Das neue DSG hat die Anforderungen an den Umgang mit Sicherheitsverletzungen verschärft.
Dazu kommen Meldepflichten in Fachgesetzen (wie bspw. für Finanzunternehmen nach dem FINMAG) und für kritische Infrastrukturen nach dem ISG.
Hier finden Sie eine Übersicht zu den Meldepflichten.
1
Was ist eine Sicherheitsverletzung?
Eine Datenschutzverletzung (“Data Breach”) heisst bei Personendaten, dass Personendaten unerlaubt oder unbeabsichtigt verloren gehen, gestohlen, missbraucht oder anderweitig kompromittiert werden.
Typische Beispiele sind:
Sicherheitsverletzungen können schwerwiegende Folgen haben – für die betroffenen Personen und für das Unternehmen.
2
Muss man eine Verletzung melden?
Ja, Verletzungen der Datensicherheit müssen unter bestimmten Voraussetzungen gemeldet werden:
Meldung an den EDÖB
Voraussetzung: Eine Meldung an den EDÖB ist nur Pflicht bei hohen Risiken (aufgrund der Verletzung) für betroffene Personen.
Das ist kein klarer Begriff, und verbindliche Beispiele gibt es in der Schweiz nicht. Aber Hilfsmittel zur Risikoeinschätzung:
Wann muss man melden? Wenn eine Meldung verpflichtend ist, muss sie so rasch wie möglich erfolgen. Eine fixe Dauer gibt es nicht, und man darf gewisse Abklärungen treffen. Im Zweifel sollte man aber rascher melden und dann u.U. nachmelden.
Wie muss man melden? Der EDÖB stellt für die Meldung an ihn hier ein Formular zur Verfügung. Das Formular fragt aber zu viele Informationen ab, und der EDÖB unterliegt dem Öffentlichkeitsprinzip. Meldungen können deshalb öffentlich werden. Eine Meldung per E‑Mail ist oft sinnvoller.
Meldung an betroffene Personen
Verletzungen der Datensicherheit müssen den betroffenen Personen gemeldet werden, wenn diese zum eigenen Schutz aktiv werden müssen (z.B. ein Passwort wechseln, ein Konto sperren, den Pass erneuern).
Das kann auch dann sein, wenn keine Meldung an den EDÖB gemacht werden muss.
3
Was müssen kritische Infrastrukturen melden?
Das Bundesgesetz über die Informationssicherheit beim Bund (ISG) wird um Bestimmungen zur Meldepflicht der Betreiberinnen bestimmter kritischer Infrastrukturen ergänzt. Die revidierten Bestimmungen sind am 1. April 2025 in Kraft getreten.
Bestimmte kritische Infrastrukturen (Kritis) müssen Cyberangriffe melden:
Wer muss melden? Meldepflichtige Personen snid bspw. Behörden, Sozialversicherungsträger einschliesslich der Pensionskassen, Energieversorger, Banken, Listenspitäler, medizinische Laboratorien, Arzneimittelhersteller oder ‑distributoren, registrierte FDA und bestimmte Anbieter im SaaS‑, Cloud- und Hardwarebereich und diverse weitere Stellen.
Was muss man melden? Es geht um mindestens teilweise erfolgreiche Cyberangriffe. Das sind absichtlich ausgelöste Beeinträchtigungen der Vertraulichkeit, Verfügbarkeit oder Integrität von Informationen der Nachvollziehbarkeit ihrer Bearbeitung – der Schlüsselbegriff ist “absichtlich”: Human Error ist nicht erfasst. Auch Portscans und dergleichen nicht.
Ab welcher Schwelle muss man melden? Auch Cyberangriffe müssen nur gemeldet werden, wenn
Wo muss man melden? Die Meldung muss ggf. an das Bundesamt für Cybersicherheit BACS erfolgen.
Arbeitsmaterialien zum ISG
Wir stellen diverse Materialien zum ISG zur Verfügung, einschliesslich von Gesetzesausgaben mit Botschaft bzw. Erläuterndem Bericht.
Wir haben die neuen Bestimmungen zur Meldung von Cyberangriffen durch kritische Infrastukturen nach dem ISG und der CSV zusammengestellt, jeweils mit den Auszügen aus der Botschaft und dem Erläuterungsbericht und alles auf Deutsch und auf Englisch:
4
Gibt es weitere Meldepflichten?