Der 1. Oktober 2025 markiert einen wichtigen Schritt für die Cybersicherheit in der Schweiz. Seit diesem Datum wird die im April eingeführte Meldepflicht für Cyberangriffe auf kritische Infrastrukturen vollständig durchgesetzt. Bei einer Verletzung der Pflicht drohen Bussen von bis zu 100 000 Franken.
Die Regelung wird vom Bundesamt für Cybersicherheit (BACS) vollzogen. Betreiber kritischer Infrastrukturen müssen bedeutende Cybervorfälle innerhalb von 24 Stunden melden. In den ersten sechs Monaten wurden bereits 164 Vorfälle aus Bereichen wie Finanzwesen, Informatik, Energie, Gesundheit, Telekommunikation und öffentliche Verwaltung erfasst. 18 Prozent entfielen auf Denial-of-Service-Angriffe, gefolgt von Systemeinbrüchen, Ransomware und gestohlenen Zugangsdaten.
Warum diese Entwicklung für die Schweiz wichtig ist
Die Meldepflicht stärkt die Schweiz als vertrauenswürdigen digitalen Standort. Mit der systematischen Erfassung von Cyberangriffen wollen die Behörden:
- das nationale Lagebild verbessern,
- frühzeitige Warnungen über Branchengrenzen hinweg ermöglichen und
- die gemeinsame Grundlage für Resilienz und Reaktion stärken.
Cybersicherheit ist längst eine Frage der nationalen Sicherheit. Staaten mit klaren Meldewegen können Entwicklungen früher erkennen und Risiken eindämmen, bevor sie sich zu systemischen Problemen ausweiten.
Die Schweiz im internationalen Vergleich
Der Schweizer Rahmen ist neu, fügt sich aber in eine internationale Entwicklung ein:
- Europäische Union: Die NIS2-Richtlinie verpflichtet zahlreiche wesentliche und wichtige Einrichtungen, bedeutende Vorfälle zu melden; eine erste Meldung muss innerhalb von 24 Stunden erfolgen.
- USA: Der Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) sieht für erhebliche Vorfälle eine Meldung an die CISA innerhalb von 72 Stunden und für Ransomware-Zahlungen innerhalb von 24 Stunden vor.
- Weitere Staaten: Auch Australien, Singapur und Japan haben Melderahmen für Betreiber wesentlicher Dienste eingeführt.
Die Schweiz war nicht die erste, schliesst sich mit der konsequenten Durchsetzung nun aber dem internationalen Trend zu einer vorausschauenden Cyber-Governance an.
Wie es weitergeht
Die obligatorische Meldung ist nur der Anfang. Entscheidend ist, wie die erhobenen Informationen genutzt werden:
- anonymisierte Erkenntnisse mit den betroffenen Branchen teilen und so deren Resilienz erhöhen,
- die öffentlich-private Zusammenarbeit bei der Bewältigung von Vorfällen fördern und
- eine Kultur der Cyberverantwortung schaffen, die über reine Compliance hinausgeht.
Für Schweizer Organisationen ist dies auch eine Chance. Wer die Meldepflicht erfüllt, vermeidet nicht nur Sanktionen, sondern stärkt zugleich das gemeinsame Sicherheitsökosystem, auf dem die digitale Wirtschaft der Schweiz aufbaut.
Fazit
Mit der vollständigen Durchsetzung seit dem 1. Oktober 2025 ist die Schweiz in eine neue Phase ihrer Cyberresilienz eingetreten. Die Meldepflicht wird Cyberbedrohungen nicht beseitigen. Sie schafft jedoch einen Rahmen, um Vorfälle wirksamer zu erkennen, einzuordnen und zu bewältigen.
Die zentrale Aufgabe besteht nun darin, dass Meldungen nicht zu einer rein administrativen Übung werden. Richtig genutzt, können sie Vertrauen, Lagewissen und Resilienz in allen kritischen Sektoren stärken.
Quellen
- Bundesamt für Cybersicherheit (BACS), Mitteilung vom 29. September 2025 zu sechs Monaten Meldepflicht für Cyberangriffe auf kritische Infrastrukturen.
- Europäische Union, Richtlinie (EU) 2022/2555 über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2), 14. Dezember 2022.
- United States Congress, Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA).
- Australian Government, Security of Critical Infrastructure Act 2018.