# Was die Cyberbedrohungslage 2026 für GRC und Cyber Resilience bedeutet > Der Beitrag von Swiss GRC ordnet die Cyberbedrohungslage der Schweiz im ersten Halbjahr 2026 ein. Er zeigt Unternehmen, wie sie Bedrohungsdaten mit GRC in Risikoentscheidungen übersetzen und NIS2, CRA und die Schweizer Meldepflicht berücksichtigen. - URL: https://swissgrc.com/was-die-cyberbedrohungslage-2026-fuer-grc-und-cyber-resilience-bedeutet/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-08-14 - Zuletzt aktualisiert: 2026-08-20 ## Kernaussagen - Dem Bundesamt für Cybersicherheit (BACS) wurden im ersten Halbjahr 2026 27'054 Cybervorfälle gemeldet, 6,8 Prozent weniger als im zweiten Halbjahr 2025. - Im selben Zeitraum stiegen die Phishing-Meldungen um 41 Prozent und die Meldungen zu Schadsoftware um 85 Prozent, wobei Schadsoftware von einer deutlich kleineren Ausgangsbasis ausging. - Die BACS-Statistik erfasst nur gemeldete Vorfälle, nicht die tatsächliche Gesamtzahl der Cyberangriffe in der Schweiz. Bei technisch raffinierteren Angriffen dürfte eine relevante Dunkelziffer bestehen. - Ab dem 11. September 2026 müssen Hersteller gemäss Cyber Resilience Act aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, mit einer Frühwarnung innerhalb von 24 Stunden und einer weiterführenden Meldung innerhalb von 72 Stunden. - Seit dem 1. April 2025 gilt für Betreiber kritischer Infrastrukturen in der Schweiz eine Meldepflicht für bestimmte Cyberangriffe. Die Meldung an das BACS erfolgt grundsätzlich innerhalb von 24 Stunden nach Entdeckung. - Swiss GRC beschreibt eine Kette von Threat über Asset, Geschäftsprozess, Risiko, Anforderung und Kontrolle bis zu Incident und Massnahme, mit der aus Threat Intelligence Risk Intelligence wird. **Die Cyberbedrohungslage in der Schweiz liefert im ersten Halbjahr 2026 ein scheinbares Paradox: Die Zahl der gemeldeten Vorfälle sinkt, gleichzeitig nehmen einzelne, für Unternehmen besonders relevante Angriffsformen deutlich zu.** 27’054 Cybervorfälle wurden dem Bundesamt für Cybersicherheit (BACS) gemeldet, 6,8 Prozent weniger als im zweiten Halbjahr 2025. Gleichzeitig stiegen Phishing-Meldungen um 41 Prozent und Meldungen zu Schadsoftware um 85 Prozent. Das zeigt ein aktuelles [Threat Intelligence Briefing von n’guard.swiss](https://nguard.swiss/cyber-whitepaper/) auf Basis der öffentlich verfügbaren BACS-Wochenstatistiken. Die entscheidende Erkenntnis liegt damit nicht im Gesamtvolumen. **Das Risikoprofil verändert sich. Und mit ihm die Anforderungen an Governance, Risikomanagement und Cyber Resilience.** Die Bedrohung wird nicht zwingend grösser, aber anspruchsvoller Der Rückgang der Gesamtmeldungen ist wesentlich auf weniger klassische Betrugsversuche zurückzuführen. Gleichzeitig gewinnen andere Angriffsmethoden an Bedeutung. Phishing machte im ersten Halbjahr 2026 bereits 32,7 Prozent der ausgewerteten Meldungen aus. Spoofing stieg um 42 Prozent, Schadsoftware von einer deutlich kleineren Ausgangsbasis um 85 Prozent. Auch die Qualität verändert sich. Das n’guard-Briefing verweist auf KI-gestützte Phishing-Varianten und zunehmend glaubwürdige Kampagnen gegen Unternehmenszugänge wie Microsoft 365. Gleichzeitig zeigen Methoden wie ClickFix, wie Angreifer menschliches Verhalten gezielt in die Angriffskette integrieren: Benutzer werden dazu gebracht, schädliche Befehle selbst auszuführen. Die Zahlen müssen allerdings richtig eingeordnet werden. Die BACS-Statistik erfasst gemeldete Vorfälle, nicht die tatsächliche Gesamtzahl der Cyberangriffe in der Schweiz. Gerade bei technisch raffinierteren Angriffen dürfte eine relevante Dunkelziffer bestehen. Für Unternehmen ist daher weniger entscheidend, ob die Zahl der Angriffe statistisch steigt oder fällt. Entscheidend ist, wie sich externe Bedrohungen auf das eigene Risikoprofil auswirken. Aus Threat Intelligence muss Risk Intelligence werden Genau hier beginnt die GRC-Perspektive. Ein Anstieg von Phishing um 41 Prozent ist zunächst eine Information über das externe Bedrohungsumfeld. Für das Management wird diese Information erst dann relevant, wenn sie mit dem eigenen Unternehmenskontext verbunden wird. Welche Identitäten und Systeme sind exponiert? Welche kritischen Geschäftsprozesse hängen davon ab? Welche Kontrollen existieren? Welche Drittparteien besitzen Zugriff? Welche regulatorischen Verpflichtungen könnten durch einen Vorfall ausgelöst werden? Und welche Auswirkungen hätte ein Ausfall auf die Geschäftstätigkeit? Aus GRC-Sicht entsteht eine Kette: **Threat → Asset → Geschäftsprozess → Risiko → Anforderung → Kontrolle → Incident → Massnahme** Damit wird aus Threat Intelligence [**Risk Intelligence**](https://swissgrc.com/third-party-intelligence-center/). Genau diese Verbindung fehlt in vielen Organisationen noch. Security Operations, Risikoregister, Compliance-Anforderungen, Third-Party Risk Management und Business Continuity verfügen jeweils über wertvolle Informationen. Werden sie jedoch isoliert gesteuert, bleibt die entscheidende Gesamtsicht fragmentiert. Ein Cybervorfall sollte deshalb nicht nur ein Security Ticket erzeugen. Er sollte auch die Frage auslösen, ob ein bestehendes Risiko neu bewertet, eine Kontrolle angepasst, eine Drittpartei überprüft oder ein Resilienz-Szenario aktualisiert werden muss. Regulierung macht Cybersecurity zur Governance-Aufgabe Dass Cyberrisiken nicht mehr ausschliesslich als technisches Thema betrachtet werden können, zeigt auch die regulatorische Entwicklung. Mit [**NIS2**](https://swissgrc.com/eu-nis2-richtlinie-fuer-cyber-sicherheit/) rückt die EU die Verantwortung ausdrücklich auf die Managementebene. Leitungsorgane betroffener Unternehmen müssen Cybersecurity-Risikomanagementmassnahmen genehmigen und deren Umsetzung überwachen. Die Richtlinie verbindet dabei Risikoanalyse mit Incident Handling, Business Continuity, Supply Chain Security, Vulnerability Management und der Überprüfung der Wirksamkeit von Sicherheitsmassnahmen. 2026 kommt ein weiterer wichtiger Baustein hinzu: der [**Cyber Resilience Act (CRA)**](https://swissgrc.com/cyber-resilience-act-cra/). Ab dem **11. September 2026** müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen melden. Vorgesehen sind unter anderem eine Frühwarnung innerhalb von 24 Stunden und eine weiterführende Meldung innerhalb von 72 Stunden. Der CRA verdeutlicht einen grundlegenden Wandel: Cybersecurity wird über den gesamten Produktlebenszyklus zu einer steuerungs- und nachweispflichtigen Aufgabe. Risikobewertung, Schwachstellenmanagement, Incident Reporting und Verantwortlichkeiten müssen zusammengeführt werden. Auch die Schweiz folgt dieser Entwicklung. Seit dem **1. April 2025** besteht für Betreiber kritischer Infrastrukturen eine Meldepflicht für bestimmte Cyberangriffe. Nach Entdeckung eines meldepflichtigen Vorfalls muss grundsätzlich innerhalb von 24 Stunden eine Meldung an das BACS erfolgen. Die gemeinsame Richtung ist klar: **Cybersecurity wird regulatorisch zunehmend als Governance- und Risikomanagementaufgabe verstanden.** Cyber Resilience beginnt mit Zusammenhängen Die Konsequenz daraus ist nicht, für jede neue Bedrohung eine zusätzliche isolierte Kontrolle einzuführen. Unternehmen müssen vielmehr verstehen, wie Bedrohungen, Risiken, Prozesse, Kontrollen, Drittparteien und regulatorische Anforderungen zusammenwirken. Genau hier wird GRC zum verbindenden Element zwischen Cyber Security und Cyber Resilience. Cyber Resilience bedeutet schliesslich mehr als Angriffe zu verhindern. Organisationen müssen Risiken antizipieren, Vorfälle erkennen und bewältigen, Auswirkungen begrenzen und kritische Geschäftsleistungen wiederherstellen können. Ein integrierter GRC-Ansatz schafft dafür die notwendige Transparenz: Welche kritischen Prozesse sind gefährdet? Welche Kontrollen schützen sie? Wie wirksam sind diese Kontrollen? Welche Abhängigkeiten bestehen zu Drittparteien? Welche regulatorischen Anforderungen gelten? Und wo entstehen durch neue Bedrohungen zusätzliche Risiken? Die relevante Frage ist nicht die Zahl der Angriffe Die 27’054 gemeldeten Cybervorfälle des ersten Halbjahres 2026 sind deshalb vor allem ein Signal. Die Bedrohungslandschaft verändert sich, während CRA, NIS2 und die Schweizer Meldepflicht gleichzeitig höhere Anforderungen an Risikomanagement, Verantwortlichkeit und Nachweisbarkeit stellen. Für Unternehmen wird damit eine Fähigkeit entscheidend: **Veränderungen der externen Bedrohungslage schnell in den eigenen Risikokontext zu übersetzen und daraus Entscheidungen abzuleiten.** Die zentrale Frage lautet daher nicht mehr nur: *Wie schützen wir uns vor Cyberangriffen?* Sondern: **Verstehen wir, welche Cyberrisiken unser Geschäft tatsächlich bedrohen, und können wir sie wirksam steuern?** Genau dort treffen GRC und Cyber Resilience aufeinander. ## Häufige Fragen ### Wie viele Cybervorfälle wurden im ersten Halbjahr 2026 in der Schweiz gemeldet? Dem Bundesamt für Cybersicherheit (BACS) wurden 27'054 Vorfälle gemeldet. Das sind 6,8 Prozent weniger als im zweiten Halbjahr 2025, während Phishing um 41 Prozent und Schadsoftware um 85 Prozent zunahmen. ### Was bedeutet Risk Intelligence im GRC-Kontext? Risk Intelligence entsteht, wenn Informationen zur Bedrohungslage mit dem eigenen Unternehmenskontext verbunden werden. Dazu gehören exponierte Systeme, kritische Geschäftsprozesse, bestehende Kontrollen, Drittparteien und regulatorische Verpflichtungen. ### Ab wann gilt die Meldepflicht des Cyber Resilience Act? Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen melden. Vorgesehen sind eine Frühwarnung innerhalb von 24 Stunden und eine weiterführende Meldung innerhalb von 72 Stunden. ### Welche Meldepflicht gilt in der Schweiz bei Cyberangriffen? Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen bestimmte Cyberangriffe melden. Die Meldung an das BACS erfolgt grundsätzlich innerhalb von 24 Stunden nach Entdeckung eines meldepflichtigen Vorfalls. ### Was verlangt NIS2 von der Unternehmensleitung? Die Leitungsorgane betroffener Unternehmen müssen Cybersecurity-Risikomanagementmassnahmen genehmigen und deren Umsetzung überwachen. Die Richtlinie verbindet Risikoanalyse mit Incident Handling, Business Continuity, Supply Chain Security und Vulnerability Management.