Meldefristen für Sicherheitsvorfälle in der Schweiz

Nach einem Cyberangriff können in der Schweiz mehrere Meldepflichten gleichzeitig laufen. Diese Übersicht behandelt drei davon: das BACS für kritische Infrastrukturen, die FINMA für beaufsichtigte Institute und den EDÖB bei Personendaten. Mit Gesellschaften in der EU kommen DORA (Finanzsektor) oder NIS2 dazu, in Deutschland seit dem 6. Dezember 2025, in Österreich seit dem 1. Oktober 2026.

Die Fristen laufen unabhängig voneinander, und sie beginnen nicht überall zum selben Zeitpunkt. Der Zeitstrahl zeigt sie nebeneinander, die Karten darunter nennen je Pflicht, wer meldet, an wen und mit welcher Fundstelle.

Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung. Stand: Oktober 2026.

BACSab Entdeckung24 h Meldung14 Tage Ergänzung fehlender Angaben
FINMAab Entdeckung, Bankarbeitstage24 h Erstmeldung72 h vollständige Meldung
EDÖBab Kenntnisohne Stundenfrist so rasch als möglich
DORAab Kenntnis bzw. Einstufung4 h Erstmeldung nach Einstufung24 h Erstmeldung spätestens+72 h nach Erstmeldung Zwischenmeldung+1 Monat nach Zwischenmeldung Abschluss
NIS2 Deutschlandab Kenntnis24 h frühe Erstmeldung72 h Meldung+1 Monat nach Meldung Abschluss
NIS2 Österreichab Kenntnis24 h Frühwarnung72 h Meldung+1 Monat nach Meldung Abschluss

Meldefristen nebeneinander (Abstände nicht massstäblich)

Die Meldepflichten im Einzelnen

BACS: Cyberangriffe auf kritische Infrastrukturen

24 Stundenab Entdeckung des Cyberangriffs

Wer: Kritische Infrastrukturen nach Art. 74b ISG, darunter Behörden von Bund, Kantonen und Gemeinden, Energie, Banken und Versicherungen, Spitäler, Fernmelde- und Cloud-Anbieter.
Auslöser: Cyberangriff, der die Funktionsfähigkeit gefährdet, zu Manipulation oder Abfluss von Informationen führt, länger als 90 Tage unentdeckt blieb oder mit Erpressung, Drohung oder Nötigung verbunden ist (Art. 74d ISG).
Fristen: Meldung innert 24 Stunden nach der Entdeckung (Art. 74e Abs. 1 ISG).
Danach: Für fehlende Angaben gewährt das BACS 14 Tage (Art. 16 CSV).
Empfänger: Das BACS, über sein sicheres Meldesystem; Weiterleitung an andere Behörden möglich (Art. 74f ISG).
Wenn sie ausbleibt: Erst Frist, dann Verfügung des BACS; Busse bis CHF 100'000 nur, wer diese vorsätzlich missachtet (Art. 74g und 74h ISG).

Rechtsgrundlage und Stand

Meldepflichtig sind auch Hochschulen, Anbieterinnen von Fernmeldediensten (beim BAKOM registriert) sowie von Cloud-Diensten und Rechenzentren mit Sitz in der Schweiz. Art. 12 CSV sieht für einige Gruppen Ausnahmen vor, teils nach Grösse (etwa Hochschulen mit weniger als 2000 Studierenden), für Behörden und für Banken, Versicherungen und Finanzmarktinfrastrukturen dagegen keine. „Länger unentdeckt“ heisst: Der Vorfall liegt mehr als 90 Tage zurück (Art. 14 Abs. 3 CSV). Die Verfügung nach Art. 74g ISG ergeht mit neuer Frist und Hinweis auf die Strafdrohung.

Die Meldepflicht gilt seit dem 1. April 2025, Art. 74g und 74h ISG seit dem 1. Oktober 2025. Stand: ISG in der Fassung vom 1. Oktober 2025, CSV vom 7. März 2025 (Stand 1. April 2025).

FINMA: Cyber-Attacken bei beaufsichtigten Instituten

24 / 72 Stundenab Entdeckung, an Bankarbeitstagen

Wer: Die Beaufsichtigten der FINMA (Art. 29 Abs. 2 FINMAG).
Auslöser: Erfolgreiche oder teilweise erfolgreiche Cyber-Attacke auf kritische Funktionen mit wesentlicher Bedeutung für die Aufsicht (AM 05/2020).
Fristen: Erstmeldung innert 24 Stunden ab Entdeckung, formlos an die Ansprechperson; vollständige Meldung innert 72 Stunden über die EHP. Schwerwiegende Attacken auch ausserhalb von Bankarbeitstagen (AM 03/2024, Ziffer 3).
Danach: Neue Entwicklungen wieder innert 72 Stunden; nach Abschluss ein Ursachenbericht.
Empfänger: Die FINMA; die Erstmeldung darf über das BACS-Formular mit Weiterleitung laufen.
Wenn sie ausbleibt: Die Aufsichtsmitteilungen nennen keine eigene Folge.

Rechtsgrundlage und Stand

Kriterien für die Erstbeurteilung des Schweregrads (mittel, hoch, schwerwiegend) nennt Anhang 1 der AM 05/2020. Die Erstmeldung geht formlos per E-Mail oder Telefon an die zuständige Ansprechperson der FINMA (AM 03/2024, Ziffer 3), die vollständige Meldung über die Erhebungs- und Gesuchsplattform (AM 05/2020, Ziffer 3). Einen eigenen Beginn für die 72 Stunden nennen die Mitteilungen nicht; rechnen Sie sie zur Sicherheit ebenfalls ab der Entdeckung.

Bei ausgelagerten Funktionen beginnt die Frist, sobald der Dienstleister den Vorfall entdeckt. Bei schwerwiegenden Attacken verlangt die FINMA zusätzlich Nachweise zur Krisenorganisation. Die 24-Stunden-Meldung über das BACS-Formular gilt nur, wenn die Frist eingehalten wird; die 72-Stunden-Meldung bleibt auf der EHP (alles AM 03/2024, Ziffer 3).

Stand: FINMAG in der Fassung vom 1. April 2025, Aufsichtsmitteilungen vom 7. Mai 2020 und 7. Juni 2024; eine neuere Aufsichtsmitteilung zur Meldung von Cyber-Attacken war am Prüfdatum nicht bekannt.

EDÖB: Verletzungen der Datensicherheit nach Art. 24 DSG

so rasch als möglichohne Frist in Stunden

Wer: Der Verantwortliche: private Personen und Bundesorgane (Art. 2 DSG). Kantone und Gemeinden: kantonales Recht, nicht Teil dieser Übersicht.
Auslöser: Verletzung der Datensicherheit mit voraussichtlich hohem Risiko für die Betroffenen (Art. 24 Abs. 1 DSG).
Fristen: So rasch als möglich ab Kenntnisnahme; bei unklarem Risiko nicht auf lange Abklärungen warten (Leitfaden des EDÖB, Ziffer 1.3).
Danach: Fehlende Angaben so rasch als möglich nachliefern (Art. 15 DSV).
Empfänger: Der EDÖB, über das Meldeportal „DataBreach“.
Wenn sie ausbleibt: Nicht strafbar; der EDÖB kann die Meldung aber verfügen.

Rechtsgrundlage und Stand

Ein Auftragsbearbeiter meldet nicht dem EDÖB, sondern dem Verantwortlichen, ebenfalls so rasch als möglich (Art. 24 Abs. 3 DSG). Der Verantwortliche muss die Verletzungen dokumentieren und die Dokumentation mindestens zwei Jahre ab der Meldung aufbewahren (Art. 15 Abs. 4 DSV). Das Meldeportal ist für Pflichtmeldungen vorgesehen (Leitfaden, Ziffer 1.5).

Die Strafbestimmungen in Art. 60 bis 63 DSG nennen Art. 24 nicht (so auch der Leitfaden, Ziffer 1.8). Der EDÖB kann die Meldung verfügen (Art. 51 Abs. 3 Bst. f DSG); private Personen, die eine solche Verfügung trotz Hinweis auf die Strafdrohung vorsätzlich missachten, riskieren eine Busse bis CHF 250'000 (Art. 63 DSG).

Stand: DSG in der Fassung vom 7. Juli 2025, DSV vom 1. Dezember 2025, Leitfaden des EDÖB Version 1.2 vom 23. April 2025.

DORA: schwerwiegende IKT-bezogene Vorfälle im EU-Finanzsektor

4 / 24 Stundennach Einstufung, spätestens ab Kenntnis

Wer: Finanzunternehmen in der EU nach DORA, seit dem 17. Januar 2025; in der Schweiz nicht unmittelbar anwendbar.
Auslöser: IKT-bezogener Vorfall, der als schwerwiegend eingestuft ist (Art. 18 und 19 DORA, Delegierte Verordnung 2024/1772).
Fristen: Erstmeldung 4 Stunden nach der Einstufung, spätestens 24 Stunden nach Kenntnis (Art. 5 Delegierte Verordnung 2025/301).
Danach: Zwischenmeldung 72 Stunden nach der Erstmeldung, Abschlussmeldung einen Monat nach der letzten Zwischenmeldung.
Empfänger: Die nach Art. 46 DORA zuständige Behörde (Art. 19 Abs. 1 DORA).
Wenn sie ausbleibt: Wer eine Frist nicht halten kann, meldet das innerhalb der Frist mit Begründung (Art. 5 Abs. 3).

Rechtsgrundlage und Stand

Die Fristen stehen nicht in DORA selbst, sondern in der Delegierten Verordnung 2025/301. Wird ein Vorfall erst nach Ablauf der 24 Stunden als schwerwiegend eingestuft, bleiben ab der Einstufung 4 Stunden (Art. 5 Abs. 2). DORA gilt unmittelbar in den Mitgliedstaaten der EU (Art. 64 DORA); Schweizer Gruppen betrifft die Meldepflicht über ihre Finanzunternehmen in der EU.

Fällt eine Frist auf ein Wochenende oder einen Feiertag, genügt die Meldung bis 12 Uhr des nächsten Arbeitstags. Für Erst- und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen und als wesentlich oder wichtig nach NIS2 eingestuften Finanzunternehmen gilt das nicht; die Behörde kann die Erleichterung zudem für weitere bedeutende oder systemrelevante Institute ausschliessen (Art. 5 Abs. 4 bis 6).

Stand: DORA in der Fassung des Amtsblatts vom 27. Dezember 2022, Delegierte Verordnung 2025/301 vom 20. Februar 2025, beide bis zum Prüfdatum ohne Änderung.

NIS2 in Deutschland: § 32 BSIG

24 / 72 Stundenab Kenntnis des erheblichen Vorfalls

Wer: Besonders wichtige und wichtige Einrichtungen nach dem BSI-Gesetz, seit dem 6. Dezember 2025; nicht DORA-Finanzunternehmen (§ 28 Abs. 6 BSIG).
Auslöser: Erheblicher Sicherheitsvorfall: schwere Betriebsstörung, finanzieller Verlust oder erheblicher Schaden für andere (§ 2 Nr. 11 BSIG).
Fristen: Frühe Erstmeldung innert 24 Stunden, Meldung mit erster Bewertung innert 72 Stunden nach Kenntniserlangung (§ 32 Abs. 1 BSIG).
Danach: Zwischenmeldung auf Ersuchen; Abschlussmeldung einen Monat nach der 72-Stunden-Meldung.
Empfänger: Gemeinsame Meldestelle von BSI und BBK, laut BSI das BSI-Portal.
Wenn sie ausbleibt: Ordnungswidrigkeit, Geldbusse bis 10 Mio. Euro bzw. 7 Mio. Euro (§ 65 BSIG).

Rechtsgrundlage und Stand

Ebenfalls nicht nach § 32 BSIG melden Betreiber öffentlicher Telekommunikationsnetze und -dienste und bestimmte Energieunternehmen, die nach ihrem Fachrecht melden (§ 28 Abs. 5 BSIG). Dauert der Vorfall nach einem Monat noch an, folgt statt der Abschlussmeldung eine Fortschrittsmeldung (§ 32 Abs. 2). Wer noch nicht im BSI-Portal registriert ist, meldet über ein Online-Formular; Betreiber kritischer Anlagen und Bundesbehörden nutzen laut BSI vorübergehend ihre bisherigen Meldewege.

Eine versäumte, falsche oder verspätete Meldung ist eine Ordnungswidrigkeit (§ 65 Abs. 2 Nr. 4 BSIG). Die Geldbusse beträgt bis 10 Mio. Euro bei besonders wichtigen und bis 7 Mio. Euro bei wichtigen Einrichtungen, bei mehr als 500 Mio. Euro Gesamtumsatz bis 2 bzw. 1,4 Prozent des Umsatzes (§ 65 Abs. 5 bis 7).

Stand: BSIG vom 2. Dezember 2025, zuletzt geändert am 23. Juli 2026.

NIS2 in Österreich: § 34 NISG 2026

24 / 72 Stundenab Kenntnis des erheblichen Vorfalls

Wer: Wesentliche und wichtige Einrichtungen nach dem NISG 2026, seit dem 1. Oktober 2026; DORA geht vor (§ 24 Abs. 7).
Auslöser: Erheblicher Cybersicherheitsvorfall (§ 35 NISG 2026).
Fristen: Frühwarnung innert 24 Stunden, Meldung mit erster Bewertung innert 72 Stunden nach Kenntnisnahme (§ 34 Abs. 2).
Danach: Zwischenbericht auf Ersuchen; Abschlussbericht einen Monat nach der Meldung.
Empfänger: Das sektorspezifische CSIRT, sonst das nationale CSIRT (§ 34 Abs. 1).
Wenn sie ausbleibt: Verwaltungsübertretung, Geldstrafe bis 10 Mio. bzw. 7 Mio. Euro oder umsatzabhängig mehr (§ 45).

Rechtsgrundlage und Stand

Das NISG 2026 (BGBl. I Nr. 94/2025) wurde am 23. Dezember 2025 kundgemacht. Das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter. Dauert der Vorfall nach einem Monat noch an, folgt bis dahin ein Fortschrittsbericht und der Abschlussbericht einen Monat nach Ende der Behandlung (§ 34 Abs. 2 Z 5).

Die Geldstrafe beträgt bis 10 Mio. Euro oder 2 Prozent des weltweiten Umsatzes bei wesentlichen und bis 7 Mio. Euro oder 1,4 Prozent bei wichtigen Einrichtungen, je nachdem, welcher Betrag höher ist (§ 45 Abs. 1 Z 4, Abs. 2 und 3).

Stand: konsolidierte Fassung im RIS, bis zum Prüfdatum ohne Änderung seit der Kundmachung.

Beide Gesetze setzen Art. 23 der NIS2-Richtlinie mit denselben Fristen um. Ob eine Schweizer Organisation darunter fällt, entscheidet sich in der Regel über eine Niederlassung im jeweiligen Land (Art. 26 Abs. 1). Für Schweizer Anbieter wichtig: Wer etwa Cloud-, Rechenzentrums- oder verwaltete Sicherheitsdienste ohne Niederlassung in der EU dort anbietet, muss einen Vertreter in der EU benennen und fällt unter den Mitgliedstaat des Vertreters (Art. 26 Abs. 3).

Wo die Uhr unterschiedlich startet

Die Stundenzahlen ähneln sich, der Beginn nicht. Wer mehrere Pflichten zugleich erfüllen muss, rechnet deshalb leicht mit dem falschen Zeitpunkt. Drei Unterschiede sind im Zeitstrahl nicht zu sehen:

Einstufung statt Kenntnis: Bei DORA beginnen die 4 Stunden erst mit der Einstufung als schwerwiegend; die Grenze von 24 Stunden ab Kenntnis gilt trotzdem.
Dienstleister: Bei der FINMA beginnt die Frist bei ausgelagerten Funktionen schon, wenn der Dienstleister den Vorfall entdeckt.
Kalender: Die FINMA zählt nur Bankarbeitstage (ausser bei schwerwiegenden Attacken), DORA verschiebt Fristen am Wochenende auf 12 Uhr des nächsten Arbeitstags (mit Ausnahmen, siehe Karte). Die Erlasse zu BACS, EDÖB und NIS2 enthalten keine solche Regel.

Wenn mehrere Pflichten zugleich gelten

Ein Beispiel: Eine Schweizer Bank stellt einen Ransomware-Angriff fest, bei dem Kundendaten abgeflossen sind. Sie ist dem BACS meldepflichtig (Art. 74b Abs. 1 Bst. e ISG), der FINMA, wenn die Attacke für die Aufsicht wesentlich ist, und dem EDÖB, wenn ein voraussichtlich hohes Risiko besteht. Treffen alle drei zu, laufen drei Pflichten parallel; keine entfällt wegen einer anderen.

Zwei Regeln erleichtern das: Die FINMA akzeptiert die 24-Stunden-Erstmeldung über das BACS-Formular mit Weiterleitung (AM 03/2024, Ziffer 3), und der EDÖB kann eine Meldung mit Einverständnis an das BACS weiterleiten (Art. 24 Abs. 5bis DSG).

Umgekehrt kann die Datenschutzmeldung eine BACS-Pflicht auslösen. Geht die Verletzung auf einen Cyberangriff zurück, also einen absichtlich ausgelösten Vorfall (Art. 5 Bst. e ISG), gilt eine Meldung nach Art. 24 DSG als Abfluss von Informationen im Sinne des ISG (Art. 14 Abs. 2 Bst. b CSV). Wer als Betreiber einer kritischen Infrastruktur dem EDÖB meldet, prüft deshalb gleichzeitig, ob die 24 Stunden gegenüber dem BACS schon laufen.

In Deutschland und Österreich ist es für Finanzunternehmen einfacher: Dort geht DORA der NIS2-Meldepflicht vor (§ 28 Abs. 6 BSIG, § 24 Abs. 7 NISG 2026).

Drei Irrtümer

„Das DSG verlangt eine Meldung innert 72 Stunden.“ Die 72 Stunden stammen aus der DSGVO, die „möglichst binnen 72 Stunden“ verlangt (Art. 33 Abs. 1 DSGVO). Das DSG verlangt „so rasch als möglich“, und das ist nicht grosszügiger: Der EDÖB erwartet bei unklarem Risiko eine Meldung statt langer Abklärungen.

„Wer die BACS-Meldung verpasst, zahlt bis CHF 100'000.“ Die Busse nach Art. 74h ISG trifft erst, wer eine rechtskräftige Verfügung des BACS vorsätzlich missachtet, die mit Frist und Hinweis auf die Strafdrohung ergangen ist.

„Kleine Gemeinden sind von der BACS-Meldepflicht ausgenommen.“ Die Ausnahmen in Art. 12 CSV gelten nur für die dort genannten Gruppen, etwa Hochschulen, bestimmte Energie- und Verkehrsunternehmen, Laboratorien oder Postdienste. Behörden von Bund, Kantonen und Gemeinden sind dort nicht aufgeführt.

Wie diese Übersicht entstanden ist

Grundlage sind ausschliesslich Primärquellen: ISG, CSV, DSG, DSV und FINMAG in der konsolidierten Fassung auf Fedlex, die Aufsichtsmitteilungen 05/2020 und 03/2024 der FINMA, der Leitfaden des EDÖB zu Art. 24 DSG, DORA mit den Delegierten Verordnungen 2024/1772 und 2025/301 und die NIS2-Richtlinie auf EUR-Lex, das BSI-Gesetz auf gesetze-im-internet.de und das NISG 2026 im RIS. Jede Frist und jeder Fristbeginn ist am Wortlaut geprüft; die Fassungen stehen in den Karten unter „Rechtsgrundlage und Stand“.

Bewusst nicht enthalten sind das kantonale Datenschutzrecht, Meldepflichten aus Spezialgesetzen (etwa Fernmelde-, Energie- oder Gesundheitsrecht), die DSGVO ausser zum Vergleich, die Meldung an Strafverfolgungsbehörden, die Information der Betroffenen und die Frage, ob eine Organisation überhaupt unter NIS2 oder DORA fällt.

Was Sie vor dem nächsten Vorfall festlegen sollten

Klären Sie jetzt, welche der sechs Pflichten für Ihre Organisation gelten, und halten Sie das im Vorfallkonzept fest. Bestimmen Sie für jede Pflicht, wer meldet, über welchen Weg und wer vertritt, auch nachts und am Wochenende. Und legen Sie fest, wer den Zeitpunkt der Entdeckung bzw. der Kenntnis festhält: Er ist der Ausgangspunkt fast aller Fristen und lässt sich im Nachhinein nur schwer belegen.

Quellen geprüft am 25. Oktober 2026.