BACS verschärft den Ton bei Meldefristen

Das Bundesamt für Cybersicherheit (BACS) hat die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen zunächst kooperativ eingeführt und Anlaufschwierigkeiten toleriert. Mit dem Ende dieser Übergangsphase Mitte 2026 kündigt die Fachpublikation sidd.swiss in ihrer Analyse zur NCSC/BACS-Meldepflicht eine konsequentere Durchsetzung an, besonders bei wiederholten Verstössen und spät bekannt gewordenen Meldungen. Für Unternehmen rückt damit eine Frage in den Vordergrund: welche Zeitlinie sie im Ernstfall lückenlos dokumentieren müssen.

Was ändert sich beim BACS ab Mitte 2026?

Nach dem Ende der behördlichen Übergangsphase geht das BACS von Aufklärung zu konsequenter Durchsetzung über, mit besonderem Augenmerk auf wiederholte Verstösse und verspätete Meldungen.

Die rechtliche Grundlage bildet das Informationssicherheitsgesetz des Bundes, dessen Beitrag zur Stärkung der digitalen Resilienz des Bundes die Meldepflicht für Betreiberinnen kritischer Infrastrukturen verankert. In den ersten Monaten nach Einführung zog das BACS eine positive Bilanz: Betreiberinnen meldeten Cyberangriffe fristgerecht innerhalb von 24 Stunden, wie die Behörde in ihrer Mitteilung zu sechs Monaten Meldepflicht festhielt. Insgesamt gingen in diesem Zeitraum 164 Meldungen ein, wie das BACS in derselben Mitteilung ausführte.

Wer die Meldepflicht verletzt, muss laut BACS mit einer Busse von bis zu CHF 100’000 rechnen, wobei die Behörde die betroffene Organisation vor einer Sanktion zunächst kontaktiert. Mit dem Ende der Übergangsphase erwartet sidd.swiss in seiner Analyse eine härtere Linie, vor allem bei wiederholten Verstössen und bei Meldungen, die erst durch Medienberichterstattung bekannt wurden.

Ab wann beginnt die Meldefrist zu laufen?

Massgebend ist der Zeitpunkt der Kenntnisnahme des Angriffs, nicht der Abschluss der forensischen Untersuchung.

sidd.swiss hält in seiner Praxisanalyse zur 24-Stunden-Meldepflicht fest, dass die Frist mit der Kenntnisnahme beginnt und nicht mit dem ursprünglichen Zeitpunkt des Angriffs. Für Unternehmen verschiebt sich damit die entscheidende Frage von der Technik auf die Organisation: Ab wann gilt ein Vorfall als hinreichend erkannt. Sobald diese Schwelle erreicht ist, läuft die Frist von 24 Stunden für die Erstmeldung an das BACS, wie die Behörde in ihren Informationen zur Meldepflicht darlegt.

Wer auf eine vollständige forensische Aufklärung wartet, hat die Frist in aller Regel bereits verpasst. Das BACS erwartet ausdrücklich eine strukturierte Erstlage und keine fertige Forensik. Fehlende Angaben lassen sich innerhalb von 14 Tagen in einer Folgemeldung ergänzen, wie das BACS in seinem Merkblatt zur Meldepflicht festhält.

Welche Zeitstempel muss ein Unternehmen dokumentieren?

Nachweisbar sein müssen mindestens vier Zeitpunkte: Erkennung, interne Eskalation, Erstmeldung und Folgemeldung.

Ohne dokumentierte Zeitstempel lässt sich im Nachhinein kaum beweisen, dass eine Meldung rechtzeitig erfolgte. Das BACS verlangt in der Meldung selbst Angaben zu Datum und Uhrzeit der Feststellung sowie des Angriffs. Diese Angaben ergeben nur Sinn, wenn sie aus einer lückenlosen internen Protokollierung stammen und nicht nachträglich rekonstruiert werden.

Wie aufwendig eine lückenlose Nachweisführung über Jahre werden kann, zeigt die Aufarbeitung einer langfristigen Aufsichtsprüfung im Fall der UBS-Busse.

• Zeitpunkt der ersten Indikation eines Vorfalls
• Zeitpunkt der Kenntnisnahme durch die zuständige Stelle
• Zeitpunkt der internen Eskalation an Geschäftsleitung und Meldebevollmächtigte
• Zeitpunkt der Erstmeldung an das BACS, spätestens 24 Stunden nach Kenntnisnahme
• Zeitpunkt der Folgemeldung mit vollständigen Angaben, spätestens 14 Tage später

Wie unterscheidet sich die BACS-Frist von anderen Meldepflichten?

Unternehmen mit mehreren Regulierungen müssen mehrere Uhren gleichzeitig im Blick behalten, die 24-Stunden-Frist des BACS ist nur eine davon.

Regulierte Finanzinstitute kennen eine ähnliche Logik bereits aus der Aufsichtspraxis der FINMA: Bei schwerwiegenden Vorfällen erwartet die Aufsicht eine Erstmeldung innerhalb von 24 Stunden und eine Folgemeldung innerhalb von 72 Stunden. Die BACS-Meldepflicht tritt neben diese aufsichtsrechtliche Pflicht, ersetzt sie aber nicht.

Für Hersteller von Produkten mit digitalen Elementen kommt am 11. September 2026 eine weitere Meldepflicht hinzu: Ab diesem Datum verlangt der Cyber Resilience Act der EU die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Wo bei diesen CRA-Meldepflichten noch konkreter Nachholbedarf besteht, ordnet ein gesonderter Beitrag ein.

Wer nicht klar abgegrenzt hat, ob sein Unternehmen als Betreiberin kritischer Infrastruktur oder als NIS2-pflichtige Einrichtung gilt, gerät bei jeder dieser Fristen ins Hintertreffen. Wie gross diese Unsicherheit in der Praxis ausfällt, zeigt sich an der Registrierungslücke, die viele Unternehmen erst nach einer nachträglichen Selbstprüfung schliessen.

Was ist der erste konkrete Schritt zur Nachweisbarkeit?

Der erste überprüfbare Schritt ist eine dokumentierte Probemeldung, die die vollständige Zeitlinie von der Erkennung bis zur Folgemeldung durchspielt.

Unternehmen sollten innerhalb des laufenden Quartals eine Probemeldung im internen Playbook durchspielen und dabei alle vier Zeitstempel protokollieren: Erkennung, Eskalation, Erstmeldung und Folgemeldung. Die für die Meldung verantwortliche Person, ob CISO oder Informationssicherheitsbeauftragte, sollte schriftlich benannt und mit einer Vollmacht ausgestattet sein. Diese Übung liefert die Grundlage, um im Ernstfall vor dem BACS eine lückenlose und überprüfbare Zeitlinie vorzulegen.