Wer ist von der Meldepflicht betroffen?

Betreiberinnen kritischer Infrastrukturen — dazu gehören unter anderem Energie- und Wasserversorgung, Verkehr, Gesundheitswesen, Banken und Versicherungen, Telekommunikation sowie Behörden von Bund, Kantonen und Gemeinden. Ein gewöhnliches KMU ohne kritische Funktion fällt nicht darunter, kann Vorfälle aber freiwillig melden.

Wann beginnt die Frist von 24 Stunden?

Mit der Entdeckung des Angriffs, nicht mit dessen Aufklärung. Die Meldung muss deshalb auch dann erfolgen, wenn Ursache, Umfang und Schaden noch unklar sind — eine Erstmeldung mit dem bekannten Stand genügt, Ergänzungen folgen später.

Was muss eine Meldung enthalten?

Wer betroffen ist, was beobachtet wurde, wann es entdeckt wurde und welche Auswirkungen bereits erkennbar sind, dazu eine Kontaktstelle für Rückfragen. Ausdrücklich nicht verlangt sind eine abschliessende Ursachenanalyse oder eine Schadensbezifferung.

Lohnt sich eine freiwillige Meldung für nicht verpflichtete Betriebe?

In der Regel ja. Das BACS liefert im Gegenzug Einordnung und häufig konkrete Hinweise, etwa ob eine Angriffswelle bekannt ist und welche Spuren zu prüfen sind. Für einen Betrieb ohne eigene Forensik ist das der schnellste Weg zu belastbarer Information — und die Meldung ist kein Eingeständnis eines Versäumnisses.

Meldepflicht für Cyberangriffe: wer meldet was innert 24 Stunden

Die Frist beträgt 24 Stunden und beginnt mit der Entdeckung, nicht mit der Klärung. Wer erst den Vorfall verstehen will, hat sie meist schon verpasst.

Seit dem 1. April 2025 gilt in der Schweiz eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Betreiberinnen müssen einen Angriff innert 24 Stunden dem Bundesamt für Cybersicherheit melden. Die Regelung ist ein Jahr alt, die ersten Zahlen liegen vor, und sie sind aus zwei Gründen interessant: weil sie eine Grössenordnung liefern, wo vorher nur Schätzungen standen, und weil sie zeigen, welche Sektoren tatsächlich betroffen sind.

Die ersten Zahlen

Nach Angaben des BACS gingen zwischen dem Inkrafttreten und Ende 2025 insgesamt 325 Meldungen nach der neuen Pflicht ein, davon 145 im zweiten Halbjahr. Die Verteilung über die Sektoren ist ungleich: Auf die Verwaltung entfallen rund ein Viertel aller meldepflichtigen Meldungen, auf IT und Telekommunikation etwa 18 Prozent, auf Banken und Versicherungen knapp 16 Prozent. Diese drei Bereiche stellen damit zusammen deutlich mehr als die Hälfte der Fälle.

Bemerkenswert ist weniger die Höhe als die Zusammensetzung. Die Verwaltung führt die Statistik nicht, weil sie schlechter geschützt wäre als die Privatwirtschaft, sondern weil sie besonders viele meldepflichtige Stellen umfasst — Bund, Kantone und Gemeinden zusammengenommen sind eine grosse Zahl von Organisationen mit teils sehr unterschiedlicher Ausstattung. Wer die Zahlen als Rangliste der Verwundbarkeit liest, liest sie falsch.

Was die Pflicht verlangt

Der praktisch wichtigste Punkt ist der Fristbeginn. Die 24 Stunden laufen ab der Entdeckung des Angriffs, nicht ab dessen Aufklärung. Das ist eine bewusste Entscheidung des Gesetzgebers und in der Praxis der Punkt, an dem Organisationen am häufigsten stolpern: Der Reflex ist, zuerst zu verstehen, was passiert ist, und dann zu melden. Genau umgekehrt ist es vorgesehen. Eine Erstmeldung mit dem bekannten Stand reicht aus, Ergänzungen folgen, sobald mehr Klarheit besteht.

Inhaltlich verlangt eine Meldung wenig: wer betroffen ist, was beobachtet wurde, wann es entdeckt wurde, welche Auswirkungen erkennbar sind und wer für Rückfragen erreichbar ist. Nicht verlangt sind eine abschliessende Ursachenanalyse, eine Schadensbezifferung oder eine Einschätzung, ob der Angriff erfolgreich war. Diese Zurückhaltung ist sinnvoll, weil sie die Meldung von der Untersuchung trennt — beides gleichzeitig zu leisten, ist in den ersten Stunden eines Vorfalls unrealistisch.

Warum Organisationen die Frist verpassen

Die häufigste Ursache ist keine Nachlässigkeit, sondern eine fehlende Zuständigkeit. In vielen Organisationen ist unklar, wer die Meldung auslöst: Merkt der Betrieb den Vorfall am Freitagabend, entdeckt ihn ein Dienstleister und nicht die eigene Mannschaft, oder trifft die Entdeckung eine Person, die die Pflicht gar nicht kennt, dann läuft die Frist, während intern noch geklärt wird, wer entscheiden darf.

Der Aufwand, das zu beheben, ist gering. Es braucht eine benannte Person mit Stellvertretung, ein Formular oder eine Vorlage mit den fünf verlangten Angaben, die Zugangsdaten zum Meldeportal an einem Ort, der auch bei einem Ausfall erreichbar ist, und eine Zeile im Vertrag mit jedem IT-Dienstleister, die ihn verpflichtet, einen Verdacht unverzüglich zu melden statt zuerst selbst zu prüfen. Wer diese vier Dinge geregelt hat, hält die Frist auch dann ein, wenn der Vorfall zum ungünstigsten Zeitpunkt auftritt.

Die freiwillige Meldung bleibt der grössere Kanal

Neben der Pflicht besteht die freiwillige Meldung weiter, und sie ist zahlenmässig deutlich bedeutender: Sie liegt in einer ganz anderen Grössenordnung als die 325 Pflichtmeldungen, weil sie Betrugsversuche, Phishing und Vorfälle aus Betrieben ohne kritische Funktion einschliesst. Für ein nicht verpflichtetes Unternehmen ist die freiwillige Meldung meist die schnellste Möglichkeit, eine belastbare Einordnung zu erhalten: Ist eine Welle bekannt, welche Spuren sind zu prüfen, gibt es Hinweise auf den weiteren Verlauf?

Die Sorge, eine Meldung könnte als Eingeständnis eines Versäumnisses gelten oder in eine Statistik einfliessen, die dem eigenen Ruf schadet, ist nach der bisherigen Praxis unbegründet. Die veröffentlichten Auswertungen sind aggregiert, und ein Angriff ist kein Beweis für schlechte Arbeit — die IT-Sicherheit eines Betriebs zeigt sich daran, wie schnell ein Vorfall bemerkt und eingegrenzt wird, nicht daran, dass keiner stattfindet.

Was sich für die Praxis ändert

Für verpflichtete Organisationen verschiebt die Regelung den Schwerpunkt von der Nachbereitung auf die Erkennung. Wer einen Vorfall erst nach Wochen bemerkt, kann die Frist nicht einhalten, gleichgültig wie gut der Prozess dokumentiert ist. Damit rücken unspektakuläre Themen nach vorne: zentrale Auswertung von Protokolldaten, Alarme, die tatsächlich jemand liest, und die Bereitschaft, einem unklaren Signal nachzugehen, statt es als Rauschen abzulegen. Die Meldepflicht ist in diesem Sinn weniger eine administrative Auflage als ein Anreiz, in Erkennung zu investieren — dort, wo sie in den meisten Organisationen bisher am schwächsten war.