{"id":349432,"date":"2026-10-14T15:42:59","date_gmt":"2026-10-14T13:42:59","guid":{"rendered":"https:\/\/publicsector.ch\/?p=349432"},"modified":"2026-10-14T15:42:59","modified_gmt":"2026-10-14T13:42:59","slug":"cybersicherheitsgesetz-fuer-die-schweiz","status":"publish","type":"post","link":"https:\/\/publicsector.ch\/en\/cybersicherheitsgesetz-fuer-die-schweiz\/","title":{"rendered":"Cybersicherheitsgesetz f\u00fcr die Schweiz"},"content":{"rendered":"<p><strong>Ende September wurde ein Softwarelieferant der Pensionskasse des Bundes PUBLICA gehackt. Im Gep\u00e4ck der Angreifer: m\u00f6glicherweise Name, AHV-Nummer, Lohn und IBAN von Versicherten. Wer sich an Xplain erinnert, reibt sich die Augen. Fast zeitgleich hat der Bundesrat beschlossen, dass die Schweiz ein eigenes Cybersicherheitsgesetz erhalten soll. Wir zeigen, was geplant ist, wen es trifft \u2013 und ob es beim n\u00e4chsten \u00abPUBLICA-Fall\u00bb etwas \u00e4ndern w\u00fcrde.<\/strong><\/p>\n<p>Von <strong>Anna Kuhn<\/strong><\/p>\n<h4><\/h4>\n<h4>D\u00e9j\u00e0-vu bei der Pensionskasse des Bundes<\/h4>\n<p>Am 8. Oktober 2026 informierten der Bund und PUBLICA: Ein externer Softwarelieferant der Pensionskasse wurde Ende September Opfer eines Cyberangriffs (siehe <a href=\"https:\/\/www.admin.ch\/de\/newnsb\/FjG4XOIms04s\">hier<\/a> und <a href=\"https:\/\/www.publica.ch\/de\/cyberangriff-auf-softwarelieferanten\">hier<\/a>). Der Lieferant hat den Angriff selbst bemerkt, Strafanzeige erstattet und PUBLICA, die zust\u00e4ndigen Bundesstellen sowie weitere Kunden informiert. Die Bundesanwaltschaft ermittelt.<\/p>\n<p>Welche Daten genau abgeflossen sind, wird noch analysiert. PUBLICA kann aber nicht ausschliessen, dass es um ein ziemlich vollst\u00e4ndiges Portr\u00e4t ihrer Versicherten geht (<a href=\"https:\/\/www.publica.ch\/de\/cyberangriff-auf-softwarelieferanten\">Information von PUBLICA<\/a>):<\/p>\n<ul>\n<li>Name, Vorname, Geburtsdatum und AHV-Nummer<\/li>\n<li>Adresse, Telefonnummer und E-Mail (gesch\u00e4ftlich und privat)<\/li>\n<li>Lohn, versicherter Verdienst und Vorsorgeguthaben<\/li>\n<li>Zivilstand und Angaben zur Partnerin oder zum Partner<\/li>\n<li>IBAN<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>Kurz: alles, was ein Betr\u00fcger f\u00fcr einen \u00fcberzeugenden Anruf braucht. Entsprechend r\u00e4t PUBLICA zu Vorsicht bei E-Mails, Anrufen und Nachrichten. Wer also demn\u00e4chst von einer freundlichen Stimme \u00abvon der Pensionskasse\u00bb gebeten wird, \u00abnur kurz zur Sicherheit\u00bb die Kontodaten zu best\u00e4tigen: auflegen!<\/p>\n<p>Den Namen des Lieferanten nennt der Bund nicht. Er h\u00e4lt aber fest, dass keine anderen Bundesstellen mit ihm Gesch\u00e4ftsbeziehungen pflegen. Das ist ein kleiner Trost \u2013 und ein grosser Unterschied zu 2023. Damals traf ein Ransomware-Angriff die Firma Xplain, die Software f\u00fcr fedpol und das BAZG lieferte; Bundesdaten tauchten im Darknet auf. Wir haben den Fall im dritten Teil unserer Serie zum Informationssicherheitsrecht aufgegriffen (<a href=\"https:\/\/publicsector.ch\/en\/neues-informationssicherheitsrecht-des-bundes-teil-3\/\">Teil 3 der Blogpost-Serie zum ISG<\/a>).<\/p>\n<p>Das Muster ist dasselbe: Der Bund schliesst die Haust\u00fcr ab, aber der Schl\u00fcssel liegt beim Lieferanten unter der Fussmatte. Genau dort, in der digitalen Lieferkette, will das neue Gesetz ansetzen.<\/p>\n<h4>Was der Bundesrat plant: ein Gesetz f\u00fcr (fast) alles Cyber<\/h4>\n<p>Am 25. September 2026 hat der Bundesrat beschlossen, ein eigenst\u00e4ndiges Bundesgesetz \u00fcber die Cybersicherheit (Cybersicherheitsgesetz, CSG) zu schaffen (siehe die Medienmitteilung <a href=\"https:\/\/www.admin.ch\/de\/newnsb\/zX9oNK8tuI-Z\">hier<\/a>). Das VBS soll bis Juni 2027 eine Vernehmlassungsvorlage ausarbeiten. Einen Gesetzestext gibt es also noch nicht.<\/p>\n<p>Der Hintergrund ist eher pragmatisch als revolution\u00e4r. Das Bundesamt f\u00fcr Cybersicherheit (BACS) arbeitet an drei Auftr\u00e4gen des Parlaments:<\/p>\n<ul>\n<li>Motion 24.3810 zur Cyberresilienz von Produkten mit digitalen Elementen,<\/li>\n<li>Motion 23.3002 zum Schutz besonders wichtiger digitaler Daten und<\/li>\n<li>Motion 25.3011 zur Rolle von Hosting- und Cloud-Anbietern.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>Urspr\u00fcnglich sollte all das ins Informationssicherheitsgesetz (ISG) eingebaut werden. Das ISG ist aber eigentlich ein Gesetz f\u00fcr die Bundesverwaltung. Die Meldepflicht f\u00fcr kritische Infrastrukturen, mit einem breiteren Geltungsbereich, wurde dort wie ein Wintergarten oder eine Garage an das ISG-Haus angebaut (mehr dazu in <a href=\"https:\/\/publicsector.ch\/en\/neues-informationssicherheitsrecht-des-bundes-teil-1\/\">Teil 1\u00a0<\/a> und <a href=\"https:\/\/publicsector.ch\/en\/neues-informationssicherheitsrecht-des-bundes-teil-2\/\">Teil 2\u00a0<\/a> unserer Blogpost-Serie zum ISG). Statt eines weiteren Anbaus soll es nun ein eigenes Cybersecurity-Haus geben.<\/p>\n<p>Das bedeutet konkret:<\/p>\n<ul>\n<li>Die Meldepflicht zieht um. Die seit 1. April 2025 geltende Pflicht, Cyberangriffe auf kritische Infrastrukturen dem BACS zu melden, wandert vom ISG ins CSG.<\/li>\n<li>Das ISG bleibt f\u00fcr die Informationssicherheit der Bundesbeh\u00f6rden zust\u00e4ndig \u2013 quasi das Hausrecht des Bundes.<\/li>\n<li>Sektorielle Regeln bleiben ebenfalls bestehen, etwa im Fernmeldegesetz oder in der Stromversorgungsverordnung. Das CSG kommt dazu, ersetzt sie aber nicht.<\/li>\n<li>Europa als Vorbild: Bei digitalen Produkten orientiert sich die Schweiz am Cyber Resilience Act der EU (<a href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/eng\">CRA<\/a>) \u2013 mit dem Versprechen, die administrative Belastung gering zu halten und keine zus\u00e4tzliche Compliance-Last zu schaffen.<\/li>\n<\/ul>\n<h4><\/h4>\n<h4>Wen trifft es?<\/h4>\n<p>Das CSG verlagert die Verantwortung dorthin, wo Cyberrisiken entstehen: nicht erst beim Betreiber, der eine Software einsetzt, sondern schon bei denen, die sie bauen, verkaufen oder hosten. Nach heutigem Stand sind folgende Gruppen im Visier:<\/p>\n<ul>\n<li>Herstellerinnen, Importeure und H\u00e4ndler von Soft- und Hardware: Verbindliche Sicherheitsanforderungen, Marktaufsicht und ein Vertriebsverbot f\u00fcr unsichere Produkte (angelehnt an den CRA);<\/li>\n<li>Betreiberinnen besonders wichtiger digitaler Daten: Besondere Cybersicherheitspflichten f\u00fcr Daten, die f\u00fcr Staat, Wirtschaft oder Gesellschaft unverzichtbar sind;<\/li>\n<li>Hosting- und Cloud-Anbieter: Mitwirkungs- und Abwehrpflichten bei Cyberbedrohungen;<\/li>\n<li>Betreiberinnen kritischer Infrastrukturen: Meldepflicht f\u00fcr Cyberangriffe, neu im CSG statt im ISG;<\/li>\n<li>Open-Source-Entwicklerinnen: Sollen \u00abgezielter ber\u00fccksichtigt\u00bb werden.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>F\u00fcr Herstellerinnen d\u00fcrfte das bedeuten: Sicherheit von Anfang an mitdenken, Schwachstellen \u00fcber die ganze Lebensdauer eines Produkts erkennen und beheben, Updates liefern und alles sauber dokumentieren. Wer in die EU verkauft, kennt das bereits: Die Meldepflichten des CRA gelten seit dem 11. September 2026, vollst\u00e4ndig anwendbar ist er ab dem 11. Dezember 2027.<\/p>\n<p>Betroffen sind aber nicht nur IT-Firmen. Wer Software, Hardware oder Cloud-Dienste einkauft, wird genauer hinschauen und mehr in Vertr\u00e4ge schreiben m\u00fcssen: Sicherheitsnachweise, Meldewege f\u00fcr Schwachstellen, klare Zust\u00e4ndigkeiten im Ernstfall. Cybersicherheit wird damit definitiv auch ein Thema f\u00fcr den Einkauf, die Rechtsabteilung und die Gesch\u00e4ftsleitung.<\/p>\n<p>Es gibt aber nat\u00fcrlich noch sehr viel, das wir noch nicht wissen: Schwellenwerte, konkrete Mindestanforderungen, Fristen und vor allem Sanktionen. Hier lohnt sich ein Blick auf das geltende Recht. Wer es heute vers\u00e4umt, einen Cyberangriff zu melden, wird nicht geb\u00fcsst. Strafbar ist erst, wer einer rechtskr\u00e4ftigen Verf\u00fcgung des BACS vors\u00e4tzlich nicht Folge leistet, dann drohen bis zu 100&#8217;000 Franken (Art. 74h ISG). Ein Tiger also, dem die Z\u00e4hne erst nach beh\u00f6rdlicher Intervention wachsen. Ob das CSG hier mehr Strenge bringen wird, ist eine der spannenden offenen Fragen.<\/p>\n<h4>Und was hiesse das f\u00fcr PUBLICA?<\/h4>\n<p>Zuerst die schlechte Nachricht: Kein Gesetz der Welt h\u00e4lt einen Hacker auf. Das CSG h\u00e4tte den Angriff nicht verhindert. Es k\u00f6nnte aber die Wahrscheinlichkeit senken und die Aufr\u00e4umarbeiten ordnen. Ein Gedankenexperiment:<\/p>\n<ul>\n<li><strong>Heute<\/strong>: ein Flickenteppich. PUBLICA selbst ist als Organisation des Bundes und als Vorsorgeeinrichtung vermutlich bereits heute meldepflichtig (Art. 74b Abs. 1 lit. i ISG). Ein Angriff mit Datenabfluss muss grunds\u00e4tzlich gemeldet werden (Art. 74d lit. b ISG). Nur: Angegriffen wurden nicht die Systeme von PUBLICA, sondern jene des Lieferanten. Ob PUBLICA damit einen \u00abeigenen\u00bb Cyberangriff melden muss, ist zumindest diskutabel. Der Lieferant wiederum ist nur meldepflichtig, wenn seine Software etwa einen Fernwartungszugang hat (Art. 74b Abs. 1 lit. u ISG). Parallel l\u00e4uft das Datenschutzrecht: Der Lieferant meldet als Auftragsbearbeiter an PUBLICA, PUBLICA bei hohem Risiko an den ED\u00d6B und ggf. die betroffenen Personen (Art. 24 DSG). Dazu kommt die Strafanzeige. Drei Meldewege, drei Beh\u00f6rden.<\/li>\n<li><strong>Morgen<\/strong>: Pflichten f\u00fcr den Lieferanten selbst. Mit dem CSG k\u00e4me der Lieferant direkt in die Pflicht \u2013 auf drei Ebenen:\n<ul>\n<li>Als Hersteller: Die Software m\u00fcsste verbindliche Sicherheitsanforderungen erf\u00fcllen, inklusive Schwachstellenmanagement und Updates. Spannend wird, ob eine Fachanwendung f\u00fcr Pensionskassen oder ein Online-Dienst \u00fcberhaupt als \u00abProdukt\u00bb gilt. Im CRA fallen reine Software-as-a-Service-L\u00f6sungen grunds\u00e4tzlich nicht darunter.<\/li>\n<li>Als Verwalter wichtiger Daten: AHV-Nummern, L\u00f6hne und Vorsorgeguthaben von Bundesangestellten d\u00fcrften gute Kandidaten f\u00fcr \u00abbesonders wichtige digitale Daten\u00bb sein. Dann g\u00e4lten besondere Schutzpflichten \u2013 idealerweise f\u00fcr alle, die solche Daten bearbeiten, nicht nur f\u00fcr den Auftraggeber.<\/li>\n<li>Als Hoster: Liegen die Daten in der Cloud, k\u00e4men Mitwirkungs- und Abwehrpflichten der Hoster dazu.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>Und die Meldepflicht? Hier hat das CSG die Chance, eine L\u00fccke zu schliessen, die der Fall PUBLICA offenlegt: Wer meldet was, wenn nicht die Betreiberin, sondern ihr Lieferant gehackt wird? Eine klare Regel f\u00fcr die Lieferkette w\u00e4re mehr wert als jede neue Busse.<\/p>\n<h4>Erleichterung in Sicht<\/h4>\n<p>Dass die Schweiz ihre Cyberregeln in einem Gesetz b\u00fcndelt, ist richtig. Wer heute wissen will, was er wann wem melden muss, braucht ISG, Cybersicherheitsverordnung, Datenschutzgesetz und je nach Branche noch ein sektorielles Gesetz. Ein Erlass, der sich zudem am CRA orientiert, kann f\u00fcr Unternehmen mit EU-Gesch\u00e4ft eine Erleichterung bringen.<\/p>\n<p>Das Cybersicherheitsgesetz kommt also \u2013 aber nicht heute und morgen. Bis Mitte 2027 gibt es einen Entwurf, in Kraft treten d\u00fcrfte das Gesetz fr\u00fchestens einige Jahre sp\u00e4ter. Hektik ist also nicht angebracht, Nichtstun aber auch nicht. Wer Software einkauft oder herstellt, sollte schon heute wissen, welche Lieferanten welche Daten haben, Sicherheit in Vertr\u00e4ge schreiben und Meldewege im Ernstfall kl\u00e4ren. Denn eines lehrt der Fall PUBLICA: Die Kette ist nur so stark wie ihr schw\u00e4chster Lieferant.<\/p>\n<p>Wir bleiben dran!<\/p>\n<p>&nbsp;<\/p>\n<p><em>Blogposts direkt in die Inbox erhalten? <a href=\"https:\/\/web.swissnewsletter.ch\/e\/8701c9de30ebc427\/de\/form\/ec3745ce-01ea-47b1-b7bc-e83ee5822084.html\">HIER<\/a> k\u00f6nnen Sie sich f\u00fcr unseren Newsletter anmelden.<\/em><\/p>\n<p>&nbsp;<\/p>\n<p><em>Bild: Deborah Lupton auf better images of AI<\/em><\/p>","protected":false},"excerpt":{"rendered":"<p>Ende September wurde ein Softwarelieferant der Pensionskasse des Bundes PUBLICA gehackt. Im Gep\u00e4ck der Angreifer: m\u00f6glicherweise Name, AHV-Nummer, Lohn und IBAN von Versicherten. Wer sich an Xplain erinnert, reibt sich die Augen. Fast zeitgleich hat der Bundesrat beschlossen, dass die Schweiz ein eigenes Cybersicherheitsgesetz erhalten soll. Wir zeigen, was geplant ist, wen es trifft \u2013 [&hellip;]<\/p>\n","protected":false},"author":11,"featured_media":349433,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[22,21,125,126,20],"tags":[170,169,168,54,171,127],"class_list":["post-349432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-compliance","category-datenschutz","category-digitalisierung-verwaltung","category-informationssicherheit","category-regulierung-im-digitalen-zeitalter","tag-csr","tag-cyber-resilience-act","tag-cybersicherheitsgesetz","tag-datenschutz","tag-digitalisierung-in-der-verwaltung","tag-informationssicherheit"],"_links":{"self":[{"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/posts\/349432","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/users\/11"}],"replies":[{"embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/comments?post=349432"}],"version-history":[{"count":5,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/posts\/349432\/revisions"}],"predecessor-version":[{"id":349438,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/posts\/349432\/revisions\/349438"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/media\/349433"}],"wp:attachment":[{"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/media?parent=349432"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/categories?post=349432"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/tags?post=349432"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}