Die 24-Stunden-Meldung an das schweizerische Bundesamt für Cybersicherheit (BACS): welche Angriffe meldepflichtig sind, wann die Frist läuft und wie gemeldet wird

Problem in der Praxis

Der häufigste Prozessfehler ist der Fristbeginn. In vielen Vorfallprozessen ist der belastbare Zeitstempel die Bestätigung durch den zweiten Analysten oder die Freigabe der Eskalation, weil erst dort eine Entscheidung dokumentiert wird. Das ISG stellt aber auf die Entdeckung ab. Zwischen der ersten Detektion im SOC und der bestätigten Einschätzung liegen in der Praxis leicht sechs bis zwanzig Stunden, und die Frist ist dann rechnerisch schon halb aufgebraucht, bevor jemand über die Meldung nachdenkt.

Der zweite Fehler ist die Schwellenerwartung. Wer aus anderen Regimen "erhebliche Auswirkung" gewohnt ist, sucht eine Wesentlichkeitsschwelle und übersieht, dass die Verordnung sehr niedrig ansetzt: Betroffenheit von Mitarbeitenden durch Systemunterbrüche genügt für die Gefährdung der Funktionsfähigkeit. Umgekehrt gibt es Organisationen, die vorsorglich jeden Alarm melden wollen; das ist nicht verboten, aber es verkennt, dass die Pflicht am absichtlich ausgelösten Vorfall hängt.

Der dritte Fehler ist die Trennung zwischen Datenschutz- und ISG-Meldung. Beide Regime haben eigene Adressaten, Fristen und Inhalte. Weil die Verordnung eine erfolgte Datenschutzmeldung als Auslöser des ISG-Tatbestands nennt, entsteht eine Einbahnkopplung, die im Krisenstab bekannt sein muss: erst datenschutzrechtlich melden und dann die ISG-Frist übersehen ist ein realistischer Ablauf.

Der vierte Fehler ist der Umgang mit dem "länger unentdeckt"-Tatbestand. Er trifft rückwärts: Wird bei einer forensischen Untersuchung ein Angriff gefunden, der mehr als 90 Tage zurückliegt, ist er meldepflichtig, auch wenn er längst beendet ist. Die 24 Stunden laufen dann ab dem Zeitpunkt, an dem man ihn entdeckt hat.

CISO-Einordnung

Die vier Meldetatbestände, alternativ und nicht kumulativ. Ein Cyberangriff muss gemeldet werden, wenn er die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet (Gefährdung genügt, ein Schaden ist nicht nötig), wenn er zu einer Manipulation oder zu einem Abfluss von Informationen geführt hat, wenn er über einen längeren Zeitraum unentdeckt blieb, insbesondere wenn Anzeichen bestehen, dass er zur Vorbereitung weiterer Angriffe diente, oder wenn er mit Erpressung, Drohung oder Nötigung verbunden ist. Es genügt ein Tatbestand.

Die Konkretisierungen der Cybersicherheitsverordnung, und wie niedrig sie ansetzen. Die Funktionsfähigkeit gilt als gefährdet, wenn Mitarbeitende oder Dritte von Systemunterbrüchen betroffen sind oder wenn die Organisation ihre Tätigkeiten nur noch mit Hilfe von Notfallplänen aufrechterhalten kann. Manipulation oder Abfluss liegt vor, wenn geschäftsrelevante Informationen von Unbefugten eingesehen, verändert oder offengelegt werden oder wenn eine Meldung von Verletzungen der Datensicherheit nach Art. 24 des schweizerischen Datenschutzgesetzes erfolgt ist. "Länger unentdeckt" heißt: der Vorfall liegt mehr als 90 Tage zurück. Und Erpressung, Drohung oder Nötigung erfassen auch Handlungen, die sich gegen Personen richten, die für die Organisation tätig sind, nicht nur gegen die Organisation selbst.

Zwei dieser Konkretisierungen verdienen besondere Aufmerksamkeit. Die Kopplung an die Datenschutzmeldung macht ein Ereignis in der einen Welt zum Auslöser in der anderen; sie ist einseitig formuliert, also löst die ISG-Meldung nicht automatisch eine Datenschutzmeldung aus. Und der Einbezug von Handlungen gegen Mitarbeitende bedeutet, dass ein Erpressungsversuch gegen eine einzelne Person mit Zugang zu Systemen den Tatbestand erfüllen kann, auch ohne technischen Einbruch.

Die Frist, und was sie vom Prozess verlangt. Die Meldung muss innert 24 Stunden nach der Entdeckung des Cyberangriffs erfolgen. Für den eigenen Prozess folgt daraus dreierlei. Erstens braucht es einen definierten, dokumentierten Zeitpunkt der Entdeckung, und zwar den frühesten, nicht den bequemsten. Zweitens muss die Meldeentscheidung innerhalb der 24 Stunden fallen können, also ohne Gremium, das erst am nächsten Werktag zusammentritt; Zuständigkeit und Vertretung gehören vorher benannt. Drittens gilt die Frist auch nachts und am Wochenende.

Unvollständig melden ist der vorgesehene Weg, nicht die Ausnahme. Sind zum Zeitpunkt der Meldung nicht alle erforderlichen Informationen bekannt, ergänzt die meldepflichtige Stelle, sobald sie über neue Informationen verfügt; die Verordnung gewährt dafür eine Frist von 14 Tagen und regelt, dass das BACS danach zur umgehenden Ergänzung auffordert oder eine Bestätigung verlangt, dass die Information nicht vorhanden ist. Das entlastet erheblich: Die 24 Stunden verlangen keine fertige Forensik, sondern eine Meldung. Und es gibt ein Ende der Hängepartie, denn das BACS teilt mit, sobald alle Angaben zur Erfüllung der Meldepflicht vorliegen.

Was in die Meldung gehört. Das Gesetz verlangt Angaben zur meldepflichtigen Stelle, zu Art und Ausführung des Angriffs, zu seinen Auswirkungen, zu den ergriffenen Maßnahmen und, soweit bekannt, zum geplanten weiteren Vorgehen. Die Verordnung ergänzt: Datum und Uhrzeit der Feststellung, Datum und Uhrzeit des Angriffs, Angaben zum Angreifer, die Information ob Erpressung, Drohung oder Nötigung vorlag und ob Strafanzeige erstattet wurde, den Schweregrad der Beeinträchtigung von Verfügbarkeit, Integrität und Vertraulichkeit sowie die Auswirkung auf die Funktionsfähigkeit. Erfolgt die Meldung nicht über das Kommunikationssystem des BACS, sind zusätzlich Firma beziehungsweise Name und Adresse sowie die Kontaktangaben der meldenden Person anzugeben.

Für die Praxis heißt das: Ein Meldeformular-Entwurf mit genau diesen Feldern gehört in die Vorfalldokumentation, damit im Ereignisfall nicht die Felder gesucht werden. Die Frage nach der Strafanzeige ist dabei die einzige, die eine Entscheidung außerhalb der IT verlangt.

Selbstbelastungsfreiheit. Wer die Meldepflicht für eine Behörde oder Organisation zu erfüllen hat, muss im Rahmen der Meldung keine Angaben machen, die sie oder ihn strafrechtlich belasten. Das schützt die handelnde Person; es ist kein allgemeiner Vorbehalt für die Organisation, und es entbindet nicht von der Meldung selbst.

Der Übermittlungsweg, mit einer bemerkenswerten Zusatzfunktion. Das BACS stellt ein sicheres System für die elektronische Meldung bereit. Das System muss es ermöglichen, die Meldung ganz oder teilweise an weitere Behörden zu übermitteln, und für Angaben, die über den gesetzlichen Meldeinhalt hinausgehen, diese direkt an die betreffenden Behörden zu senden, ohne dass das BACS darauf Zugriff hat. Das ist ein gesetzlich eingebauter Mehrfachmeldungs-Mechanismus mit Zugriffstrennung, und für eine Organisation mit mehreren Meldepflichten ist er der eigentliche Effizienzgewinn: eine Erfassung, mehrere Empfänger, ohne dass alle alles sehen.

Auslagerung ist erlaubt, auch gemeinsam. Eine oder mehrere meldepflichtige Stellen können beschließen, den Meldeprozess einzeln oder gemeinsam an eine Drittorganisation auszulagern. Das passt zur Grundnorm, die keine persönliche Meldung verlangt, sondern dafür zu sorgen, dass gemeldet wird. Erfolgt die Meldung nicht über das BACS-System, informiert das BACS die registrierte Kontaktperson über Eingang und Inhalt; die Organisation bleibt also im Bild. Verantwortlich bleibt sie ohnehin: Auslagerung verschiebt die Ausführung, nicht die Pflicht.

Was die Meldung auslöst und was nicht. Durch die Meldung entsteht ein Anspruch auf Unterstützung des BACS bei der Vorfallbewältigung. Diese Unterstützung ist bei privaten Betreiberinnen an eine Subsidiaritätsbedingung geknüpft und bei Überlast priorisierbar; sie ist also keine Ersatzlösung für einen eigenen Incident-Response-Vertrag. Ausdrücklich nicht ausgelöst wird eine Aufsichtsmaßnahme: Das Gesetz bestimmt selbst, dass die Meldepflicht ausschließlich dazu dient, dass das BACS Angriffsmuster früh erkennt, um Betroffene zu warnen und Maßnahmen zu empfehlen. Eine Meldung ist auch keine Selbstanzeige, aber sie ist auch keine geschlossene Kammer: Ergeben sich Hinweise auf eine mögliche Straftat, gehen sie ausschließlich an die Leitung des BACS, die Anzeige erstatten kann, wenn die Schwere es gebietet.

Umsetzungsperspektive

1. Den Entdeckungszeitpunkt zum Pflichtfeld machen. Im Ticket- oder SOAR-System ein Feld "Entdeckung (UTC)" führen, das bei Erstalarm gesetzt wird und nicht überschrieben werden darf.
2. Die Meldeentscheidung delegieren. Eine benannte Rolle mit Vertretung, die innerhalb von 24 Stunden ohne Gremium melden darf, samt Rufbereitschaft für Nacht und Wochenende.
3. Die vier Tatbestände als Prüfliste in den Vorfallprozess legen, mit den Konkretisierungen der Verordnung und dem ausdrücklichen Hinweis, dass ein Tatbestand genügt.
4. Die Datenschutzkopplung im Krisenstab verankern: Wer eine Meldung nach dem Schweizer Datenschutzgesetz auslöst, prüft im selben Schritt die ISG-Meldepflicht.
5. Die Meldung als zweistufigen Vorgang planen: unvollständig innerhalb von 24 Stunden, Nachlieferung innerhalb von 14 Tagen, mit einem Verantwortlichen für die Nachlieferung.
6. Ein Meldeformular vorbereiten, das die Felder des Gesetzes und der Verordnung enthält, inklusive der Frage nach der Strafanzeige und einem Feld für die Kontaktperson.
7. Über den Meldeweg entscheiden: BACS-Kommunikationssystem mit Registrierung, oder außerhalb mit den zusätzlichen Pflichtangaben. Die Registrierung braucht Vorlaufzeit und gehört nicht in den Ereignisfall.
8. Auslagerung prüfen, wenn ein SOC-Dienstleister ohnehin Vorfälle bearbeitet, mit klarer Regelung, wer den Fristbeginn feststellt und wer meldet.
9. Den rückwärtsgerichteten Tatbestand einplanen: In forensischen Untersuchungen die 90-Tage-Grenze mitprüfen und die Meldung ab Entdeckung rechnen.

Typische Fehler

1. Die 24 Stunden werden ab Bestätigung oder Eskalation gerechnet statt ab Entdeckung.
2. Es wird auf eine vollständige Analyse gewartet, obwohl eine unvollständige Meldung zulässig und die Ergänzung binnen 14 Tagen vorgesehen ist.
3. Eine Wesentlichkeitsschwelle wird vermutet, obwohl bereits Systemunterbrüche mit Betroffenheit von Mitarbeitenden als Gefährdung gelten.
4. Ein unabsichtlicher Ausfall wird gemeldet oder ein absichtlicher Angriff als bloßer Vorfall behandelt; meldepflichtig ist der absichtlich ausgelöste Vorfall.
5. Die Kopplung an die Datenschutzmeldung wird übersehen, sodass nach der Datenschutzmeldung die ISG-Frist verstreicht.
6. Der Tatbestand "länger unentdeckt" wird nicht auf Altfunde angewendet, obwohl er genau dort greift.
7. Die Meldeentscheidung hängt an einem Gremium, das innerhalb von 24 Stunden nicht zusammenkommt.
8. Die Registrierung für das Kommunikationssystem wird erst im Ereignisfall angegangen.
9. Erpressungsversuche gegen einzelne Mitarbeitende werden nicht als Tatbestand erkannt.
10. Die Unterstützung des BACS wird als Ersatz für eigene Incident-Response-Kapazität eingeplant, obwohl sie subsidiär und priorisierbar ist.

Risiken und Trade-offs

Früh und unvollständig zu melden ist der vom Gesetz vorgesehene Weg, kostet aber Nacharbeit und erzeugt einen Vorgang, der nachgehalten werden muss. Spät und vollständig zu melden verletzt die Frist. Die Abwägung ist damit weniger offen, als sie in Krisenlagen wirkt: Der Preis der frühen Meldung ist Aufwand, der Preis der späten ist ein Rechtsverstoß.

Ein echter Trade-off liegt beim Meldeweg. Das BACS-Kommunikationssystem verlangt eine vorherige Registrierung mit Firmenangaben und Kontaktperson, bringt dafür die Mehrfachmeldung mit Zugriffstrennung und weniger Pflichtangaben im Ereignisfall. Die Meldung außerhalb des Systems vermeidet die Registrierung, verlangt zusätzliche Angaben und lässt die komfortable Weiterleitung an andere Behörden ungenutzt.

Bei der Auslagerung gilt: Ein Dienstleister, der den Meldeprozess führt, entlastet die eigene Rufbereitschaft und schafft eine Schnittstelle mehr an der empfindlichsten Stelle des Ablaufs, nämlich der Feststellung des Fristbeginns. Wer auslagert, sollte genau diesen Punkt vertraglich und operativ eindeutig regeln.

Und bei der Selbstbelastungsfreiheit ist die Grenze zu beachten: Sie schützt die handelnde Person, nicht die Organisation, und sie ist kein Grund, Angaben zum Sachverhalt zurückzuhalten.

Entscheidungspunkte

• Welcher Zeitstempel gilt bei uns als Entdeckung, und wer stellt ihn fest?
• Wer darf innerhalb von 24 Stunden ohne Gremium melden, und wer vertritt diese Rolle nachts und am Wochenende?
• Melden wir über das BACS-Kommunikationssystem, und wenn ja, wer registriert uns wann?
• Lagern wir den Meldeprozess aus, und wie ist dann die Feststellung des Fristbeginns geregelt?
• Wer verantwortet die Nachlieferung innerhalb der 14 Tage?
• Wer entscheidet über eine Strafanzeige, die in der Meldung anzugeben ist?

Praktische Empfehlungen

• Ein unveränderliches Feld "Entdeckung" im Vorfallprozess führen und die Frist daraus automatisch berechnen.
• Die vier Tatbestände samt Konkretisierungen als Einseiter in die Bereitschaftsunterlagen legen, nicht in ein Compliance-Handbuch.
• Für die Erstmeldung eine Vorlage mit den gesetzlichen und verordnungsrechtlichen Feldern vorbereiten und leere Felder ausdrücklich als "noch nicht bekannt" zulassen.
• Nach jeder Meldung nach dem Schweizer Datenschutzgesetz die ISG-Prüfung als Pflichtschritt anstoßen.
• Die Registrierung für das Kommunikationssystem vor dem ersten Ereignis abschließen und die Kontaktperson aktuell halten.
• Bei forensischen Altfunden die 90-Tage-Grenze prüfen und die 24 Stunden ab Entdeckung rechnen.
• Die Unterstützung des BACS als Ergänzung planen, nicht als Ersatz für vertraglich zugesicherte Incident-Response-Kapazität.

Relevante Normreferenzen

• ISG (SR 128): Art. 74a Abs. 1 (dafür sorgen, dass gemeldet wird), Art. 74a Abs. 3 (Anspruch auf Unterstützung bei der Vorfallbewältigung nach Art. 74 Abs. 3), Art. 74a Abs. 4 (Zweckbindung der Meldepflicht), Art. 74d (vier Meldetatbestände), Art. 74e Abs. 1 (24 Stunden nach der Entdeckung), Art. 74e Abs. 2 (Meldeinhalt), Art. 74e Abs. 3 (Ergänzung, sobald neue Informationen vorliegen), Art. 74e Abs. 4 (keine selbstbelastenden Angaben), Art. 74e Abs. 5 (Mitteilung des BACS bei Vollständigkeit), Art. 74f (sicheres Übermittlungssystem, Weiterleitung an weitere Behörden, Direktübermittlung ohne BACS-Zugriff), Art. 73d Abs. 3 (Hinweise auf Straftaten gehen an die Leitung des BACS), Art. 5 Bst. d und e (Cybervorfall gegen Cyberangriff).
• CSV (SR 128.51): Art. 14 Abs. 1 (Gefährdung der Funktionsfähigkeit: Systemunterbrüche mit Betroffenheit von Mitarbeitenden oder Dritten, Betrieb nur mit Notfallplänen), Art. 14 Abs. 2 (Manipulation oder Abfluss, einschließlich erfolgter Meldung nach Art. 24 DSG), Art. 14 Abs. 3 (länger unentdeckt: mehr als 90 Tage), Art. 14 Abs. 4 (Erpressung auch gegen Personen, die für die Organisation tätig sind), Art. 15 (zusätzlicher Meldeinhalt), Art. 16 (14 Tage zur Ergänzung), Art. 17 Abs. 1 und 2 (Information der Kontaktperson, Auslagerung des Meldeprozesses), Art. 9 (Registrierung für das Kommunikationssystem), Art. 5 (Priorisierung bei Überlast).
• Abgrenzung: Wer meldepflichtig ist, steht im vorigen Artikel dieses Tracks; Durchsetzung und Sanktion im folgenden. Das schweizerische Datenschutzgesetz selbst ist nicht Gegenstand des Korpus; Meldepflichten der NIS-2-Richtlinie und des BSIG stehen im nis2-Track, die österreichischen im nisg-at-Track.