Die bestätigten Zahlen
Seit dem 1. April 2025 müssen erfasste Betreiberinnen kritischer Infrastrukturen bestimmte Cyberangriffe innerhalb von 24 Stunden nach Entdeckung an das Bundesamt für Cybersicherheit (BACS) melden.
Der am 30. März 2026 veröffentlichte BACS-Halbjahresbericht 2025/2 nennt 325 Pflichtmeldungen seit Einführung, davon 145 im zweiten Halbjahr 2025. Daneben gingen im Gesamtjahr 2025 64’733 freiwillige Meldungen ein.
Die Pflicht gilt nicht pauschal für jedes Schweizer Unternehmen. Ob eine Organisation erfasst ist und ob ein konkreter Angriff die gesetzlichen Kriterien erfüllt, richtet sich nach Informationssicherheitsgesetz und Cybersicherheitsverordnung.
Was innerhalb von 24 Stunden erforderlich ist
Die Erstmeldung muss nicht bereits jede Detailinformation enthalten. Fehlende Angaben können grundsätzlich innerhalb von 14 Tagen ergänzt werden. Im Notfall sollte deshalb nicht auf den Abschluss der Forensik gewartet werden.
Ein belastbarer Ablauf enthält mindestens:
- Zuständigkeit und Stellvertretung für die Meldung
- dokumentierten Zeitpunkt der Entdeckung
- gesicherte Erstinformationen zum betroffenen Dienst und zur Auswirkung
- parallele Prüfung weiterer Pflichten, etwa gegenüber EDÖB oder FINMA
- Termin für die Ergänzung der Meldung
Sanktionen sind kein automatisches Bussgeld nach 24 Stunden
Seit dem 1. Oktober 2025 sind Bussen von bis zu CHF 100’000 vorgesehen. Laut BACS erfolgt bei einer vermuteten Nichtmeldung zunächst ein Hinweis auf die Pflicht. Reagiert die Organisation nicht, kann das BACS eine Verfügung mit Strafandrohung erlassen. Erst bei weiterem Ausbleiben der Meldung kann eine Strafanzeige folgen.
Eine Cyberversicherung ersetzt die Compliance nicht. Je nach Vertrag können Rechtsberatung, Forensik oder Krisenunterstützung versichert sein. Ob Verfahrenskosten oder Bussen gedeckt und rechtlich versicherbar sind, muss ausdrücklich im konkreten Vertrag geprüft werden.