Meldepflicht-Bilanz: BACS verzeichnet über 264 Pflichtmeldungen seit April 2025

Das Bundesamt für Cybersicherheit zieht Bilanz: Über 264 Pflichtmeldungen und fast 65'000 freiwillige Meldungen zeigen das Ausmass der Cyberbedrohung in der Schweiz.

BACS zieht erste Bilanz zur Meldepflicht

Seit dem 1. April 2025 gilt in der Schweiz die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Knapp ein Jahr später zieht das Bundesamt für Cybersicherheit (BACS) eine erste Bilanz — und die Zahlen sind bemerkenswert: Über 264 Pflichtmeldungen sind seit Inkrafttreten eingegangen. Parallel dazu verzeichnete das BACS im Jahr 2025 insgesamt 64’733 freiwillige Meldungen zu Cybervorfällen.

Die wichtigsten Zahlen im Überblick

264+ Pflichtmeldungen seit April 2025 (Betreiber kritischer Infrastrukturen)
64’733 freiwillige Meldungen im Jahr 2025 (alle Unternehmen und Privatpersonen)
Seit Oktober 2025: Bussgelder bis CHF 100’000 bei Versäumnis der Meldepflicht
Budget BACS 2026: auf CHF 26,25 Mio. erhöht (Zeichen für die politische Priorisierung)

Was bedeutet das für Schweizer Unternehmen?

Die Zahlen zeigen zweierlei: Erstens ist das Ausmass der Cyberbedrohung in der Schweiz unverändert hoch. Über 64’000 freiwillige Meldungen in einem einzigen Jahr verdeutlichen, dass Cyberangriffe zum Alltag gehören. Zweitens nehmen die regulatorischen Anforderungen spürbar zu.

Seit Oktober 2025 drohen Unternehmen, die ihrer Meldepflicht nicht nachkommen, Bussgelder von bis zu CHF 100’000. Die Meldepflicht betrifft aktuell primär Betreiber kritischer Infrastrukturen — doch Expertinnen und Experten erwarten eine schrittweise Ausweitung auf weitere Branchen.

Die Erhöhung des BACS-Budgets auf CHF 26,25 Mio. signalisiert, dass der Bund die Cyberabwehr als strategische Priorität betrachtet. Für Unternehmen bedeutet dies: Der Druck zur Compliance steigt, und die Behörden verfügen über mehr Ressourcen zur Durchsetzung.

Versicherungsbezug: Regulatorische Kosten absichern

Ein Versäumnis der Meldepflicht kann mit einer Busse von bis zu CHF 100’000 bestraft werden — ein finanzielles Risiko, das sich durch eine Cyberversicherung abfedern lässt. Moderne Cyber-Policen decken nicht nur die direkten Kosten eines Angriffs, sondern auch:

Regulatorische Bussgelder und Verfahrenskosten (soweit gesetzlich versicherbar)
Kosten für Rechtsberatung bei Meldepflicht-Verfahren
Forensische Untersuchungen, die für eine korrekte Meldung erforderlich sind
Krisenmanagement und Kommunikation mit Behörden

Gerade die Komplexität der Meldepflicht — wer muss wann was an welche Behörde melden? — macht professionelle Unterstützung unverzichtbar. Viele Cyberversicherungen bieten hierfür spezialisierte Incident-Response-Teams an.

Handlungsempfehlungen für Unternehmen

Prüfen Sie, ob Ihr Unternehmen der Meldepflicht unterliegt — die Definition «kritische Infrastruktur» ist breit gefasst
Etablieren Sie einen Melde-Prozess, der die 24-Stunden-Frist des BACS einhält
Dokumentieren Sie Cybervorfälle lückenlos — auch wenn Sie aktuell nicht meldepflichtig sind
Evaluieren Sie eine Cyberversicherung, die regulatorische Kosten und Bussgelder mitabdeckt
Schulen Sie Mitarbeitende in der Erkennung meldepflichtiger Vorfälle