Bundesrat will neues Cybersicherheitsgesetz schaffen

Damit sollen drei parlamentarische Vorstösse in einem gemeinsamen Erlass umgesetzt werden.

Das Bundesamt für Cybersicherheit (BACS) bearbeitet drei parlamentarisch beauftragte Rechtsetzungsprojekte: die Cyberresilienz von Produkten mit digitalen Elementen (Mo. 24.3810), den Schutz besonders wichtiger digitaler Daten (Mo. 23.3002) sowie die Rolle von Hosting- und Cloud-Anbietern bei der Cybersicherheit (Mo. 25.3011). Die drei Vorhaben betreffen komplementäre Regelungsebenen – Produkte, Daten und digitale Infrastruktur – und sollten ursprünglich je durch Anpassungen des Informationssicherheitsgesetzes (ISG) umgesetzt werden.

Um eine kohärente Regelung der Cybersicherheit bei Dritten zu gewährleisten, führt der Bundesrat die drei Projekte nun in einer gemeinsamen Vorlage zusammen. Dafür soll ein eigenständiges Bundesgesetz über die Cybersicherheit (Cybersicherheitsgesetz, CSG) geschaffen werden, in welches auch die seit April 2025 geltende Meldepflicht für Cyberangriffe auf kritische Infrastrukturen aus dem ISG überführt wird. Das ISG regelt weiterhin die Informationssicherheit der Bundesbehörden.

Besondere Pflichten zum Schutz digitaler Daten

Das geplante Cybersicherheitsgesetz soll verbindliche Anforderungen für Hersteller, Importeure und Händler von Soft- und Hardware-Produkten festlegen, samt Grundlagen für die Marktüberwachung und einem Vertriebsverbot für unsichere Produkte. Die Regelung orientiert sich am europäischen Cyber Resilience Act (CRA) und soll die administrative Belastung der Unternehmen tief halten. Daneben sieht das Gesetz besondere Cybersicherheitspflichten zum Schutz wichtiger digitaler Daten sowie für Hosting- und Cloud-Anbieter vor, etwa Mitwirkungs- und Abwehrpflichten bei Cyberbedrohungen.

Bestehende sektorielle Regelungen wie das Fernmeldegesetz, die Stromversorgungsverordnung oder die Verordnung über Fernmeldeanlagen bleiben weiterhin in Kraft; das Cybersicherheitsgesetz ergänzt sie um diejenigen Pflichten, die sich aus der Cybersicherheit als Verbundaufgabe ergeben. Künftige technologische oder europäische Entwicklungen können so an einem einzigen Ort nachgeführt werden, ohne dass mehrere Erlasse gleichzeitig angepasst werden müssen. Zudem kann auf spezifische Themen, wie Open Source Software, besser eingegangen werden.

Konsolidierung senkt Aufwand für Wirtschaft und Behörden

Ein eigenständiges Cybersicherheitsgesetz bündelt die querschnittsrelevanten Pflichten in einem einzigen Erlass. Das ist insbesondere für international tätige Unternehmen von Vorteil, die bereits den CRA der EU einhalten müssen: Eine harmonisierte Schweizer Gesetzgebung stellt sicher, dass keine zusätzliche Compliance-Belastung entsteht.

Der Bundesrat hat das VBS beauftragt bis im Juni 2027 eine Vernehmlassungsvorlage auszuarbeiten und ihm zum Beschluss vorzulegen.