Seit dem 1. April 2025 gilt in der Schweiz eine neue Regel: Betreiber kritischer Infrastrukturen müssen die Cyberangriffe, deren Opfer sie werden, dem Nationalen Zentrum für Cybersicherheit (NCSC) melden. Auf den ersten Blick betrifft dies das kleine Unternehmen im Industriegebiet nicht. In Wirklichkeit reicht die Wirkung weit über das hinaus, was man annimmt.

Was das Gesetz konkret sagt

Die Pflicht ergibt sich aus dem Informationssicherheitsgesetz. Sie richtet sich an die sogenannten kritischen Infrastrukturen: Organisationen, deren Ausfall schwerwiegende Folgen für das Land hätte. Das NCSC führt mehrere Sektoren auf, darunter die öffentliche Verwaltung, die Energie, die Finanzen, das Gesundheitswesen, die Telekommunikation, den Verkehr und die Lebensmittelversorgung.

Wenn eine dieser Organisationen einen erheblichen Cyberangriff erleidet, hat sie 24 Stunden Zeit, ihn dem NCSC zu melden, und anschliessend eine zusätzliche Frist, um ihre Meldung zu vervollständigen. Es geht nicht darum, das Opfer zu bestrafen, sondern darum, dem Bund einen Gesamtüberblick über die Bedrohungen zu ermöglichen und die übrigen Akteure, die derselben Art von Angriff ausgesetzt sind, rasch zu warnen.

Sanktionen, aber eine Einführungsphase

In den ersten sechs Monaten waren keine Sanktionen vorgesehen: Es ging darum, den Organisationen Zeit zu geben, sich zu organisieren. Seit dem 1. Oktober 2025 hingegen ist das Sanktionsdispositiv des Informationssicherheitsgesetzes in Kraft. Eine Organisation, die es versäumt, einen Angriff zu melden, riskiert eine Busse von bis zu 100’000 Franken.

Der Mechanismus bleibt massvoll. Das NCSC präzisiert, dass es zunächst den säumigen Betreiber kontaktieren muss, bevor eine Strafanzeige in Betracht gezogen wird. Das erklärte Ziel ist Transparenz, nicht Repression.

Die ersten Zahlen

Das NCSC hat nach sechs Monaten eine Bilanz veröffentlicht: 164 Meldungen waren von Betreibern kritischer Infrastrukturen eingereicht worden. Laut seinem am 30. März 2026 veröffentlichten Halbjahresbericht erreichte dieser Gesamtwert seit dem Inkrafttreten 325 Meldungen, davon 145 allein im zweiten Halbjahr 2025.

In diesem Zeitraum waren die am häufigsten gemeldeten Angriffsarten das Hacking (das unbefugte Eindringen in ein System, 20 %), Denial-of-Service- oder DDoS-Angriffe (eine Technik, bei der ein Onlinedienst mit Anfragen überflutet wird, um ihn unerreichbar zu machen, 16 %), der Diebstahl von Zugangsdaten (12 %) und Ransomware (eine Software, die Ihre Daten verschlüsselt und ein Lösegeld für deren Freigabe verlangt, 9 %).

Warum ein KMU sich dafür interessieren sollte

Hier ist der Punkt, den viele Führungskräfte übersehen. Ihr Unternehmen ist vielleicht keine kritische Infrastruktur. Aber wenn es einer solchen eine Dienstleistung erbringt, zum Beispiel als IT-Dienstleister, Softwarelieferant, Wartungsbüro oder Zulieferer mit Fernzugriff auf das Netzwerk eines Spitals, einer Gemeinde oder eines Energieversorgers, dann sind Sie Teil ihrer Angriffsfläche.

In der Praxis äussert sich das auf zwei Arten. Zunächst kann ein Angriff, der Sie trifft, von Ihrem Kunden gemeldet werden müssen, was voraussetzt, dass er von Ihnen rasch präzise Informationen verlangt. Sodann verschärfen ebendiese Kunden ihre vertraglichen Anforderungen: Sicherheitsklauseln, die Pflicht, jeden Vorfall innert kurzer Frist zu melden, Nachweise von Schutzmassnahmen. Ein KMU, das diesen Erwartungen nicht gerecht wird, verliert schlicht Aufträge.

Was Sie tun können, und was das nicht abzudecken vermag

Viele nützliche Massnahmen liegen ohne grosses Budget in Ihrer Reichweite: ein Inventar Ihrer Zugänge und derjenigen Ihrer Dienstleister führen, die Zwei-Faktor-Authentifizierung aktivieren, Ihre Daten isoliert sichern und vor allem wissen, wen Sie anrufen und was Sie dokumentieren müssen, wenn ein Vorfall eintritt. Diese Reflexe begrenzen den Schaden bereits erheblich.

Aber seien wir deutlich: Diese Grundmassnahmen genügen für sich allein nicht, um ein Unternehmen abzusichern. Jede Organisation hat ihre eigenen Datenflüsse, ihre eigenen technischen Abhängigkeiten und ihre eigenen vertraglichen Verpflichtungen. Genau zu wissen, ob Sie von der Meldepflicht betroffen sind, was Ihre Verträge Ihnen tatsächlich auferlegen und wie eine konforme Reaktion auf Vorfälle zu gestalten ist, erfordert eine Analyse im Einzelfall.

In der Gesamtschau

Diese Meldepflicht fügt sich in eine grundlegende Entwicklung ein: Cybersicherheit wird zu einer Anforderung der Kette und ist nicht mehr die isolierte Angelegenheit jedes einzelnen Unternehmens. Für ein Westschweizer KMU ist die gute Nachricht, dass nicht alles intern beherrscht werden muss. Entscheidend ist, Ihre Position in dieser Kette und Ihre tatsächlichen Verantwortlichkeiten zu verstehen. Genau das ist der Ausgangspunkt einer professionellen Begleitung: Ihre Exposition zu kartografieren, bevor es ein Kunde oder ein Angriff an Ihrer Stelle tut.