Bundesrat erteilt Auftrag für neues Cybersicherheitsgesetz

(Source: bill_17 / stock.adobe.com)

(Source: bill_17 / stock.adobe.com)

Der Bundesrat will mit einem neuen Gesetz die Cybersicherheit der Schweiz stärken. Er erteilt dem Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) den Auftrag, ein neues "Bundesgesetz über die Cybersicherheit" (auch Cybersicherheitsgesetz oder CSG genannt) auszuarbeiten.

Produkte, Daten, digitale Infrastruktur

Mit dem Gesetz will der Bundesrat gleich drei hängige parlamentarische Vorstösse beantworten. So will er die Cyberresilienz von Produkten mit digitalen Elementen regeln, den Schutz besonders wichtiger digitaler Daten verbessern und die Rolle von Hosting- sowie Cloud-Anbietern bei der Cybersicherheit definieren.

Bisher bearbeitete das Bundesamt für Cybersicherheit (BACS) diese drei Projekte. Ursprünglich sollte es die Anliegen der Vorstösse durch Anpassungen des Informationssicherheitsgesetzes (ISG) umsetzen, zumal die drei Vorhaben komplementäre Regelungsebenen - Produkte, Daten und digitale Infrastruktur - betreffen.

Meldepflicht zieht um

Dass der Bundesrat nun drei Projekte zusammenführt und ein eigenes Gesetz in Angriff nimmt, begründet er damit, "eine kohärente Regelung der Cybersicherheit bei Dritten" gewährleisten zu wollen. Ein eigenständiges Gesetz bündle die querschnittsrelevanten Pflichten in einem einzigen Erlass, was insbesondere für international tätige Unternehmen von Vorteil sei, die bereits den Cyber Resiliency Act (CRA) der EU einhalten müssten.

Tatsächlich soll sich das CSG am CRA der EU orientieren, wie der Bundesrat weiter schreibt. Geplant seien "verbindliche Anforderungen für Hersteller, Importeure und Händler von Soft- und Hardware-Produkten". Ebenfalls definiert werden sollen Grundlagen für die Marktüberwachung und ein Vertriebsverbot für unsichere Produkte. Dazu kommen besondere Cybersicherheitspflichten zum Schutz wichtiger digitaler Daten sowie Mitwirkungs- und Abwehrpflichten für Hosting- und Cloud-Anbieter.

Das ISG soll gemäss dem Willen des Bundesrates künftig die Informationssicherheit der Bundesbehörden regeln. Die aktuell im ISG verankerte Meldepflicht von Cybervorfällen für Betreiber kritischer Infrastrukturen will der Bundesrat ebenfalls vom ISG ins neue CSG verschieben. Nicht anrühren will er dagegen sektorielle Regelungen wie das Fernmeldegesetz, die Stromversorgungsverordnung oder die Verordnung über Fernmeldeanlagen. "Das Cybersicherheitsgesetz ergänzt sie um diejenigen Pflichten, die sich aus der Cybersicherheit als Verbundaufgabe ergeben", heisst es dazu.

Der Bundesrat erwartet eine Vernehmlassungsvorlage bis zum Sommer 2027.

Übrigens kündigte die Landesregierung schon im Frühling 2026 an, das ISG zu überarbeiten. Mit der Revision will der bundesrat unklare Regelungen präzisieren und neue Anforderungen aufnehmen. Details dazu lesen sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.