Cybersicherheit für Schweizer KMU: Pflichten, Massnahmen und Nachweise

Das Wichtigste in Kürze

Welche Pflichten für KMU gelten

Eine eigene Cybersicherheits-Verordnung für alle KMU gibt es in der Schweiz nicht. Die Pflichten ergeben sich aus dem Datenschutzrecht und gelten, sobald ein Unternehmen Personendaten bearbeitet, etwa von Kundinnen, Lieferanten oder Mitarbeitenden. Art. 8 Abs. 1 DSG verlangt von Verantwortlichen und Auftragsbearbeitern «durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit». Die Massnahmen müssen es nach Abs. 2 ermöglichen, Verletzungen der Datensicherheit zu vermeiden.

Die DSV legt in Art. 1 fest, wie das Unternehmen vorgeht. Es bestimmt den Schutzbedarf der Daten nach der Art der Daten sowie nach Zweck, Art, Umfang und Umständen der Bearbeitung. Danach beurteilt es das Risiko anhand der Ursachen, der hauptsächlichen Gefahren, der bereits ergriffenen Massnahmen sowie der Wahrscheinlichkeit und Schwere einer Verletzung. Bei der Wahl der Massnahmen zählen zudem der Stand der Technik und die Implementierungskosten. Schutzbedarf, Risiko und Massnahmen sind über die gesamte Bearbeitungsdauer zu überprüfen und bei Bedarf anzupassen.

Für ein KMU heisst das: Eine Anwaltskanzlei mit Mandantendaten, eine Arztpraxis mit Gesundheitsdaten und ein Handwerksbetrieb mit einer Kundenliste haben unterschiedlichen Schutzbedarf. Es gibt keinen einheitlichen Katalog für alle Betriebe, aber einen einheitlichen Denkweg.

Die vier Schutzziele und die Massnahmen dazu

Art. 2 DSV nennt vier Ziele: Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit. Art. 3 DSV ordnet ihnen konkrete Massnahmen zu. Die folgende Tabelle übersetzt sie in den Betriebsalltag.

Art. 3 Abs. 2 lit. f DSV verlangt ausdrücklich, dass Betriebssysteme und Anwendungssoftware stets auf dem neusten Sicherheitsstand gehalten und bekannte kritische Lücken geschlossen werden. Art. 3 Abs. 2 lit. d DSV verlangt, dass Daten und Zugang bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden können. Das ist der rechtliche Hintergrund für ein Backup-Konzept mit Tests und Nachweisen.

Das BACS bietet dazu eine Checkliste «Erste Schritte» an, die sich ausdrücklich auch an Kleinstunternehmen richtet. Sie nennt fünf Sofortmassnahmen: mehrstufige Anmeldung, tägliche Backups, Updates, Vorsicht bei E-Mails und sichere Passwörter. Daneben stellt das BACS eine Seite zum Grundschutz sowie Hilfsmittel für die Zusammenarbeit mit IT-Dienstleistern und Cloud-Anbietern bereit. Wo ein Dienstleister Personendaten bearbeitet, gelten zusätzlich die Regeln der Auftragsbearbeitung in der Cloud.

Wann eine Meldung nötig ist

Für Vorfälle gibt es in der Schweiz zwei getrennte Meldewege. Sie unterscheiden sich nach Zweck und Adressat.

Meldung an den EDÖB

Nach Art. 24 Abs. 1 DSG meldet der Verantwortliche dem EDÖB «so rasch als möglich» eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Eine Verletzung liegt nach dem Leitfaden des EDÖB vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden. Bei Ransomware-Angriffen ist nach dem Leitfaden je nach Umständen in einer ersten Analyse von einem voraussichtlich hohen Risiko auszugehen. Wer sicher sein will, kann nicht abwarten, bis längere Abklärungen das Risiko zweifelsfrei bestätigen.

Die Meldung nennt nach Art. 15 DSV mindestens die Art der Verletzung, die Folgen und die ergriffenen oder vorgesehenen Massnahmen. Soweit möglich gehören Zeitpunkt, Dauer, Kategorien und ungefähre Anzahl der betroffenen Daten und Personen sowie eine Ansprechperson dazu. Fehlende Angaben liefert das Unternehmen so rasch als möglich nach.

Ein Auftragsbearbeiter, etwa ein Hosting-Anbieter, meldet jede Verletzung dem Verantwortlichen, unabhängig vom Risiko (Art. 24 Abs. 3 DSG). Die Betroffenen informiert der Verantwortliche, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Der EDÖB nennt als Beispiel Fälle, in denen Betroffene Passwörter ändern oder Kreditkarten sperren müssen. Mehr zur Zuständigkeitsfrage steht im Beitrag zur Datenschutzaufsicht von EDÖB und kantonalen Stellen.

Meldung an das BACS

Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe dem BACS melden. Die erste Meldung ist innert 24 Stunden nach der Entdeckung fällig, auch wenn noch nicht alle Angaben vorliegen. Eine weitere Meldung folgt innert 14 Kalendertagen. Meldepflichtig ist ein Angriff, der die Funktionsfähigkeit der Infrastruktur gefährdet, zu Manipulation oder Abfluss von Informationen geführt hat, längere Zeit unentdeckt blieb oder mit Erpressung, Drohung oder Nötigung verbunden war.

Für kleine Unternehmen sieht die Cybersicherheitsverordnung nach den Angaben des BACS weitreichende Ausnahmen vor. Die FAQ nennt keine Schwellenwerte. Ob ein Betrieb als Betreiber einer kritischen Infrastruktur gilt, ist deshalb im Einzelfall anhand der Verordnung zu klären. Alle anderen Unternehmen sowie Privatpersonen können Vorfälle freiwillig über das Meldeformular des BACS melden, was das BACS empfiehlt.

Was bei Verstössen droht

Das Datenschutzrecht kennt Bussen gegen private Personen. Nach Art. 61 DSG wird mit Busse bis zu 250 000 Franken auf Antrag bestraft, wer vorsätzlich die vom Bundesrat nach Art. 8 Abs. 3 erlassenen Mindestanforderungen an die Datensicherheit nicht einhält. Dasselbe gilt für die Übergabe einer Datenbearbeitung an einen Auftragsbearbeiter ohne die Voraussetzungen nach Art. 9 Abs. 1 und 2 DSG.

Die Missachtung der Meldepflicht an den EDÖB ist laut dessen Leitfaden an sich nicht strafbewehrt. Der EDÖB kann aber verfügen, dass die Meldung nachgeholt wird, und weitere Verwaltungsmassnahmen aussprechen. Die Meldung darf im Strafverfahren ohne Einverständnis der meldepflichtigen Person nicht verwendet werden (Art. 24 Abs. 6 DSG).

Beim BACS gelten seit dem 1. Oktober 2025 Sanktionen: Betreiber, die eine Meldung unterlassen, können mit Busse bis zu 100 000 Franken bestraft werden. Hat das BACS Hinweise auf eine unterlassene Meldung, nimmt es zuerst Kontakt mit dem Betreiber auf. Eine Strafanzeige ist nur möglich, wenn der Betreiber auf diese Kontaktaufnahme und die anschliessende Verfügung nicht reagiert.

Nachweise, die ein KMU bereithalten sollte

Das Gesetz verlangt an mehreren Stellen Dokumentation. Daraus ergibt sich eine überschaubare Mappe:

Prüfen Sie die Mappe mindestens einmal jährlich und bei jeder grösseren Änderung, etwa einem Wechsel des Cloud-Anbieters oder der Einführung einer neuen Software. Die Auswahl von Cloud-Diensten gehört dazu.

Häufige Fragen

Gilt das DSG auch für ein Kleinstunternehmen?

Ja. Art. 8 DSG richtet sich an Verantwortliche und Auftragsbearbeiter ohne Grössenschwelle. Die Grösse beeinflusst den Aufwand, weil die Massnahmen dem Risiko angemessen sein müssen, nicht die Pflicht an sich.

Muss ich jeden Phishing-Versuch melden?

Nein. Eine Meldung an den EDÖB ist fällig, wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Ein abgewehrter Versuch ohne Datenverlust ist keine solche Verletzung. Dokumentieren sollten Sie ihn dennoch intern.

Bin ich als KMU zur Meldung an das BACS verpflichtet?

Nur wenn Sie kritische Infrastruktur im Sinne des Informationssicherheitsgesetzes und der Cybersicherheitsverordnung betreiben und keine Ausnahme greift. Andernfalls ist die Meldung freiwillig.

Offizielle Quellen

• Bundesgesetz über den Datenschutz (DSG), SR 235.1, Fedlex
• Datenschutzverordnung (DSV), SR 235.11, Fedlex
• Leitfaden des EDÖB zur Meldung von Datensicherheitsverletzungen nach Art. 24 DSG
• Meldepflicht für Cyberangriffe: FAQ des BACS
• Informationen für Unternehmen und Behörden (BACS)
• Sechs Monate Meldepflicht für Cyberangriffe auf kritische Infrastrukturen (BACS)