Cybervorfälle in regulierten Branchen: BACS und FINMA als Anlaufstellen

Nicht jeder Vorfall ist meldepflichtig: die entscheidende Abgrenzung

Die Meldepflicht bei Cyberangriffen gilt nur für bestimmte Organisationen, namentlich Betreiberinnen kritischer Infrastrukturen und FINMA-Beaufsichtigte. Wer nicht dazugehört, ist gesetzlich nicht meldepflichtig; eine freiwillige Meldung bleibt möglich.

Nicht jeder technische Vorfall löst automatisch eine Meldung aus. Ob im konkreten Fall eine Meldepflicht besteht, lässt sich über die Schritt-für-Schritt-Anleitung des BACS prüfen.

Das BACS stellt eine Schritt-für-Schritt-Anleitung bereit, mit der sich prüfen lässt, ob ein Vorfall meldepflichtig ist und wie richtig gemeldet wird. Freiwillige Meldungen helfen, Trends zu Gefahren im Internet zu erkennen; nach einigen Fragen erhalten Meldende eine automatisierte Ersteinschätzung und können den Fall an das BACS weiterleiten.

Für die interne Abgrenzung sind zwei Fragen zu trennen: Gehört die eigene Organisation zum erfassten Kreis, und erfüllt der Vorfall die gesetzlich umschriebenen Merkmale? Erst wenn beides zutrifft, greift die Pflicht; sonst entscheiden Geschäftsleitung und Sicherheitsverantwortliche nach Ermessen.

Zwei Rechtsgrundlagen sind zentral: die Meldepflicht von Cyberattacken gemäss Art. 29 Abs. 2 FINMAG und die Meldepflicht für Betreiberinnen kritischer Infrastrukturen. Die FINMA-Aufsichtsmitteilung 05/2020 hält die erste fest, die Aufsichtsmitteilung 03/2024 präzisiert sie.

Bei kritischen Infrastrukturen sind insbesondere Cyberangriffe durch Malware, Phishing oder Ransomware, sicherheitsrelevante Störungen oder Ausfälle von IT-Systemen sowie unbefugte Zugriffe auf sensible Daten oder Systeme meldepflichtig.

Für Betreiberinnen kritischer Infrastrukturen gilt seit dem 1. April 2025 eine Meldepflicht. Ob eine Organisation dazugehört, beurteilt sich nach Kriterien, die auf der Publikationsplattform des Bundesrechts publiziert sind.

Die Meldepflicht für Betreiberinnen kritischer Infrastrukturen soll die Zusammenarbeit zwischen Staat und Wirtschaft verbessern, Cyberbedrohungen frühzeitig erkennen und die IT-Sicherheit der Schweiz gezielt stärken. Sie besteht seit dem 1. April 2025 und verlangt eine Meldung innert 24 Stunden an das BACS.

Vorteile und Herausforderungen der Meldepflicht

Betreiberinnen kritischer Infrastrukturen: Meldung ans BACS

Zentrale Anlaufstelle für Cybervorfälle in der Schweiz ist das Bundesamt für Cybersicherheit (BACS). Es bietet Meldewege für Unternehmen und Behörden sowie Orientierungshilfen und Präventionshinweise.

Ab dem 1. April 2025 sind Betreiberinnen kritischer Infrastrukturen gegenüber dem BACS meldepflichtig. Die Meldung muss innert 24 Stunden nach Entdeckung erfolgen.

Zum erfassten Kreis zählen unter anderem Energie (Strom, Gas, Öl), Wasser- und Abwasserbetriebe, Informations- und Kommunikationstechnologie, das Gesundheitswesen, Transport und Logistik sowie Verwaltung und Behörden.

Die Meldung umfasst Art und Umfang des Vorfalls, den Zeitpunkt der Entdeckung, die betroffenen Systeme oder Dienste sowie erste Einschätzungen zur Ursache.

Für die Übermittlung steht das Meldeformular für Cybervorfälle bereit; für die koordinierte Abwicklung ist die Registrierung im Cyber Security Hub vorgesehen.

Das offizielle Meldeformular für Cybervorfälle dient der Meldung, solange noch kein Zugriff auf den Cyber Security Hub besteht. Die Registrierung im Hub ermöglicht den schnellen Informationsaustausch und die Weiterleitung an die zuständigen Behörden.

Meldungen werden nicht rund um die Uhr bearbeitet. Bei akuten Notfällen ist die Notrufnummer der Polizei 112 oder 117 zu wählen.

Beaufsichtigte Finanzinstitute: frühzeitig die FINMA informieren

Für FINMA-Beaufsichtigte ist die FINMA die zuständige Anlaufstelle. Zentral ist, frühzeitig über kritische Cyber-Vorfälle bei Beaufsichtigten informiert zu werden. Das Dossier Cyberrisiken der FINMA bündelt relevante Inhalte zu Cyberattacken, zur Aufsichtsmitteilung 03/2024 und zur Aufsichtsmitteilung 05/2020.

Die FINMA-Aufsichtsmitteilung 03/2024 vom 7. Juni 2024 fasst die Erkenntnisse aus der Cyberrisiko-Aufsichtstätigkeit zusammen und präzisiert die Anforderungen an die Meldepflicht von Cyber-Attacken sowie an szenariobezogene Cyber-Übungen. Sie knüpft an die Aufsichtsmitteilung 05/2020 an.

Die Aufsichtsmitteilung 03/2024 beantwortet wiederkehrende Fragen zu den Meldepflichten. Auch die Verwaltungsräte der betroffenen Institute müssen gerüstet sein.

In den Jahren 2022 und 2023 betraf mehr als die Hälfte der gemeldeten Cyber-Attacken ausgelagerte Dienstleistungen. Bei einer Auslagerung bleiben die Beaufsichtigten jederzeit selbst für die Einhaltung der aufsichtsrechtlichen Anforderungen verantwortlich.

Bei Auslagerungen sind die Anforderungen an die Cyber-Sicherheit in Verträgen genügend klar festzuhalten und regelmässig zu überprüfen; die Ergebnisse gehören in die Kontrollberichte. Ebenso ist zu klären, wie schwerwiegende Sicherheitslücken zügig geschlossen werden und welche Massnahmen Dienstleister im Angriffsfall innert welcher Frist ergreifen können. Sicherzustellen ist auch, dass von Dienstleistern beigezogene Dritte die Anforderungen einhalten.

Die FINMA hat zusätzliche Aufsichtsinstrumente eingeführt: Red Teaming, bei dem Sicherheitsexperten die Rolle von Angreifenden übernehmen, und Table-Top-Übungen, in denen ein Szenario auf dem Papier durchgespielt wird. Im Jahr vor der Aufsichtsmitteilung 03/2024 führte sie mehr als ein Dutzend cyberspezifischer Vor-Ort-Kontrollen durch.

Die identifizierten Risiken werden laufend analysiert, ausgewertet und in einer Risikolandkarte zusammengefasst. Cyber-Risiken weist die FINMA seit mehreren Jahren als eines der Hauptrisiken für den Schweizer Finanzplatz aus; sie sind im Risikomonitor aufgeführt.

Die Aufsichtsmitteilung richtet sich insbesondere an grössere und höher regulierte Institute wie Banken; einzelne Grundsätze gelten abgeschwächt auch für kleinere und mittlere Vermögensverwalter gemäss Art. 17 des Finanzinstitutsgesetzes (FINIG).

Das FINMA-Rundschreiben 2023/01 «Operationelle Risiken und Resilienz – Banken» vom 7. Dezember 2022 behandelt unter anderem Governance (Rz. 70), die Identifikation von Bedrohungspotenzialen (Rz. 62) und das Data-Loss-Prevention-Schutzdispositiv (Rz. 63). Das Rundschreiben 2018/03 «Outsourcing» datiert vom 21. September 2017.

Zahlen zur Cybervorfallsmeldung in der Schweiz

Wenn es ernst wird: erste Schritte und Meldung vorbereiten

Bewährt ist eine Abfolge in vier Schritten: Vorfall erfassen und zeitlich dokumentieren, betroffene Systeme isolieren beziehungsweise kompromittierte Zugangsdaten sperren, Beweismittel sichern, bevor Systeme neu aufgesetzt werden, und die interne Zuständigkeit aktivieren – in der Regel Geschäftsleitung, IT-Sicherheit, Rechtsdienst und Kommunikation.

Zu den ersten Schritten gehört die Klärung, ob eine Meldung an das BACS innert 24 Stunden erforderlich ist. Das offizielle Meldeformular für Cybervorfälle dient der Meldung, solange noch kein Zugriff auf den Cyber Security Hub besteht.

Parallel ist zu klären, wer nach innen und aussen informiert: Behörden, Kunden, Geschäftspartner, Versicherung und gegebenenfalls die eigene Aufsicht.

Für die Meldung an das BACS sind Art und Umfang des Vorfalls, der Zeitpunkt der Entdeckung, betroffene Systeme oder Dienste sowie erste Einschätzungen zur Ursache anzugeben. Diese Angaben lassen sich während der Eindämmung laufend nachführen.

Zusätzlich hilft eine präzise Notiz: Auswirkung auf den Betrieb, bereits eingeleitete Massnahmen und eine erreichbare Kontaktperson mit Entscheidungsbefugnis. Wer diese Angaben laufend nachführt, muss sie am Ende nicht rekonstruieren.

Bei Auslagerungen bleibt die Einhaltung der Meldepflichten Sache der Beaufsichtigten. Die FINMA erwartet, dass Verträge die Anforderungen an die Cyber-Sicherheit klar festhalten und dass übergreifende Prozesse zu Meldepflichten definiert werden.

Die FINMA erhält Meldungen nicht nur von den Beaufsichtigten selbst, sondern auch von den Prüfgesellschaften. Zusammen mit den Vor-Ort-Kontrollen erlauben sie der FINMA, die Qualität des Cyber-Abwehrdispositivs vertieft zu beurteilen und bei Bedarf frühzeitig institutsspezifische Massnahmen zu ergreifen.

Anlaufstellen im Überblick: BACS und FINMA

Das BACS bietet Meldewege für Unternehmen und Behörden. Für Beaufsichtigte ist zusätzlich die FINMA die Anlaufstelle.

Für regulierte Organisationen sind damit namentlich zwei Anlaufstellen zuständig: das BACS für Betreiberinnen kritischer Infrastrukturen und die FINMA für Beaufsichtigte. Das BACS nimmt Meldungen über das Meldeformular für Cybervorfälle entgegen; die FINMA verlangt Meldungen von Cyber-Attacken durch Beaufsichtigte.

Das BACS ist das Kompetenzzentrum des Bundes für Cybersicherheit und erste Anlaufstelle für Wirtschaft, Verwaltung, Bildungseinrichtungen und die Bevölkerung. Es verantwortet die koordinierte Umsetzung der Nationalen Cyberstrategie (NCS) und hiess früher NCSC.

Beaufsichtigte Institute sind verpflichtet, Cyber-Attacken der FINMA zu melden; Grundlage ist Art. 29 Abs. 2 FINMAG, präzisiert durch die Aufsichtsmitteilung 03/2024. Die FINMA weist Cyber-Risiken seit mehreren Jahren als eines der Hauptrisiken für den Schweizer Finanzplatz aus.

Vorfälle nimmt das BACS über das Meldeformular für Cybervorfälle entgegen, Schwachstellen über das Meldeformular für Schwachstellen (CVD). Allgemeine Anfragen gehen an [email protected], Medienanfragen an [email protected]; verschlüsselte Meldungen sind an [email protected] möglich.

Für verschlüsselte Schwachstellenmeldungen steht [email protected] bereit; für Bug-Bounty-Meldungen [email protected]. Die Schlüssel für verschlüsselte Meldungen finden sich auf der BACS-Kontaktseite.

Die Postadresse lautet: Bundesamt für Cybersicherheit BACS, Schwarztorstrasse 59, CH-3003 Bern.

Das BACS nimmt keine Strafanzeigen entgegen. Eine Online-Strafanzeige ist nur für bestimmte Straftaten möglich; für alle anderen Delikte ist ein Polizeiposten zuständig.

Art. 39 Abs. 1 ISG nennt die Stellen, an die die FINMA Informationen weitergeben darf: andere inländische Aufsichtsbehörden, das Nationale Zentrum für Cybersicherheit und die Schweizerische Nationalbank.

Für Medienanfragen zur Cyber-Aufsicht nennt die FINMA Patrizia Bickel, Mediensprecherin, Telefon +41 (0)31 327 93 19, [email protected].

Meldepflichten in regulierten Branchen: BACS vs. FINMA