Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen in der Schweiz Cyberangriffe dem Bundesamt für Cybersicherheit melden. Grundlage ist die Cybersicherheitsverordnung zum revidierten Informationssicherheitsgesetz. Mit dem Halbjahresbericht 2026/1 liegen Zahlen über anderthalb Jahre vor.

Im ersten Halbjahr 2026 gingen beim Bundesamt 200 meldepflichtige Cybervorfälle ein, dazu 27’128 freiwillige Meldungen. In den ersten sechs Monaten nach Einführung der Pflicht waren es 164 meldepflichtige Meldungen gewesen, am häufigsten aus dem Finanzwesen, gefolgt von IT und Energie. Das Bundesamt spricht von einem Meldeeingang, der sich auf hohem Niveau stabilisiert hat.

Was diese Zahlen aussagen, und was nicht

Sie sagen wenig über die Bedrohungslage und viel über die Organisation. Dass mehr gemeldet wird, heisst nicht, dass mehr passiert. Es heisst, dass mehr Unternehmen einen Vorfall überhaupt als meldepflichtig erkennen und dass die internen Abläufe dafür stehen.

Umgekehrt gilt: Wer bisher nie gemeldet hat, sollte prüfen, ob das an der Ruhe liegt oder daran, dass niemand die Frage stellt.

Seit Oktober 2025 wird die Verletzung sanktioniert

Gemeldet werden muss innert 24 Stunden nach Entdeckung. Seit dem 1. Oktober 2025 sind die Sanktionen in Kraft: Wer die Pflicht verletzt, riskiert eine Busse von bis zu 100’000 Franken.

Der Weg dahin ist mehrstufig. Das Bundesamt kontaktiert bei Hinweisen auf einen Verstoss zunächst den Betreiber. Erst wenn dieser weder auf die Kontaktaufnahme noch auf die anschliessende Verfügung reagiert, kann Strafanzeige erstattet werden. Die Busse ist damit kein Automatismus, sondern das Ende einer Eskalation, die sich an mehreren Stellen hätte abbrechen lassen.

Die 24 Stunden sind das eigentliche Problem

Vierundzwanzig Stunden sind technisch machbar und organisatorisch anspruchsvoll. In dieser Zeit muss jemand den Vorfall erkennen, einordnen, ob er unter die Meldepflicht fällt, die nötigen Angaben zusammentragen und die Meldung absetzen. Das gelingt nicht, wenn erst im Ernstfall geklärt wird, wer entscheidet und wer meldet.

Die Bruchstellen liegen selten in der Technik:

  • Der Vorfall wird am Freitagabend entdeckt und niemand mit Entscheidungsbefugnis ist erreichbar.
  • Der IT-Dienstleister bemerkt den Angriff zuerst, ist aber vertraglich nicht verpflichtet, das Unternehmen unverzüglich zu informieren.
  • Es ist unklar, ob der konkrete Vorfall unter die Meldepflicht fällt, und die Klärung dauert länger als die Frist.

Warum das die Leitung selbst betrifft

Das Bundesamt beschreibt für die aktuelle Berichtsperiode Fälle, in denen Angreifer gezielt IT-Helpdesks oder Führungspersonen imitierten, um Systeme zu kompromittieren oder Zahlungen auszulösen. Künstliche Intelligenz wird dabei systematisch eingesetzt, um die Ansprache persönlich und glaubwürdig wirken zu lassen.

Damit ist die Geschäftsleitung nicht nur für die Meldung zuständig, sondern selbst Angriffsfläche. Beides führt zur gleichen Konsequenz: Die Meldepflicht ist keine IT-Aufgabe. Sie ist eine Frage der Zuständigkeit und der Erreichbarkeit, und sie hängt an den Verträgen mit Dienstleistern.

Drei Punkte sollten schriftlich festgehalten sein, bevor der erste Vorfall eintritt: wer innert 24 Stunden entscheidet, ob gemeldet wird; wie diese Person ausserhalb der Bürozeiten erreicht wird; und welche Meldefrist gegenüber Dienstleistern vertraglich vereinbart ist. Fehlt einer davon, ist die Frist im Ernstfall nicht zu halten.

Damit reiht sich die Meldepflicht in eine Entwicklung ein, die wir schon bei NIS-2 beobachtet haben: Der Gesetzgeber verlagert die Verantwortung für Cyber-Risiken ausdrücklich nach oben. Warum das keine Delegation an die IT verträgt, haben wir in Cyber Security als Chefsache beschrieben. In der Cyber Security Advisory prüfen wir mit Unternehmen, ob ihre Abläufe der 24-Stunden-Frist standhalten.