Schweizer Meldepflicht für Cyberangriffe und CRA: unterschiedliche Pflichten für Betreiber und Produkthersteller

Worum es geht

Stand: 25. Oktober 2026. Das Schweizer Informationssicherheitsgesetz (ISG) und die Cybersicherheitsverordnung begründen eine Meldepflicht für Cyberangriffe bei den erfassten Betreibern kritischer Infrastrukturen, die seit dem 1. April 2025 gilt. Bei der Pflege eines grenzüberschreitenden Meldeplans den aktuellen Schweizer Geltungsbereich und seine Ausnahmen, die Meldeanweisungen der Behörde und die CRA-Hinweise erneut prüfen. Seite der Schweizer Behörde zu den Rechtsgrundlagen.

Empfänger in der Schweiz ist das Bundesamt für Cybersicherheit, BACS; seine englischsprachigen Hinweise verwenden National Cyber Security Centre (NCSC). Der CRA betrifft hingegen erfasste Produkte, die auf dem EU-Markt bereitgestellt werden. Seine Meldepflichten für Hersteller gelten seit dem 11. September 2026. Ein Sitz in der Schweiz nimmt einen Hersteller nicht von diesen produktmarktbezogenen Regeln aus: Artikel 14(7) sieht ausdrücklich ein Verfahren zur Empfängerauswahl für Hersteller ohne Hauptniederlassung in der EU vor. Verordnung, Artikel 2 und 14.

Warum es wichtig ist

Der folgende Vergleich trennt die Rollen, die die beiden Regelwerke beschreiben:

Frage	Schweizer Meldepflicht nach ISG	CRA-Meldepflicht für Hersteller
Wer ist erfasst?	Betreiber im gesetzlichen Geltungsbereich unter Berücksichtigung der Ausnahmen der Verordnung	Hersteller erfasster Produkte, die auf dem EU-Markt bereitgestellt werden
Was löst die Prüfung aus?	Ein Cyberangriff auf die erfasste Infrastruktur, der die Meldekriterien erfüllt	Aktive Ausnutzung einer Produktschwachstelle oder ein schwerwiegender Vorfall der Produktsicherheit
Erste Frist	Innerhalb von 24 Stunden nach Entdeckung	Unverzüglich, spätestens 24 Stunden nach Kenntnisnahme
Empfänger und Meldeweg	NCSC über seine veröffentlichten Meldekanäle	Koordinierendes CSIRT und ENISA über die SRP

Diese Unterscheidungen folgen der Schweizer FAQ und den Meldehinweisen der Kommission. Die Betreiber- und Herstellerrollen eines Unternehmens müssen daher getrennt beurteilt werden, selbst wenn ein einzelnes Ereignis für beide relevante Beweise liefert.

So wird es angewendet

• Den Schweizer Geltungsbereich prüfen, bevor eine Branchenbezeichnung herangezogen wird. Das ISG benennt die erfassten Behörden und Organisationen; die Verordnung sieht Ausnahmen vor. Laut Schweizer FAQ kann das NCSC einer Organisation durch eine formelle Verfügung mitteilen, ob sie der Pflicht unterliegt. Ein allgemeines Branchenbeispiel nicht zu einer abschliessenden Einordnung machen.
• Die Schweizer Angriffskriterien anwenden. Die Behörde nennt Gefährdungen der Funktionsfähigkeit kritischer Infrastrukturen, Manipulation oder Abfluss von Informationen, über längere Zeit unentdeckt gebliebene Angriffe sowie Erpressung, Drohungen oder Nötigung. Eine entdeckte Softwareschwachstelle allein ist nicht mit einem Cyberangriff gleichzusetzen, der die Meldekriterien erfüllt.
• Die Schweizer Meldung erfassen und vervollständigen. Die Behörde verlangt eine Erstmeldung innerhalb von 24 Stunden, auch wenn die Informationen unvollständig sind. Ihr Verfahren sieht 14 Tage nach der Erstmeldung zur Vervollständigung vor; die FAQ präzisiert, dass Kalendertage gemeint sind. Der Cyber Security Hub stellt das Meldeformular bereit; als Alternative beschreibt die Behörde einen Meldeweg mit E-Mail-Vorlage. Schweizer Meldeverfahren.
• Die EU-Produktpflicht unabhängig beurteilen. Ein Schweizer Hersteller, der ein erfasstes Produkt bereitstellt, muss die Auslöser nach Artikel 14 anwenden. Fehlt eine Hauptniederlassung in der EU, berücksichtigt die gesetzliche Reihenfolge den Bevollmächtigten, den Einführer, den Händler und danach die Nutzer, wobei innerhalb jedes zutreffenden Kriteriums die jeweils grösste relevante Produkt- oder Nutzerzahl massgeblich ist. Die Begründung für die Auswahl des koordinierenden CSIRT aufbewahren.
• Fristen und Bestätigungen getrennt führen. Für eine zweckmässige Dokumentation beide Meldeprüfungen mit denselben Beweisen verknüpfen, aber den jeweiligen Empfänger, die Übermittlung, die Frist und die Nachbearbeitung getrennt festhalten. CRA-Meldungen haben zusätzlich eine 72-Stunden-Stufe und unterschiedliche Auslöser für Abschlussberichte zu Schwachstellen und Vorfällen; die Schweizer Vervollständigungsfrist kann sie nicht ersetzen.

Stolpersteine

Es sollte nicht davon ausgegangen werden, dass eine Schweizer Meldebestätigung die CRA-Meldepflicht erfüllt. Die zitierten Regeln schreiben unterschiedliche Auslöser und Empfänger vor. Ebenso nicht jedes Schweizer Unternehmen als kritische Infrastruktur oder jeden internen IT-Vorfall als schwerwiegenden Produktvorfall behandeln. Die hier zitierten Schweizer Hinweisseiten zeigen kein Überarbeitungsdatum an; vor einer erneuten Verwendung ihren aktuellen Wortlaut und eine etwaige organisationsspezifische Feststellung prüfen.