ISG-Meldepflicht: 24 Stunden an das BACS — wen sie bindet und wen nicht

Wen bindet die Pflicht?

Adressat sind die Betreiber kritischer Infrastrukturen. Das ISG zählt die Sektoren auf: Energie, Trinkwasser, Verkehr, Finanzwesen, Gesundheit, Telekommunikation, Post, Medien, Lebensmittelversorgung und IT. Hinzu kommen die Bundesbehörden sowie die kantonalen und kommunalen Verwaltungen.

Wer nicht in diese Aufzählung fällt, ist nach ISG nicht meldepflichtig — auch dann nicht, wenn er einen erheblichen Vorfall erleidet. Das ist die nützlichste Korrektur an einer verbreiteten Fehlannahme: Die Schweiz hat mit dem ISG keine allgemeine Cyber-Meldepflicht für die Wirtschaft eingeführt, sondern eine sektorielle.

Die Zugehörigkeit zu einem Sektor allein entscheidet allerdings nicht. Die Ausnahmen von der Meldepflicht regelt die Cybersicherheitsverordnung (CSV), gestützt auf Art. 74c ISG. Ob ein einzelnes Unternehmen befreit ist, gehört deshalb dort geprüft; pauschale Schwellenwerte, wie sie im Markt kursieren, sollte man nicht ungeprüft übernehmen. Zur Einordnung des Erlasses: Das Stammgesetz stammt nach hiesigem Kenntnisstand vom 18. Dezember 2020 — verlässlich datiert und für die Meldepflicht massgebend ist die Änderung vom 29. September 2023, die Art. 74a ff. eingefügt hat.

Welche Vorfälle sind meldepflichtig?

Nicht jeder Angriff, sondern Angriffe mit einem von drei Merkmalen:

• Sie gefährden die Funktionsfähigkeit der kritischen Infrastruktur.
• Sie haben zu einer Manipulation oder einem Abfluss von Daten geführt.
• Sie sind mit Erpressung, Drohung oder Nötigung verbunden.

Die Kriterien stehen nebeneinander; eines genügt. Praktisch bedeutsam ist das dritte: Eine Ransomware-Forderung löst die Meldepflicht auch dann aus, wenn kein Betriebsunterbruch eingetreten ist und ein Datenabfluss noch nicht feststeht.

Wie läuft die Meldung — und was gilt nach den ersten 24 Stunden?

Die Meldung geht an das BACS über den Cyber Security Hub — nach dem Gesetzeswortlaut «innerhalb von 24 Stunden nach deren Entdeckung», also ab Entdeckung des Angriffs und nicht ab Abschluss der Analyse. Eine unvollständige Erstmeldung ist innert 14 Tagen zu vervollständigen.

Dieses zweistufige Verfahren ist eine Entlastung und eine Falle zugleich. Es ist nicht verlangt, den Vorfall in 24 Stunden verstanden zu haben. Es ist verlangt, ihn in 24 Stunden zu melden — und dann innert zwei Wochen zu erklären.

Was kostet eine unterlassene Meldung?

Für die Einführung galt eine Übergangsfrist von sechs Monaten bis zum 1. Oktober 2025. Seit diesem Datum greifen die Sanktionen nach ISG, mit Bussen bis CHF 100'000. Die Schonfrist ist damit abgelaufen; wer den Meldeweg bis heute nicht eingerichtet hat, tut das nicht mehr im rechtsfreien Raum.

EDÖB oder BACS — welche Meldepflicht greift wann?

Die Schweiz kennt zwei Meldepflichten für Vorfälle, und sie laufen unabhängig voneinander. Verschiedene Adressaten, verschiedene Fristen, verschiedene Auslöseschwellen. Ein einziger Vorfall kann beide gleichzeitig auslösen — etwa ein Ransomware-Angriff auf ein Spital, bei dem Patientendaten abfliessen.

	ISG Art. 74c	DSG Art. 24
Adressat	Bundesamt für Cybersicherheit (BACS), über den Cyber Security Hub	EDÖB
Frist	24 Stunden nach Entdeckung; Vervollständigung innert 14 Tagen	«So rasch als möglich» — keine Stundenfrist. Eine 72-Stunden-Frist gibt es im Schweizer Recht nicht.
Auslöseschwelle	Gefährdung der Funktionsfähigkeit, Manipulation oder Abfluss von Daten, oder Erpressung, Drohung, Nötigung	Verletzung der Datensicherheit mit voraussichtlich hohem Risiko für die Persönlichkeit oder die Grundrechte
Geltungsbereich	Nur Betreiber kritischer Infrastrukturen sowie Behörden von Bund, Kantonen und Gemeinden	Jeder Verantwortliche im Anwendungsbereich des DSG
Sanktion	Bussen bis CHF 100'000, seit 1. Oktober 2025	Die unterlassene Meldung ist für sich nicht strafbewehrt; Sanktionsrelevanz entsteht mittelbar über eine Verfügung des EDÖB

Für die Praxis heisst das: Die beiden Meldewege gehören im Incident-Plan getrennt geführt. Sie beantworten verschiedene Fragen — das BACS will wissen, was der Infrastruktur zugestossen ist, der EDÖB, was den betroffenen Personen zugestossen ist. Details zur DSG-Seite in der Darstellung zu Art. 21 und Art. 24 DSG; für beaufsichtigte Institute kommen die Erwartungen aus der FINMA-Aufsichtsmitteilung 08/2024 hinzu.

Warum sind 24 Stunden bei automatisierten Systemen knapp?

Die eigentliche operative Schwierigkeit liegt nicht im Absenden der Meldung. Sie liegt darin, innerhalb eines Tages zu bestimmen, was überhaupt geschehen ist.

Wo automatisierte oder agentische Prozesse laufend Handlungen auslösen — Zahlungen freigeben, Datensätze exportieren, Berechtigungen ändern —, besteht der Vorfall nicht aus einem Ereignis, sondern aus einer Kette. Die entscheidende Frage des ersten Tages lautet: Welche dieser Handlungen waren autorisiert, und welche nicht? Wer sie nicht beantworten kann, meldet auf unsicherer Grundlage — und die Vervollständigung innert 14 Tagen wird zur Aufarbeitung unter Zeitdruck, meist parallel zur laufenden Wiederherstellung.

Die Rekonstruktionsgeschwindigkeit bestimmt damit unmittelbar die Qualität der Meldung. Sie hängt nicht davon ab, wie viel protokolliert wird, sondern davon, ob sich eine einzelne Handlung mit ihrer Autorisierung verbinden lässt: welcher Prozess, mit welcher Modell- und Konfigurationsversion, gestützt auf welche Freigabe, zu welchem Zeitpunkt. Fehlt diese Verknüpfung, bleibt nur die Rekonstruktion aus verstreuten Systemlogs — eine Arbeit von Tagen, nicht von Stunden. Zur Ausgestaltung siehe die englischsprachige Darstellung zur Nachweisführung für KI-Agenten.

Was zeigen die ersten sechs Monate?

Beim BACS gingen in den ersten sechs Monaten 164 Meldungen ein. Nach Sektoren führt das Finanzwesen mit 19 Prozent, vor IT mit 8,7 Prozent und Energie mit 7,6 Prozent.

Die Zahl ist für ein ganzes Land in einem halben Jahr niedrig. Sie sagt für sich genommen nichts darüber aus, ob zu wenig gemeldet wird oder ob der Geltungsbereich schlicht eng gefasst ist — bemerkenswert ist eher, wie stark sich die Meldungen auf wenige Sektoren konzentrieren.

Gilt NIS2 in der Schweiz?

Nein. NIS2 ist eine EU-Richtlinie, und die Schweiz ist weder Mitglied der EU noch des EWR; eine unmittelbare Geltung besteht nicht. Faktisch erreichen NIS2-Anforderungen Schweizer Anbieter dennoch — nicht über das Recht, sondern über den Vertrag. EU-Kunden, die selbst NIS2 unterliegen, geben ihre Lieferkettenpflichten weiter: Meldefristen, Nachweispflichten, Prüfrechte. Für einen Schweizer Dienstleister mit EU-Kundschaft ist das keine regulatorische, sondern eine vertragliche Frage — mit demselben Ergebnis.

Umsetzungscheckliste

1. Klären Sie den Geltungsbereich schriftlich. Fallen Sie unter einen der Sektoren, und greift eine Ausnahme nach CSV? Das Resultat gehört dokumentiert — auch ein begründetes «nein».
2. Richten Sie den Zugang zum Cyber Security Hub ein, bevor Sie ihn brauchen. Registrierung im Ernstfall kostet Stunden, die die Frist nicht hergibt.
3. Benennen Sie eine Person, welcher die 24-Stunden-Uhr gehört — mit Stellvertretung und ohne Abhängigkeit von einer Managemententscheidung, die am Wochenende nicht zustande kommt.
4. Üben Sie die Rekonstruktion, nicht nur die Wiederherstellung. Eine Übung, die bloss das Wiederanlaufen prüft, beantwortet die Frage der Meldung nicht.
5. Führen Sie beide Meldewege getrennt: BACS nach ISG, EDÖB nach DSG — andere Schwellen, andere Fristen, andere Inhalte.

Häufige Fragen

Wer muss nach dem ISG melden?

Betreiber kritischer Infrastrukturen in den genannten Sektoren sowie Behörden von Bund, Kantonen und Gemeinden. Ausserhalb davon besteht keine allgemeine 24-Stunden-Meldepflicht; die Ausnahmen regelt die CSV.

Wie lang ist die Frist genau?

Innerhalb von 24 Stunden nach Entdeckung, an das BACS über den Cyber Security Hub. Eine unvollständige Erstmeldung ist innert 14 Tagen zu vervollständigen.

Welche Vorfälle sind meldepflichtig?

Angriffe, welche die Funktionsfähigkeit der kritischen Infrastruktur gefährden, zu Manipulation oder Abfluss von Daten geführt haben oder mit Erpressung, Drohung oder Nötigung verbunden sind. Eines der drei Kriterien genügt.

Ersetzt die BACS-Meldung die Meldung an den EDÖB?

Nein. Die beiden Pflichten sind unabhängig. Derselbe Vorfall kann eine Meldung innert 24 Stunden an das BACS und eine Meldung «so rasch als möglich» an den EDÖB auslösen, wenn zusätzlich ein hohes Risiko für die betroffenen Personen besteht.

Gilt NIS2 für Schweizer Unternehmen?

Nicht direkt. Die Schweiz ist weder EU- noch EWR-Mitglied. Über die Lieferkettenpflichten von EU-Kunden wirken die Anforderungen jedoch vertraglich auf Schweizer Anbieter durch.

Weiterführend

• KI-Governance in der Schweiz — Übersicht
• Automatisierte Einzelentscheidungen nach Art. 21 DSG — und die Meldepflicht nach Art. 24 DSG
• FINMA-Aufsichtsmitteilung 08/2024: Was Institute umsetzen müssen
• Nachweisführung für KI-Agenten (englisch)

BarzelVault setzt die Freigabe durch, bevor eine automatisierte Handlung ausgeführt wird, und hält je Operation fest, worauf sie beruhte — Richtlinien- und Modellversion, Auslöser, Autorisierung. Genau die Verknüpfung, die darüber entscheidet, ob sich die Frage «welche Handlungen waren autorisiert?» innerhalb der ersten 24 Stunden beantworten lässt oder erst Wochen später.

In der Praxis

Erst den Vorfall eindämmen, dann belegen, was passiert ist – innerhalb der Meldefrist.

Meldefristen laufen in Stunden, und die Haftung der Geschäftsleitung hängt davon ab, ob Massnahmen umgesetzt und überwacht wurden – nicht nur gebilligt. Barzel isoliert Zugangsdaten, trennt einen Agenten mit einer Aktion ab und bewahrt signierte Belege dessen, was gelaufen ist – das Material, aus dem Meldung und Vorstandsbericht entstehen.

In KraftISG-Meldepflicht an das BACS (24 Stunden) seit 1. April 2025; Bussen seit 1. Oktober 2025

BarzelVault

Die Firewall für KI-Aktionen: entscheiden, was ein Agent tun darf, bevor er es tut.

• Freigabeschwellen und Richtlinienprüfungen vor der Ausführung; menschliche Freigaben mit Ablauf und Eskalation.
• Kryptografisch signierte Prüfbelege: Auslöser, Eingaben, Richtlinienversion, Freigebender, Ergebnis.
• Isolierte Zugangsdaten, Ausgaben- und Aktionslimits sowie ein Not-Aus.

Kostenlos: 10.000 Aufrufe im MonatBezahlte Pläne ab 199 USD im MonatVerfügbar auf MCPize

Kostenlos starten →Per E-Mail anfragenProduktseiteDokumentation

Barzel Central Gateway

Die Steuerungsebene für KI-Governance: ein Inventar und eine Richtlinienschicht über alle MCP-Server und Agenten.

• Registriert und synchronisiert jedes Tool; setzt Identität, Richtlinie, Region, Kosten und Zustand je Tool durch.
• Identitätszuordnung über OIDC, Entra ID, Okta, SAML und SPIFFE, mit Credential-Brokerage.
• Trace- und SIEM-Export (W3C Trace Context, OTLP) für Sicherheitsteam und Aufsicht.

Kostenlos: 1.000 Aufrufe im MonatBezahlte Pläne ab 10 USD im MonatVerfügbar auf MCPize

Kostenlos starten →Per E-Mail anfragenProduktseiteDokumentation

Enterprise: schriftliches Angebot per E-Mail innerhalb von zwei Werktagen. Kein Verkaufsgespräch.

Quellen

1. Informationssicherheitsgesetz (ISG), SR 128, Art. 74a ff., insbesondere Art. 74c; Änderung vom 29. September 2023 — fedlex.admin.ch.
2. Cybersicherheitsverordnung (CSV) — fedlex.admin.ch.
3. BACS, Meldepflicht für Cyberangriffe auf kritische Infrastrukturen, in Kraft seit 1. April 2025; Meldeportal Cyber Security Hub.
4. BACS, Auswertung der Meldungen aus den ersten sechs Monaten der Meldepflicht (164 Meldungen).
5. Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 24 — fedlex.admin.ch.
6. Richtlinie (EU) 2022/2555 (NIS2) — für die Schweiz nicht anwendbar; Angabe zur Abgrenzung.

Dieser Beitrag dient der Information und stellt keine Rechtsberatung dar. Stand: 2. September 2026.