Cybersicherheit in Schweizer Unternehmen: Pflichten, Massnahmen und Nachweise

Cybersicherheit als Führungsaufgabe: Wo Schweizer Unternehmen heute stehen

Das Bundesamt für Cybersicherheit (BACS) ist das Kompetenzzentrum des Bundes für Cybersicherheit und erste Anlaufstelle für Wirtschaft, Verwaltung, Bildungseinrichtungen und Bevölkerung. Es koordiniert die Umsetzung der Nationalen Cyberstrategie (NCS). Fragen zur Lage, Verdachtsfälle und Meldungen führen zuerst zum BACS.

Die halbjährlichen Lageberichte des BACS zeigen eine dauerhafte, nicht episodische Bedrohung. Der Meldeeingang bewegt sich über mehrere Halbjahre auf hohem Niveau und stabilisiert sich dort. Betrug dominiert als lukratives Massengeschäft.

Cybersicherheit nur als IT-Thema zu behandeln, unterschätzt die Reichweite: Es geht um Reputation, Betriebsunterbruch, Haftungs- und Aufsichtsfragen sowie um die Fähigkeit, innert Fristen korrekt zu reagieren. Sie ist deshalb eine Führungsaufgabe – mit klaren Zuständigkeiten, festgelegten Ressourcen und regelmässiger Überprüfung wie andere Risikobereiche.

Für Unternehmen stellen sich drei Fragen: Welche Pflichten gelten, welche Massnahmen erfüllen sie, und womit lässt sich die Einhaltung belegen? Die Antwort hängt von der eigenen Rolle ab – von der Betreiberin kritischer Infrastrukturen bis zu branchenspezifischen Vorgaben. Für den Betrieb von Software und IT-Systemen wirken diese Vorgaben bis in die Planung und den Betrieb der eingesetzten Systeme hinein.

Massgebend sind das BACS als Kompetenzzentrum und erste Anlaufstelle, die NCS als Koordinationsrahmen und – in regulierten Bereichen – die FINMA. Für Unternehmen beginnt die Pflichtenprüfung bei der eigenen Rolle.

Auf Bundesebene kommt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) als Aufsichtsbehörde hinzu. Er ist für das Datenschutzgesetz (DSG) und das Öffentlichkeitsgesetz (BGÖ) zuständig und beaufsichtigt nach Art. 4 DSG die Anwendung der bundesrechtlichen Datenschutzvorschriften.

Die Rechtsgrundlagen sind damit benannt: das revidierte Datenschutzgesetz (DSG); das Informationssicherheitsgesetz (ISG) und die Cybersicherheitsverordnung (CSV), beide vom Bundesrat per 1. April 2025 in Kraft gesetzt; im Bankbereich das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» vom 7. Dezember 2022, Bern.

Wer wofür zuständig ist: BACS, EDÖB und FINMA

Was die Halbjahresberichte des BACS für den Unternehmensalltag bedeuten

Das BACS publiziert halbjährlich den Bericht «Cybersicherheit: Lage in der Schweiz und international». Er erläutert Tendenzen und Entwicklungen bei Vorfällen in den Informations- und Kommunikationstechnologien (IKT), die technische Funktionsweise aktueller Angriffe, Ereignisse im In- und Ausland, Prävention und die Aktivitäten staatlicher und privater Akteure.

Die Berichte erscheinen im Halbjahrestakt: 2026/1 am 24. August 2026, 2025/2 am 30. März 2026, 2025/1 am 18. November 2025 und 2024/2 am 6. Mai 2025. Unternehmen können ihre eigene Lagebeurteilung auf diesen Rhythmus abstimmen.

Im ersten Halbjahr 2026 gingen beim BACS 27’128 freiwillige Meldungen und 200 meldepflichtige Cybervorfälle ein; der Meldeeingang stabilisiert sich auf hohem Niveau. Im zweiten Halbjahr 2025 waren es 29'006 freiwillige Meldungen und 145 meldepflichtige Cybervorfälle.

Im ersten Halbjahr 2025 wurden 35’727 Meldungen zu Cybervorfällen verzeichnet. Im zweiten Halbjahr 2024 erhielt das BACS 28’165 Meldungen, nachdem die Zahl über das gesamte Jahr 2024 um 13’574 auf total 62’954 Meldungen gestiegen war.

Betrug bleibt dominierend: Im zweiten Halbjahr 2025 entfielen 52 Prozent der Meldungen auf das Phänomen «Betrug», im ersten Halbjahr 2025 waren es 58 Prozent. Telefonische Varianten wie das «Voice Phishing» haben sich als Methode etabliert. Die seit Mitte 2023 dominierenden betrügerischen Drohanrufe im Namen von Behörden nahmen dagegen signifikant ab.

Für den Unternehmensalltag sind die Kontaktpunkte entscheidend: Kleinanzeigenplattformen, Suchmaschinenplatzierungen oder Datenlecks dienen Cyberkriminellen als Einstieg. Sie holen ihre Opfer mit persönlichen, emotionalen und teilweise technisch sehr ausgefeilten Methoden ab.

Angreifer nutzen Künstliche Intelligenz (KI) systematisch, um zugeschnittene, personalisierte Inhalte glaubwürdig an die Opfer zu bringen. Die Seriosität einzelner Nachrichten ist damit kein verlässliches Erkennungsmerkmal mehr; nötig sind Prozesse, die nicht auf dem Bauchgefühl Einzelner beruhen.

Freiwillige Meldungen an das BACS nach Halbjahr

Meldepflichten in der Praxis: Meldepflichtige Cybervorfälle und freiwillige Meldungen

Das BACS führt eine Statistik zur Meldepflicht. Erfasst werden Meldungen von Betreiberinnen kritischer Infrastrukturen zu Cybervorfällen, die dem BACS gemeldet werden müssen. Eine der ersten Fragen für jede Organisation ist, ob das eigene Unternehmen zu diesem Kreis gehört.

Rechtsgrundlage der BACS-Meldepflicht ist das Informationssicherheitsgesetz (ISG) in der revidierten Fassung. Der Bundesrat hat die dafür erforderliche Änderung des ISG per 1. April 2025 in Kraft gesetzt. Die Ausführungsbestimmungen zur Meldepflicht und die Ausnahmen nach Art. 74c ISG regelt die Cybersicherheitsverordnung (CSV), ebenfalls seit dem 1. April 2025 in Kraft.

Das ISG verpflichtet meldepflichtige Behörden und Organisationen, dem BACS Cyberangriffe innerhalb von 24 Stunden nach deren Entdeckung zu melden. Können bei der Erstmeldung noch nicht alle Angaben gemacht werden, besteht eine Frist von 14 Tagen, um die Meldung zu vervollständigen. Wird der Meldepflicht nicht Folge geleistet, sieht das Gesetz Bussen vor.

Zu den meldepflichtigen Behörden und Organisationen gehören beispielsweise die Energie- und Trinkwasserversorgung, Transportunternehmen sowie die Verwaltungen von Kantonen und Gemeinden. Ausdrücklich erfasst sind zudem Spitäler im Gesundheitsbereich, sofern sie die in der Verordnung definierten Schwellen erreichen – etwa Bettenzahl oder Versorgungsbedeutung.

Meldepflichtig ist ein Cyberangriff, der die Funktionsfähigkeit der kritischen Infrastruktur gefährdet, zu Manipulation oder Abfluss von Informationen führt, über einen längeren Zeitraum unentdeckt blieb oder mit Erpressung, Drohung oder Nötigung verbunden ist.

Für ein Spital sind typische meldepflichtige Vorfälle: Ransomware mit Verschlüsselung produktiver Systeme, bestätigter unbefugter Zugriff auf das Klinik- oder Laborinformationssystem, Kompromittierung von Fernzugängen (VPN, Wartungszugänge von Medizingeräte-Lieferanten) oder ein erfolgreicher Angriff auf die E-Mail-Infrastruktur mit Datenabfluss.

Die ISG/BACS-Meldung ist abzugrenzen von der Datenschutz-Meldung an den EDÖB nach Art. 24 DSG, wenn der Vorfall zu einer Verletzung der Datensicherheit von Personendaten mit hohem Risiko führt. Bei besonders schützenswerten Gesundheitsdaten kommt die Information der betroffenen Personen hinzu. Ein einziger Ransomware-Vorfall kann drei Meldepflichten auslösen.

Gemeldet wird über das Meldeformular, das das BACS auf seiner bestehenden Plattform für den Informationsaustausch mit Betreiberinnen und Betreibern kritischer Infrastrukturen bereitstellt. Ein Merkblatt zur Meldepflicht für Cyberangriffe auf kritische Infrastrukturen fasst das Vorgehen zusammen.

Meldungen können auch ausserhalb der Normalarbeitszeit anfallen. Zuständigkeiten, Stellvertretungen und Kontaktwege sollten deshalb vorab festgelegt sein, damit im Ereignisfall schnell reagiert werden kann.

Eine Meldung ist nicht Abschluss, sondern Beginn der Fallbearbeitung: Danach laufen technische Abklärung und Wiederherstellung betroffener Systeme weiter. Zuständigkeiten und Informationswege gehören vorab festgelegt und geübt; Meldungen sind Teil des Betriebs, kein Sonderfall.

Meldepflichtige Cybervorfälle an das BACS

Ablauf der Meldung eines Cybervorfalls an das BACS

Datenschutzpflichten nach dem revidierten DSG

Das revidierte Datenschutzgesetz (DSG) ist seit dem 1. September 2023 in Kraft. Das revidierte Datenschutzgesetz (revDSG) verpflichtet Unternehmen beim Erheben und Speichern von Daten. Verantwortlich ist das Unternehmen selbst: Wer Personendaten bearbeitet, muss die Grundsätze kennen, im Alltag einhalten und die eigene Praxis belegen können.

Auf Bundesebene ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) die Aufsichtsbehörde. Er wirkt darauf hin, dass Bundesorgane und private Unternehmen keine unrechtmässigen Personendatenbearbeitungen vornehmen (Art. 4 DSG). Der EDÖB ist unabhängig und administrativ der Bundeskanzlei zugeordnet; seine Leiterin oder sein Leiter wird von der Vereinigten Bundesversammlung gewählt, die Amtsdauer beträgt vier Jahre und ist höchstens zweimal erneuerbar.

Das revidierte DSG verankert die Grundsätze «Privacy by Design» (Datenschutz durch Technik) und «Privacy by Default» (Datenschutz durch datenschutzfreundliche Voreinstellungen). Sie verpflichten Unternehmen, die Bearbeitungsgrundsätze des DSG bereits ab der Planung entsprechender Vorhaben umzusetzen, indem sie angemessene technische und organisatorische Schutzmassnahmen treffen.

Verantwortliche müssen Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führen, dem EDÖB melden. Dafür steht das Meldeportal Data Breach zur Verfügung; die Pflicht ist in Art. 24 DSG verankert.

Geplante Bearbeitungen von Personendaten mit hohem Risiko für die Persönlichkeit oder die Grundrechte verlangen eine Datenschutz-Folgenabschätzung (DSFA). Verbleibt trotz geeigneter Massnahmen ein hohes Risiko, muss sich der Verantwortliche vor der Durchführung an den EDÖB wenden. Der EDÖB prüft die DSFA und teilt Einwände innert zweier Monate mit; die Stellungnahme ist keine Bewilligung, nicht anfechtbar, aber gebührenpflichtig.

Der EDÖB kann von Amts wegen oder auf Anzeige hin eine Untersuchung eröffnen, wenn Anzeichen für einen Verstoss gegen die Datenschutzvorschriften bestehen (Art. 49 DSG). Im Untersuchungsfall sind alle Auskünfte zu erteilen und alle Unterlagen zur Verfügung zu stellen (Art. 49 Abs. 3 DSG). Verweigert eine Organisation die Kooperation, kann der EDÖB den Zugang zu Auskünften und Geschäftsräumen durchsetzen (Art. 50 DSG).

Berufs-, Branchen- und Wirtschaftsverbände können eigene Verhaltenskodizes entwickeln und dem EDÖB zur Stellungnahme vorlegen; der EDÖB veröffentlicht diese Stellungnahmen. Ebenso veröffentlicht er eine Liste der genehmigten, ausgestellten oder anerkannten Standarddatenschutzklauseln. Der Bundesrat stellt fest, ob die Gesetzgebung eines Drittstaats einen angemessenen Schutz gewährt; die Liste wird als Anhang zur Datenschutzverordnung geführt.

Der EDÖB erstattet der Bundesversammlung jährlich Bericht über seine Tätigkeit; der Tätigkeitsbericht datiert vom 29. Juni 2026. Künstliche Intelligenz durchdringt auch in der Schweiz das Leben der Bevölkerung; der EDÖB weist darauf hin, dass das DSG auf KI-gestützte Datenbearbeitungen direkt anwendbar ist (24. September 2025).

Resilienzvorgaben im Finanzsektor am Beispiel des FINMA-Rundschreibens 2023/1

Die Eidgenössische Finanzmarktaufsicht FINMA hat das Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» erlassen, datiert vom 7. Dezember 2022, Bern. Es ist in der juristischen Fachliteratur dokumentiert.

Das Beispiel steht für eine Struktur, die über den Finanzsektor hinausreicht: Allgemeine Sorgfaltspflichten gelten breit; einzelne Branchen kennen zusätzliche, aufsichtsrechtlich durchgesetzte Anforderungen an operationelle Risiken und Resilienz. Unternehmen sollten prüfen, ob sie neben den allgemeinen Pflichten auch branchenspezifischen Regeln unterstehen.

In einem regulierten Bereich müssen die Vorgaben in die eigene Cybersicherheitsorganisation einfliessen – mit klaren Verantwortlichkeiten, dokumentierten Abläufen und der Fähigkeit, der Aufsicht Auskunft zu geben. Ein Sicherheitskonzept allein genügt nicht; entscheidend ist die nachvollziehbare Umsetzung im Ernstfall.

Von der Pflicht zur Umsetzung: Massnahmen und Meldefähigkeit im Unternehmen

Aus den Pflichten lassen sich praktische Ansatzpunkte ableiten. Erstens: klare interne Meldewege und Zuständigkeiten. Mitarbeitende müssen wissen, an wen sie einen verdächtigen Anruf, eine auffällige E-Mail oder einen möglichen Datenabfluss melden; die Meldestelle muss auch ausserhalb der Bürozeiten erreichbar sein.

Zweitens: rasche Erkennung betrugs- und phishingbezogener Angriffe. Telefonische Varianten wie das «Voice Phishing» sowie Kontaktaufnahmen über Kleinanzeigenplattformen, Suchmaschinenplatzierungen oder Datenlecks dienen als Einstieg. Deshalb gehört die Sensibilisierung der Mitarbeitenden für genau diese Kanäle dazu.

Zu den typischen Angriffsvektoren gehören Fernzugänge wie VPN oder Wartungszugänge von Medizingeräte-Lieferanten. Wer solche Zugänge betreibt, sollte sie in die interne Melde- und Zuständigkeitsordnung aufnehmen.

Drittens: die Fähigkeit, im Ereignisfall geordnet zu reagieren. Wer meldepflichtig ist, braucht vorab definierte Abläufe, hinterlegte Vorlagen und eine benannte Verantwortung mit Stellvertretung. Die technische Analyse kann parallel laufen; die Meldung ist auch organisatorisch zu bewältigen.

Die Erstmeldung an das BACS wird mit dem bekannten Stand abgesetzt, ohne auf die vollständige Forensik zu warten. Die technische Abklärung und die Wiederherstellung betroffener Systeme laufen parallel weiter.

Viertens: Übung. Meldewege, die nur auf dem Papier existieren, versagen im Ernstfall. Sinnvoll sind regelmässige interne Tests – etwa die Durchsprache eines angenommenen Vorfalls – und die Überprüfung, ob Kontaktdaten und Zuständigkeiten noch aktuell sind.

Fünftens: Einbezug der Geschäftsleitung. Cybersicherheit betrifft Reputation, Betriebsunterbruch und Aufsichtsfragen; sie gehört in die Risikobeurteilung und auf die Führungsagenda.

Konkret zu regeln sind: die Meldung an das BACS, soweit eine Meldepflicht besteht, und – bei Personendaten – die Bearbeitung nach revDSG. Im Bankbereich kommt das FINMA-Rundschreiben 2023/1 hinzu. Jede dieser Pflichten braucht eine benannte Zuständigkeit.

Benannte Instrumente mit Rechtsbezug: die Meldung an das BACS, soweit eine Meldepflicht besteht; bei Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko die Meldung an den EDÖB über das Meldeportal Data Breach nach Art. 24 DSG; bei geplanten Bearbeitungen mit hohem Risiko die Datenschutz-Folgenabschätzung (DSFA); im Bankbereich das FINMA-Rundschreiben 2023/1.

Sechs Massnahmen für den Ernstfall

Nachweise erbringen: Dokumentation gegenüber Aufsicht, Revision und Geschäftsleitung

Pflichten werden wirksam, wenn ihre Einhaltung belegbar ist. Dazu gehört eine dokumentierte Bearbeitung von Personendaten: welche Daten bearbeitet werden, zu welchem Zweck, wer Zugriff hat und wie Betroffene informiert werden. Meldungen an das BACS gehören in eine nachvollziehbare Ablage – mit Zeitpunkt, Inhalt und getroffenen Massnahmen.

Zu den Nachweisen gehört auch die Umsetzung der Grundsätze «Privacy by Design» und «Privacy by Default»: Wer die Bearbeitungsgrundsätze ab der Planung berücksichtigt, dokumentiert die dafür getroffenen technischen und organisatorischen Schutzmassnahmen.

Zuständigkeiten und Abläufe sind schriftlich festzuhalten: Wer entscheidet über eine Meldung, wer vertritt wen, über welche Kanäle wird intern informiert, wie wird ein Vorfall abgeschlossen? Solche Unterlagen bilden die Grundlage für Gespräche mit Aufsichtsstellen, interne Revisionen und die Berichterstattung an die Geschäftsleitung.

Dokumentation erleichtert die Zusammenarbeit mit Behörden und Aufsicht und zwingt das Unternehmen, eigene Abläufe zu überprüfen. Wo Lücken sichtbar werden, lassen sich Massnahmen gezielt nachführen, statt sie erst im Ereignisfall zu improvisieren.

Belegbar heisst: Eine Meldung an das BACS ist mit Zeitpunkt, Inhalt und getroffenen Massnahmen dokumentiert. Hinzu kommt die Dokumentation der Datenbearbeitung nach revDSG sowie – in regulierten Branchen – die Auskunftsfähigkeit gegenüber der Aufsicht, im Bankbereich nach dem FINMA-Rundschreiben 2023/1.

Benannte Nachweis-Artefakte: die DSFA, die Stellungnahme des EDÖB zu einer geplanten Bearbeitung, die Meldung über das Meldeportal Data Breach nach Art. 24 DSG sowie im Bankbereich die Auskunft gegenüber der FINMA nach dem Rundschreiben 2023/1.

Der EDÖB kann im Untersuchungsfall alle Auskünfte und Unterlagen verlangen (Art. 49 Abs. 3 DSG); verweigert eine Organisation die Kooperation, kann er den Zugang zu Auskünften und Geschäftsräumen durchsetzen (Art. 50 DSG). Eine belastbare Ablage ist damit Teil der Nachweisführung.

Bei besonders schützenswerten Gesundheitsdaten gehört die Information der betroffenen Personen in die Nachweisführung. Die drei möglichen Meldepflichten – ISG/BACS, Art. 24 DSG an den EDÖB und Information der betroffenen Personen – sind jeweils mit Zeitpunkt, Inhalt und getroffenen Massnahmen zu dokumentieren.

Fazit: Pflichten kennen, handlungsfähig bleiben

Cybersicherheit ist für Schweizer Unternehmen kein Projekt mit Enddatum. Das BACS ist als Kompetenzzentrum des Bundes und erste Anlaufstelle für Wirtschaft, Verwaltung und Bildungseinrichtungen die zentrale Bezugsgrösse. Seine halbjährlichen Lageberichte zeigen einen auf hohem Niveau stabilisierten Meldeeingang, Betrug als dominierendes Phänomen und KI-gestützte, personalisierte Angriffe als Entwicklung.

Meldepflichten, Datenschutzvorgaben und branchenspezifische Resilienzanforderungen sind keine getrennten Dossiers. Die Meldung an das BACS, soweit eine Meldepflicht besteht, die Pflichten aus dem seit dem 1. September 2023 in Kraft stehenden revidierten Datenschutzgesetz und zusätzliche Anforderungen in regulierten Branchen greifen ineinander.

Wer die Pflichten kennt, Zuständigkeiten festlegt, Mitarbeitende sensibilisiert und die Einhaltung dokumentiert, bleibt im Ernstfall handlungsfähig. Entscheidend ist nicht die perfekte Organisation auf dem Papier, sondern die belegbare Fähigkeit, innert Fristen korrekt zu reagieren.

Auf Bundesebene kommt der EDÖB als Aufsichtsbehörde hinzu: Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko sind über das Meldeportal Data Breach nach Art. 24 DSG zu melden, geplante Bearbeitungen mit hohem Risiko verlangen eine DSFA. Im Bankbereich kommt das FINMA-Rundschreiben 2023/1 hinzu.