Am 25. September 2026 hat der Bundesrat das VBS beauftragt, bis Juni 2027 einen Entwurf für ein Bundesgesetz über die Cybersicherheit zur Vernehmlassung auszuarbeiten.
Eine Entscheidung, die ich als bedeutend für den Weg der Schweiz hin zu einerintegrierten Governance der digitalen Sicherheit betrachte.
Das künftige Gesetz wird drei Bereiche zusammenführen:
- die Cyberresilienz von Software- und Hardwareprodukten;
- den Schutz der wichtigsten digitalen Daten;
- die Cybersicherheitspflichten von Cloud- und Hosting-Dienstleistern.
In den neuen Rechtsrahmen wird auch die bereits seit April 2025 geltende Meldepflicht für Cyberangriffe auf kritische Infrastrukturen integriert.
Wie ist das Verhältnis zum europäischen Rechtsrahmen?
Die NIS2 stärkt das Risikomanagement und die Meldung von Sicherheitsvorfällen für die in ihren Anwendungsbereich fallenden Einrichtungen. Der Cyber Resilience Act (CRA) betrifft hingegen die Sicherheit von Produkten mit digitalen Elementen.
Die Schweiz entscheidet sich für einen eigenen gesetzgeberischen Weg; dabei nennt der Bundesrat für die Produktsicherheit ausdrücklich den europäischen CRA als Referenz, mit dem Ziel, den Aufwand für Unternehmen zu begrenzen.
Was müssen Unternehmen tun, die in Italien, der Europäischen Union und der Schweiz tätig sind?
Es wird zunehmend sinnvoll, das Risikomanagement, die Sicherheit der Lieferanten und die Reaktion auf Sicherheitsvorfälle aufeinander abzustimmen und dabei die jeweils anwendbaren rechtlichen Verpflichtungen zu überprüfen.
Wir befinden uns noch in der Ausarbeitungsphase: Das neue Gesetz wurde noch nicht verabschiedet, und der Auftrag allein begründet keine neuen Pflichten für Unternehmen.
Im Bereich der Bearbeitung personenbezogener Daten muss der Cybersicherheitsrahmen mit dem DSG und, für kantonale und kommunale öffentliche Stellen, mit den jeweiligen kantonalen Datenschutzgesetzen (KDSG) abgestimmt werden.
Darüber hinaus müssen die Hinweise des EDÖB zur Daten- und Informationssicherheit zu berücksichtigt werden.
Die neue Cybersicherheitsregelung wird diese Verpflichtungen nicht ersetzen, sondern sie im Hinblick auf das Risikomanagement, die technischen und organisatorischen Maßnahmen sowie die Reaktion auf Sicherheitsvorfälle ergänzen.
Für Organisationen wird es daher notwendig sein, eine integrierte Governance zwischen Datenschutz, Informationssicherheit und Cybersicherheit aufzubauen.
