Die BACS-Meldepflicht für Cyberangriffe in der Schweiz: Was gilt nach Art. 74b ISG?

1. Hintergrund: Warum die Schweiz die Meldepflicht eingeführt hat

Jahrelang galt in der Schweiz bei Cyberangriffen das Prinzip der Freiwilligkeit. Organisationen meldeten Vorfälle an das Nationale Zentrum für Cybersicherheit (NCSC) nur dann, wenn sie Unterstützung benötigten oder Transparenz signalisieren wollten. Die Folge: Ein grosser Teil folgenschwerer Ransomware-Angriffe blieb im Verborgenen. Das Lagebild der Schweiz blieb unvollständig, während dieselben kriminellen Banden dieselben Schwachstellen bei Dutzenden Schweizer Institutionen hintereinander ausnutzten.

Mit der Transformation des NCSC in das Bundesamt für Cybersicherheit (BACS) im Eidgenössischen Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) und der Verabschiedung von Art. 74b ff. ISG hat das Parlament die Lücke geschlossen.

2. Welche Organisationen sind konkret meldepflichtig?

Der Kreis der betroffenen Institutionen ist weit gefasst und betrifft keineswegs nur Bundesbehörden. Meldepflichtig nach Art. 74b Abs. 1 ISG sind:

• Gesundheitswesen: Spitäler, Kliniken, Laboratorien, Rettungsdienste und Hersteller lebenswichtiger Medizinprodukte.
• Energie- und Trinkwasserversorgung: Elektrizitätswerke, Gasversorger, Fernwärmenetze, Wasserwerke und Kläranlagen.
• Finanzmarkt: Banken, Wertpapierhäuser, Fondsleitungen und Versicherungsgesellschaften (in Koordination mit der FINMA).
• Öffentliche Verwaltung: Verwaltungen von Bund, Kantonen und Gemeinden sowie öffentlich-rechtliche Anstalten.
• Bildung & Forschung: Eidgenössische Technische Hochschulen (ETH), kantonale Universitäten und Fachhochschulen.
• IT-Dienstleister & MSPs: Unternehmen, die Hard- oder Software herstellen oder Dienstleistungen für andere meldepflichtige Institutionen erbringen (Managed Service Provider, Rechenzentren, Cloud-Anbieter).

3. Wann gilt ein Angriff als «gravierend»?

Nicht jeder Portscan oder abgewehrte Spam-E-Mail muss gemeldet werden. Die Meldepflicht greift gemäss Verordnung bei Ereignissen mit erheblichem Schadenspotenzial:

1. Gefährdung der Funktionsfähigkeit: Wenn kritische Geschäftsprozesse oder Dienstleistungen für die Schweizer Bevölkerung unterbrochen oder beeinträchtigt werden.
2. Datendiebstahl oder -manipulation: Wenn vertrauliche Daten (Geschäftsgeheimnisse, besonders schützenswerte Personendaten gemäss nDSG) entwendet, gelöscht oder unbefugt verändert wurden.
3. Ransomware und Erpressung: Jeder Fall, bei dem Systeme verschlüsselt oder Organisationen mit Datenveröffentlichung erpresst werden.
4. Unbemerkte Langzeitkompromittierung: Wenn Indikatoren darauf hinweisen, dass sich Angreifer über einen längeren Zeitraum unbemerkt im Netz aufgehalten haben (Advanced Persistent Threat, APT).

4. Der genaue Ablauf der BACS-Meldung in der Praxis

Die Erstmeldung muss zwingend innert 24 Stunden über das gesicherte Meldeportal des BACS (oder im Notfall per Telefon) abgesetzt werden. Folgende Pflichtangaben sind erforderlich:

• Name, UID und Standort der meldenden Organisation.
• Identifizierter Angriffsvektor (z. B. Ransomware, Credential Abuse, Exploit).
• Betroffene Systeme und Ausmass der Betriebsunterbrechung.
• Sofort ergriffene Eindämmungsmassnahmen (z. B. Netzwerk-Isolation).

Innerhalb von maximal 14 Tagen nach der Erstmeldung verlangt das BACS einen vollständigen Abschlussbericht mit Ursachenanalyse und Massnahmenkatalog zur Verhinderung künftiger Vorfälle.

5. Wie Suisse Guard Organisationen vor Strafen und Vorfällen bewahrt

Prävention ist um ein Vielfaches günstiger als Krisenmanagement. Die Bedrohungsanalyse von Suisse Guard prüft genau die 12 Angriffsvektoren, über die meldepflichtige Vorfälle entstehen: exponierte Fernzugänge, fehlende Mehrfaktor-Authentifizierung, ungepatchte Gateways und Darknet-Leaks. Wir unterstützen Schweizer Organisationen dabei, ihre Nachweispflichten lückenlos zu erfüllen.