Das schweizerische Bundesamt für Cybersicherheit (BACS) als Gegenleistung: Unterstützung, koordinierte Schwachstellenoffenlegung und Informationsaustausch

Problem in der Praxis

Der häufigste Fehler ist die Reduktion des Gesetzes auf seine Pflicht. Wer das ISG als Meldepflicht abhakt, verzichtet auf Bedrohungsinformationen, Erkennungshilfsmittel und einen Kanal, der im Ernstfall Zeit spart, und zahlt dafür nichts, weil die Angebote unentgeltlich sind. Der Grund für den Verzicht ist meist banal: Die Registrierung für das Kommunikationssystem wurde nie gemacht, weil sie nicht Pflicht ist.

Der zweite Fehler betrifft Erwartungen im Vorfall. "Wir melden, dann hilft das BACS" ist eine gefährliche Planungsannahme, wenn die Subsidiaritätsbedingung und die Priorisierungsbefugnis unbekannt sind. Beide sind kein Kleingedrucktes, sondern ausdrückliche Normen.

Der dritte Fehler ist eine Namensverwechslung, die in Konzernunterlagen und in Suchergebnissen verlässlich Schaden anrichtet: Österreich errichtet mit dem NISG 2026 ebenfalls ein "Bundesamt für Cybersicherheit", dem Innenministerium nachgeordnet. Das schweizerische BACS ist eine Verwaltungseinheit des VBS (9. Abschnitt und Art. 15a der Organisationsverordnung für das VBS, SR 172.214.1, in Kraft seit 01.01.2024) und ist im ISG selbst benannt. Zwei Behörden, zwei Länder, zwei Rechtsordnungen, fast identischer Name. Wer in einer Konzernrichtlinie "Meldung an das Bundesamt für Cybersicherheit" schreibt, hat nichts geregelt.

Der vierte Fehler betrifft die Vertraulichkeit von Meldungen. Manche Organisationen meiden Meldungen aus Sorge vor Öffentlichkeitsanfragen oder Strafverfolgung. Beides ist gesetzlich geregelt, und zwar differenzierter, als beide Extremannahmen es abbilden.

CISO-Einordnung

Was das BACS von Gesetzes wegen tut. Zum Schutz der Schweiz vor Cyberbedrohungen erstellt es technische Analysen zur Bewertung und Abwehr von Vorfällen und Bedrohungen sowie zur Identifikation und Behebung von Schwachstellen. Gestützt darauf sensibilisiert und warnt es die Öffentlichkeit, warnt Betroffene bei unmittelbaren Bedrohungen oder laufenden Angriffen, veröffentlicht Informationen und Empfehlungen für präventive und reaktive Maßnahmen, nimmt Meldungen entgegen und bearbeitet sie, und unterstützt Betreiberinnen kritischer Infrastrukturen. Die Cybersicherheitsverordnung ergänzt: Es betreibt ein nationales Einsatzteam für Computersicherheit auf einer von der restlichen Bundesinformatik unabhängigen Infrastruktur, kann bei unmittelbarer Bedrohung Halterangaben von Domain-Namen im Bundeskompetenzbereich abfragen, und unterstützt Behörden von Bund und Kantonen bei Standards und Regulierungen.

Die freiwillige und die anonyme Meldung. Das BACS nimmt Meldungen zu Cybervorfällen und Cyberbedrohungen entgegen; sie können anonym erfolgen. Es analysiert sie hinsichtlich ihrer Bedeutung für den Schutz der Schweiz und gibt auf Antrag eine Empfehlung zum weiteren Vorgehen ab, sofern dafür keine weiteren Analysen und Abklärungen erforderlich sind. Für eine Organisation, die nicht meldepflichtig ist oder deren Unterstellung unklar bleibt, ist das ein niedrigschwelliger Weg, Erkenntnisse einzuspeisen und eine Einordnung zu bekommen, ohne sich zu exponieren. Es ist ausdrücklich nicht dasselbe wie die Pflichtmeldung: andere Rechtsgrundlage, andere Folgen.

Koordinierte Schwachstellenoffenlegung, mit Zähnen. Erhält das BACS Kenntnis von einer Schwachstelle, informiert es umgehend die Herstellerin der betroffenen Hard- oder Software und setzt ihr zur Behebung eine angemessene Frist. Es weist dabei auf zwei Dinge hin: dass eine Missachtung beschaffungsrechtlich sanktioniert werden kann, und dass das BACS nach Fristablauf Informationen zur Schwachstelle veröffentlichen kann. Die Verordnung konkretisiert die Frist auf 90 Tage und lässt Abweichungen in beide Richtungen zu: Verkürzung, wenn die Schwachstelle die Funktionsfähigkeit kritischer Infrastrukturen gefährdet, weit verbreitete Systeme betrifft oder für einen Angriff verwendet wird beziehungsweise besonders leicht ausnutzbar ist; Verlängerung, wenn die Behebung besonders aufwendig ist. Das BACS darf Betreiberinnen kritischer Infrastrukturen bereits vor Offenlegung oder Behebung informieren, und für Schwachstellen in Fernmeldeanlagen gibt es einen eigenen Weg über das Bundesamt für Kommunikation.

Die Veröffentlichung ist an Bedingungen gebunden: Informationen zu Schwachstellen dürfen unter Angabe der betroffenen Hard- oder Software veröffentlicht werden, wenn die Herstellerin einwilligt oder die Schwachstelle nicht fristgerecht behoben hat. Für die Produktsicherheit heißt das konkret: Die 90 Tage sind kein Verhandlungsangebot, sondern der Zeitraum, nach dessen Ablauf eine nicht behobene Schwachstelle mit Produktnennung veröffentlicht werden darf.

Veröffentlichung von Vorfallinformationen, und die Grenze. Das BACS kann Informationen zu Cybervorfällen veröffentlichen, sofern das dem Schutz vor Cyberbedrohungen dient. Aufschluss über die betroffene natürliche oder juristische Person dürfen diese Informationen nur geben, wenn diese einwilligt und es sich um missbräuchlich verwendete Identifikationsmerkmale und Adressierungselemente handelt. Ohne Einwilligung führt eine Meldung also nicht zu einer Nennung des betroffenen Unternehmens; mit Einwilligung ist sie allein in diesem Sonderfall möglich.

Der Schutz von Meldungen gegen Öffentlichkeitsanfragen. Grundsätzlich geht das Öffentlichkeitsgesetz dem ISG vor. Für Meldungen gibt es aber eine ausdrückliche Ausnahme: Informationen Dritter, von denen das BACS durch Entgegennahme und Analyse von Meldungen nach dem fünften Kapitel Kenntnis erhält, dürfen nicht nach dem Öffentlichkeitsgesetz zugänglich gemacht werden; nicht als Dritte gelten die dem Gesetz unterstellten Behörden und Organisationen. Wer als privates Unternehmen meldet, ist damit gegen Zugangsgesuche geschützt.

Weiterleitung, kanalisiert und begrenzt. Das BACS kann Informationen aus Meldungen an Behörden und Organisationen weiterleiten, die im Bereich der Cybersicherheit tätig sind, Personendaten dabei nur mit Einwilligung der betroffenen Person. An den Nachrichtendienst des Bundes gehen Informationen, soweit sie für Aufgaben nach dem Nachrichtendienstgesetz erforderlich sind. Hinweise auf mögliche Straftaten, die Mitarbeitende des BACS im Zusammenhang mit einer Meldung erhalten, gehen abweichend von der allgemeinen Anzeigepflicht des Bundespersonalrechts ausschließlich an die Leitung des BACS, die Anzeige erstatten kann, sofern die Schwere der möglichen Straftat es geboten erscheinen lässt. Strafrechtlich geschützte Geheimnisse dürfen nur nach den Vorgaben des Strafgesetzbuchs weitergeleitet werden.

Die richtige Zusammenfassung ist also weder "die Meldung bleibt für sich" noch "die Meldung ist eine Selbstanzeige": Es gibt einen gesetzlich definierten, engen Kanal mit einer Ermessensentscheidung an der Spitze der Behörde.

Das Kommunikationssystem und der Informationsaustausch. Zugang zum Kommunikationssystem für den sicheren Informationsaustausch haben alle meldepflichtigen Betreiberinnen kritischer Infrastrukturen sowie Organisationen mit Sitz in der Schweiz und Behörden. Für die Nutzung ist eine Registrierung mit Firma beziehungsweise Name und Adresse sowie einer Kontaktperson erforderlich, und Änderungen sind unverzüglich zu melden. Zusätzlich stellt das BACS technische Informationen über Informationssysteme für den automatischen Austausch bereit.

Zwei Details lohnen die Aufmerksamkeit. Erstens können Betreiberinnen kritischer Infrastrukturen dem BACS ihre Dienstleister melden, die für sie Cybersicherheitsleistungen erbringen und am Austausch teilnehmen wollen; diese registrieren sich ebenfalls und dürfen erhaltene Informationen ausschließlich zum Schutz kritischer Infrastrukturen verwenden. Für Organisationen mit ausgelagertem SOC ist das der Weg, den Dienstleister in den Informationsfluss einzubinden. Zweitens legt der Absender bei der Übermittlung fest, an wen das BACS die Information weitergeben darf, sofern die Weitergabe nicht gesetzlich vorgesehen ist; über die Veröffentlichung freigegebener Informationen entscheidet das BACS, und Empfänger müssen den Schutz der Informationen gewährleisten.

Die Nationale Cyberstrategie. Die Verordnung legt fest, dass die NCS den strategischen Rahmen für Prävention, die Früherkennung von Bedrohungen, Reaktionsmöglichkeiten und Resilienz, die Bekämpfung der Cyberkriminalität und die internationale Zusammenarbeit bestimmt, und dass das BACS sie gemeinsam mit Kantonen, Wirtschaft, Betreiberinnen kritischer Infrastrukturen, Wissenschaft, Gesellschaft, Departementen und Bundeskanzlei erarbeitet. Für ein Unternehmen ist das kein Pflichtenkatalog, sondern ein Hinweis darauf, wo die Schweizer Prioritäten gesetzt werden, und über die Verbände ein Beteiligungsweg.

Namensklarheit, verbindlich. In eigenen Dokumenten gehört beim ersten Vorkommen "schweizerisches Bundesamt für Cybersicherheit (BACS)". Das österreichische Bundesamt für Cybersicherheit ist eine andere Behörde in einer anderen Rechtsordnung; es wird mit dem NISG 2026 errichtet und ist dem Innenministerium nachgeordnet. In Konzernprozessen mit Einheiten in beiden Ländern sollten die Meldewege ohnehin je Land benannt sein, nicht über die Behördenbezeichnung.

Umsetzungsperspektive

1. Registrierung für das Kommunikationssystem entscheiden und durchführen, bevor ein Ereignis eintritt. Sie ist keine Pflicht, aber Voraussetzung für den Kanal und für die reduzierten Pflichtangaben bei einer Meldung.
2. Den Dienstleister mitregistrieren, wenn ein externes SOC Vorfälle bearbeitet, damit Bedrohungsinformationen dort ankommen, wo sie gebraucht werden.
3. Bedrohungsinformationen und Erkennungshilfsmittel in die eigene Detektion einspeisen, statt sie als Behördenpublikation zu sammeln.
4. Für Produktsicherheit einen Prozess für BACS-Schwachstellenmeldungen aufsetzen, mit einer klaren 90-Tage-Uhr, einer Eskalation bei Verkürzung und einer Entscheidungsstelle für Fristverlängerungsanträge.
5. Den beschaffungsrechtlichen Hebel bewerten, wenn an Schweizer Behörden geliefert wird: Fristmissachtung kann dort Folgen haben.
6. Erwartungen an die Unterstützung realistisch dokumentieren: subsidiär bei privaten Betreiberinnen, priorisierbar bei Überlast, kein Ersatz für einen eigenen Vertrag.
7. Die anonyme Meldung als Option kennen, für Fälle, in denen die Unterstellung offen ist oder eine Bedrohung ohne eigene Betroffenheit geteilt werden soll.
8. Behördenbezeichnungen in Richtlinien und Notfallkarten präzisieren, damit die Verwechslung mit Österreich ausgeschlossen ist.

Typische Fehler

1. Das ISG wird auf die Meldepflicht reduziert; die unentgeltlichen Angebote bleiben ungenutzt.
2. Die Registrierung für das Kommunikationssystem wird verschoben, weil sie nicht Pflicht ist, und fehlt dann im Ereignisfall.
3. Die Unterstützung des BACS wird als Ersatz für vertraglich zugesicherte Incident-Response-Kapazität eingeplant, obwohl sie subsidiär und priorisierbar ist.
4. Die 90-Tage-Frist wird als reine Empfehlung behandelt, obwohl eine nicht fristgerecht behobene Schwachstelle nach Art. 73c Abs. 2 ISG mit Produktnennung veröffentlicht werden darf.
5. Der Hinweis auf die beschaffungsrechtliche Sanktion wird überlesen, obwohl er bei Lieferungen an Schweizer Behörden relevant ist.
6. Aus Sorge vor Öffentlichkeitsanfragen wird nicht gemeldet, obwohl Informationen Dritter aus Meldungen vom Öffentlichkeitsgesetz ausgenommen sind.
7. Die Weiterleitungsregeln werden als "die Meldung geht sowieso an die Strafverfolgung" gelesen, obwohl der Weg über die Leitung des BACS und eine Schwereprüfung läuft.
8. Das schweizerische BACS wird mit dem österreichischen Bundesamt für Cybersicherheit verwechselt.
9. Die anonyme Meldung wird mit der Pflichtmeldung gleichgesetzt; beide haben unterschiedliche Grundlagen und Folgen.

Risiken und Trade-offs

Die Registrierung für das Kommunikationssystem ist eine Abwägung zwischen Sichtbarkeit und Nutzen: Sie verlangt Firmenangaben und eine benannte Kontaktperson und macht die Organisation als Teilnehmerin erkennbar, dafür verkürzt sie im Ereignisfall die Pflichtangaben und öffnet den Informationsfluss. Für die meisten erfassten Organisationen fällt diese Abwägung klar aus, sie sollte aber getroffen und nicht vergessen werden.

Beim Informationsaustausch gilt ein Geben-und-Nehmen: Wer nur bezieht, erhält weniger Kontext als wer teilt, und wer teilt, gibt Informationen über eigene Vorfälle in einen Kreis, dessen Empfänger er zwar mitbestimmen kann, aber nicht kontrolliert. Die Steuerung liegt beim Absender, die Umsetzung beim BACS.

Für Herstellerinnen ist die koordinierte Offenlegung ein Vorteil mit Frist: Die 90 Tage verschaffen Zeit und setzen zugleich ein Ende. Wer die Frist zur Verhandlungsressource macht, riskiert die Veröffentlichung mit Produktnennung und, bei Behördenlieferungen, beschaffungsrechtliche Folgen. Wer sie als Projektfrist behandelt, verliert den möglichen Nutzen einer Fristverlängerung bei aufwendiger Behebung, die die Verordnung ausdrücklich zulässt.

Entscheidungspunkte

• Registrieren wir uns für das Kommunikationssystem, und wer ist Kontaktperson mit Vertretung?
• Melden wir unseren Cybersicherheits-Dienstleister als Teilnehmer am Informationsaustausch?
• Wer bearbeitet eine Schwachstellenmeldung des BACS, und wer entscheidet über Fristverlängerungsanträge?
• Planen wir die Unterstützung des BACS als Ergänzung oder haben wir sie irgendwo als Kapazität eingeplant?
• Nutzen wir die anonyme Meldung, und wer entscheidet darüber?
• Wie stellen wir in Richtlinien sicher, dass schweizerisches und österreichisches Bundesamt nicht verwechselt werden?

Praktische Empfehlungen

• Die Registrierung als eigene Aufgabe mit Termin führen, nicht als Nebenprodukt der Meldepflicht.
• In der Notfallkarte den Meldeweg je Land benennen, mit vollständiger Behördenbezeichnung und Landeszusatz.
• Für Produkte eine 90-Tage-Uhr ab Eingang einer BACS-Schwachstellenmeldung führen, mit Zwischenstand nach 30 und 60 Tagen.
• Bei aufwendiger Behebung die Fristverlängerung begründet und früh beantragen, nicht kurz vor Ablauf.
• Die Subsidiaritäts- und Priorisierungsregel in der Incident-Response-Planung ausdrücklich vermerken, damit niemand mit Behördenkapazität rechnet.
• Bedrohungsinformationen und Erkennungshilfsmittel des BACS an die eigenen Detektionsregeln anbinden und die Nutzung dokumentieren.
• In eigenen Dokumenten beim ersten Vorkommen "schweizerisches Bundesamt für Cybersicherheit (BACS)" schreiben.

Relevante Normreferenzen

• ISG (SR 128): Art. 4 Abs. 1bis (Legaldefinition "Bundesamt für Cybersicherheit (BACS)"; Ausnahme von Meldungsinformationen Dritter vom Öffentlichkeitsgesetz), Art. 73a (Analysen, Sensibilisierung, Warnung, Veröffentlichung, Entgegennahme von Meldungen, Unterstützung), Art. 73b Abs. 1 und 2 (Meldungen, auch anonym; Empfehlung auf Antrag), Art. 73b Abs. 3 (Information der Herstellerin, angemessene Frist, Hinweis auf beschaffungsrechtliche Sanktion und mögliche Veröffentlichung), Art. 73c (Veröffentlichung von Informationen aus Meldungen; Schwachstellenveröffentlichung mit Produktnennung bei Einwilligung oder Fristversäumnis), Art. 73d (Weiterleitung; NDB; Hinweise auf Straftaten nur an die Leitung des BACS; Berufsgeheimnisse), Art. 74 Abs. 2 (unentgeltliche, freiwillig nutzbare Hilfsmittel), Art. 74 Abs. 3 (Beratung und Unterstützung, bei privaten Betreiberinnen subsidiär), Art. 74 Abs. 4 (Zugriff nur mit Einverständnis), Art. 75 bis 79 (Datenrahmen, Zusammenarbeit im Inland, Unterstützung von NDB und Strafverfolgung, internationale Zusammenarbeit, Aufbewahrungsfristen).
• CSV (SR 128.51): Art. 2 (Nationale Cyberstrategie), Art. 3 (Halterabfragen), Art. 4 (nationales Einsatzteam für Computersicherheit, unabhängige Infrastruktur), Art. 5 (Priorisierung bei Überlast), Art. 6 (90-Tage-Frist, Verkürzung, Verlängerung, Vorabinformation, Sonderweg über das BAKOM), Art. 7 (Unterstützung von Behörden), Art. 8 (Zugang zum Kommunikationssystem, automatischer Austausch), Art. 9 (Registrierung), Art. 10 (Dienstleister), Art. 11 (Übermittlung und Nutzung der Informationen).
• Abgrenzung: Meldepflicht, Frist und Inhalt in den Artikeln 3 und 4 dieses Tracks, Durchsetzung in Artikel 5. Das österreichische Bundesamt für Cybersicherheit steht im nisg-at-Track; produktbezogene Schwachstellenpflichten des CRA im cra-Track.