Durchsetzung der ISG-Meldepflicht: warum nicht die verpasste Meldung bestraft wird, sondern die Missachtung einer Verfügung

Problem in der Praxis

Zwei entgegengesetzte Fehleinschätzungen prägen die Diskussion. Die eine überträgt NIS-2-Sanktionslogik auf die Schweiz und erzeugt intern ein Bild von Aufsicht, Auditpflichten und Bussgeldern nach Umsatzanteil, das im ISG keine Grundlage hat. Das kostet nicht nur Arbeit, es beschädigt die Glaubwürdigkeit der Compliance-Funktion, wenn die Fachabteilung nachliest.

Die andere Fehleinschätzung liest die milde Konstruktion als Freibrief: "Bestraft wird nur die Missachtung einer Verfügung, also passiert nichts, solange keine Verfügung kommt." Das trifft die Strafnorm richtig und die Lage falsch. Die Pflicht besteht unabhängig davon; das Fehlen einer Sanktion für die Pflichtverletzung ist eine Entscheidung über das Sanktionsmodell, keine Aussage über die Pflicht. Und die Kette beginnt nicht mit einer Verfügung, sondern mit einer Information des BACS, auf die man reagieren kann und muss.

Ein dritter, konkreterer Fehler betrifft die Zurechnung. Weil die Norm auf vorsätzliches Nichtbefolgen abstellt, wird angenommen, es müsse eine individuelle Person überführt werden, was praktisch unwahrscheinlich sei. Das Verwaltungsstrafrecht kennt aber eine Regelung für Widerhandlungen in Geschäftsbetrieben, und für Bussen bis 20 000 Franken kann die Behörde von der Verfolgung natürlicher Personen absehen und stattdessen den Geschäftsbetrieb zur Bezahlung verurteilen, wenn die Ermittlung unverhältnismäßige Untersuchungsmaßnahmen erfordern würde.

CISO-Einordnung

Stufe eins: Information und Frist. Bestehen Anzeichen für eine Verletzung der Meldepflicht, informiert das BACS die meldepflichtige Stelle darüber und setzt ihr eine angemessene Frist, um der Meldepflicht nachzukommen. Das ist die entscheidende Stelle für die Praxis: Es gibt eine Vorwarnung, und sie ist der wirksamste Hebel zur Risikobegrenzung. Wer sicherstellt, dass eine solche Information nicht in einem Funktionspostfach liegen bleibt, hält die Kette an Stufe eins auf.

Für die eigene Organisation folgt daraus eine unspektakuläre, aber wirksame Maßnahme: eine benannte Empfangsadresse für Behördenpost des BACS, mit Vertretung und einer Bearbeitungszusage, die kürzer ist als jede gesetzte Frist.

Stufe zwei: Verfügung mit Strafdrohung. Kommt die Stelle innerhalb der gesetzten Frist ihrer Pflicht nicht nach, erlässt das BACS eine Verfügung, setzt darin eine neue Frist und verweist auf die Strafdrohung. Erst mit dieser Verfügung entsteht überhaupt die Möglichkeit einer Strafe, und auch dann nur, wenn sie rechtskräftig ist und vorsätzlich nicht befolgt wird. Eine Verfügung ist ein anfechtbarer Verwaltungsakt; der Rechtsmittelweg steht offen, und die Strafnorm nennt neben der Verfügung ausdrücklich den Entscheid einer Rechtsmittelinstanz.

Die Strafnorm im Detail. Mit Busse bis zu 100 000 Franken wird bestraft, wer einer vom BACS unter Hinweis auf die Strafdrohung erlassenen rechtskräftigen Verfügung oder dem Entscheid einer Rechtsmittelinstanz vorsätzlich nicht Folge leistet. Vier Merkmale müssen zusammentreffen: eine Verfügung, ein Hinweis auf die Strafdrohung, Rechtskraft und Vorsatz. Fahrlässige Versäumnisse sind nicht erfasst, und die ursprüngliche Meldepflichtverletzung ist es auch nicht.

Zurechnung im Geschäftsbetrieb. Für Widerhandlungen in Geschäftsbetrieben ist die entsprechende Bestimmung des Verwaltungsstrafrechts anwendbar. Kommt eine Busse von höchstens 20 000 Franken in Betracht und würde die Ermittlung der strafbaren Personen unverhältnismäßige Untersuchungsmaßnahmen erfordern, kann die Behörde von der Verfolgung dieser Personen absehen und an ihrer Stelle den Geschäftsbetrieb zur Bezahlung verurteilen. Das Bild einer praktisch nicht durchsetzbaren Norm stimmt also nicht: Für den unteren Bereich gibt es einen vereinfachten Weg direkt zum Betrieb.

Wer verfolgt. Bei einer Widerhandlung gegen eine Verfügung des BACS obliegen Verfolgung und Beurteilung den Kantonen. Das BACS erlässt die Verfügung, aber es führt kein Strafverfahren. Für die Organisation heißt das: Der Ansprechpartner wechselt, und die kantonale Zuständigkeit richtet sich nach schweizerischem Verfahrensrecht, das dieser Korpus nicht erklärt.

Was das Gesetz ausdrücklich nicht vorsieht. Es gibt im fünften Kapitel keine Aufsichtsbehörde mit Prüfbefugnissen gegenüber den Meldepflichtigen, keine Pflicht zum Nachweis von Sicherheitsmaßnahmen, keine periodische Berichtspflicht und keine Registrierung als Voraussetzung der Unterstellung. Die Zweckbindung ist positiv formuliert: Die Meldepflicht dient ausschließlich dazu, dass das BACS Angriffsmuster auf kritische Infrastrukturen früh erkennen und dadurch mögliche Betroffene warnen und ihnen Präventions- und Abwehrmaßnahmen empfehlen kann. Eine Meldung ist damit kein Aufsichtsvorgang.

Der funktionale Vergleich, ohne Verwandtschaftsbehauptung. Das ISG ist keine NIS-2-Umsetzung, und das ist am Gesetzestext belegbar. Ein Vergleich lohnt trotzdem, weil DACH-Organisationen beide Regime bedienen. Er fällt an vier Stellen deutlich aus: Das ISG kennt für private Betreiber keine Risikomanagement- oder Governance-Pflichten, keine Registrierungspflicht als Unterstellungsvoraussetzung, keine Aufsicht mit Prüfbefugnissen und keine Sanktion für die Pflichtverletzung selbst. Was es kennt, ist eine kurze Frist, ein niedrig ansetzender Auslösekatalog und ein Gegenleistungsversprechen in Form von Unterstützung. Es ist also nicht "NIS-2 mit weniger Bussgeld", sondern ein anderes Modell: Frühwarnung durch Meldung statt Sicherheitsniveau durch Aufsicht.

Was trotzdem wehtut, wenn nicht gemeldet wird. Die Bussgeldnorm ist der schwächste Teil des Risikos. Bedeutsamer sind der Verlust des Unterstützungsanspruchs im laufenden Vorfall, vertragliche Melde- und Informationspflichten gegenüber Schweizer Kunden aus regulierten Sektoren, sektorspezifische Aufsichtsanforderungen etwa im Finanz- oder Gesundheitsbereich, sowie die Frage, wie eine unterlassene gesetzliche Meldung später in einer Untersuchung oder einem Zivilverfahren gewürdigt wird. Diese Folgen stehen nicht im ISG und werden von seiner milden Sanktionslogik nicht begrenzt.

Umsetzungsperspektive

1. Eine Empfangs- und Reaktionsstrecke für BACS-Post einrichten, mit benannter Rolle, Vertretung und einer internen Bearbeitungszusage, die deutlich kürzer ist als eine behördlich gesetzte Frist.
2. Die Eskalationsschwelle an Stufe eins legen. Eine Information des BACS über Anzeichen einer Verletzung ist ein Leitungsthema, nicht ein Ticket.
3. Die Sanktionslogik intern richtig darstellen, damit weder Aufsichtsphantasien noch Freibriefe entstehen: Pflicht besteht, Strafe hängt an der Missachtung einer rechtskräftigen Verfügung.
4. Das Restrisiko benennen, das nicht aus dem ISG kommt: Vertragspflichten, Sektoraufsicht, Reputation, Beweislage. Diese Punkte gehören in die Risikobewertung, nicht die Bussgeldhöhe allein.
5. Rechtsmittelfähigkeit einplanen. Kommt es zur Verfügung, ist sie anfechtbar; die Frage, ob angefochten wird, gehört vorbereitet und nicht in die Frist hinein entschieden.
6. Für Konzerne die Zurechnung klären: Wer ist im Sinne des Verwaltungsstrafrechts der Geschäftsbetrieb, und wer vertritt ihn gegenüber kantonalen Strafbehörden?

Typische Fehler

1. Die verpasste Meldung wird als Straftatbestand dargestellt, obwohl die Strafnorm an der Missachtung einer rechtskräftigen Verfügung ansetzt.
2. Aus der milden Sanktionslogik wird ein Freibrief abgeleitet, obwohl die Pflicht davon unberührt bleibt.
3. NIS-2-Bussgeldlogik wird auf die Schweiz übertragen und erzeugt interne Anforderungen ohne Rechtsgrundlage.
4. Aus der ereignislosen Zeit zwischen dem 01.04.2025 und dem 30.09.2025 wird auf Straflosigkeit geschlossen, obwohl nur die Durchsetzungsartikel später in Kraft getreten sind.
5. Die Vorwarnung der Stufe eins wird verpasst, weil Behördenpost in einem unbetreuten Postfach landet.
6. Es wird angenommen, ohne Überführung einer natürlichen Person sei die Norm praktisch wirkungslos, obwohl für Bussen bis 20 000 Franken der Geschäftsbetrieb verurteilt werden kann.
7. Es wird erwartet, dass das BACS das Strafverfahren führt, obwohl Verfolgung und Beurteilung den Kantonen obliegen.
8. Das Risiko wird auf die Bussgeldhöhe reduziert, ohne Vertrags-, Sektoraufsichts- und Beweisfolgen zu berücksichtigen.

Risiken und Trade-offs

Wer die Sanktionslogik offen kommuniziert, gewinnt Genauigkeit und riskiert, dass die Meldepflicht intern als unverbindlich gilt. Wer sie verschärft darstellt, erzeugt kurzfristig Aufmerksamkeit und verliert Glaubwürdigkeit, sobald jemand den Gesetzestext liest. Der belastbare Weg ist, die Pflicht mit ihrem eigentlichen Zweck zu begründen und die Sanktion als das darzustellen, was sie ist: der letzte, nicht der erste Grund zu melden.

Ein zweiter Trade-off liegt in der Reaktion auf eine Information nach Stufe eins. Sofort nachmelden beendet das Verfahren faktisch, kann aber eine Meldung erzeugen, die man materiell für nicht geschuldet hält. Die Unterstellungsfrage zu bestreiten hält die Position, riskiert die Verfügung und verlagert die Klärung in ein Rechtsmittelverfahren. Diese Wahl gehört der Leitung, mit Rechtsrat, und sie ist leichter, wenn die Unterstellungsfrage vorher geklärt oder über den Auskunftsweg beim BACS festgestellt wurde.

Entscheidungspunkte

• Wer empfängt Behördenpost des BACS, und in welcher Zeit wird sie bearbeitet?
• Ab welcher Stufe informieren wir die Geschäftsführung, und wer entscheidet über eine Nachmeldung?
• Bestreiten wir im Zweifel die Unterstellung oder melden wir vorsorglich, und wer trifft diese Entscheidung?
• Wer vertritt uns gegenüber kantonalen Strafbehörden, wenn es dazu kommt?
• Wie stellen wir die Sanktionslogik intern dar, damit sie weder überzeichnet noch verharmlost wird?

Praktische Empfehlungen

• Eine namentliche Empfangsstelle für BACS-Korrespondenz benennen und in der Vorfalldokumentation hinterlegen.
• In internen Unterlagen die zwei Stufen ausdrücklich trennen: Information mit Frist, dann Verfügung mit Strafdrohung.
• Die Zahl 100 000 Franken nie ohne ihre Bedingung nennen: rechtskräftige Verfügung, Hinweis auf die Strafdrohung, Vorsatz.
• Den Zeitpunkt 01.10.2025 als Beginn der Durchsetzbarkeit in der Regulierungsübersicht führen.
• Das Risiko zweigeteilt bewerten: Bussgeld nach ISG und die Folgen außerhalb des ISG.
• Vor einer Auseinandersetzung über die Unterstellung den Auskunfts- und Verfügungsweg prüfen, statt die Frage erst im Durchsetzungsverfahren zu klären.

Relevante Normreferenzen

• ISG (SR 128): Art. 74g (zweistufiges Verfahren: Information mit angemessener Frist, danach Verfügung mit neuer Frist und Hinweis auf die Strafdrohung), Art. 74h Abs. 1 (Busse bis 100 000 Franken für vorsätzliches Nichtbefolgen einer rechtskräftigen Verfügung oder eines Rechtsmittelentscheids), Art. 74h Abs. 2 (Art. 6 VStrR für Widerhandlungen in Geschäftsbetrieben), Art. 74h Abs. 3 (bei Bussen bis 20 000 Franken Verurteilung des Geschäftsbetriebs anstelle der Ermittlung natürlicher Personen), Art. 74h Abs. 4 (Verfolgung und Beurteilung durch die Kantone), Art. 74a Abs. 3 (Anspruch auf Unterstützung als Gegenleistung der Meldung), Art. 74a Abs. 4 (Zweckbindung: ausschließlich Früherkennung und Warnung).
• Inkrafttreten: Art. 74g und 74h seit dem 01.10.2025 (AS 2025 173), sechs Monate nach dem Meldepflicht-Kapitel selbst (01.04.2025).
• Bundesgesetz über das Verwaltungsstrafrecht (VStrR, SR 313.0): Art. 6 als Zurechnungsnorm.
• Abgrenzung: Wer meldepflichtig ist und was zu melden ist, steht in den beiden vorigen Artikeln dieses Tracks. Sanktionsregime der NIS-2-Richtlinie und des BSIG stehen im nis2-Track, das österreichische Strafregime im nisg-at-Track; das ISG ist keine NIS-2-Umsetzung, der Vergleich bleibt funktional.