Meldefähig in 24 Stunden ist eine Personalfrage
Die meisten Diskussionen über die Meldepflicht drehen sich um Werkzeuge: Erkennung, Protokollierung, Alarmierung. Das ist nicht falsch, es ist nur der zweite Schritt. Der erste ist die Frage, ob die Person, die es zuerst bemerkt, weiss, dass in diesem Moment eine Frist zu laufen beginnt.
- 24 Stunden ab Entdeckung, nicht ab dem Moment, in dem die IT davon erfährt. Die Uhr läuft auch nachts und am Wochenende.
- Wer den Vorfall zuerst bemerkt, sitzt selten in der IT. Er sitzt in der Sachbearbeitung, am Schalter oder auf der Station.
- Wer den Meldeweg nicht kennt, hat keine Werkzeuglücke, sondern eine Schulungslücke. Ein Meldeweg im Intranet ist noch kein Meldeweg.
- Auch Zulieferer trifft es, nicht über das Gesetz, sondern über Verträge und Ausschreibungen.
Was verlangt die Meldepflicht binnen 24 Stunden?
Die Meldepflicht steht im Informationssicherheitsgesetz und ist seit dem 1. April 2025 in Kraft. Sie richtet sich an Betreiber kritischer Infrastrukturen, also unter anderem Energie- und Wasserversorgung, Gesundheitsversorgung, Verkehr, Telekommunikation, Finanzwesen und Teile der Verwaltung. Das Gesetz arbeitet dabei mit einer abschliessenden Aufzählung und kennt Ausnahmen, unter anderem für kleine Unternehmen sowie eine Regelung zum Verhältnis zu anderen Meldepflichten. Ob Ihr Unternehmen erfasst ist, ist deshalb im Einzelfall zu klären und nicht aus der Branche allein ableitbar.
| Was | Seit wann und in welcher Frist |
|---|---|
| Meldepflicht für Cyberangriffe, die die Kriterien des ISG erfüllen, gegenüber dem BACS | 1. April 2025 |
| Erstmeldung nach Entdeckung des Angriffs | innerhalb von 24 Stunden |
| Nachreichen unvollständiger Angaben | innerhalb von 14 Tagen nach der Erstmeldung |
| Sanktionsbestimmungen in Kraft. Sie knüpfen nicht an das blosse Fristversäumnis an, den genauen Tatbestand bitte am Gesetzestext prüfen | 1. Oktober 2025 |
Der entscheidende Punkt steht nicht in der Tabelle: Die 24 Stunden laufen ab Entdeckung, nicht ab dem Zeitpunkt, an dem der Vorfall bei der richtigen Stelle im Haus angekommen ist. Zwischen diesen beiden Momenten liegt in vielen Betrieben mehr Zeit, als der Organisation lieb sein kann.
24 h ab Entdeckung
So lange bleibt für die Erstmeldung an das BACS. Die Uhr läuft ab dem Moment, in dem jemand im Unternehmen den Vorfall bemerkt, nicht ab dem Moment, in dem er bei der richtigen Stelle ankommt. Sie läuft auch nachts und am Wochenende.
Informationssicherheitsgesetz (ISG), Meldepflicht an das Bundesamt für Cybersicherheit BACS, in Kraft seit 1. April 2025. Rechtsstand 12. August 2026, ohne Gewähr.
Die Fristen der Meldepflicht
| Zeitpunkt | Ereignis | Erläuterung |
|---|---|---|
| 1. April 2025 | Meldepflicht in Kraft | Betreiber kritischer Infrastrukturen melden Cyberangriffe, welche die Kriterien erfüllen, dem BACS. |
| 1. Oktober 2025 | Sanktionen greifen | Seit diesem Tag ist die Pflicht nicht mehr folgenlos. |
| Im Ernstfall | 24 Stunden | Erstmeldung ab Entdeckung. Fehlende Angaben lassen sich innerhalb von 14 Tagen nachreichen. |
Informationssicherheitsgesetz (ISG), Meldepflicht an das Bundesamt für Cybersicherheit BACS. Rechtsstand 20. August 2026, ohne Gewähr.
Wer entdeckt, sitzt selten in der IT
Der ungewöhnliche Anhang kommt bei der Sachbearbeitung an. Das Gerät, das sich seltsam verhält, steht auf der Station. Der Anruf, bei dem jemand sehr überzeugend nach einem Passwort fragt, geht am Schalter ein. Die auffällige Rechnung landet in der Kreditorenbuchhaltung.
Alle diese Personen sind Teil der Meldekette, ob das je so festgehalten wurde oder nicht. Wenn sie nicht wissen, was sie melden sollen und an wen, sind die ersten Stunden der Frist bereits verbraucht, bevor die Fachleute überhaupt vom Vorfall erfahren.
Wer einen Vorfall nicht erkennt oder den Meldeweg nicht kennt, hat keine Werkzeuglücke. Er hat eine Schulungslücke.
Drei Fragen, an denen die Frist in der Praxis scheitert
- Wer prüft, ob der Vorfall die Meldekriterien erfüllt? Das ISG stellt nicht auf ein Schweregrad-Gefühl ab, sondern auf einen Katalog von Auslösekriterien, unter anderem die Gefährdung der Funktionsfähigkeit, den Abfluss oder die Manipulation von Informationen, einen längere Zeit unentdeckten Angriff sowie die Verbindung mit Erpressung oder Nötigung. Diese Prüfung braucht eine benannte Rolle und eine Stellvertretung. Ist sie nicht geregelt, wird sie im Ernstfall nach oben delegiert, und dort ist gerade Ferienzeit.
- Wer darf melden, auch am Sonntagabend? Eine Meldepflicht mit 24-Stunden-Frist verträgt keine Freigabekette über drei Hierarchiestufen. Entweder es gibt eine Person mit Auftrag und Stellvertretung, oder die Frist ist eine Absichtserklärung.
- Weiss die Person, die es zuerst sieht, dass die Uhr läuft? Das ist die einzige der drei Fragen, die sich nicht durch ein Dokument lösen lässt, sondern nur dadurch, dass es alle einmal gehört und verstanden haben.
Ein Betrieb, der diese drei Fragen sauber beantwortet, hat den grössten Teil des Weges hinter sich, unabhängig davon, welche Software im Einsatz ist.
- Wer meldet? Eine namentlich benannte Person mit Vertretung, nicht „die IT".
- Woher weiss sie es? Der Weg von der Person, die etwas bemerkt, bis zur meldenden Stelle muss geübt sein.
- Was liegt bereit? Zugang zum Meldeportal, Kontaktdaten und die nötigen Angaben, vorher, nicht im Ernstfall.
- Wer vertritt am Wochenende? Ferien und Nacht sind der Normalfall eines Angriffs, nicht die Ausnahme.
Der Punkt mit dem Kreis ist erfahrungsgemäss der, der im Ernstfall fehlt.
Und wenn Sie gar keine kritische Infrastruktur betreiben?
Die Pflicht trifft die Betreiber. Sie wirkt aber weiter, über zwei Wege.
Erstens vertraglich. Zulieferer und Dienstleister kritischer Infrastrukturen trifft die gesetzliche Meldepflicht nicht selbst, sie werden aber von ihren Auftraggebern vertraglich in die Verantwortung genommen, weil diese ihre eigene Meldefähigkeit nur halten können, wenn die Kette mitspielt. Nach unserer Beobachtung taucht das zunehmend in Ausschreibungen und Rahmenverträgen auf.
Zweitens über die EU. NIS2 ist eine Richtlinie und wirkt über das nationale Umsetzungsrecht der Mitgliedstaaten, für die meisten Einrichtungen über deren Niederlassung. Schweizer Unternehmen mit Tochtergesellschaften in der EU sind darüber mittelbar betroffen. Anbieter von Informations- und Kommunikationstechnologie für EU-Finanzunternehmen werden zusätzlich über DORA vertraglich in die Pflicht genommen, soweit angemessen auch bei der Sensibilisierung des Personals (Artikel 30 in Verbindung mit Artikel 13 DORA). Es ist dieselbe Schulung, nur mit mehreren Nachweisadressaten.
Was muss der Nachweis leisten?
Im Audit und in der Zulieferprüfung wird selten gefragt, ob geschult wurde. Gefragt wird, wer wann worin geschult wurde und ob sich das belegen lässt. Ein tragfähiger Nachweis hält deshalb fest:
- Welche Personen erfasst waren und welche nicht, inklusive Eintritten während des Zyklus.
- Welcher Inhalt zum Zeitpunkt der Schulung galt, als eingefrorene Version. Ein Meldeweg, der sich seither geändert hat, entwertet sonst den alten Nachweis unbemerkt.
- Ergebnis und Versuche statt einer blossen Teilnahmebestätigung.
- Eine Wiederholung mit Gültigkeitsdauer, damit die Auffrischung geplant und nicht jedes Jahr neu organisiert wird.
- Einen Export, den eine externe Prüfung lesen kann.
Bei KALYX entsteht dieser Nachweis aus Ihrem eigenen Material. Sie laden Ihre Weisung zum Meldeweg hoch, daraus werden Module und Prüffragen, und am Ende steht ein prüfbarer Nachweis je Person. Geschult wird Ihr Meldeweg mit Ihren Zuständigkeiten, nicht eine allgemeine Fassung, die im Ernstfall niemandem weiterhilft. Datenhaltung auf Servern in der Schweiz und der EU, kein Transfer in Drittländer.
Wo unsere Zuständigkeit endet. KALYX stellt einen selbst ausgestellten Schulungsnachweis aus. Das ist keine behördliche Bestätigung, dass Ihr Unternehmen die Anforderungen des ISG erfüllt, und kein Ersatz für eine technische Sicherheitsarchitektur oder ein Vorfallmanagement. Die Schulung deckt den Teil ab, der bei den Menschen liegt.
Dieser Beitrag ist eine Einordnung und keine Rechtsberatung. Ob und in welchem Umfang Ihr Unternehmen als Betreiber einer kritischen Infrastruktur gilt, ist im Einzelfall zu klären.
- Wer wurde geschult: Namentlich, nicht als Abteilung. Eine Aufsicht fragt nach Personen.
- Wann und womit: Zeitstempel und die Fassung des Inhalts, die zu diesem Zeitpunkt galt.
- Mit welchem Ergebnis: Bestanden oder nicht, mit den Versuchen. Teilnahme allein ist kein Ergebnis.
- Von aussen prüfbar: Eine dritte Person prüft ohne Konto und ohne Rückfrage beim Anbieter.
In KALYX tragen Nachweise eine SHA-256-Prüfsumme über den Kursinhalt zum Prüfzeitpunkt und sind als Open Badge öffentlich prüfbar. Ein KALYX-Zertifikat ist ein selbst ausgestellter Schulungsnachweis, kein amtlicher Branchenabschluss.
Ein möglicher erster Schritt
Nehmen Sie Ihren bestehenden Meldeweg und prüfen Sie ihn an einem einzigen Satz: Könnte die Person, die den Vorfall zuerst bemerkt, in zwei Sätzen sagen, was sie jetzt tut? Wenn die Antwort ein Blick ins Intranet ist, ist der Meldeweg dokumentiert, aber nicht eingeübt.
Wie wir Security Awareness und Meldefähigkeit abbilden, steht auf der Seite zur Security-Awareness-Schulung. Für die Auditseite haben wir eine Checkliste zur Awareness im ISO-27001-Audit zusammengestellt.
Informationssicherheitsgesetz (ISG), Bestimmungen zur Meldepflicht bei Cyberangriffen, in Kraft seit dem 1. April 2025, Sanktionsbestimmungen seit dem 1. Oktober 2025. Cybersicherheitsverordnung (CSV), die den Adressatenkreis und die Meldedetails konkretisiert. Richtlinie (EU) 2022/2555 (NIS2). Verordnung (EU) 2022/2554 (DORA), Artikel 13 und 30.
Stand der Angaben: 20. August 2026. Rechtsstand ändert sich. Vor einer Entscheidung mit finanzieller oder rechtlicher Tragweite prüfen Sie bitte den aktuellen Stand an der Primärquelle, für das ISG bei fedlex.admin.ch und beim BACS.
KI-Entwurf, fachlich geprüft und freigegeben von Fabian Kreher am 21 agosto 2026.
