- Der Bundesrat erkennt eine erhebliche Lücke in der Cyberresilienz-Regulierung digitaler Produkte in der Schweiz gegenüber dem EU-Cyber Resilience Act.
- Das BACS, BAKOM und SECO sollen bis Herbst 2026 eine Vernehmlassungsvorlage für eine Gesetzgebung zur Cyberresilienz erarbeiten.
- Neue Regeln sollen Sicherheitsanforderungen, Marktüberwachung und Verbote unsicherer Importe regeln, mit Anpassung an den Wirtschaftsstandort Schweiz.
Der Bundesrat stellt fest, dass in der Schweiz Vorgaben zur Cyberresilienz von digitalen Produkten weitgehend fehlen – anders als in der EU mit dem Cyber Resilience Act (CRA; siehe hier unsere aufbereitete Version), und obwohl
Sicherheitslücken in Soft- oder Hardware […] ein Einfallstor für Cyberangriffe [sind]. Finden Angreifer eine solche Lücke, können sie in kurzer Zeit in zahlreiche Systeme eindringen. Da oftmals viele individuelle Produkte digital vernetzt sind, kann dadurch grosser physischer oder wirtschaftlicher Schaden entstehen. Bei Produkten, welche bei kritischen Infrastrukturen im Einsatz stehen, können Schwachstellen die nationale Sicherheit gefährden. Obwohl es für die Cybersicherheit von entscheidender Bedeutung ist, Sicherheitslücken zu vermeiden oder sie rasch zu schliessen, gibt es in der Schweiz kaum Vorgaben zur Cyberresilienz von digitalen Produkten.
Das möchte der Bundesrat ändern. Am 20. August 2025 hat er das Bundesamt für Cybersicherheit (BACS) beauftragt, in Zusammenarbeit mit dem Bundesamt für Kommunikation (BAKOM) und dem Staatsekretariat für Wirtschaft (SECO) bis Herbst 2026 eine Vernehmlassungsvorlage zur «Schaffung einer Gesetzgebung zur Cyberresilienz von digitalen Produkten» zu erarbeiten (Medienmitteilung):
Die neuen gesetzlichen Grundlagen sollen die Vorschriften zur Cybersicherheit bei der Entwicklung und dem Inverkehrbringen von Produkten mit digitalen Elementen festlegen, die Umsetzung der Marktüberwachung dieser Produkte definieren sowie Grundlagen für ein Verbot des Imports und Vertriebs unsicherer Geräte schaffen.
und:
Die neuen gesetzlichen Grundlagen sollen die Sicherheitsanforderungen für Produkte mit digitalen Elementen erhöhen und damit den Forderungen der Motion «Durchführung dringend notwendiger Cybersicherheitsprüfungen» 24.3810 der Sicherheitspolitischen Kommission des Ständerats nachkommen.
Der CRA soll dabei “beachtet” werden, aber die Gesetzgebung soll “auf den Wirtschaftsstandort Schweiz angepasst” sein, und es soll sichergestellt werden, “dass die administrative Belastung der Unternehmen möglichst tief gehalten und dass international tätige Unternehmen aus der Schweiz nicht durch voneinander abweichende Vorgaben zusätzlich belastet werden”.