Kurz gesagt: Die Schweiz soll ein eigenständiges Cybersicherheitsgesetz (CSG) erhalten. Der Bundesrat hat am 25. September 2026 das VBS beauftragt, bis im Juni 2027 eine Vernehmlassungsvorlage auszuarbeiten. Das Gesetz soll verbindliche Sicherheitsanforderungen für Soft- und Hardware, Pflichten für Hosting- und Cloud-Anbieter sowie die bestehende Meldepflicht für kritische Infrastrukturen in einem Erlass zusammenführen.
Das Wichtigste in Kürze
- Entscheid: Bundesrat, Sitzung vom 25. September 2026
- Auftrag: Das VBS erarbeitet bis im Juni 2027 eine Vernehmlassungsvorlage für ein neues, eigenständiges Bundesgesetz
- Inhalt: Umsetzung von drei Motionen: Cyberresilienz von Produkten mit digitalen Elementen (Mo. 24.3810), Schutz besonders wichtiger digitaler Daten (Mo. 23.3002), Rolle von Hosting- und Cloud-Anbietern (Mo. 25.3011)
- Vorbild: Die Produktregeln orientieren sich am europäischen Cyber Resilience Act (CRA)
- Meldepflicht: Die seit April 2025 geltende Meldepflicht für Cyberangriffe auf kritische Infrastrukturen soll vom Informationssicherheitsgesetz (ISG) ins CSG wechseln
- Status: Es gibt noch keinen Gesetzesentwurf; die Vernehmlassung folgt später
- Quelle: Medienmitteilung des Bundesrates vom 25. September 2026
Drei Vorhaben in einem Gesetz
Das Bundesamt für Cybersicherheit (BACS) bearbeitete die drei parlamentarischen Aufträge bisher als separate Projekte. Ursprünglich sollten sie als Änderungen des Informationssicherheitsgesetzes umgesetzt werden. Neu sollen sie in einem eigenen Gesetz gebündelt werden.
Sichere Produkte: Hersteller, Importeure und Händler von Soft- und Hardware-Produkten sollen verbindliche Anforderungen erfüllen. Vorgesehen sind auch Regeln zur Marktüberwachung und ein Verbot, unsichere Produkte zu verkaufen. Die Regelung orientiert sich am CRA der EU. Ziel ist laut Bundesrat, den administrativen Aufwand für Unternehmen tief zu halten; international tätige Firmen, die bereits den CRA erfüllen, sollen keinen zusätzlichen Aufwand haben. Auch Open-Source-Software wird als Thema genannt.
Wichtige Daten und Cloud: Für den Schutz besonders wichtiger digitaler Daten sowie für Hosting- und Cloud-Anbieter sind spezifische Pflichten vorgesehen, darunter Mitwirkungspflichten und Pflichten zur Abwehr von Cyberbedrohungen.
Meldepflicht: Die Pflicht für Betreiberinnen kritischer Infrastrukturen, Cyberangriffe zu melden, wird ins CSG überführt. Das ISG regelt weiterhin die Informationssicherheit der Bundesbehörden. Sektorielle Erlasse wie das Fernmeldegesetz bleiben bestehen; das CSG soll sie ergänzen.
Was bedeutet das für Schweizer KMU?
Für die meisten KMU ändert sich vorerst nichts: Das Gesetz existiert noch nicht, und Details sind erst mit der Vernehmlassungsvorlage zu erwarten. Drei Gruppen sollten das Dossier aber verfolgen:
- Software- und Hardware-Anbieter, die Produkte in der Schweiz verkaufen. Wer bereits in die EU liefert, sollte den CRA-Fahrplan kennen, da sich das CSG daran orientiert.
- Hosting-, Cloud- und IT-Dienstleister, für die neue Mitwirkungs- und Abwehrpflichten vorgesehen sind.
- Betreiberinnen kritischer Infrastrukturen, für die die Meldepflicht weiter gilt. Was heute zu melden ist, fasst unsere Seite Meldepflicht bei Cyberangriffen zusammen.
Unabhängig von der Regulierung lohnt sich jetzt eine Bestandsaufnahme: Der Cyber-Risiko-Check zeigt Lücken, der Ratgeber Cyberangriff: Was tun? hilft beim Notfallplan. Ob und wie eine Police Rechtsberatung oder Krisenunterstützung umfasst, ist vertragsabhängig; Hinweise geben Cyberversicherung für KMU, Kosten und der Vergleich.