EN
FR
IT
العربية
Inhalt 5
An seiner Sitzung vom 25. September 2026 hat der Bundesrat das VBS beauftragt, bis Juni 2027 eine Vernehmlassungsvorlage für ein neues, eigenständiges Cybersicherheitsgesetz auszuarbeiten. Der Gesetzestext selbst liegt damit noch nicht vor, doch die Stossrichtung, die betroffenen Bereiche und ein Teil der operativen Praxis lassen sich bereits heute aus geltendem Recht und behördlichen Mitteilungen ableiten. Wer für Governance, Risk und Compliance verantwortlich ist, kann die Zeit bis zur Vernehmlassung für konkrete Vorarbeit nutzen.
Der Bundesrat hat am 25. September 2026 den Auftrag erteilt, bis Juni 2027 eine Vernehmlassungsvorlage für ein neues Cybersicherheitsgesetz zu erarbeiten, das drei Vorhaben zu Produkten, Daten und Cloud-Diensten bündelt und die bestehende Meldepflicht für kritische Infrastrukturen übernimmt. Bis dahin lohnt sich eine Bestandsaufnahme der betroffenen Sektoren, Produkte, Daten und Meldewege.
Was hat der Bundesrat am 25. September 2026 entschieden?
Der Bundesrat hat das VBS beauftragt, bis Juni 2027 eine Vernehmlassungsvorlage für ein neues Cybersicherheitsgesetz vorzulegen; dies geht aus einer Medienmitteilung vom 24. September 2026 hervor.
Mit dem Gesetz sollen drei parlamentarische Vorstösse in einem gemeinsamen Erlass umgesetzt werden. Ursprünglich waren dafür separate Anpassungen des Informationssicherheitsgesetzes vorgesehen, die drei Vorhaben betreffen jedoch komplementäre Regelungsebenen: Produkte, Daten und digitale Infrastruktur.
Das Bundesamt für Cybersicherheit bearbeitet die zugrunde liegenden Rechtsetzungsprojekte bereits: die Cyberresilienz von Produkten mit digitalen Elementen, den Schutz besonders wichtiger digitaler Daten sowie die Rolle von Hosting- und Cloud-Anbietern bei der Cybersicherheit.
Welche drei Themen bündelt das Cybersicherheitsgesetz?
Das CSG soll verbindliche Anforderungen für Hersteller, Importeure und Händler von Soft- und Hardware-Produkten festlegen, den Schutz besonders wichtiger digitaler Daten regeln und Pflichten für Hosting- und Cloud-Anbieter definieren.
Für Produkte sind Grundlagen für die Marktüberwachung und ein Vertriebsverbot für unsichere Produkte vorgesehen. Die Regelung orientiert sich am europäischen Cyber Resilience Act und soll die administrative Belastung der Unternehmen tief halten.
Sektorielle Regelungen wie das Fernmeldegesetz, die Stromversorgungsverordnung oder die Verordnung über Fernmeldeanlagen will der Bundesrat nicht anrühren. Das Cybersicherheitsgesetz soll diese Regelungen um übergreifende Pflichten ergänzen, wie die Netzwoche berichtete.
Was geschieht mit der geltenden Meldepflicht für kritische Infrastrukturen?
Die seit dem 1. April 2025 geltende Meldepflicht für Cyberangriffe auf kritische Infrastrukturen soll aus dem Informationssicherheitsgesetz in das neue Cybersicherheitsgesetz überführt werden; das ISG regelt künftig nur noch die Informationssicherheit der Bundesbehörden.
Betreiberinnen und Betreiber kritischer Infrastrukturen müssen dem BACS Cyberangriffe innerhalb von 24 Stunden nach Entdeckung melden. Können bei der Erstmeldung noch nicht alle Angaben gemacht werden, besteht eine Frist von 14 Tagen zur Vervollständigung.
Seit dem 1. Oktober 2025 drohen bei Verstössen gegen die Meldepflicht für kritische Infrastrukturen Bussen bis zu 100’000 Franken; das BACS muss säumige Betreiber jedoch zunächst kontaktieren, wie SwissCybersecurity.net am 30. September 2025 berichtete.
Sechs Monate nach Einführung zählte das BACS in einer Bilanz vom 29. September 2025 insgesamt 164 Meldungen, wobei der Finanzsektor am stärksten betroffen war.
Parallel dazu hat der Bundesrat am 6. Mai 2026 das VBS beauftragt, eine separate Revision des Informationssicherheitsgesetzes zu erarbeiten; die Vernehmlassung dazu ist für Mitte 2027 vorgesehen. Eine Arbeitsgruppe unter Leitung des SEPOS bereitet sie mit Beteiligung der Bundeskanzlei, der Departemente sowie von Vertretern weiterer Bundesbehörden und der Kantone vor.
Welche Vorarbeiten lassen sich schon jetzt leisten?
Auch ohne vorliegenden Gesetzestext lässt sich die eigene Betroffenheit prüfen, die bestehende Meldepraxis dokumentieren und die interne Zuständigkeit für die drei Regelungsfelder klären.
Wer die eigene ISMS-Pflicht nach ISG bereits im Rahmen der bestehenden Fristen strukturiert hat, kann dieselbe Systematik für die neuen CSG-Bereiche nutzen. Das betrifft insbesondere die Zuordnung von Zuständigkeiten zwischen CISO, Compliance und Geschäftsleitung.
- Prüfen, ob das eigene Unternehmen einem der neun Sektoren kritischer Infrastrukturen zugeordnet ist: Behörden, Energie, Entsorgung, Finanzen, Gesundheit, Information und Kommunikation, Nahrung, öffentliche Sicherheit und Verkehr, wie sie Artikel 74b Absatz 1 ISG umschreibt.
- Meldewege und interne Eskalation für die 24-Stunden-Frist dokumentieren, unabhängig vom künftigen Gesetzestext.
- Bestandsaufnahme erstellen, welche Produkte mit digitalen Elementen, welche Daten und welche Hosting- oder Cloud-Bezüge künftig unter das CSG fallen könnten.
Was ist der nächste konkrete Schritt?
Risikoverantwortliche sollten bis zur Publikation der Vernehmlassungsvorlage im Juni 2027 eine interne Übersicht der betroffenen Produkte, Daten und Cloud-Bezüge erstellen und diese bei Vorliegen des Gesetzestexts direkt abgleichen.
Ein erster Schritt ist die Zusammenstellung der bestehenden Meldewege und Fristen aus der Praxis seit dem 1. April 2025, ergänzt um eine Liste der Produkte, Datenkategorien und Dienstleister, die in den drei Regelungsfeldern des CSG relevant werden könnten. Diese Übersicht lässt sich unabhängig vom Gesetzestext führen und mit den 2027 vorliegenden Pflichten abgleichen.
Meldewege heute schon strukturieren
Die Lösung für Informationssicherheit bildet Meldewege und Fristen für kritische Infrastrukturen ab. Sie lässt sich schon heute nutzen, um künftige Pflichten aus dem Cybersicherheitsgesetz strukturiert einzuordnen.
InformationssicherheitHäufige Fragen
Wann tritt das neue Cybersicherheitsgesetz in Kraft?
Ein konkretes Inkrafttretensdatum steht noch nicht fest. Der Bundesrat hat das VBS am 25. September 2026 beauftragt, bis Juni 2027 eine Vernehmlassungsvorlage zu erarbeiten. Erst nach Vernehmlassung, parlamentarischer Beratung und allfälliger Referendumsfrist kann das Cybersicherheitsgesetz in Kraft treten, ein Zeitpunkt lässt sich derzeit nicht beziffern.
Welche neun Sektoren gelten in der Schweiz als kritische Infrastruktur?
Artikel 74b Absatz 1 ISG nennt die Sektoren Behörden, Energie, Entsorgung, Finanzen, Gesundheit, Information und Kommunikation, Nahrung, öffentliche Sicherheit sowie Verkehr. Unternehmen aus diesen Bereichen unterliegen bereits heute der Meldepflicht für Cyberangriffe und sollten prüfen, ob diese Zuordnung auch nach Einführung des Cybersicherheitsgesetzes weiterbestehen wird.
Innerhalb welcher Frist müssen Cyberangriffe gemeldet werden?
Betreiberinnen und Betreiber kritischer Infrastrukturen müssen dem BACS einen Cyberangriff innerhalb von 24 Stunden nach Entdeckung melden. Können bei der Erstmeldung noch nicht alle Angaben gemacht werden, besteht eine zusätzliche Frist von 14 Tagen zur Vervollständigung. Diese seit dem 1. April 2025 geltende Regelung soll ins Cybersicherheitsgesetz überführt werden.
Welche Bussen drohen bei Verstössen gegen die Meldepflicht?
Seit dem 1. Oktober 2025 drohen bei Verstössen gegen die Meldepflicht Bussen bis zu 100'000 Franken. Das BACS muss säumige Betreiberinnen und Betreiber jedoch zunächst kontaktieren, bevor eine Busse ausgesprochen wird, wie SwissCybersecurity.net berichtete.
Wie wirkt sich das Cybersicherheitsgesetz auf das Informationssicherheitsgesetz aus?
Die Meldepflicht für kritische Infrastrukturen wird aus dem ISG ins neue Cybersicherheitsgesetz überführt. Das Informationssicherheitsgesetz regelt künftig nur noch die Informationssicherheit der Bundesbehörden. Parallel dazu bereitet eine Arbeitsgruppe unter Leitung des SEPOS eine separate ISG-Revision vor, deren Vernehmlassung für Mitte 2027 vorgesehen ist.
