Schweiz: Keine NIS2, aber Cyberangriffe melden nach ISG

Was die Schweiz regelt – und was NIS2 damit zu tun hat

NIS2 ist die Richtlinie (EU) 2022/2555. Sie verpflichtet die Mitgliedstaaten der Europäischen Union, Cybersicherheitsanforderungen und Meldepflichten in nationales Recht umzusetzen; die Umsetzungsfrist lief am 17. Oktober 2024 ab. Geltung erlangt die Richtlinie für Betriebe erst durch das Umsetzungsrecht des jeweiligen Mitgliedstaats, und der Rechtsstand ist von Mitgliedstaat zu Mitgliedstaat verschieden und nicht überall abgeschlossen: In Frankreich beschreibt die nationale Cybersicherheitsbehörde ANSSI die Umsetzung der Richtlinie weiterhin als laufend. Wie die Richtlinie im nationalen Recht wirkt, behandeln die Artikel zu Österreich und Deutschland.

Die Schweiz ist kein EU- und kein EWR-Staat; die Richtlinie bindet sie nicht. Für Betriebe mit Sitz in der Schweiz gilt deshalb das Bundesgesetz über die Informationssicherheit (Informationssicherheitsgesetz, ISG, SR 128). Es ist seit 1. Januar 2024 in Kraft und regelt zum einen die Informationssicherheit der Bundesbehörden, zum anderen seit dem 1. April 2025 die Meldung von Cyberangriffen an das Bundesamt für Cybersicherheit (BACS).

Die Ausnahmen und Einzelheiten zur Meldepflicht stehen in der Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV, SR 128.51), die der Bundesrat am 7. März 2025 beschlossen hat und die seit 1. April 2025 gilt. Die frühere Verordnung über den Schutz vor Cyberrisiken in der Bundesverwaltung (Cyberrisikenverordnung, CyRV, SR 120.73) ist dagegen nicht mehr in Kraft: Die Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (Informationssicherheitsverordnung, ISV, SR 128.1) hat sie zum 1. Januar 2024 ersetzt und aufgehoben (Art. 50 und Anhang 2 ISV). Die CyRV war nie Grundlage der Meldepflicht für Cyberangriffe; für Betriebe in der Schweiz ist die CSV massgebend.

Wer nach dem ISG melden muss

Die Pflicht knüpft an zwei Merkmale: die Art der Organisation und den Angriff. Nach Art. 74a Abs. 1 ISG müssen Behörden und Organisationen nach Art. 74b ISG dafür sorgen, dass dem BACS Cyberangriffe auf ihre Informatikmittel gemeldet werden. Art. 74b Abs. 1 zählt in den Buchstaben a bis u auf, wer dazugehört. Für ERP-Betriebe sind daraus besonders relevant:

• Unternehmen der Energieversorgung, des Energiehandels, der Energiemessung oder -steuerung (Bst. d) sowie Unternehmen nach Bankengesetz, Versicherungsaufsichtsgesetz oder Finanzmarktinfrastrukturgesetz (Bst. e).
• Gesundheitseinrichtungen auf der kantonalen Spitalliste (Bst. f), bewilligte medizinische Laboratorien (Bst. g) und bewilligte Arzneimittelunternehmen (Bst. h).
• Organisationen, die Leistungen zur Absicherung gegen die Folgen von Krankheit, Unfall, Arbeits- und Erwerbsunfähigkeit, Alter, Invalidität und Hilflosigkeit erbringen (Bst. i).
• Anbieterinnen von Post- und Fernmeldediensten, Registerbetreiberinnen und Registrare von Internet-Domains (Bst. l, q, r).
• Anbieterinnen und Betreiberinnen von Cloudcomputing, Suchmaschinen, digitalen Sicherheits- und Vertrauensdiensten sowie Rechenzentren mit Sitz in der Schweiz (Bst. t).
• Herstellerinnen von Hard- oder Software, deren Produkte kritische Infrastrukturen nutzen, sofern die Produkte einen Fernwartungszugang haben oder für die Steuerung betriebstechnischer Systeme oder die öffentliche Sicherheit dienen (Bst. u).
• Unternehmen, welche die Bevölkerung mit unentbehrlichen Gütern des täglichen Bedarfs versorgen und deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen führen würde (Bst. p).

Die Grösse des Betriebs entscheidet nicht über die Unterstellung; sie entscheidet über die Ausnahmen. Nach Art. 12 Abs. 2 CSV sind Behörden und Organisationen nach Art. 74b Abs. 1 Bst. g, h, l und p von der Meldepflicht ausgenommen, wenn sie im betroffenen Bereich weniger als 50 Personen beschäftigen und ihr Jahresumsatz oder ihre Jahresbilanzsumme im betroffenen Bereich 10 Millionen Franken nicht übersteigt. Weitere Ausnahmen nennt Art. 12 Abs. 1 CSV, etwa für Hochschulen mit weniger als 2000 Studierenden (Bst. a) und für Anbieterinnen und Betreiberinnen nach Art. 74b Abs. 1 Bst. t, die ihre Leistungen weder teilweise noch vollumfänglich gegen Entgelt für Dritte erbringen (Bst. e).

Zwei Grenzen sind praktisch wichtig. Nach Art. 74b Abs. 2 ISG besteht keine Meldepflicht für Angriffe, die sich ausschliesslich auf Tätigkeiten auswirken, die nicht unter Abs. 1 fallen. Nach Art. 74b Abs. 3 ISG gilt die Pflicht dagegen auch dann, wenn sich die Informatikmittel im Ausland befinden und sich der Angriff in der Schweiz auswirkt. Art. 74a Abs. 1 ISG bindet die Meldepflicht an den Kreis des Art. 74b; für andere Betriebe bleibt die Meldung an den EDÖB nach Art. 24 DSG zu prüfen, wenn Personendaten betroffen sind. Die Meldung nach Art. 24 DSG setzt ein voraussichtlich hohes Risiko für die Persönlichkeit oder die Grundrechte voraus, geht an den EDÖB und obliegt dem Verantwortlichen, der sie so rasch als möglich erstattet; der Auftragsbearbeiter meldet die Verletzung nach Abs. 3 dem Verantwortlichen. Das Gesetz nennt keine Frist in Stunden oder Tagen; die Pflicht besteht auch neben einer Meldepflicht nach ISG. Einzelheiten stehen im Artikel zur Datenpanne in der Schweiz.

Entscheidungstabelle: wer wann an das BACS meldet

Die Tabelle ordnet den Fall der Frist und der Rechtsgrundlage zu. Massgebend ist die tatsächlich ausgeübte Tätigkeit, nicht die Bezeichnung im Handelsregister. Bei Unsicherheit erteilt das BACS nach Art. 74a Abs. 2 ISG Auskunft und erlässt auf Antrag eine Verfügung über die Unterstellung; die dafür nötigen Unterlagen stellen Sie dem BACS nach Art. 13 CSV zur Verfügung. Diese Auskunft schiebt die Frist nicht auf: Wer nach Art. 74b Abs. 1 ISG unterstellt ist, meldet einen Angriff nach Art. 74d ISG innert 24 Stunden nach der Entdeckung, auch wenn die Unterstellung noch nicht geklärt ist.

Ihr Fall	Meldung an das BACS	Frist	Grundlage
Behörde oder Organisation nach Art. 74b Abs. 1 ISG, keine Ausnahme nach Art. 12 CSV	ja, bei einem Angriff nach Art. 74d ISG	innert 24 Stunden nach der Entdeckung; Ergänzung innert 14 Tagen	Art. 74a Abs. 1 und Art. 74e Abs. 1 ISG; Art. 16 Abs. 1 CSV
Behörde oder Organisation nach Art. 74b Abs. 1 Bst. g, h, l oder p mit weniger als 50 Personen und bis 10 Millionen Franken im betroffenen Bereich	nein	–	Art. 12 Abs. 2 CSV
Hochschule mit weniger als 2000 Studierenden	nein	–	Art. 12 Abs. 1 Bst. a CSV
Anbieterin oder Betreiberin nach Art. 74b Abs. 1 Bst. t ohne Leistungen gegen Entgelt für Dritte	nein	–	Art. 12 Abs. 1 Bst. e CSV
Betrieb, der in keiner Nummer des Art. 74b Abs. 1 ISG steht	nein nach ISG; Meldung nach Art. 24 DSG gesondert prüfen (der Verantwortliche meldet dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko, der Auftragsbearbeiter meldet sie nach Abs. 3 dem Verantwortlichen)	keine Frist nach ISG	Art. 74a Abs. 1 ISG; Art. 24 Abs. 1 und 3 DSG
Angriff wirkt sich in der Schweiz aus, die Informatikmittel stehen im Ausland	ja, wenn der Betrieb unter Art. 74b ISG fällt	wie oben	Art. 74b Abs. 3 ISG
Angriff betrifft ausschliesslich eine Tätigkeit, die nicht unter Art. 74b Abs. 1 ISG fällt	nein	–	Art. 74b Abs. 2 ISG
Unklar, ob der Betrieb unterstellt ist	Auskunft des BACS; auf Antrag eine Verfügung über die Unterstellung (Art. 74a Abs. 2 ISG). Die Frist nach Art. 74e Abs. 1 ISG läuft ab der Entdeckung weiter	innert 24 Stunden nach der Entdeckung, sofern der Betrieb nach Art. 74b ISG unterstellt ist	Art. 74a Abs. 1 und Abs. 2 ISG; Art. 74e Abs. 1 ISG

Gemeldet wird nicht jeder Vorfall. Art. 74d ISG verlangt eine Meldung, wenn der Angriff die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet, zu einer Manipulation oder einem Abfluss von Informationen geführt hat, über einen längeren Zeitraum unentdeckt blieb oder mit Erpressung, Drohung oder Nötigung verbunden ist. Art. 14 CSV füllt diese Merkmale aus: Gefährdet ist die Funktionsfähigkeit, wenn Mitarbeitende oder Dritte von Systemunterbrüchen betroffen sind oder der Betrieb seine Tätigkeiten nur noch mit Notfallplänen aufrechterhält (Abs. 1); als unentdeckt über einen längeren Zeitraum gilt ein Vorfall, der mehr als 90 Tage zurückliegt (Abs. 3).

Was die Meldung enthalten muss und wie sie ankommt

Art. 74e Abs. 2 ISG verlangt Angaben zur meldepflichtigen Organisation, zur Art und Ausführung des Angriffs, zu seinen Auswirkungen, zu ergriffenen Massnahmen und, soweit bekannt, zum geplanten weiteren Vorgehen. Art. 15 CSV ergänzt Datum und Uhrzeit der Feststellung und des Angriffs, Angaben zum Angreifer und zur Frage, ob Erpressung, Drohung oder Nötigung im Spiel war und ob Strafanzeige erstattet wurde. Sind innert der 24 Stunden nicht alle Angaben bekannt, gewährt das BACS nach Art. 16 Abs. 1 CSV 14 Tage zur Ergänzung.

Für die Übermittlung stellt das BACS nach Art. 74f Abs. 1 ISG ein sicheres System bereit, den Cyber Security Hub (CSH); ohne Zugang ist eine Meldung per E-Mail-Formular möglich. Nach Art. 17 Abs. 2 CSV kann eine oder können mehrere meldepflichtige Organisationen den Meldeprozess einzeln oder gemeinsam an eine Drittorganisation auslagern – die Pflicht bleibt bei der betroffenen Organisation. Nach Art. 74e Abs. 4 ISG müssen Sie im Rahmen der Meldung keine Angaben machen, die Sie strafrechtlich belasten. Für die praktische Abfolge in den ersten Stunden nach einem Vorfall siehe Cyberangriff auf das ERP.

Wann EU-Kunden NIS2 verlangen

NIS2 erfasst nach Art. 2 Abs. 1 Einrichtungen der in Anhang I oder II genannten Art, die als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen überschreiten und ihre Dienste in der Union erbringen oder ihre Tätigkeiten dort ausüben. Für einen Betrieb mit Sitz in der Schweiz heisst das: NIS2 wird nicht schon dadurch anwendbar, dass ein EU-Kunde beliefert wird. Sie kann aber unmittelbar greifen, wenn der Betrieb selbst eine Dienstleistung erbringt, die in Anhang I oder II steht, und dies in der Union tut – etwa als Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten oder verwalteten Diensten (Anhang I Nr. 8 und 9). Grössenunabhängig gilt die Richtlinie nach Art. 2 Abs. 2 unter anderem für Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, für Vertrauensdiensteanbieter sowie für TLD-Namenregister und DNS-Diensteanbieter (Bst. a) und nach Abs. 4 für Einrichtungen, die Domänennamenregistrierungsdienste erbringen.

Die Zuständigkeit regelt Art. 26. Einrichtungen, die nach Art. 2 erfasst sind und zu den in Art. 26 Abs. 1 Bst. b genannten Anbietern gehören – etwa Cloud-, Rechenzentrums-, Managed- und Managed-Security-Dienste –, unterstehen dem Mitgliedstaat, in dem sie nach Abs. 2 ihre Hauptniederlassung in der Union haben; als Hauptniederlassung gilt nach Abs. 2 die Niederlassung, in der die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden. Die Erfassung nach Art. 2 allein begründet diese Zuständigkeit nicht. Hat ein solcher Anbieter keine Niederlassung in der Union und bietet er dort Dienste an, muss er nach Art. 26 Abs. 3 einen Vertreter in der Union benennen; unterlässt er das, kann jeder Mitgliedstaat, in dem er Dienste erbringt, gegen ihn vorgehen.

Der zweite Weg führt über den Kunden. Ein EU-Unternehmen, das selbst unter NIS2 fällt, muss nach Art. 21 Abs. 2 Bst. d die Sicherheit der Lieferkette einschliesslich der sicherheitsbezogenen Aspekte seiner Beziehungen zu unmittelbaren Anbietern und Diensteanbietern regeln. Nach Art. 21 Abs. 3 muss es dabei die spezifischen Schwachstellen der einzelnen Anbieter und die Qualität ihrer Produkte und Cybersicherheitspraxis berücksichtigen. Daraus entstehen Fragebögen, Nachweise und Vertragsklauseln gegenüber Schweizer Zulieferern. Rechtliche Grundlage dieser Anforderungen ist der Vertrag, nicht NIS2; wie Sie darauf antworten, steht im Artikel zur NIS2-Lieferkette für Zulieferer.

Ihr EU-Bezug	NIS2 (Richtlinie (EU) 2022/2555) unmittelbar anwendbar	Was Ihren Betrieb trifft
Lieferungen und Leistungen an EU-Kunden, keine Dienstleistung nach Anhang I oder II in der Union	nein	Anforderungen aus dem Vertrag, weil Ihr Kunde seine Pflicht nach Art. 21 Abs. 2 Bst. d erfüllt
Cloud-, Rechenzentrums-, Managed- oder Managed-Security-Dienste in der Union, mittleres oder grösseres Unternehmen	ja, über das nationale Umsetzungsrecht	Rechte und Pflichten nach dem Recht des zuständigen Mitgliedstaats; ohne Niederlassung in der Union Vertreter nach Art. 26 Abs. 3
Ihr Betrieb gehört zu den Anbietern nach Art. 26 Abs. 1 Bst. b (etwa Cloud-, Rechenzentrums-, Managed- oder Managed-Security-Dienste) und hat eine Niederlassung in der Union, in der die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden	ja, über das nationale Umsetzungsrecht, sofern der Betrieb nach Art. 2 erfasst ist; Anbieterart und Niederlassung allein genügen nicht	Nur für diese Anbietergruppe gilt die Niederlassung nach Art. 26 Abs. 2 als Hauptniederlassung in der Union; zuständig ist dieser Mitgliedstaat (Art. 2; Art. 26 Abs. 1 Bst. b und Abs. 2)
Angriff auf Ihr ERP, aber keine Dienstleistung nach Anhang I oder II in der Union	nein, keine NIS2-Meldung durch Sie	Ihre Meldepflichten nach ISG und DSG bleiben. Eine Meldung nach Art. 23 der Richtlinie (EU) 2022/2555 obliegt Ihrem EU-Kunden und greift nur, wenn er eine erfasste wesentliche oder wichtige Einrichtung ist und der Vorfall bei ihm ein erheblicher Sicherheitsvorfall nach Art. 23 Abs. 1 und 3 ist (schwerwiegende Betriebsstörung oder finanzielle Verluste bei ihm oder erhebliche Schäden bei anderen); melden muss er, nicht Sie

Seit wann die Regelungen gelten

Datum	Was gilt
1. September 2023	Art. 24 DSG gilt in der revidierten Fassung; der Verantwortliche meldet dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko, der Auftragsbearbeiter meldet sie nach Abs. 3 dem Verantwortlichen.
1. Januar 2024	Das ISG ist in Kraft; es regelt die Informationssicherheit beim Bund.
1. April 2025	Die Meldepflicht nach Art. 74a bis 74f ISG und die CSV (SR 128.51) gelten; die Frist von 24 Stunden läuft.
1. Oktober 2025	Art. 74g und 74h ISG gelten: Verfahren bei einer Verletzung der Meldepflicht und Busse bis CHF 100’000.
20. Januar 2026	Die Europäische Kommission schlägt mit COM(2026) 13 gezielte Änderungen der NIS2-Richtlinie vor, unter anderem zur Zuständigkeit; der Vorschlag ist nicht in Kraft.

Was bei einem Verstoss droht

Kommt ein meldepflichtiger Betrieb der Meldung nicht nach, informiert ihn das BACS nach Art. 74g Abs. 1 ISG und setzt eine angemessene Frist. Führt er die Meldung innert dieser Frist nicht aus, erlässt das BACS nach Abs. 2 eine Verfügung mit neuer Frist und dem Hinweis auf die Strafdrohung.

Die Busse knüpft nicht an die verspätete Meldung an, sondern an die Verfügung: Nach Art. 74h Abs. 1 ISG wird mit Busse bis CHF 100’000 bestraft, wer einer rechtskräftigen Verfügung des BACS oder dem Entscheid einer Rechtsmittelinstanz vorsätzlich nicht Folge leistet. Fällt eine Busse von höchstens CHF 20’000 in Betracht und wäre die Ermittlung der verantwortlichen Personen unverhältnismässig, kann die Behörde nach Abs. 3 von deren Verfolgung absehen und stattdessen den Geschäftsbetrieb zur Bezahlung der Busse verurteilen.

Für Personendaten kommen die Sanktionen des Datenschutzrechts hinzu. Private Personen, welche die Mindestanforderungen an die Datensicherheit nach Art. 1 bis 6 DSV nicht einhalten, werden nach Art. 61 Bst. c DSG auf Antrag mit Busse bis CHF 250’000 bestraft; strafbar ist nur der Vorsatz. Die vorsätzliche Missachtung einer Verfügung des EDÖB oder eines Entscheids der Rechtsmittelinstanzen, die oder der unter Hinweis auf die Strafdrohung des Art. 63 DSG ergangen ist, führt ebenfalls zu Busse bis CHF 250’000 (Art. 63 DSG); diese Strafbestimmung verlangt – anders als Art. 61 DSG – keinen Antrag.

Was geplant ist (noch nicht in Kraft)

Der Bundesrat hat am 6. Mai 2026 entschieden, das ISG zu revidieren, und das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport beauftragt, eine Vernehmlassungsvorlage auszuarbeiten; die Vernehmlassung ist für Mitte 2027 vorgesehen. Gegenstand sind nach der Medienmitteilung vor allem die Präzisierung des Geltungsbereichs für Gemeinden, die Funktionenlisten der Personensicherheitsprüfungen, das Klassifizierungssystem und die Harmonisierung der Strafbestimmungen. Die Meldepflicht für Cyberangriffe ist nicht Gegenstand dieser Revision. Die vom Bundesrat im Sommer 2025 beschlossene Stärkung der Cyberresilienz digitaler Produkte wird ebenfalls separat behandelt; nach derselben Medienmitteilung sollte das BACS dazu bis Herbst 2026 eine Gesetzesvorlage erarbeiten.

In der EU will die Kommission mit dem Vorschlag COM(2026) 13 vom 20. Januar 2026 unter anderem die Zuständigkeitsregeln der NIS2-Richtlinie vereinfachen. Der Vorschlag ist kein geltendes Recht; bis zu seinem Inkrafttreten bleibt die Richtlinie (EU) 2022/2555 in der heutigen Fassung massgebend.

Checkliste für Ihren Betrieb

• Prüfen Sie zuerst, ob Ihr Betrieb in einer Nummer des Art. 74b Abs. 1 ISG steht – nach der tatsächlich ausgeübten Tätigkeit, nicht nach dem Handelsregistereintrag.
• Prüfen Sie danach die Ausnahmen nach Art. 12 CSV, insbesondere die 50-Personen- und die 10-Millionen-Grenze für die Buchstaben g, h, l und p.
• Halten Sie bei Unklarheit die Auskunft des BACS nach Art. 74a Abs. 2 ISG schriftlich fest und stellen Sie dem BACS nach Art. 13 CSV die nötigen Unterlagen zur Verfügung; die Auskunft verschiebt die Frist nach Art. 74e Abs. 1 ISG nicht.
• Legen Sie fest, wer einen Angriff erkennt, wer innert 24 Stunden nach Art. 74e Abs. 1 ISG meldet und wer die Ergänzung innert 14 Tagen nachliefert.
• Registrieren Sie die meldepflichtige Organisation beim Cyber Security Hub (Empfehlung des BACS) oder hinterlegen Sie den E-Mail-Weg mit Vorlage.
• Klären Sie die Selbstbelastung: Angaben, die Sie strafrechtlich belasten, müssen Sie nach Art. 74e Abs. 4 ISG nicht machen.
• Prüfen Sie bei Personendaten zusätzlich die Meldung nach Art. 24 DSG: als Verantwortlicher an den EDÖB so rasch als möglich, als Auftragsbearbeiter nach Abs. 3 an den Verantwortlichen; dazu die Dokumentation des Vorfalls.
• Trennen Sie im Vertrag mit EU-Kunden, was NIS2 dem Kunden auferlegt, von dem, was Sie selbst zusagen.