Das schweizerische Informationssicherheitsgesetz (ISG): was es regelt, wie ISG, CSV und ISV zusammenhängen und was seit wann gilt

Problem in der Praxis

In DACH-Konzernen wird der Schweizer Standort regelmäßig in zwei Richtungen falsch eingeordnet. Die eine Richtung: "Die Schweiz hat auch etwas NIS-2-artiges, also nehmen wir unser BSIG-Programm und rollen es aus." Ergebnis sind Arbeitspakete zu Registrierung, Risikomanagementnachweis und Aufsichtskommunikation, die im ISG keine Grundlage haben, während die 24-Stunden-Meldepflicht unbearbeitet bleibt, weil sie in der NIS-2-Systematik anders eingebettet ist. Die andere Richtung: "Die Schweiz ist nicht EU, dort gilt für uns nichts." Ergebnis ist eine Organisation, die einen meldepflichtigen Angriff nicht meldet, obwohl die Pflicht seit dem 01.04.2025 gilt und seit dem 01.10.2025 durchsetzbar ist.

Erschwerend kommt hinzu, dass "das Schweizer Recht" hier fünf Erlasse mit ganz unterschiedlicher Adressatenlage sind. Wer im ISG selbst nach den Details der Meldepflicht sucht, findet die Hälfte davon nicht, weil sie in der Cybersicherheitsverordnung (CSV) steht. Wer umgekehrt die Informationssicherheitsverordnung (ISV) liest, weil sie den passenden Namen trägt, liest Vollzugsrecht für Bundesverwaltung und Armee und zieht daraus Schlüsse für ein privates Unternehmen, für das nichts davon gilt.

Und ein Detail, das in Retrieval-Antworten und in Konzernpräsentationen laufend Verwirrung erzeugt: Das schweizerische Bundesamt für Cybersicherheit (BACS) und das österreichische Bundesamt für Cybersicherheit sind zwei verschiedene Behörden in zwei verschiedenen Ländern mit fast identischem Namen. Das schweizerische BACS ist eine Verwaltungseinheit des VBS (9. Abschnitt und Art. 15a der Organisationsverordnung für das VBS, SR 172.214.1, in Kraft seit 01.01.2024); das österreichische ist dem BMI nachgeordnet und wird erst mit dem NISG 2026 errichtet.

CISO-Einordnung

Die Erlassfamilie SR 128 besteht aus genau fünf Erlassen, und für Unternehmen ohne Bundesauftrag sind nur zwei davon relevant. Wer sicherheitsempfindliche Aufträge des Bundes ausführt, kann zusätzlich von der Verordnung über die Personensicherheitsprüfungen und der Verordnung über das Betriebssicherheitsverfahren betroffen sein.

Die CSV ist dabei nicht irgendeine Ausführungsverordnung, sondern genau auf die Meldepflicht zugeschnitten: Sie stützt sich auf Art. 74c und Art. 84 Abs. 1 ISG, und ihr Gegenstandsartikel nennt vier Dinge, nämlich die Nationale Cyberstrategie, die Aufgaben des BACS, den Informationsaustausch und die Meldepflicht bei Cyberangriffen. Wer die Meldepflicht verstehen will, muss beide Texte parallel lesen; das Gesetz sagt, was gilt, die Verordnung sagt, ab welcher Größe, ab welcher Schwelle und in welcher Form.

Wie das Gesetz aufgebaut ist. Sieben Kapitel: allgemeine Bestimmungen mit dem Begriffsapparat; allgemeine Maßnahmen mit Klassifizierung von Informationen, Sicherheit beim Einsatz von Informatikmitteln, personellen Maßnahmen, physischem Schutz und Identitätsverwaltung; Personensicherheitsprüfung; Betriebssicherheitsverfahren für Beschaffungen; Maßnahmen des Bundes zum Schutz der Schweiz vor Cyberbedrohungen; Organisation und Vollzug; Schlussbestimmungen. Die Kapitel zwei bis vier sind Bundesbinnenrecht. Sie erklären, wie der Bund mit klassifizierten Informationen umgeht, mit drei Stufen "intern", "vertraulich" und "geheim", und wie er Personen und Betriebe prüft, die sicherheitsempfindliche Aufgaben übernehmen. Für ein privates Unternehmen werden sie nur dort relevant, wo es als Auftragnehmer des Bundes in ein Betriebssicherheitsverfahren gerät; das ist das schweizerische Gegenstück zur deutschen Lage bei Verschlusssachen und ein eigenes Thema.

Das fünfte Kapitel ist die eigentliche Neuerung. Es wurde durch das Bundesgesetz vom 29. September 2023 zur "Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen" in seiner heutigen Fassung geschaffen und enthält zwei sehr unterschiedliche Hälften. Die erste Hälfte sind Aufgaben und Angebote: das BACS erstellt technische Analysen, warnt Öffentlichkeit und Betroffene, veröffentlicht Empfehlungen, nimmt Meldungen entgegen, auch anonyme, und unterstützt Betreiberinnen kritischer Infrastrukturen. Die zweite Hälfte ist die Meldepflicht mit ihrer Durchsetzung. Für die eigene Programmplanung ist diese Trennung wichtig, weil die Angebotsseite freiwillig und unentgeltlich ist, die Pflichtseite dagegen nicht.

Die Geltungsdaten, vollständig und mit Fundstelle. Art. 87 ISG zu völkerrechtlichen Verträgen gilt seit dem 01.05.2022. Die übrigen Bestimmungen der Urfassung gelten seit dem 01.01.2024. Das Meldepflicht-Kapitel gilt seit dem 01.04.2025, gleichzeitig mit der CSV. Die Durchsetzungs- und Strafbestimmungen Art. 74g und 74h gelten seit dem 01.10.2025, also ein halbes Jahr später als die Pflicht selbst. Alle vier Daten liegen in der Vergangenheit, und zum Prüfstand dieses Artikels gibt es keine beschlossene, noch nicht in Kraft stehende Änderung des ISG.

Warum die sechs Monate Verzögerung bei der Durchsetzung kein Freibrief waren. Zwischen dem 01.04.2025 und dem 30.09.2025 bestand die Meldepflicht vollständig, nur die Sanktionskette fehlte. Wer aus diesem Zeitraum ein "es ist ja nichts passiert" ableitet, verkennt die Konstruktion: Die Pflicht war nie aufgeschoben, und das Gesetz kennt für sie keine Übergangsbestimmung. Der einzige Übergangsartikel des Gesetzes, Art. 90, betrifft ausschließlich die bundesinternen Kapitel, nämlich die Anpassung altklassifizierter Informationen, die Einstufung der Informatikmittel des Bundes und die Fortgeltung alter Sicherheits- und Betriebssicherheitserklärungen.

Keine NIS-2-Umsetzung, und so lässt sich das belegen. Erstens der Ingress: Das ISG stützt sich auf Art. 54 Abs. 1, 60 Abs. 1, 101, 102 Abs. 1 und 173 der Bundesverfassung und verweist auf die Botschaft des Bundesrates vom 22. Februar 2017. Zweitens der Text: Im gesamten Gesetz kommt kein Verweis auf einen EU-Rechtsakt vor, auch nicht auf die Richtlinie (EU) 2022/2555. Drittens der Zeitlauf: Die Botschaft stammt von 2017, die NIS-2-Richtlinie von 2022, und die Schweiz unterliegt als Nicht-EU-Mitglied keiner Umsetzungspflicht. EU-Recht taucht in dieser Erlassfamilie an genau einer Stelle auf, nämlich in der CSV als Kriterium für Ausnahmen in der Zivilluftfahrt, und zwar über den Anhang zum bilateralen Luftverkehrsabkommen von 1999, nicht über NIS-2.

Daraus folgt kein "die Schweiz macht weniger", sondern ein anderes Regulierungsmodell: Meldepflicht ohne Pflichtenkatalog, Unterstützung statt Aufsicht, und eine Sanktion, die nicht am Versäumnis ansetzt, sondern an der Missachtung einer Verfügung. Wie weit das trägt und wo es an Grenzen kommt, gehört in die Artikel zu Meldepflicht und Durchsetzung.

Umsetzungsperspektive

1. Die richtige Frage zuerst stellen. Nicht "was müssen wir in der Schweiz alles tun", sondern "sind wir dort überhaupt erfasst, und wenn ja, wodurch". Die Antwort steht nicht im Organisationsrecht, sondern im Katalog des fünften Kapitels; der Geltungsbereich ist ein eigenes Thema mit eigenem Artikel.
2. Zwei Texte beschaffen, nicht fünf. ISG und CSV in der aktuellen konsolidierten Fassung. ISV, VPSP und VBSV nur, wenn es tatsächlich um Bundesaufträge geht.
3. Die 24-Stunden-Fähigkeit prüfen, bevor der Fall eintritt. Die Frist läuft ab Entdeckung, nicht ab Bestätigung oder Eskalation. Das ist eine Prozessfrage an den eigenen Vorfallprozess und keine Rechtsfrage.
4. Den Schweizer Standort nicht im Konzernprogramm verstecken. Ein gemeinsames Meldekonzept für BSIG, NISG 2026 und ISG ist möglich, aber nur, wenn die drei Auslöser, Fristen und Empfänger getrennt geführt werden.
5. Die Angebotsseite bewusst nutzen oder bewusst nicht nutzen. Kommunikationssystem, Bedrohungsinformationen und Erkennungshilfsmittel des BACS sind unentgeltlich und freiwillig. Wer sie nicht nutzt, sollte das entschieden haben und nicht vergessen.

Typische Fehler

1. Das ISG wird als "Schweizer NIS-2" eingeordnet und ein BSIG-Programm wird darauf abgebildet.
2. Aus "die Schweiz ist nicht EU" wird geschlossen, es gebe keine Pflichten, und die seit dem 01.04.2025 geltende Meldepflicht wird nicht bearbeitet.
3. Die ISV wird wegen ihres Namens als die für Unternehmen maßgebliche Verordnung gelesen, obwohl sie Bundesverwaltung und Armee adressiert.
4. Die Meldepflicht wird nur im ISG gesucht; die Konkretisierungen und Ausnahmen der CSV bleiben unbeachtet.
5. Aus der späteren Inkraftsetzung von Art. 74g und 74h wird ein Aufschub der Meldepflicht selbst abgeleitet.
6. Die Übergangsfristen des Art. 90 ISG werden auf das eigene Unternehmen bezogen, obwohl sie die Behörden und Organisationen des Bundes adressieren.
7. Das schweizerische BACS wird mit dem gleichnamigen österreichischen Bundesamt für Cybersicherheit verwechselt.

Risiken und Trade-offs

Wer den Schweizer Standort mit dem EU-Programm mitzieht, gewinnt Einheitlichkeit und zahlt sie mit Arbeit an Pflichten, die dort nicht existieren, sowie mit dem Risiko, die eine reale Pflicht in der Menge zu verlieren. Wer umgekehrt einen schlanken, schweizspezifischen Strang fährt, trifft die Rechtslage genauer, muss aber verhindern, dass der Standort aus dem Konzernblick fällt, weil dort "fast nichts gilt". Der Mittelweg, den die Praxis meist wählt, ist ein gemeinsamer Vorfall- und Meldeprozess mit landesspezifischen Auslösern und Empfängern; sein Preis ist ein sorgfältig gepflegtes Mapping, sein Gewinn eine Meldefähigkeit, die im Ereignisfall nicht erst gesucht werden muss.

Ein zweiter Trade-off betrifft die Angebotsseite. Die Unterstützung des BACS ist unentgeltlich, aber bei privaten Betreiberinnen an eine Subsidiaritätsbedingung geknüpft und bei Überlast priorisierbar. Wer sie als Ersatz für einen eigenen Incident-Response-Vertrag einplant, plant mit einer Ressource, über deren Verfügbarkeit im Ernstfall eine Behörde entscheidet.

Entscheidungspunkte

• Führen wir die Schweiz als eigenen Regulierungsstrang oder als Anhang des EU-Programms, und wer entscheidet das verbindlich?
• Wer im Konzern besitzt die Frage, ob eine Schweizer Einheit oder ein Schweizer Produktbezug eine Meldepflicht auslöst?
• Ist unser Vorfallprozess in der Lage, eine Frist ab Entdeckung statt ab Bestätigung zu bedienen, und wer stellt das fest?
• Nutzen wir die freiwilligen Angebote des BACS, und wenn ja, wer registriert uns dort?
• Haben wir Bundesaufträge in der Schweiz, die uns zusätzlich in das Betriebssicherheitsverfahren bringen?

Praktische Empfehlungen

• ISG und CSV als Paar behandeln und in der aktuellen konsolidierten Fassung ablegen, mit Datum des Fassungsstandes im eigenen Dokument.
• Die vier Geltungsdaten in die eigene Regulierungsübersicht aufnehmen, insbesondere den 01.10.2025 als Beginn der Durchsetzbarkeit.
• Beim ersten Auftreten in eigenen Dokumenten "schweizerisches Bundesamt für Cybersicherheit (BACS)" schreiben, damit die Verwechslung mit Österreich unterbleibt.
• Die Aussage "keine NIS-2-Umsetzung" mit dem Ingress und dem Fehlen jedes EU-Verweises begründen, nicht mit dem EU-Status der Schweiz allein.
• Keine Countdown-Kommunikation aufsetzen: es gibt keine offene Frist im ISG, die das eigene Unternehmen trifft.
• Für Aussagen zur Unterstellung im Zweifelsfall den Auskunfts- und Verfügungsweg beim BACS nutzen statt einer internen Rechtsmeinung.

Relevante Normreferenzen

• ISG (Informationssicherheitsgesetz, SR 128) vom 18. Dezember 2020, konsolidierte Fassung: Art. 1 (Zweck, Bst. b in der Fassung 2023), Art. 5 (Begriffe), Art. 13 (Klassifizierungsstufen), 5. Kapitel (Massnahmen des Bundes zum Schutz der Schweiz vor Cyberbedrohungen), Art. 88 (Evaluation), Art. 90 (Übergangsbestimmungen, Adressaten sind die Behörden und Organisationen des Bundes), Art. 92 (Inkrafttreten).
• Änderungsgesetz vom 29. September 2023 "Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen", AS 2024 257; 2025 173; BBl 2023 84: Grundlage des 5. Kapitels in seiner heutigen Fassung; Art. 74g und 74h in Kraft seit 01.10.2025.
• CSV (Cybersicherheitsverordnung, SR 128.51) vom 7. März 2025: Art. 1 (Gegenstand), Art. 19 (Inkrafttreten 01.04.2025); gestützt auf Art. 74c und 84 Abs. 1 ISG.
• ISV (SR 128.1), VPSP (SR 128.31), VBSV (SR 128.41): Vollzugsrecht für Bundesverwaltung und Armee beziehungsweise für Personensicherheitsprüfungen und Betriebssicherheitsverfahren.
• Kein Bezug auf Richtlinie (EU) 2022/2555: NIS-2 und die deutsche Umsetzung stehen im nis2-Track, die österreichische im nisg-at-Track dieses Korpus.