Mel­de­pflicht für Cyber­an­grif­fe auf kri­ti­sche Infra­struk­tu­ren gilt ab 1. April 2025

Behörde(n): 

Gesetze:

Inhalt

Der Bun­des­rat hat die Mel­de­pflicht für Cyber­an­grif­fe auf kri­ti­sche Infra­struk­tu­ren gemäss dem revi­dier­ten ISG sowie die Cyber­si­cher­heits­ver­ord­nung (CSV) auf den 1. April 2025 in Kraft gesetzt (dazu hier). Betrei­ber kri­ti­scher Infra­struk­tu­ren wer­den dadurch ver­pflich­tet, dem Bun­des­amt für Cyber­si­cher­heit (BACS) Cyber­an­grif­fe inner­halb von 24 Stun­den nach Ent­deckung zu melden:

Kri­ti­sche Infra­struk­tu­ren im Sin­ne der Mel­de­pflicht sind folgende:

  • Hoch­schu­len
  • Bundes‑, Kan­tons- und Gemein­de­be­hör­den sowie inter­kan­to­na­le, kan­to­na­le und inter­kom­mu­na­le Organisationen
  • Orga­ni­sa­tio­nen mit öffent­lich-recht­li­chen Auf­ga­ben in den Berei­chen Sicher­heit und Ret­tung, Trink­was­ser­ver­sor­gung, Abwas­ser­auf­be­rei­tung und Abfallentsorgung
  • Unter­neh­men in den Berei­chen Ener­gie­ver­sor­gung, Ener­gie­han­del, Ener­gie­mes­sung oder Energiesteuerung
  • Ban­ken, Ver­si­che­rer und Finanz­markt­in­fra­struk­tu­ren (aber nicht Finanzdienstleister)
  • Gesund­heits­ein­rich­tun­gen auf der kan­to­na­len Spitalliste
  • medi­zi­ni­sche Labo­ra­to­ri­en mit einer Bewil­li­gung nach dem Epidemiengesetz
  • Unter­neh­men mit einer Bewil­li­gung für die Her­stel­lung, das Inver­kehr­brin­gen und die Ein­fuhr von Arzneimitteln
  • Sozi­al­ver­si­che­rer
  • die SRG
  • Nach­rich­ten­agen­tu­ren von natio­na­ler Bedeutung
  • Anbie­te­rin­nen von Postdiensten
  • Eisen­bahn­un­ter­neh­men sowie kon­zes­si­nier­te Seilbahn‑, Trolleybus‑, Auto­bus- und Schifffahrtsunternehmen
  • Unter­neh­men der Zivilluftfahrt
  • Ver­sor­ger der Bevöl­ke­rung mit unent­behr­li­chen Gütern des täg­li­chen Bedarfs ver­sor­gen, wenn ihr Aus­fall oder ihre Beein­träch­ti­gung zu erheb­li­chen Ver­sor­gungs­eng­päs­sen füh­ren würde
  • regi­strier­te Fernmeldedienstanbieter
  • Regi­ster­be­trei­ber und Regi­stra­re von Internet-Domains
  • Anbie­ter und Betrei­ber von Dien­sten und Infra­struk­tu­ren, die der Aus­übung der poli­ti­schen Rech­te dienen
  • Anbie­ter und Betrei­ber von Cloud­com­pu­ting, Such­ma­schi­nen, digi­ta­len Sicher­heits- und Ver­trau­ens­dien­sten sowie Rechen­zen­tren, sofern sie einen Sitz in der Schweiz haben
  • Her­stel­ler von Hard- oder Soft­ware, deren Pro­duk­te von kri­ti­schen Infra­struk­tu­ren genutzt wer­den, sofern die Hard- oder Soft­ware einen Fern­war­tungs­zu­gang hat oder zu bestimm­ten Zwecken ein­ge­setzt wird

Eini­ge Aus­nah­men und Schwel­len­wer­te regelt Art. 16 CSV.

Cyber­an­grif­fe müs­sen nach den neu­en Bestim­mun­gen nur unter bestimm­ten qua­li­fi­zie­ren­den Umstän­den gemel­det wer­den (aber frei­wil­li­ge Mel­dun­gen wer­den ger­ne ent­ge­gen­ge­nom­men). Die Ver­let­zung der Mel­de­pflicht als sol­che ist dabei ent­ge­gen der Mit­tei­lung des Bun­des­rats nicht straf­bar; eine Bus­se sieht das Gesetz erst dann vor, wenn einer rechts­kräf­ti­gen Ver­fü­gung des BACS vor­sätz­lich nicht Fol­ge leistet.

Das BACS stellt ein Mel­de­for­mu­lar zur Ver­fü­gung. Orga­ni­sa­tio­nen ohne Zugriff kön­nen die Mel­dun­gen auch per E‑Mail-For­mu­lar abge­ben. Mel­dun­gen kön­nen auch an wei­te­re Behör­den wei­ter­ge­lei­tet wer­den, wenn eine Mel­de­pflicht besteht, bei­spiels­wei­se an die FINMA oder den EDÖB (wobei die Vor­aus­set­zun­gen der Mel­de­pflicht sepa­rat zu beur­tei­len sind). Die Wei­ter­lei­tung erfolgt Real­time, soll­te also kei­nen Zeit­ver­lust mit sich bringen.

Eben­falls auf den 1. April 2025 hat der Bun­des­rat die “Ver­ord­nung über die Anpas­sung von Geset­zen infol­ge der Ände­rung der Bezeich­nung des Natio­na­len Zen­trums für Cyber­si­cher­heit (NCSC) in Bun­des­amt für Cyber­si­cher­heit (BACS)” erlas­sen, die den Namens­wech­sel im Zusam­men­hang mit der Über­füh­rung des NCSC in ein Bun­des­amt beim VBS betrifft.