Alles, was Sie wissen müssen
Seit dem 1. Januar 2025 ist in der Schweiz eine Meldepflicht für Cyber-Angriffe auf kritische Infrastrukturen in Kraft, geregelt durch das Informationssicherheitsgesetz (ISG) und die Cyber-Sicherheitsverordnung (CSO). Ziel dieser Pflicht ist es, die nationale Resilienz gegenüber Cyber-Bedrohungen zu erhöhen, Angriffsmuster frühzeitig zu erkennen und den Informationsaustausch zu fördern (Art. 73a ISG).
Worauf bezieht sich die neue Meldepflicht?
Die Meldepflicht gilt für Organisationen, die wesentliche gesellschaftliche Funktionen sicherstellen. Zu den betroffenen Sektoren gehören Betreiber kritischer Infrastrukturen wie Energie, Gesundheitswesen, Finanzen, Telekommunikation und Verkehr (Art. 74b ISG). Auch Anbieter von Cloud-Diensten, Suchmaschinen und sicherheitskritischer Hard- und Software sind von der Verordnung erfasst, wenn Angriffe ihre Funktionsfähigkeit erheblich beeinträchtigen könnten (Art. 74d ISG).
Formale Anforderungen und Fristen
Zu den rechtlichen Anforderungen an die Meldung gehören:
- Inhalt der Benachrichtigung: Informationen über die Art des Angriffs, seine Auswirkungen und die getroffenen Massnahmen (Art. 74e Abs. 2 ISG).
- Frist: Die Meldung muss innerhalb von 24 Stunden nach der Entdeckung des Angriffs erfolgen, mit der Möglichkeit einer späteren Ergänzung (Art. 74e Abs. 3 ISG)
- System: Das National Cyber Security Center (NCSC) stellt ein sicheres Meldesystem zur Verfügung (Art. 74f ISG)
Warum ist diese Meldepflicht wichtig?
Die zunehmende Digitalisierung vergrößert die Angriffsfläche für Cyber-Bedrohungen. Die Ziele der neuen Vorschriften sind Transparenz, Prävention und Widerstandsfähigkeit. Ähnlich wie die NIS2-Richtlinie der EU, die vergleichbare Meldepflichten für Betreiber wesentlicher Dienste und Anbieter digitaler Dienste vorsieht (Art. 23 NIS2), soll die Schweizer Verordnung das Bedrohungsmanagement stärken und die Zusammenarbeit auf nationaler und europäischer Ebene fördern.
Die NIS2 betrifft jedoch ein breiteres Spektrum von Unternehmen und Branchen und erfordert in einigen Fällen strengere Sanktionen. Sie kann aber auch indirekt Schweizer Unternehmen mit EU-Bezug betreffen und sollte von den betroffenen Unternehmen geprüft werden.
Folgen der Nichteinhaltung
Unternehmen, die ihrer Meldepflicht nicht nachkommen, riskieren Bussen von bis zu 100'000 Franken (Art. 74h ISG) und können im Wiederholungsfall von öffentlichen Ausschreibungen ausgeschlossen werden. Diese Sanktionen spiegeln die strengen Anforderungen der NIS2-Richtlinie wider, die in der EU ähnliche Strafen für die Nichteinhaltung vorsieht.
Wie können sich Unternehmen vorbereiten?
- Analysieren Sie die Sicherheitslage: Ermitteln Sie Schwachstellen und bewerten Sie Ihre Systeme.
- Nutzen Sie moderne Technologien: Lösungen wie Exeon.NDR helfen dabei, Bedrohungen effektiv zu erkennen und erleichtern die gesetzeskonforme Berichterstattung.
- Schulung der Mitarbeiter: Die Teams sollten die neuen Anforderungen kennen und sich darauf vorbereiten.
- Zusammenarbeit mit dem NCSC: Nutzen Sie die bereitgestellten Tools und Informationen zur Optimierung Ihrer Prozesse
Ausnahmen
In der Cybersicherheitsverordnung hat der Bundesrat zahlreiche Ausnahmen von der Meldepflicht für Cyberangriffe auf kritische Infrastrukturen definiert, unter anderem für kleinere Unternehmen, Behörden mit geringer Einwohnerzahl und Organisationen unterhalb branchenspezifischer Schwellenwerte.
Zudem wird ein Lenkungsausschuss Nationale Cyber-Strategie (StA NCS) eingesetzt, der die Cyber-Strategie alle fünf Jahre überprüft, ihre Umsetzung evaluiert und dem Bundesrat Vorschläge unterbreitet.
Eine Schweizer Lösung für Network Detection and Response
Exeon Analytics unterstützt Unternehmen dabei, die neuen Meldepflichten effizient zu erfüllen und ihre Cybersicherheit zu stärken. Unsere KI-gestützte NDR-Plattform bietet:
- Bedrohungserkennung in Echtzeit: Intelligente Analysen identifizieren Anomalien in einem frühen Stadium.
- Automatisierte Berichterstattung: Genaue Berichte erleichtern die Einhaltung gesetzlicher Vorschriften.
- Vollständige Netzwerktransparenz: Überwachung auch von verschlüsselten Daten ohne zusätzliche Hardware.
- Einhaltung der Sicherheitsvorschriften: Alle Vorfälle werden umfassend dokumentiert, um die Vorschriften einzuhalten.
- Schweizer Qualität: Als Schweizer Unternehmen verstehen wir die lokalen Anforderungen.
Fazit
Die neue Meldepflicht ist ein wichtiger Schritt zur Stärkung der Cybersicherheit in der Schweiz. Sie stellt die Unternehmen vor neue Herausforderungen, bietet aber auch die Chance, ihre Widerstandsfähigkeit zu verbessern.
Mit Exeon Analytics an Ihrer Seite können Sie nicht nur die gesetzlichen Anforderungen erfüllen, sondern auch Ihre gesamte Cyberabwehrstrategie optimieren. Kontaktieren Sie uns, um Ihre Sicherheitsmaßnahmen zukunftssicher zu machen, oder besuchen Sie unseren Compliance Hub.
Wenn Sie mehr erfahren möchten, sehen Sie sich in dieser geführten Videotour an, wie Exeon.NDR Ihre Cybersicherheitsstrategie unterstützt: ein vollständiger Überblick über die Erkennung von Bedrohungen.
