Kritische Infrastrukturen: Pflicht zur Meldung von Cyberangriffen
Seit dem 1. April 2025 besteht eine neue Verpflichtung für Betreiber kritischer Infrastrukturen in der Schweiz, Cyberangriffe innerhalb von 24 Stunden nach ihrer Entdeckung an das Bundesamt für Cybersicherheit (BAKS) zu melden. Unsere Spezialisten für Risk Management, Grégoire Mottier, und für Cyberrisiken, Lionel Ducommun, haben sich mit dieser wichtigen Maßnahme befasst.
Diese neue Maßnahme zielt darauf ab, die Widerstandsfähigkeit der betroffenen Organisationen gegen die wachsende Bedrohung durch Cybervorfälle zu stärken und eine schnelle Reaktion zum Schutz der wichtigsten Sektoren des Landes zu gewährleisten.
Ein proaktiver Ansatz
Angesichts der Zunahme von Cyberangriffen hat die Schweiz einen strengeren Rahmen geschaffen, um den Schutz der strategischen Infrastruktur des Landes durch einen proaktiven Ansatz zu gewährleisten, der nunmehr unerlässlich ist. Diese neue Regelung, die aus einer Änderung des Gesetzes über die Informationssicherheit hervorgeht und 2023 verabschiedet wird, soll eine effiziente Koordination zwischen dem BKA und den betroffenen Unternehmen gewährleisten, um Vorfälle schnell unter Kontrolle zu bringen und ihre Auswirkungen zu begrenzen.
Welche Sektoren sind betroffen?
Die Sektoren, die von dieser Verpflichtung betroffen sind, umfassen:
- Energie: Strom, Gas, Öl
- Versorgung mit Trinkwasser
- Transport: Schiene, Straße, Luft, Wasser
- Gesundheit: Krankenhäuser, Kliniken, Dienstleistungen für Notfälle
- Finanzen: Banken, Versicherungen, Finanzmärkte
- Informations- und Kommunikationstechnologien: Telekommunikation, Internet
- Lebensmittel: Produktion, Vertrieb
- Öffentliche Verwaltung: Dienstleistungen der Regierung, lokale Behörden, Kommunen
- Öffentliche Sicherheit: Polizei, Dienstleistungen für den Rettungsdienst
Nicht zu unterschätzende Herausforderungen
Diese neue Regelung wirft für die betroffenen Akteure mehrere wichtige Fragen auf:
- Sind die bestehenden Sicherheitsvorkehrungen noch für die heutigen Cyberbedrohungen geeignet?
- Werden die Risiken der Manipulation oder des Informationsverlustes ausreichend antizipiert?
- Verfügen die Beteiligten über die notwendigen Instrumente für eine schnelle und wirksame Berichterstattung?
- Werden selbst kleine Vorfälle systematisch gemeldet?
- Werden die Rahmenbedingungen für das Recht auf Fehler innerhalb der betreffenden Organisationen radikal umgesetzt?
Ein vereinfachtes System
Um diesen Übergang zu begleiten, wurde ein spezielles Meldeformular auf einer speziellen Plattform eingerichtet. Dieses System ermöglicht es den Betreibern, einen Vorfall schnell zu melden und bei Bedarf innerhalb von 14 Tagen zusätzliche Informationen hinzuzufügen.
Siehe hierzu die Verpflichtung zur Meldung von Cyberangriffen auf kritische Infrastrukturen, die am 1. April 2025 in Kraft tritt.
Darüber hinaus werden die Sanktionen für die Nichteinhaltung dieser Verpflichtung erst ab dem 1. Oktober 2025 angewendet, was den Unternehmen eine Anpassungsperiode von sechs Monaten einräumt.
Ein stärkeres Engagement der föderalen Behörden
Mit dieser neuen Maßnahme bekräftigt die Schweiz ihren Willen, ihre strategische Infrastruktur zu schützen und eine enge Zusammenarbeit zwischen dem öffentlichen und dem privaten Sektor zu fördern.
Kontaktieren Sie uns!
Möchten Sie mehr über Risikomanagement oder Cyberangriffe erfahren? Unsere Experten antworten Ihnen:
📩 Grégoire Mottier: gmottier@loyco.ch
📩 Lionel Ducommun: lducommun@loyco.ch