# BACS verschärft den Ton bei Meldefristen > Der Beitrag von Swiss GRC erklärt, welche Zeitpunkte Unternehmen bei einem Cyberangriff für die Meldung an das BACS dokumentieren müssen. Er richtet sich an Betreiberinnen kritischer Infrastrukturen und behandelt die 24-Stunden-Erstmeldung, die 14-Tage-Folgemeldung und die Busse. - URL: https://swissgrc.com/bacs-verschaerft-ton-bei-meldefristen/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-08-27 - Zuletzt aktualisiert: 2026-09-10 ## Kernaussagen - Die Erstmeldung eines Cyberangriffs an das BACS muss innerhalb von 24 Stunden nach Kenntnisnahme erfolgen. - Fehlende Angaben lassen sich innerhalb von 14 Tagen in einer Folgemeldung ergänzen. - Wer die Meldepflicht verletzt, muss laut BACS mit einer Busse von bis zu CHF 100'000 rechnen. - Die Fachpublikation sidd.swiss erwartet nach dem Ende der Übergangsphase Mitte 2026 eine konsequentere Durchsetzung, besonders bei wiederholten Verstössen und spät bekannt gewordenen Meldungen. - Unternehmen müssen mindestens vier Zeitpunkte nachweisen: Erkennung, interne Eskalation, Erstmeldung und Folgemeldung. - In den ersten sechs Monaten der Meldepflicht gingen laut BACS 164 Meldungen ein. Das Bundesamt für Cybersicherheit (BACS) hat die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen zunächst kooperativ eingeführt und Anlaufschwierigkeiten toleriert. Mit dem Ende dieser Übergangsphase Mitte 2026 kündigt die Fachpublikation sidd.swiss in ihrer Analyse zur NCSC/BACS-Meldepflicht eine konsequentere Durchsetzung an, besonders bei wiederholten Verstössen und spät bekannt gewordenen Meldungen. Für Unternehmen rückt damit eine Frage in den Vordergrund: welche Zeitlinie sie im Ernstfall lückenlos dokumentieren müssen. Kurz zusammengefasst Um eine rechtzeitige Meldung eines Cybervorfalls an das Bundesamt für Cybersicherheit zu belegen, muss ein Unternehmen den Zeitpunkt der Kenntnisnahme, den Ablauf der internen Eskalation, den Zeitpunkt der Erstmeldung innerhalb von 24 Stunden und den Zeitpunkt der Folgemeldung lückenlos dokumentieren. Massgebend ist die Kenntnisnahme des Angriffs, nicht der Abschluss der forensischen Analyse. 24Std. Frist für die Erstmeldung eines Cyberangriffs an das BACS BACS, Informationen zur Meldepflicht 14Tage Frist zur Vervollständigung der Meldung mit einer Folgemeldung BACS, Informationen zur Meldepflicht 100000CHF Maximale Busse bei unterlassener Meldung BACS, Sechs Monate Meldepflicht für Cyberangriffe auf kritische Infrastrukturen ## Was ändert sich beim BACS ab Mitte 2026? Nach dem Ende der behördlichen Übergangsphase geht das BACS von Aufklärung zu konsequenter Durchsetzung über, mit besonderem Augenmerk auf wiederholte Verstösse und verspätete Meldungen. Die rechtliche Grundlage bildet das Informationssicherheitsgesetz des Bundes, dessen Beitrag zur [Stärkung der digitalen Resilienz des Bundes](https://swissgrc.com/staerkung-der-digitalen-resilienz-das-informationssicherheitsgesetz-des-bundes-isg/) die Meldepflicht für Betreiberinnen kritischer Infrastrukturen verankert. In den ersten Monaten nach Einführung zog das BACS eine positive Bilanz: Betreiberinnen meldeten Cyberangriffe fristgerecht innerhalb von 24 Stunden, wie die Behörde in ihrer Mitteilung zu sechs Monaten Meldepflicht festhielt. Insgesamt gingen in diesem Zeitraum 164 Meldungen ein, wie das BACS in derselben Mitteilung ausführte. Wer die Meldepflicht verletzt, muss laut BACS mit einer Busse von bis zu CHF 100’000 rechnen, wobei die Behörde die betroffene Organisation vor einer Sanktion zunächst kontaktiert. Mit dem Ende der Übergangsphase erwartet sidd.swiss in seiner Analyse eine härtere Linie, vor allem bei wiederholten Verstössen und bei Meldungen, die erst durch Medienberichterstattung bekannt wurden. ## Ab wann beginnt die Meldefrist zu laufen? Massgebend ist der Zeitpunkt der Kenntnisnahme des Angriffs, nicht der Abschluss der forensischen Untersuchung. sidd.swiss hält in seiner Praxisanalyse zur 24-Stunden-Meldepflicht fest, dass die Frist mit der Kenntnisnahme beginnt und nicht mit dem ursprünglichen Zeitpunkt des Angriffs. Für Unternehmen verschiebt sich damit die entscheidende Frage von der Technik auf die Organisation: Ab wann gilt ein Vorfall als hinreichend erkannt. Sobald diese Schwelle erreicht ist, läuft die Frist von 24 Stunden für die Erstmeldung an das BACS, wie die Behörde in ihren Informationen zur Meldepflicht darlegt. Wer auf eine vollständige forensische Aufklärung wartet, hat die Frist in aller Regel bereits verpasst. Das BACS erwartet ausdrücklich eine strukturierte Erstlage und keine fertige Forensik. Fehlende Angaben lassen sich innerhalb von 14 Tagen in einer Folgemeldung ergänzen, wie das BACS in seinem Merkblatt zur Meldepflicht festhält. ## Welche Zeitstempel muss ein Unternehmen dokumentieren? Nachweisbar sein müssen mindestens vier Zeitpunkte: Erkennung, interne Eskalation, Erstmeldung und Folgemeldung. Ohne dokumentierte Zeitstempel lässt sich im Nachhinein kaum beweisen, dass eine Meldung rechtzeitig erfolgte. Das BACS verlangt in der Meldung selbst Angaben zu Datum und Uhrzeit der Feststellung sowie des Angriffs. Diese Angaben ergeben nur Sinn, wenn sie aus einer lückenlosen internen Protokollierung stammen und nicht nachträglich rekonstruiert werden. Wie aufwendig eine lückenlose Nachweisführung über Jahre werden kann, zeigt [die Aufarbeitung einer langfristigen Aufsichtsprüfung im Fall der UBS-Busse](https://swissgrc.com/ubs-busse-langfristige-aufsichtspruefung-nachweisfuehrung/). - Zeitpunkt der ersten Indikation eines Vorfalls - Zeitpunkt der Kenntnisnahme durch die zuständige Stelle - Zeitpunkt der internen Eskalation an Geschäftsleitung und Meldebevollmächtigte - Zeitpunkt der Erstmeldung an das BACS, spätestens 24 Stunden nach Kenntnisnahme - Zeitpunkt der Folgemeldung mit vollständigen Angaben, spätestens 14 Tage später ## Wie unterscheidet sich die BACS-Frist von anderen Meldepflichten? Unternehmen mit mehreren Regulierungen müssen mehrere Uhren gleichzeitig im Blick behalten, die 24-Stunden-Frist des BACS ist nur eine davon. Regulierte Finanzinstitute kennen eine ähnliche Logik bereits aus der Aufsichtspraxis der FINMA: Bei schwerwiegenden Vorfällen erwartet die Aufsicht eine Erstmeldung innerhalb von 24 Stunden und eine Folgemeldung innerhalb von 72 Stunden. Die BACS-Meldepflicht tritt neben diese aufsichtsrechtliche Pflicht, ersetzt sie aber nicht. Für Hersteller von Produkten mit digitalen Elementen kommt am 11. September 2026 eine weitere Meldepflicht hinzu: Ab diesem Datum verlangt der Cyber Resilience Act der EU die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Wo bei diesen [CRA-Meldepflichten noch konkreter Nachholbedarf besteht](https://swissgrc.com/cyber-resilience-act-nachholbedarf-meldepflichten-sbom/), ordnet ein gesonderter Beitrag ein. Wer nicht klar abgegrenzt hat, ob sein Unternehmen als Betreiberin kritischer Infrastruktur oder als NIS2-pflichtige Einrichtung gilt, gerät bei jeder dieser Fristen ins Hintertreffen. Wie gross diese Unsicherheit in der Praxis ausfällt, zeigt sich an der [Registrierungslücke, die viele Unternehmen erst nach einer nachträglichen Selbstprüfung schliessen](https://swissgrc.com/nis2-registrierungsluecke-scope-unsicherheit/). ## Was ist der erste konkrete Schritt zur Nachweisbarkeit? Der erste überprüfbare Schritt ist eine dokumentierte Probemeldung, die die vollständige Zeitlinie von der Erkennung bis zur Folgemeldung durchspielt. Unternehmen sollten innerhalb des laufenden Quartals eine Probemeldung im internen Playbook durchspielen und dabei alle vier Zeitstempel protokollieren: Erkennung, Eskalation, Erstmeldung und Folgemeldung. Die für die Meldung verantwortliche Person, ob CISO oder Informationssicherheitsbeauftragte, sollte schriftlich benannt und mit einer Vollmacht ausgestattet sein. Diese Übung liefert die Grundlage, um im Ernstfall vor dem BACS eine lückenlose und überprüfbare Zeitlinie vorzulegen. Passend dazu ### Meldeprozesse strukturiert dokumentieren Die Lösung unterstützt die lückenlose Protokollierung von Vorfällen, Zeitstempeln und Meldewegen. Sie bildet Eskalations- und Meldepflichten wie jene an das BACS strukturiert ab. [Informationssicherheit](https://swissgrc.com/informationssicherheit-isms-software/) Für die Praxis ## Das Wichtigste in Kürze - Dokumentieren Sie den Zeitpunkt der Kenntnisnahme als Startpunkt der 24-Stunden-Frist, nicht den Abschluss der forensischen Analyse. - Benennen Sie schriftlich, wer im Ernstfall die Erstmeldung an das BACS auslöst. - Bereiten Sie Vorlagen für Erst- und Folgemeldung vor, damit die 14-Tage-Frist nicht unter Zeitdruck verstreicht. - Prüfen Sie parallel laufende Fristen aus FINMA-Aufsicht, NIS2 und dem Cyber Resilience Act, damit keine Meldepflicht übersehen wird. - Testen Sie die Meldekette jährlich mit einer Übung, um die Zeitlinie im Ernstfall glaubhaft zu belegen. FAQ ## Häufige Fragen Wie hoch ist die Busse bei einer verspäteten BACS-Meldung? Wer die Meldepflicht verletzt, muss laut BACS mit einer Busse von bis zu CHF 100'000 rechnen. Vor einer Sanktion kontaktiert die Behörde die betroffene Organisation zunächst. Mit dem Ende der Übergangsphase Mitte 2026 rechnet die Fachpublikation sidd.swiss mit einer konsequenteren Durchsetzung, besonders bei wiederholten Verstössen und spät bekannt gewordenen Meldungen. Wie viele Stunden Zeit hat ein Unternehmen für die Erstmeldung an das BACS? Die Erstmeldung an das BACS muss innerhalb von 24 Stunden nach Kenntnisnahme des Angriffs erfolgen. Massgebend ist nicht der Zeitpunkt des Angriffs selbst oder der Abschluss der forensischen Analyse, sondern der Moment, in dem die zuständige Stelle im Unternehmen den Vorfall als hinreichend erkannt einstuft. Wie lange dauert die Frist für die Folgemeldung an das BACS? Für die Folgemeldung räumt das BACS eine Frist von 14 Tagen nach der Erstmeldung ein. In dieser Folgemeldung können Unternehmen fehlende Angaben ergänzen, die in der ersten, strukturierten Erstlage noch nicht vollständig vorlagen, etwa Details aus der forensischen Analyse. Gilt die BACS-Meldepflicht zusätzlich zur FINMA-Meldepflicht? Ja. Regulierte Finanzinstitute kennen aus der FINMA-Aufsicht bereits eine Erstmeldung innerhalb von 24 Stunden und eine Folgemeldung innerhalb von 72 Stunden. Die BACS-Meldepflicht für Betreiberinnen kritischer Infrastrukturen tritt neben diese aufsichtsrechtliche Pflicht und ersetzt sie nicht, beide Fristen sind parallel zu beachten. Ab wann gilt die Meldepflicht für den Cyber Resilience Act? Ab dem 11. September 2026 verlangt der Cyber Resilience Act der EU von Herstellern von Produkten mit digitalen Elementen die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Diese Frist läuft parallel zur BACS-Meldepflicht und zu weiteren Meldepflichten wie NIS2. Quellen 1. [Informationen zur Meldepflicht](https://www.ncsc.admin.ch/ncsc/de/home/meldepflicht/meldepflicht-info.html)Bundesamt für Cybersicherheit (BACS) 2. [Sechs Monate Meldepflicht für Cyberangriffe auf kritische Infrastrukturen](https://www.bacs.admin.ch/de/newnsb/gezctyF6KYR7UkCjXBC5s)Bundesamt für Cybersicherheit (BACS) 3. [NCSC / BACS: When Swiss Companies Must Report Cyber Incidents](https://www.sidd.swiss/en/insights/ncsc-bacs-reporting-obligation/)sidd.swiss 4. [24-Stunden-Meldepflicht für Spitäler – ISG/BACS in der Praxis](https://www.sidd.swiss/einblicke/kritis-24h-meldepflicht-spital/)sidd.swiss ## Häufige Fragen ### Wie hoch ist die Busse bei einer verspäteten BACS-Meldung? Wer die Meldepflicht verletzt, muss laut BACS mit einer Busse von bis zu CHF 100'000 rechnen. Vor einer Sanktion kontaktiert die Behörde die betroffene Organisation zunächst. ### Wie viele Stunden hat ein Unternehmen für die Erstmeldung an das BACS? Die Erstmeldung muss innerhalb von 24 Stunden nach Kenntnisnahme des Angriffs erfolgen. Massgebend ist nicht der Abschluss der forensischen Analyse. ### Wie lange gilt die Frist für die Folgemeldung an das BACS? Das BACS räumt für die Folgemeldung 14 Tage ein. Darin lassen sich Angaben ergänzen, die in der ersten strukturierten Erstlage noch fehlten. ### Gilt die BACS-Meldepflicht zusätzlich zur FINMA-Meldepflicht? Ja. Die BACS-Meldepflicht tritt neben die aufsichtsrechtliche Pflicht gegenüber der FINMA und ersetzt sie nicht. Die FINMA erwartet bei schwerwiegenden Vorfällen eine Erstmeldung innerhalb von 24 Stunden und eine Folgemeldung innerhalb von 72 Stunden. ### Ab wann gilt die Meldepflicht des Cyber Resilience Act? Ab dem 11. September 2026 verlangt der Cyber Resilience Act der EU von Herstellern von Produkten mit digitalen Elementen die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle.