Meldepflicht nach ISG: wer melden muss, wer ausgenommen ist und warum Zulieferer am häufigsten überrascht werden

Problem in der Praxis

Drei Muster tauchen regelmäßig auf. Das erste ist die Prüfung über die Standortliste: Wer fragt "welche unserer Schweizer Gesellschaften betreibt kritische Infrastruktur", findet den Herstellertatbestand nie, weil er nicht am Standort hängt, sondern an der Verwendung des eigenen Produkts bei einem Dritten. Das zweite ist die Größenannahme: Aus dem Wort "Ausnahmen" wird eine allgemeine KMU-Grenze gelesen, obwohl die Verordnung überwiegend sektorspezifisch und teils qualitativ ausnimmt, etwa über Schutzniveaus des Stromversorgungsrechts oder über Systemaufgaben im Verkehr. Das dritte ist die Konzernperspektive: Erfasst wird die einzelne Organisation, nicht die Gruppe, und für eine Organisation mit gemischten Tätigkeiten gilt die Pflicht nur für den erfassten Teil.

Dazu kommt eine geografische Fehlannahme, die im Ereignisfall teuer wird: Die Meldepflicht gilt für Cyberangriffe, die sich in der Schweiz auswirken, auch wenn die betroffenen Informatikmittel im Ausland stehen. Ein deutsches oder irisches Rechenzentrum entlastet also nicht, wenn die Wirkung in der Schweiz eintritt.

Schließlich ein Denkfehler, der nur bei genauer Lektüre auffällt: Zwei benachbarte Fallgruppen behandeln den Sitz in der Schweiz unterschiedlich. Für Cloud, Suchmaschinen, digitale Sicherheits- und Vertrauensdienste sowie Rechenzentren verlangt das Gesetz ausdrücklich einen Sitz in der Schweiz. Für Hard- und Softwareherstellerinnen tut es das nicht. Was daraus folgt, sagt der Normtext nicht.

CISO-Einordnung

Der Katalog auf Managementebene. Die Meldepflicht gilt für Hochschulen; für Behörden von Bund, Kantonen und Gemeinden sowie interkantonale, kantonale und interkommunale Organisationen, mit einer Ausnahme für die Gruppe Verteidigung bei Assistenz- oder Aktivdienst der Armee; für Organisationen mit öffentlich-rechtlichen Aufgaben in Sicherheit und Rettung, Trinkwasserversorgung, Abwasseraufbereitung und Abfallentsorgung; für Unternehmen der Energieversorgung, des Energiehandels, der Energiemessung und Energiesteuerung, mit einer besonderen Regelung für Kernanlagen; für Banken, Versicherungen und Finanzmarktinfrastrukturen; für Gesundheitseinrichtungen auf der kantonalen Spitalliste; für medizinische Laboratorien mit Bewilligung nach Epidemiengesetz; für Arzneimittelbetriebe mit Bewilligung nach Heilmittelgesetz; für Sozial- und Personenversicherer; für die SRG und für Nachrichtenagenturen von nationaler Bedeutung; für registrierte Postdienstanbieterinnen; für Eisenbahn-, Seilbahn-, Trolleybus-, Autobus- und Schifffahrtsunternehmen; für Zivilluftfahrtunternehmen mit BAZL-Bewilligung und die Landesflughäfen; für Rheinschifffahrt und den Hafen Basel; für Versorger mit unentbehrlichen Gütern des täglichen Bedarfs, deren Ausfall zu erheblichen Versorgungsengpässen führen würde; für registrierte Fernmeldedienstanbieterinnen; für Registerbetreiberinnen und Registrare von Internet-Domains; für Anbieterinnen und Betreiberinnen von Diensten und Infrastrukturen, die der Ausübung politischer Rechte dienen; für Cloud, Suchmaschinen, digitale Sicherheits- und Vertrauensdienste sowie Rechenzentren mit Sitz in der Schweiz; und für Hard- und Softwareherstellerinnen unter den oben genannten Bedingungen.

Für die Subsumtion verweist der Katalog auf schweizerisches Spezialrecht, etwa Hochschulförderungs-, Energie-, Banken-, Versicherungsaufsichts-, Finanzmarktinfrastruktur-, Kranken-versicherungs-, Epidemien-, Heilmittel-, Post-, Eisenbahn-, Personenbeförderungs-, Seeschifffahrts- und Fernmeldegesetz. Diese Gesetze erklärt der Korpus nicht; wer im Grenzbereich liegt, braucht schweizerische Rechtsberatung oder den Auskunftsweg beim BACS.

Der Herstellertatbestand, ausführlich, weil er am meisten überrascht. Erfasst sind Herstellerinnen von Hard- oder Software, deren Produkte von kritischen Infrastrukturen genutzt werden, sofern eines von drei Merkmalen zutrifft: Das Produkt hat einen Fernwartungszugang, oder es wird zur Steuerung und Überwachung betriebstechnischer Systeme und Prozesse eingesetzt, oder es dient der Gewährleistung der öffentlichen Sicherheit. Drei Konsequenzen sind wichtig. Erstens ist Fernwartung allein bereits ein Merkmal, unabhängig davon, wofür das Produkt eingesetzt wird. Zweitens hängt die Betroffenheit an einer Tatsache beim Kunden, die der Hersteller kennen muss, statt sie annehmen zu können: Nutzt eine kritische Infrastruktur mein Produkt? Drittens ist der Kreis der Produkte weit, denn er umfasst Software ebenso wie Hardware.

Für die Vertriebs- und Serviceorganisation heißt das: Die Frage "läuft unser Produkt bei einem Schweizer Betreiber kritischer Infrastruktur, und mit Fernwartungszugang?" ist keine Rechtsfrage, sondern eine Bestandsfrage, und sie ist beantwortbar. Wer sie nicht stellt, hat keine Aussage zur eigenen Meldepflicht.

Die Ausnahmen, in der richtigen Reihenfolge gelesen. Das Gesetz enthält eine Delegationsnorm mit materiellem Kriterium: Der Bundesrat nimmt Behörden und Organisationen von der Meldepflicht aus, wenn durch Cyberangriffe ausgelöste Funktionsstörungen nur geringe Auswirkungen auf das Funktionieren der Wirtschaft oder das Wohlergehen der Bevölkerung haben. Das ist ein Auftrag, keine Ermessensbefugnis, und es ist tatsächlich eine Geringfügigkeitsklausel.

Umgesetzt hat der Bundesrat diesen Auftrag in der Cybersicherheitsverordnung, aber nicht mit einer einheitlichen Schwelle, sondern sektorspezifisch: Hochschulen unter 2000 Studierenden; Elektrizitätsakteure, die weder Schutzniveau A noch B nach dem Stromversorgungsrecht einhalten müssen; Gasleitungsbetreiber unter einer Transportmenge von 400 GWh pro Jahr im Fünfjahresdurchschnitt; Verkehrsunternehmen ohne Systemaufgaben beziehungsweise ohne gemeinsam bestellte Angebote und in bestimmten Konzessionskonstellationen; Luftfahrtunternehmen ohne ISMS-Pflicht nach den für die Schweiz verbindlichen Luftfahrtregeln; sowie Cloud- und Rechenzentrumsangebote, die weder teilweise noch vollumfänglich gegen Entgelt für Dritte erbracht werden. Nur eine einzige Bestimmung ist eine echte KMU-Schwelle, nämlich weniger als 50 Beschäftigte im betroffenen Bereich und Jahresumsatz oder Jahresbilanzsumme im betroffenen Bereich nicht über 10 Millionen Franken, und sie gilt für vier Fallgruppen: medizinische Laboratorien, Arzneimittelbetriebe, Postdienstanbieterinnen und Versorger mit unentbehrlichen Gütern.

Zwei Feinheiten dieser KMU-Schwelle werden übersehen. Sie ist kumulativ formuliert, also müssen Beschäftigtenzahl und Finanzkennzahl gemeinsam unterschritten werden. Und sie bezieht sich auf den betroffenen Bereich, nicht auf das Gesamtunternehmen; ein großer Konzern mit einem kleinen erfassten Geschäftsbereich kann darunterfallen, und ein kleines Unternehmen, dessen erfasster Bereich der ganze Betrieb ist, nicht.

Gemischte Tätigkeiten und territoriale Wirkung. Übt eine Organisation auch Tätigkeiten aus, die nicht unter den Katalog fallen, besteht keine Meldepflicht für Angriffe, die sich ausschließlich auf diese Tätigkeiten auswirken. Das ist eine Erleichterung mit Bedingung: Sie greift nur, wenn die Wirkung tatsächlich auf den nicht erfassten Teil beschränkt bleibt, und diese Abgrenzung muss im Ereignisfall in Stunden beurteilt werden. Wer sich darauf stützen will, braucht vorher eine dokumentierte Trennung von erfassten und nicht erfassten Tätigkeiten samt der zugehörigen Systeme. Umgekehrt gilt die Pflicht für Angriffe, die sich in der Schweiz auswirken, auch bei Informatikmitteln im Ausland; der Serverstandort ist also kein Kriterium.

Der Auskunfts- und Verfügungsanspruch, und was er kostet. Das BACS erteilt interessierten Behörden und Organisationen Auskunft darüber, ob sie der Meldepflicht unterstellt sind, und erlässt auf Antrag eine entsprechende Verfügung. Die Kehrseite steht in der Verordnung: Die interessierte Stelle muss dem BACS alle Unterlagen zur Verfügung stellen, die es für die Auskunft benötigt. Der Weg schafft also Rechtssicherheit gegen Offenlegung, und die Feststellung kann auch positiv ausfallen. Das ist eine Abwägung für die Leitung, nicht für die Fachabteilung.

Kein Registrierungserfordernis für die Unterstellung. Die Meldepflicht entsteht aus dem Katalog, nicht aus einer Eintragung. Es gibt eine Registrierung, aber sie betrifft die Nutzung des Kommunikationssystems für den sicheren Informationsaustausch. Wer sie mit einer Registrierungspflicht nach NIS-2-Muster verwechselt, erwartet einen Verwaltungsakt, den das schweizerische Recht an dieser Stelle nicht kennt.

Umsetzungsperspektive

1. Am Katalog beginnen, je Rechtseinheit. Für jede Schweizer Gesellschaft und jede Gesellschaft mit Schweizer Wirkung prüfen, welche Fallgruppe zutrifft, und das Ergebnis mit Datum festhalten.
2. Den Produktweg separat prüfen. Bestandsfrage an Vertrieb und Service: Welche Produkte laufen bei Schweizer Betreibern kritischer Infrastruktur, und welche davon haben Fernwartungszugang oder steuern betriebstechnische Systeme?
3. Ausnahmen nicht annehmen, sondern zuordnen. Für jede angenommene Ausnahme die konkrete Fallgruppe und den konkreten Ausnahmetatbestand benennen; "wir sind zu klein" ist keine Zuordnung.
4. Bei der KMU-Schwelle den betroffenen Bereich abgrenzen. Beschäftigte und Finanzkennzahl gehören auf den erfassten Bereich bezogen, nicht auf den Konzern, und beide Bedingungen müssen erfüllt sein.
5. Gemischte Tätigkeiten vorbereiten, nicht improvisieren. Wenn die Erleichterung für ausschließlich nicht erfasste Wirkungen genutzt werden soll, muss die Trennung vorher dokumentiert sein.
6. Bei Unsicherheit den Auskunftsweg gehen, mit vorbereiteten Unterlagen und einer Entscheidung der Leitung darüber, dass eine positive Feststellung akzeptiert wird.

Typische Fehler

1. Die Betroffenheit wird über die Standortliste geprüft, sodass der Herstellertatbestand nie auftaucht.
2. Aus "wir sind ein KMU" wird eine Ausnahme abgeleitet, obwohl die KMU-Schwelle nur für vier der 21 Fallgruppen gilt.
3. Die KMU-Schwelle wird auf den Konzern statt auf den betroffenen Bereich bezogen, oder nur eine ihrer beiden Bedingungen geprüft.
4. Ein ausländischer Serverstandort wird als Entlastung gelesen, obwohl die Wirkung in der Schweiz maßgeblich ist.
5. Die Erleichterung für gemischte Tätigkeiten wird im Ereignisfall behauptet, ohne vorher eine Trennung dokumentiert zu haben.
6. Fernwartungszugang wird als nebensächliches Merkmal behandelt, obwohl er allein den Herstellertatbestand auslösen kann.
7. Die Registrierung für das Kommunikationssystem wird mit einer Registrierungspflicht für die Unterstellung verwechselt.
8. Der Auskunfts- und Verfügungsanspruch wird nicht genutzt, weil die Offenlegungspflicht der Unterlagen unbekannt ist oder die mögliche positive Feststellung nicht entschieden wurde.

Risiken und Trade-offs

Der Grundkonflikt liegt zwischen Rechtssicherheit und Offenlegung. Der Auskunftsweg beim BACS beendet die Unsicherheit, verlangt aber Unterlagen und kann in einer verbindlichen Unterstellung enden; die eigene Einschätzung bewahrt Spielraum und verlagert das Risiko in den Ereignisfall, in dem keine Zeit für Klärung bleibt.

Beim Herstellertatbestand steht die Erhebungsmethode zur Wahl. Eine vertragliche Abfrage beim Kunden ist billig und wird unvollständig beantwortet, weil der Kunde selten Anlass hat, die eigene Einordnung als kritische Infrastruktur offenzulegen. Eine eigene Erhebung über Installationsbasis und Fernwartungszugänge ist teurer, aber belastbar und ohnehin Teil eines geordneten Servicebetriebs.

Bei gemischten Tätigkeiten schließlich ist die Erleichterung nur so gut wie die Trennung, auf die sie sich stützt. Eine saubere Trennung kostet Architektur- und Dokumentationsaufwand; eine unklare Trennung führt dazu, dass im Zweifel gemeldet werden muss, was operativ die teurere Variante ist als vorher zu trennen.

Entscheidungspunkte

• Für welche Rechtseinheiten und Produkte treffen wir eine dokumentierte Aussage zur Unterstellung, und wer verantwortet sie?
• Nutzen wir den Auskunfts- und Verfügungsweg beim BACS, und akzeptiert die Leitung eine mögliche positive Feststellung?
• Wie erheben wir die Installationsbasis bei Schweizer Betreibern kritischer Infrastruktur, vertraglich oder selbst?
• Wollen wir uns auf die Erleichterung für gemischte Tätigkeiten stützen, und sind wir bereit, die dafür nötige Trennung zu dokumentieren?
• Was löst eine Neuprüfung aus, etwa ein neuer Schweizer Kunde aus einer Katalogfallgruppe oder ein neues Produkt mit Fernwartung?

Praktische Empfehlungen

• Die Unterstellungsprüfung als Tabelle je Rechtseinheit und je Produktlinie führen, mit Fallgruppe, Begründung, Datum und Verantwortlicher.
• Bei jeder angenommenen Ausnahme den konkreten Tatbestand notieren; ohne Zuordnung gilt die Pflicht als bestehend.
• Die KMU-Schwelle nur mit beiden Bedingungen und nur bezogen auf den betroffenen Bereich anwenden.
• Fernwartungszugänge zu Schweizer Kunden inventarisieren; das ist die billigste belastbare Annäherung an den Herstellertatbestand.
• Keine Aussagen zur Subsumtion unter schweizerisches Spezialrecht selbst treffen, sondern den Auskunftsweg nutzen oder schweizerische Rechtsberatung einholen.
• Die Prüfung datieren und einen Anlass für die Wiederholung definieren, damit sie nicht als Einmalaussage veraltet.

Relevante Normreferenzen

• ISG (SR 128): Art. 74a Abs. 1 (Sorgetragungspflicht), Art. 74a Abs. 2 (Auskunft über die Unterstellung, Verfügung auf Antrag), Art. 74b Abs. 1 Bst. a bis u (Katalog der meldepflichtigen Behörden und Organisationen, 21 Fallgruppen; Bst. t mit Sitzerfordernis Schweiz, Bst. u Hard- und Softwareherstellerinnen), Art. 74b Abs. 2 (gemischte Tätigkeiten), Art. 74b Abs. 3 (Wirkung in der Schweiz, auch bei Informatikmitteln im Ausland), Art. 74c (Auftrag an den Bundesrat, bei nur geringen Auswirkungen auszunehmen).
• CSV (SR 128.51): Art. 12 Abs. 1 Bst. a bis e (sektorspezifische Ausnahmetatbestände), Art. 12 Abs. 2 (KMU-Schwelle für die Buchstaben g, h, l und p: unter 50 Beschäftigte im betroffenen Bereich und höchstens 10 Mio. Franken Umsatz oder Bilanzsumme im betroffenen Bereich), Art. 13 (Pflicht zur Vorlage der Unterlagen für die Auskunft), Art. 8 bis 11 (Registrierung für das Kommunikationssystem, nicht für die Unterstellung).
• Verweisrecht für die Subsumtion, im Korpus nicht erklärt: unter anderem Hochschulförderungs- und -koordinationsgesetz, Energiegesetz, Kernenergiegesetz, Bankengesetz, Versicherungsaufsichtsgesetz, Finanzmarktinfrastrukturgesetz, Krankenversicherungsgesetz, Epidemiengesetz, Heilmittelgesetz, Postgesetz, Eisenbahngesetz, Personenbeförderungsgesetz, Seeschifffahrtsgesetz, Fernmeldegesetz, Stromversorgungsverordnung, Rohrleitungssicherheitsverordnung.
• Abgrenzung: Geltungsbereich des ISG im Geltungsbereichsartikel dieses Tracks; Meldeinhalt, Frist und Weg im folgenden Artikel; NIS-2-Registrierungspflichten im nis2-Track, die österreichische Umsetzung im nisg-at-Track.