Ein Spital entdeckt am Morgen, dass das radiologische Informationssystem verschlüsselt ist und der Notbetrieb anlaufen muss. Die ISG-Meldepflicht greift binnen 24 Stunden — die Erstmeldung ans BACS muss erfolgen, parallel zur Patientenversorgung, zur internen Krise und zur Polizei-Meldung. Wer hier ohne vorbereitete Meldekette steht, verliert die ersten kritischen Stunden mit Telefonketten und unklaren Zuständigkeiten.
Das Informationssicherheitsgesetz (ISG) regelt die Informationssicherheit beim Bund und führt für Betreiber kritischer Infrastrukturen eine Cyber-Meldepflicht ein. Es ist die Schweizer Antwort auf zunehmende Cyberangriffe gegen Versorger, Spitäler und Behörden — und gibt dem Bundesamt für Cybersicherheit (BACS, früher NCSC) die rechtliche Basis für Lagebild, Meldeauswertung und Kooperation.
Wer ist betroffen?
Das ISG hat zwei Hauptzielgruppen:
- Behörden und Organisationen des Bundes — Departemente, Bundesämter, Bundesgerichte, Bundesversammlung, beauftragte Dritte. Sie müssen ein Informationssicherheits-Managementsystem führen, Informationsklassifikation umsetzen und Personensicherheitsprüfungen für sicherheitsempfindliche Funktionen durchführen.
- Betreiber kritischer Infrastrukturen — definiert in Art. 74b ISG und der Verordnung über die Meldepflicht von Cyberangriffen (VMCK). Sektoren umfassen Energieversorgung, Wasserversorgung, Verkehr, Gesundheit, Telekommunikation, Bankwesen, Finanzmarktinfrastruktur sowie Behörden auf kantonaler und kommunaler Ebene mit kritischer Funktion.
Die Cyber-Meldepflicht trifft die Betreiber direkt — auch wenn der Angriff bei einem IT-Dienstleister erfolgt, bleibt die Meldepflicht beim Betreiber.
Was verlangt das Gesetz?
Für Bundesbehörden regelt das ISG die Grundlagen der Informationssicherheit:
- Risikoanalyse und Schutzkonzepte — Bundesbehörden führen ein ISMS und passen Schutzmaßnahmen am Risiko aus.
- Klassifikation von Informationen — vier Stufen (öffentlich, intern, vertraulich, geheim) mit definierten Behandlungsregeln.
- Personensicherheitsprüfung — für Funktionen mit Zugang zu klassifizierten Informationen oder kritischen Systemen.
- Sicherheitsverfahren bei Beschaffung und Vergabe — Lieferanten-Anforderungen für sicherheitsempfindliche Aufträge.
Für Betreiber kritischer Infrastrukturen gilt die Cyber-Meldepflicht:
- Erstmeldung innert 24 Stunden (Art. 74d ISG) — nach Entdeckung eines meldepflichtigen Cyberangriffs an das BACS, mit den verfügbaren Informationen zum Vorfall.
- Folgemeldung innert 14 Tagen — vollständige Beschreibung des Vorfalls, der Auswirkungen, der ergriffenen Maßnahmen.
- Meldepflicht ab Erheblichkeitsschwelle — definiert in der VMCK; insbesondere wenn die Verfügbarkeit, Integrität oder Vertraulichkeit der kritischen Infrastruktur erheblich beeinträchtigt ist oder ein Lösegeld gefordert wurde.
- Meldungen erfolgen über das BACS-Meldeportal — strukturierte Eingabe mit Pflichtfeldern.
Das BACS unterstützt die Meldenden, koordiniert mit Strafverfolgungsbehörden und kann anonymisierte Lagebilder veröffentlichen.
In der Praxis
Betroffenheit aktiv klären. Die VMCK-Schwellenwerte sind teilweise sektorspezifisch und ändern sich mit den realen Versorgungsstrukturen. Wer als Spital, Verkehrsbetrieb oder Energieversorger noch keine Anmeldung beim BACS hat, sollte aktiv klären lassen — eine versäumte Meldung wegen fehlender Eigeneinschätzung schützt nicht.
24-Stunden-Frist als Prozess vorbereiten. Die Erstmeldung muss innert eines Arbeitstages stehen — auch am Wochenende, auch über Feiertage. Das verlangt klare Rufbereitschaft, definierte Stellvertretung und ein Standard-Set an Meldeinhalten, die unabhängig vom konkreten Vorfall vorbereitet sind: Betreiber, Anlage, Sektor, Kontaktstelle.
Verhältnis zur DSG-Meldung mitdenken. Wenn ein Cyberangriff zugleich eine Datenschutz-Verletzung darstellt, greifen ISG-Meldepflicht ans BACS und DSG-Meldepflicht an den EDÖB parallel. Die Meldungen unterscheiden sich in Inhalt, Frist und Adressat. Ein gemeinsamer Master-Vorlagensatz reduziert die Doppelarbeit erheblich.
Mapping zu ISO 27001
Die ISG-Anforderungen, insbesondere für die Bundes-Informationssicherheit, korrespondieren eng mit ISO 27001. Für Betreiber kritischer Infrastrukturen ist die Vorfall-Reaktion der zentrale Berührungspunkt.
Direkt relevante Kontrollen:
- A.5.7 — Bedrohungsinformationen: Auswertung der BACS-Lagebilder und sektorspezifischen Warnungen.
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Voraussetzung für die 24-Stunden-Meldepflicht.
- A.5.25 — Bewertung und Entscheidung zu Informationssicherheitsereignissen: Klassifikation der Erheblichkeitsschwelle nach VMCK.
- A.5.26 — Reaktion auf Informationssicherheitsvorfälle: strukturierte Eindämmung mit klaren Rollen.
- A.5.27 — Lernen aus Informationssicherheitsvorfällen: Lessons Learned, die in die Folgemeldung fließen.
- A.5.29 — Informationssicherheit bei Störung: Aufrechterhaltung kritischer Funktionen während eines Cyberangriffs.
- A.5.30 — IKT-Bereitschaft für Geschäftskontinuität: Wiederanlaufkonzepte für kritische Infrastrukturen.
- A.5.36 — Einhaltung von Richtlinien: Compliance-Prüfung gegen die VMCK.
- A.6.3 — Informationssicherheitsbewusstsein: Sensibilisierung der Belegschaft für Cyber-Risiken in kritischen Infrastrukturen.
- A.8.7 — Schutz vor Schadsoftware: technische Vorkehrung gegen Ransomware und Co.
- A.8.8 — Umgang mit technischen Schwachstellen: Patch-Management und CVE-Beobachtung.
- A.8.16 — Aktivitätsüberwachung: Detektion als Voraussetzung für rechtzeitige Meldung.
Typische Audit-Befunde
- Eigeneinschätzung der ISG-Betroffenheit fehlt — die Organisation ist nach VMCK meldepflichtig, hat sich aber beim BACS nie registriert.
- 24-Stunden-Meldekette nicht eingeübt — niemand hat den Meldeweg am Wochenende getestet, der Pikett-Dienst kennt das BACS-Portal nicht.
- Folgemeldung verspätet oder unvollständig — die 14-Tage-Frist wird gerissen, weil die Forensik noch nicht abgeschlossen ist und niemand die Frist im Kalender hat.
- Verwechslung von ISG- und DSG-Meldung — eine Meldung wird nur an den EDÖB geschickt, das BACS bleibt unbenachrichtigt; oder umgekehrt.
- Personensicherheitsprüfung im Bund nicht aktualisiert — Beschäftigte mit Zugang zu klassifizierten Informationen wurden seit Jahren nicht erneut geprüft.
- Klassifikationsregeln auf Papier, nicht in den Tools — vertrauliche Informationen werden in unklassifizierten Tools verarbeitet, weil die Werkzeuge die Klassifikation nicht durchsetzen.
Quellen
- ISG-Volltext (Fedlex) — amtliche Fassung der Bundeskanzlei
- Verordnung über die Meldepflicht von Cyberangriffen (VMCK) — konkretisiert die Schwellenwerte und Meldewege
- BACS — Bundesamt für Cybersicherheit — Meldeportal, Lagebilder, sektorspezifische Hinweise
- Eidgenössisches Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) — übergeordnete Zuständigkeit für die nationale Cybersicherheit