungen im Rahmen der Meldepflicht ein. Von diesen 200 Meldungen stammen die meisten aus dem öffentlichen Sektor (19,4 %) und aus dem Bereich Informatik und Telekommunikation (18,6 %).

Das BFS erläutert, was es im weiteren Verlauf leistet: technische Unterstützung auf der ersten Ebene, die nicht in Konkurrenz zu den Angeboten der Privatwirtschaft treten soll, sowie die Empfehlung, je nach Ausmaß des Angriffs Hilfe bei spezialisierten Unternehmen zu suchen. Es verhandelt nicht mit den Erpressern; rechtliche Schritte und Verhandlungen fallen in den Zuständigkeitsbereich der Polizei und der Strafverfolgungsbehörden.

Unsere Lektüre

Wir stellen klar: Für ein Unternehmen, das in keiner der einundzwanzig Kategorien aufgeführt ist, besteht im Rahmen dieser Verpflichtung keine Pflicht, ein Projekt einzuleiten, und es muss aus diesem Grund auch nichts beschafft werden. Das OFCS selbst schreibt, dass für Unternehmen außerhalb kritischer Infrastrukturen keine gesetzliche Meldepflicht besteht.

Ausschlaggebend für die Aufnahme in die Liste ist die Geschäftstätigkeit. Die Größe spielt erst an zweiter Stelle eine Rolle, und das auch nur bei vier von einundzwanzig Kategorien. Ein Unternehmen, das IT-Dienstleistungen, Sicherheitsdienstleistungen oder Rechenzentrumskapazitäten von einem Sitz in der Schweiz aus verkauft, das beim Bundesamt für Kommunikation registriert ist oder das das Netz einer öffentlichen Körperschaft betreibt, befindet sich in einem Bereich, in dem sich diese Frage tatsächlich stellt. Diese Frage lässt sich nicht durch bloßes Lesen klären: Das Gesetz überträgt dem BAKOM die Aufgabe, auf Antrag zu antworten und eine Entscheidung zu treffen.

Wir möchten zwei Vorbehalte anbringen. Der erste betrifft den Text selbst: Artikel 74b verweist auf andere Bundesgesetze, von der Hochschulförderung über den Personenverkehr bis hin zu Epidemien und Heilmitteln, und niemand kann dies allein aus dem LSI ableiten. Das ist ärgerlich, und genau deshalb hat der Gesetzgeber den Weg der Entscheidung vorgesehen. Der zweite Vorbehalt betrifft die Schwelle in Artikel 12 Absatz 2, die Organisationen mit weniger als 50 Beschäftigten, deren Umsatz oder Bilanzsumme 10 Millionen Franken nicht übersteigt, ausnimmt: Sie deckt nur vier von einundzwanzig Kategorien ab und sagt nichts über Gemeinden, Spitäler auf der kantonalen Liste oder Anbieter von Telekommunikationsdiensten aus.

Was unabhängig von jeglicher Meldepflicht gilt und nichts kostet, ist folgende Frage: Wer in Ihrer Organisation würde einen Angriff erkennen, wer würde anschließend benachrichtigt werden und in welcher Reihenfolge? Eine unterworfene Organisation hat 24 Stunden Zeit, um ihre Meldung einzureichen, was voraussetzt, dass diese Kette bereits vor dem Vorfall existiert. Eine Organisation, die nicht unterworfen ist, hat das gleiche Interesse daran, dies nicht erst am Tag des Vorfalls zu improvisieren. Wenn diese Kette über einen Dienstleister läuft, wird sie im Rahmen des Outsourcing-Vertrags geregelt, nicht erst am Tag des Vorfalls.

Was Sie selbst überprüfen können

1. Lesen Sie Artikel 74b Absatz 1 des LSI und suchen Sie den Buchstaben, der Ihre Tätigkeit beschreibt. Der Text ist öffentlich zugänglich und die Liste ist kurz.
2. Falls ein Buchstabe in Frage kommen könnte, lesen Sie bitte Artikel 12 der Verordnung über die Cybersicherheit: Die Ausnahmen sind dort namentlich aufgeführt, Buchstabe für Buchstabe.
3. Im Zweifelsfall wenden Sie sich bitte an das OFCS. Das Gesetz verpflichtet das OFCS, interessierte Organisationen zu informieren und auf Antrag eine Entscheidung zu treffen.
4. Prüfen Sie, ob Ihre Organisation über ein Konto beim Cyber Security Hub verfügt. Das OFCS empfiehlt allen betroffenen Organisationen, sich dort zu registrieren; die Konten sind persönlich und ohne Gruppenadresse.
5. Überlegen Sie, wer in Ihrem Unternehmen den Angriff bemerken und wer die Meldung einreichen würde. Die Verpflichtung liegt weiterhin bei der betroffenen Organisation, auch wenn ein Dienstleister die Systeme verwaltet.
6. Falls Ihre Organisation nicht meldepflichtig ist, notieren Sie sich die Adresse des Formulars für die freiwillige Meldung neben Ihren Notrufnummern.

Für keinen dieser Punkte ist ein Dienstleister erforderlich.

Die offiziellen Quellen

• Bundesgesetz über die Informationssicherheit (ISG, SR 128)
• Verordnung über die Cybersicherheit (CySV, SR 128.51)
• Bundesgesetz über den Datenschutz (DSG, SR 235.1)
• OFCS – Informationen zur Meldepflicht
• OFCS – Wie muss man einen Vorfall melden?
• OFCS – Häufig gestellte Fragen zur Meldepflicht
• OFCS – Pressemitteilung vom 24. August 2026 und Halbjahresbericht 2026/1
• OFCS – Meldeformular