Geltungsbereich des ISG: wer verpflichtet ist, wer nicht, und warum "privat gegen öffentlich" die falsche Frage ist

Problem in der Praxis

Der Fehler, der in dieser Frage am meisten Arbeit kostet, ist eine harmlos klingende Gleichsetzung: "Wir sind ein privates Unternehmen, also sind wir Art. 2 Abs. 5, also gilt für uns das fünfte Kapitel." Beide Schlüsse sind falsch, und sie sind auf verschiedene Weise falsch. Der erste Schluss ist zu weit, weil Abs. 5 nur greift, wenn die Organisation kritische Infrastrukturen betreibt; ein privates Handelsunternehmen ohne solchen Betrieb fällt gar nicht darunter. Der zweite Schluss ist zu eng in der Begründung und zufällig richtig im Ergebnis, was ihn besonders zäh macht: er kommt zum richtigen Kapitel, aber aus einem Grund, der bei der nächsten Frage in die Irre führt.

Der Spiegelfehler ist genauso verbreitet, und er trifft öffentliche Stellen: eine kantonale oder kommunale Einrichtung liest "Behörden und Organisationen des Bundes" und schließt daraus, das Gesetz betreffe sie nicht. Für den Hauptteil des Gesetzes stimmt das. Für die Meldepflicht stimmt es nicht: Der Katalog der meldepflichtigen Stellen nennt Behörden von Bund, Kantonen und Gemeinden ausdrücklich.

Ein dritter Fall entsteht bei Zulieferern. Ein Unternehmen ohne jede eigene Infrastruktur in der Schweiz kann meldepflichtig werden, weil sein Produkt bei einer Schweizer kritischen Infrastruktur läuft und einen Fernwartungszugang hat. Wer die Betroffenheitsfrage über die eigene Standortliste beantwortet, findet diesen Fall nie.

CISO-Einordnung

Die drei Adressatengruppen, in der Reihenfolge des Gesetzes.

Die erste Gruppe steht in Art. 2 Abs. 1 und 2: verpflichtete Behörden sind Bundesversammlung, Bundesrat, die eidgenössischen Gerichte, die Bundesanwaltschaft samt ihrer Aufsichtsbehörde und die Schweizerische Nationalbank; verpflichtete Organisationen sind Parlamentsdienste, Bundesverwaltung, die Verwaltungen der eidgenössischen Gerichte, die Armee und Organisationen nach Art. 2 Abs. 4 RVOG für ihre Verwaltungsaufgaben. Für sie gilt das Gesetz in seiner ganzen Breite. Abs. 3 und 4 erlauben dem Bundesrat, die Geltung für dezentrale Organisationen einzuschränken, etwa auf solche mit sicherheitsempfindlicher Tätigkeit oder mit Zugriff auf Informatikmittel des Bundes, und die Einschränkung auf Teile des Gesetzes zu begrenzen.

Die zweite Gruppe steht in Art. 3: Für die Kantone gelten nur die Bestimmungen über klassifizierte Informationen, soweit sie klassifizierte Informationen des Bundes bearbeiten, und über die Sicherheit beim Einsatz von Informatikmitteln, soweit sie auf Informatikmittel des Bundes zugreifen. Und selbst diese Bestimmungen entfallen, wenn der Kanton eine mindestens gleichwertige Informationssicherheit gewährleistet. Das ist eine Öffnungsklausel für Äquivalenz, keine Ausnahme nach Antrag.

Die dritte Gruppe steht in Art. 2 Abs. 5 und ist die einzige, die für ein privatwirtschaftliches Programm zählt.

Die drei Merkmale des Art. 2 Abs. 5, kumulativ. Erstens muss es sich um eine Organisation des öffentlichen oder privaten Rechts handeln; die Rechtsform ist ausdrücklich offen. Zweitens muss die Organisation kritische Infrastrukturen betreiben. Drittens darf sie nicht unter die Absätze 1 bis 3 fallen, also nicht selbst Teil der Bundesorganisation sein. Fehlt ein Merkmal, greift die Norm nicht. Wer prüft, ob er in diese Gruppe gehört, prüft also nicht seine Rechtsform, sondern seinen Betrieb.

Was "kritische Infrastrukturen" bedeutet, definiert das Gesetz selbst: Trinkwasser- und Energieversorgung, Informations-, Kommunikations- und Transportinfrastrukturen sowie weitere Prozesse, Systeme und Einrichtungen, die essenziell für das Funktionieren der Wirtschaft beziehungsweise das Wohlergehen der Bevölkerung sind. Das ist eine qualitative Definition ohne Schwellenwerte und damit strukturell anders gebaut als die deutschen KRITIS-Schwellen. Wer Anlagenkategorien und Bevölkerungsschwellen aus dem deutschen Recht hierher überträgt, überträgt eine Systematik, die das schweizerische Gesetz nicht kennt.

Die Rechtsfolge ist eine geschlossene Aufzählung, und das ist die wichtigste Aussage dieses Artikels. Art. 2 Abs. 5 verweist auf die Artikel 73a bis 79 und endet dort. Was in dieser Spanne liegt, gilt; was außerhalb liegt, gilt nicht. Innerhalb liegen: die Aufgaben des BACS mit Analysen, Warnungen und Veröffentlichungen, die Entgegennahme freiwilliger und anonymer Meldungen, die koordinierte Offenlegung von Schwachstellen, die Weiterleitungsregeln, die Unterstützungsangebote, die vollständige Meldepflicht mit Durchsetzung und Strafnorm sowie der Datenrahmen für die Tätigkeit des BACS. Außerhalb liegen unter anderem die Klassifizierung von Informationen, das Sicherheitsverfahren beim Einsatz von Informatikmitteln, die personellen und physischen Maßnahmen, die Personensicherheitsprüfung, das Betriebssicherheitsverfahren, der Informationssicherheitsbeauftragte nach Art. 81 und die Übergangsbestimmungen des Art. 90.

Diese Prüfung, ob eine Norm innerhalb oder außerhalb der Spanne liegt, ist der wirksamste Selbsttest für jede Pflichtbehauptung zum ISG. Sie kostet einen Blick auf die Artikelnummer und verhindert die häufigste Fehlaussage über dieses Gesetz.

Ein Vorbehalt, der zur Vollständigkeit gehört. Art. 2 Abs. 6 ISG bestimmt, dass die Spezialgesetzgebung weitere Teile des Gesetzes für anwendbar erklären kann. Die Aussage "für uns gilt nur das fünfte Kapitel" ist also präzise nur als "aus dem ISG selbst gelten für uns die Art. 73a bis 79". Ob ein sektorspezifisches Schweizer Gesetz für Ihre Branche mehr anordnet, ist eine Frage an das jeweilige Spezialrecht und nicht an das ISG.

Wie Geltungsbereich und Meldepflichtkatalog zusammenspielen. Art. 2 Abs. 5 sagt, welche Normen für eine nichtbundesstaatliche Betreiberin kritischer Infrastrukturen gelten. Wer konkret melden muss, sagt der Katalog innerhalb dieser Normen, und dieser Katalog nennt Sektoren und Merkmale einzeln, von Hochschulen über Energie, Finanzsektor, Spitäler der kantonalen Spitalliste und Verkehr bis zu Cloud-, Rechenzentrums- und Vertrauensdiensten mit Sitz in der Schweiz und zu Hard- und Softwareherstellern, deren Produkte bei kritischen Infrastrukturen laufen. Der Gesetzgeber hat den Katalog als Konkretisierung dessen gebaut, wer als Betreiberin kritischer Infrastrukturen in Betracht kommt; für die Selbsteinschätzung ist deshalb der Katalog der praktikablere Einstieg, und die Frage nach dem Betrieb kritischer Infrastruktur dient der Plausibilisierung. Wer nach dieser doppelten Prüfung unsicher bleibt, hat einen gesetzlichen Anspruch auf Klärung: Das BACS erteilt Auskunft über die Unterstellung und erlässt auf Antrag eine Verfügung. Diesen Weg zu nutzen, ist im Zweifel belastbarer als jede interne Einordnung, und er ist ausdrücklich vorgesehen.

Die Übergangsfristen des Art. 90 ISG, als Faktum mit Adressat. Art. 90 verlangt, dass altklassifizierte Informationen bei der ersten Bearbeitung nach Inkrafttreten angepasst werden, dass Informatikmittel binnen zwei Jahren nach Inkrafttreten eingestuft und technische Maßnahmen zur Gewährleistung der Informationssicherheit binnen sechs Jahren umgesetzt werden, und dass alte Sicherheits-, Risiko- und Betriebssicherheitserklärungen fünf Jahre ab Ausstellung gültig bleiben. Rechnet man die sechs Jahre vom Inkrafttreten der übrigen Bestimmungen am 01.01.2024, ergibt sich der 01.01.2030; dieses Datum steht so nicht im Gesetz und ist eine Berechnung. Adressaten sind die verpflichteten Behörden und Organisationen nach Art. 2 Abs. 1 bis 3. Für die Organisationen nach Art. 2 Abs. 5 gilt Art. 90 nicht, weil die Aufzählung dort bei Art. 79 endet; inhaltlich passt das, weil Art. 90 ausschließlich Gegenstände der bundesinternen Kapitel regelt. Wer diese Frist in eine Roadmap für ein Schweizer Tochterunternehmen schreibt, plant an einer Pflicht, die es dort nicht hat.

Umsetzungsperspektive

1. Rechtsform aus der Prüfung nehmen. Sie ist für Art. 2 Abs. 5 unerheblich. Geprüft werden Betrieb kritischer Infrastruktur und Nichtzugehörigkeit zur Bundesorganisation.
2. Über den Katalog einsteigen, nicht über die Definition. Der Sektorkatalog der Meldepflicht ist konkret und prüfbar; die qualitative Definition kritischer Infrastruktur dient danach der Plausibilisierung.
3. Konzernweit je Einheit prüfen, nicht je Land. Erfasst wird die Organisation, nicht der Konzern. Eine Schweizer Tochter kann erfasst sein, während die Muttergesellschaft es nicht ist, und umgekehrt kann eine ausländische Herstellerin über ihr Produkt in den Katalog geraten.
4. Produkte und Fernwartung in die Prüfung einbeziehen. Der Herstellertatbestand knüpft nicht am eigenen Betrieb an, sondern an der Nutzung des Produkts durch kritische Infrastrukturen und an Merkmalen wie Fernwartungszugang oder Einsatz zur Steuerung betriebstechnischer Systeme.
5. Das Ergebnis dokumentieren, mit Datum und Grundlage. Eine dokumentierte Einschätzung ist die Voraussetzung dafür, im Ereignisfall nicht neu zu diskutieren, und die Basis für einen Auskunftsantrag beim BACS.
6. Bei Unsicherheit den Auskunfts- und Verfügungsweg nutzen. Er ist gesetzlich vorgesehen; die interessierte Stelle muss dem BACS dafür die erforderlichen Unterlagen bereitstellen.

Typische Fehler

1. "Privat" wird mit Art. 2 Abs. 5 gleichgesetzt, obwohl die Norm auch Organisationen des öffentlichen Rechts erfasst und einen Betrieb kritischer Infrastruktur voraussetzt.
2. Aus der Rechtsform wird auf den Pflichtenumfang geschlossen, statt aus dem Betrieb.
3. Kantonale oder kommunale Stellen schließen aus Art. 3, das Gesetz betreffe sie nicht, und übersehen ihre Nennung im Meldepflichtkatalog.
4. Pflichten aus den bundesinternen Kapiteln, etwa Klassifizierung oder Informationssicherheitsbeauftragter, werden auf Unternehmen übertragen.
5. Die Übergangsfristen des Art. 90 ISG werden als Frist für ein Schweizer Tochterunternehmen geführt.
6. Deutsche KRITIS-Schwellenwerte werden auf die schweizerische Definition kritischer Infrastruktur angewendet, die keine Schwellen kennt.
7. Die Prüfung endet an der Standortliste, sodass der Herstellertatbestand für Zulieferer nie auftaucht.
8. Der Vorbehalt des Art. 2 Abs. 6 wird ignoriert und "nur das fünfte Kapitel" als abschließende Aussage über die gesamte Schweizer Rechtslage gelesen.

Risiken und Trade-offs

Eine zu weite Selbsteinschätzung kostet Aufwand, aber wenig Risiko: Wer sich freiwillig an der Meldepflicht orientiert, obwohl er nicht erfasst ist, kann Vorfälle freiwillig melden, was das Gesetz ausdrücklich zulässt, sogar anonym. Eine zu enge Selbsteinschätzung ist das eigentliche Risiko, weil sie im Ereignisfall zur nicht erfolgten Meldung führt und damit in die Durchsetzungskette; und weil sie sich meist erst im Vorfall zeigt, wenn keine Zeit für Rechtsklärung bleibt.

Der Auskunfts- und Verfügungsweg beim BACS reduziert dieses Risiko, hat aber einen Preis: Er erfordert die Offenlegung von Unterlagen gegenüber einer Behörde und führt zu einer verbindlichen Feststellung, die auch positiv ausfallen kann. Wer den Weg meidet, behält Gestaltungsspielraum und trägt die Unsicherheit selbst. Diese Abwägung gehört auf die Entscheidungsebene und nicht in die Fachabteilung.

Für Zulieferer schließlich besteht ein Trade-off zwischen Vertragsgestaltung und Eigenprüfung: Man kann die Frage, ob Produkte bei Schweizer kritischen Infrastrukturen im Einsatz sind, vertraglich abfragen oder selbst erheben. Vertragliche Abfragen sind billiger und werden unvollständig beantwortet; Eigenerhebung ist teurer und belastbarer.

Entscheidungspunkte

• Für welche Einheiten der Gruppe treffen wir eine dokumentierte Aussage zur Unterstellung, und wer verantwortet sie?
• Nutzen wir den Auskunfts- und Verfügungsweg beim BACS, oder tragen wir die Unsicherheit selbst?
• Wie erheben wir, ob unsere Produkte bei Schweizer kritischen Infrastrukturen mit Fernwartungszugang laufen?
• Wer prüft, ob Schweizer Spezialrecht unserer Branche über Art. 2 Abs. 6 weitere Teile des ISG anwendbar macht?
• Wie oft prüfen wir die Einschätzung neu, und was löst eine Neuprüfung aus, etwa ein neuer Schweizer Kunde aus einem Katalogsektor?

Praktische Empfehlungen

• Die Prüfung in zwei Schritten dokumentieren: Katalogtreffer ja oder nein, dann Plausibilisierung über den Betrieb kritischer Infrastruktur.
• Bei jeder Pflichtbehauptung zum ISG die Artikelnummer gegen die Spanne 73a bis 79 prüfen; liegt sie außerhalb, gilt sie für Organisationen nach Art. 2 Abs. 5 nicht.
• Formulierungen wie "privat" oder "öffentlich" aus internen Papieren zum Geltungsbereich streichen und durch "betreibt kritische Infrastrukturen und fällt nicht unter Art. 2 Abs. 1 bis 3" ersetzen.
• Die Frist 01.01.2030 nur mit dem Zusatz führen, dass sie berechnet ist und die Behörden und Organisationen des Bundes adressiert.
• Für Konzerne eine Liste je Rechtseinheit führen, nicht je Land, und Produktbezüge als eigene Zeile aufnehmen.
• Keine deutschen Schwellenwerte in die Schweizer Einschätzung übernehmen; die schweizerische Definition ist qualitativ.

Relevante Normreferenzen

• ISG (SR 128): Art. 2 Abs. 1 und 2 (verpflichtete Behörden und Organisationen), Art. 2 Abs. 3 und 4 (Einschränkungsbefugnis des Bundesrats), Art. 2 Abs. 5 (Organisationen des öffentlichen und privaten Rechts, die kritische Infrastrukturen betreiben: Geltung der Art. 73a bis 79), Art. 2 Abs. 6 (Spezialgesetzgebung), Art. 3 (Kantone, mit Äquivalenzklausel), Art. 5 Bst. c (Definition kritische Infrastrukturen).
• ISG, 5. Kapitel: Art. 73a bis 79 als geschlossene Spanne; darin Art. 74a Abs. 2 (Auskunft über die Unterstellung, Verfügung auf Antrag) und Art. 74b Abs. 1 (Katalog der meldepflichtigen Behörden und Organisationen).
• ISG, außerhalb der Spanne und daher für Art.-2-Abs.-5-Adressaten nicht anwendbar: unter anderem Art. 13 (Klassifizierungsstufen), Art. 16 (Sicherheitsverfahren), Art. 81 (Informationssicherheitsbeauftragte), Art. 90 (Übergangsbestimmungen, Adressaten nach Art. 2 Abs. 1 bis 3).
• CSV (SR 128.51): Art. 12 (Ausnahmen von der Meldepflicht), Art. 13 (Einreichung von Unterlagen zur Abklärung der Meldepflicht).
• Abgrenzung: deutsche KRITIS-Schwellenwerte im kritis-Track, NIS-2 im nis2-Track, die österreichische Umsetzung im nisg-at-Track dieses Korpus.