Meldepflicht

Der Bundesrat hat die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen per 1. April 2025 in Kraft gesetzt. Die Betreiberinnen und Betreiber von kritischen Infrastrukturen sind verpflichtet, dem BACS Cyberangriffe innerhalb von 24 Stunden nach deren Entdeckung zu melden. Können bei der Erstmeldung noch nicht alle Angaben gemacht werden, besteht eine Frist von 14 Tagen, um die Meldung zu vervollständigen.

Das Informationssicherheitsgesetz (ISG), Art.74b, legt fest, dass meldepflichtige Behörden und Organisationen wie beispielsweise die Energie- oder Trinkwasserversorgung Transportunternehmen und die Verwaltungen von Kantonen und Gemeinden Cyberangriffe innerhalb von 24 Stunden nach der Entdeckung an das BACS melden müssen.

Ein Cyberangriff muss unter anderem gemeldet werden, wenn er die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet, zu einer Manipulation oder zu einem Abfluss von Informationen geführt hat oder mit Erpressung, Drohung oder Nötigung verbunden ist.

Um den Meldeprozess möglichst einfach zu gestalten, stellt das BACS auf seiner bestehenden Plattform für den Informationsaustausch mit Betreiberinnen von kritischen Infrastrukturen, dem Cyber Security Hub (CSH), ein Meldeformular zur Verfügung.

Der Cyber Security Hub (CSH) ist ein wichtiges Informationssystem des Bundesamtes für Cybersicherheit (BACS). Er dient als Instrument für den Austausch und das Management von Informationen über Cyberbedrohungen, Cybervorfälle und Cybersicherheitspraktiken.

Hier finden Sie die Antworten auf die häufigsten Fragen zur Meldepflicht.

Die Meldepflicht wird im Informationssicherheitsgesetz (ISG) sowie in der Cybersicherheitsverordnung (CSV) geregelt.