Cybersicherheitsgesetz für die Schweiz

Ende September wurde ein Softwarelieferant der Pensionskasse des Bundes PUBLICA gehackt. Im Gepäck der Angreifer: möglicherweise Name, AHV-Nummer, Lohn und IBAN von Versicherten. Wer sich an Xplain erinnert, reibt sich die Augen. Fast zeitgleich hat der Bundesrat beschlossen, dass die Schweiz ein eigenes Cybersicherheitsgesetz erhalten soll. Wir zeigen, was geplant ist, wen es trifft – und ob es beim nächsten «PUBLICA-Fall» etwas ändern würde.

Von Anna Kuhn

Déjà-vu bei der Pensionskasse des Bundes

Am 8. Oktober 2026 informierten der Bund und PUBLICA: Ein externer Softwarelieferant der Pensionskasse wurde Ende September Opfer eines Cyberangriffs (siehe hier und hier). Der Lieferant hat den Angriff selbst bemerkt, Strafanzeige erstattet und PUBLICA, die zuständigen Bundesstellen sowie weitere Kunden informiert. Die Bundesanwaltschaft ermittelt.

Welche Daten genau abgeflossen sind, wird noch analysiert. PUBLICA kann aber nicht ausschliessen, dass es um ein ziemlich vollständiges Porträt ihrer Versicherten geht (Information von PUBLICA):

• Name, Vorname, Geburtsdatum und AHV-Nummer
• Adresse, Telefonnummer und E-Mail (geschäftlich und privat)
• Lohn, versicherter Verdienst und Vorsorgeguthaben
• Zivilstand und Angaben zur Partnerin oder zum Partner
• IBAN

 

Kurz: alles, was ein Betrüger für einen überzeugenden Anruf braucht. Entsprechend rät PUBLICA zu Vorsicht bei E-Mails, Anrufen und Nachrichten. Wer also demnächst von einer freundlichen Stimme «von der Pensionskasse» gebeten wird, «nur kurz zur Sicherheit» die Kontodaten zu bestätigen: auflegen!

Den Namen des Lieferanten nennt der Bund nicht. Er hält aber fest, dass keine anderen Bundesstellen mit ihm Geschäftsbeziehungen pflegen. Das ist ein kleiner Trost – und ein grosser Unterschied zu 2023. Damals traf ein Ransomware-Angriff die Firma Xplain, die Software für fedpol und das BAZG lieferte; Bundesdaten tauchten im Darknet auf. Wir haben den Fall im dritten Teil unserer Serie zum Informationssicherheitsrecht aufgegriffen (Teil 3 der Blogpost-Serie zum ISG).

Das Muster ist dasselbe: Der Bund schliesst die Haustür ab, aber der Schlüssel liegt beim Lieferanten unter der Fussmatte. Genau dort, in der digitalen Lieferkette, will das neue Gesetz ansetzen.

Was der Bundesrat plant: ein Gesetz für (fast) alles Cyber

Am 25. September 2026 hat der Bundesrat beschlossen, ein eigenständiges Bundesgesetz über die Cybersicherheit (Cybersicherheitsgesetz, CSG) zu schaffen (siehe die Medienmitteilung hier). Das VBS soll bis Juni 2027 eine Vernehmlassungsvorlage ausarbeiten. Einen Gesetzestext gibt es also noch nicht.

Der Hintergrund ist eher pragmatisch als revolutionär. Das Bundesamt für Cybersicherheit (BACS) arbeitet an drei Aufträgen des Parlaments:

• Motion 24.3810 zur Cyberresilienz von Produkten mit digitalen Elementen,
• Motion 23.3002 zum Schutz besonders wichtiger digitaler Daten und
• Motion 25.3011 zur Rolle von Hosting- und Cloud-Anbietern.

 

Ursprünglich sollte all das ins Informationssicherheitsgesetz (ISG) eingebaut werden. Das ISG ist aber eigentlich ein Gesetz für die Bundesverwaltung. Die Meldepflicht für kritische Infrastrukturen, mit einem breiteren Geltungsbereich, wurde dort wie ein Wintergarten oder eine Garage an das ISG-Haus angebaut (mehr dazu in Teil 1  und Teil 2  unserer Blogpost-Serie zum ISG). Statt eines weiteren Anbaus soll es nun ein eigenes Cybersecurity-Haus geben.

Das bedeutet konkret:

• Die Meldepflicht zieht um. Die seit 1. April 2025 geltende Pflicht, Cyberangriffe auf kritische Infrastrukturen dem BACS zu melden, wandert vom ISG ins CSG.
• Das ISG bleibt für die Informationssicherheit der Bundesbehörden zuständig – quasi das Hausrecht des Bundes.
• Sektorielle Regeln bleiben ebenfalls bestehen, etwa im Fernmeldegesetz oder in der Stromversorgungsverordnung. Das CSG kommt dazu, ersetzt sie aber nicht.
• Europa als Vorbild: Bei digitalen Produkten orientiert sich die Schweiz am Cyber Resilience Act der EU (CRA) – mit dem Versprechen, die administrative Belastung gering zu halten und keine zusätzliche Compliance-Last zu schaffen.

Wen trifft es?

Das CSG verlagert die Verantwortung dorthin, wo Cyberrisiken entstehen: nicht erst beim Betreiber, der eine Software einsetzt, sondern schon bei denen, die sie bauen, verkaufen oder hosten. Nach heutigem Stand sind folgende Gruppen im Visier:

• Herstellerinnen, Importeure und Händler von Soft- und Hardware: Verbindliche Sicherheitsanforderungen, Marktaufsicht und ein Vertriebsverbot für unsichere Produkte (angelehnt an den CRA);
• Betreiberinnen besonders wichtiger digitaler Daten: Besondere Cybersicherheitspflichten für Daten, die für Staat, Wirtschaft oder Gesellschaft unverzichtbar sind;
• Hosting- und Cloud-Anbieter: Mitwirkungs- und Abwehrpflichten bei Cyberbedrohungen;
• Betreiberinnen kritischer Infrastrukturen: Meldepflicht für Cyberangriffe, neu im CSG statt im ISG;
• Open-Source-Entwicklerinnen: Sollen «gezielter berücksichtigt» werden.

 

Für Herstellerinnen dürfte das bedeuten: Sicherheit von Anfang an mitdenken, Schwachstellen über die ganze Lebensdauer eines Produkts erkennen und beheben, Updates liefern und alles sauber dokumentieren. Wer in die EU verkauft, kennt das bereits: Die Meldepflichten des CRA gelten seit dem 11. September 2026, vollständig anwendbar ist er ab dem 11. Dezember 2027.

Betroffen sind aber nicht nur IT-Firmen. Wer Software, Hardware oder Cloud-Dienste einkauft, wird genauer hinschauen und mehr in Verträge schreiben müssen: Sicherheitsnachweise, Meldewege für Schwachstellen, klare Zuständigkeiten im Ernstfall. Cybersicherheit wird damit definitiv auch ein Thema für den Einkauf, die Rechtsabteilung und die Geschäftsleitung.

Es gibt aber natürlich noch sehr viel, das wir noch nicht wissen: Schwellenwerte, konkrete Mindestanforderungen, Fristen und vor allem Sanktionen. Hier lohnt sich ein Blick auf das geltende Recht. Wer es heute versäumt, einen Cyberangriff zu melden, wird nicht gebüsst. Strafbar ist erst, wer einer rechtskräftigen Verfügung des BACS vorsätzlich nicht Folge leistet, dann drohen bis zu 100’000 Franken (Art. 74h ISG). Ein Tiger also, dem die Zähne erst nach behördlicher Intervention wachsen. Ob das CSG hier mehr Strenge bringen wird, ist eine der spannenden offenen Fragen.

Und was hiesse das für PUBLICA?

Zuerst die schlechte Nachricht: Kein Gesetz der Welt hält einen Hacker auf. Das CSG hätte den Angriff nicht verhindert. Es könnte aber die Wahrscheinlichkeit senken und die Aufräumarbeiten ordnen. Ein Gedankenexperiment:

• Heute: ein Flickenteppich. PUBLICA selbst ist als Organisation des Bundes und als Vorsorgeeinrichtung vermutlich bereits heute meldepflichtig (Art. 74b Abs. 1 lit. i ISG). Ein Angriff mit Datenabfluss muss grundsätzlich gemeldet werden (Art. 74d lit. b ISG). Nur: Angegriffen wurden nicht die Systeme von PUBLICA, sondern jene des Lieferanten. Ob PUBLICA damit einen «eigenen» Cyberangriff melden muss, ist zumindest diskutabel. Der Lieferant wiederum ist nur meldepflichtig, wenn seine Software etwa einen Fernwartungszugang hat (Art. 74b Abs. 1 lit. u ISG). Parallel läuft das Datenschutzrecht: Der Lieferant meldet als Auftragsbearbeiter an PUBLICA, PUBLICA bei hohem Risiko an den EDÖB und ggf. die betroffenen Personen (Art. 24 DSG). Dazu kommt die Strafanzeige. Drei Meldewege, drei Behörden.
• Morgen: Pflichten für den Lieferanten selbst. Mit dem CSG käme der Lieferant direkt in die Pflicht – auf drei Ebenen:
  • Als Hersteller: Die Software müsste verbindliche Sicherheitsanforderungen erfüllen, inklusive Schwachstellenmanagement und Updates. Spannend wird, ob eine Fachanwendung für Pensionskassen oder ein Online-Dienst überhaupt als «Produkt» gilt. Im CRA fallen reine Software-as-a-Service-Lösungen grundsätzlich nicht darunter.
  • Als Verwalter wichtiger Daten: AHV-Nummern, Löhne und Vorsorgeguthaben von Bundesangestellten dürften gute Kandidaten für «besonders wichtige digitale Daten» sein. Dann gälten besondere Schutzpflichten – idealerweise für alle, die solche Daten bearbeiten, nicht nur für den Auftraggeber.
  • Als Hoster: Liegen die Daten in der Cloud, kämen Mitwirkungs- und Abwehrpflichten der Hoster dazu.

 

Und die Meldepflicht? Hier hat das CSG die Chance, eine Lücke zu schliessen, die der Fall PUBLICA offenlegt: Wer meldet was, wenn nicht die Betreiberin, sondern ihr Lieferant gehackt wird? Eine klare Regel für die Lieferkette wäre mehr wert als jede neue Busse.

Erleichterung in Sicht

Dass die Schweiz ihre Cyberregeln in einem Gesetz bündelt, ist richtig. Wer heute wissen will, was er wann wem melden muss, braucht ISG, Cybersicherheitsverordnung, Datenschutzgesetz und je nach Branche noch ein sektorielles Gesetz. Ein Erlass, der sich zudem am CRA orientiert, kann für Unternehmen mit EU-Geschäft eine Erleichterung bringen.

Das Cybersicherheitsgesetz kommt also – aber nicht heute und morgen. Bis Mitte 2027 gibt es einen Entwurf, in Kraft treten dürfte das Gesetz frühestens einige Jahre später. Hektik ist also nicht angebracht, Nichtstun aber auch nicht. Wer Software einkauft oder herstellt, sollte schon heute wissen, welche Lieferanten welche Daten haben, Sicherheit in Verträge schreiben und Meldewege im Ernstfall klären. Denn eines lehrt der Fall PUBLICA: Die Kette ist nur so stark wie ihr schwächster Lieferant.

Wir bleiben dran!

 

Blogposts direkt in die Inbox erhalten? HIER können Sie sich für unseren Newsletter anmelden.

 

Bild: Deborah Lupton auf better images of AI