Schweiz plant Gesetz zur Cyberresilienz: Ein wichtiger Schritt im GRC-Bereich

Die Schweiz reagiert auf steigende Bedrohungen im Cyberraum. Am 20. August 2025 hat der Bundesrat beschlossen, dass eine Gesetzgebung zur Cyberresilienz digitaler Produkte erarbeitet wird. Dabei soll das Bundesamt für Cybersicherheit (BACS) gemeinsam mit dem Bundesamt für Kommunikation (BAKOM) und dem Staatssekretariat für Wirtschaft (SECO) bis Herbst 2026 eine Vorlage zur Vernehmlassung ausarbeiten. Ziel ist, Sicherheitsanforderungen für Produkte mit digitalen Elementen verbindlich festzulegen und die Marktüberwachung solcher Produkte zu verbessern.

Das Wichtigste in Kürze

Der Bundesrat will die Cyberresilienz digitaler Produkte gesetzlich verankern
BACS, BAKOM und SECO sollen bis Herbst 2026 eine Vernehmlassungsvorlage erarbeiten
Sicherheitspflichten beim Entwickeln und Inverkehrbringen digitaler Produkte sollen definiert werden, inklusive Import- und Vertriebsverbot unsicherer Geräte
Marktüberwachung soll gestärkt werden, damit Sicherheitslücken früh erkannt und schnell geschlossen werden können
Die Schweiz orientiert sich teilweise an EU-Regulierungen wie dem Cyber Resilience Act und der NIS-2 Richtlinie

Warum ist das Thema wichtig?

Digitale Produkte durchdringen nahezu alle Lebensbereiche – Smart Devices, IoT, Software und Hardware mit vernetzten Komponenten. Wenn Sicherheitslücken in solchen Produkten bestehen, kann dies zu erheblichen Schäden für Nutzer, Unternehmen und kritische Infrastrukturen führen. Bis heute hat die Schweiz kaum verbindliche Regeln zur Cyberresilienz von digitalen Produkten. Mit der neuen Gesetzesinitiative wird diese Lücke geschlossen.

Was soll die neue Gesetzgebung regeln?

Die Vorlage wird voraussichtlich folgende Punkte enthalten:

Sicherheitsanforderungen bei Entwicklung und Inverkehrbringen von digitalen Produkten
Marktüberwachung, damit unsichere Produkte nicht auf den Markt gelangen oder importiert werden dürfen
Mindestanforderungen an Updates, Patches, Sicherheitstests und Offenlegung von Schwachstellen
Durchsetzungsmechanismen und Sanktionen bei Nichteinhaltung der Regeln

Vergleich zu EU-Initiativen

Initiative	Fokus	Anwendungspflicht	Bezug zur Schweiz
Cyber Resilience Act (CRA)	Sicherheitsanforderungen für Produkte mit digitalen Elementen, Lifecycle, Updates, Meldepflichten	Verbindlich in der EU ab 2027	Die Schweiz will ähnliche Anforderungen einführen
NIS-2 Richtlinie	Schutz kritischer Systeme und Dienste gegen Cyberattacken, inklusive Meldepflichten	Umsetzungspflicht in allen EU-Mitgliedstaaten	Die Schweiz orientiert sich an den Standards
EU Cybersecurity Act, CER, DORA	Breite Regulierung für Cybersicherheit und Resilienz, insbesondere für Finanzdienstleister	EU-weit gültige Rahmenwerke	Dienen der Schweiz als Vorbild und Benchmark

Wie könnte die Schweiz profitieren und welche Herausforderungen bestehen?

Potentielle Vorteile

Höheres Sicherheitsniveau für Nutzer und Konsumenten
Mehr Vertrauen in digitale Produkte und Anbieter
Rechtssicherheit für Hersteller und Importeure
Reduzierung von Kosten durch präventive Sicherheitsmaßnahmen

Herausforderungen

Zu enge Anforderungen könnten Innovationen hemmen
Kleine Hersteller könnten an Umsetzungskosten scheitern
Marktüberwachung und Sanktionen erfordern zusätzliche Ressourcen
Internationale Harmonisierung in Lieferketten muss berücksichtigt werden

Fazit

Das geplante Schweizer Gesetz zur Cyberresilienz digitaler Produkte markiert einen wichtigen Schritt hin zu moderner Sicherheitspolitik. Es schließt eine bestehende Regelungslücke, schafft verbindliche Sicherheitsanforderungen und orientiert sich an bewährten EU-Initiativen. Für Unternehmen ist jetzt der richtige Zeitpunkt, sich proaktiv mit Compliance, Governance und Risiko auseinanderzusetzen, um späteren Anpassungsdruck zu vermeiden.

FAQ

Was versteht man unter Cyberresilienz digitaler Produkte?
Die Fähigkeit von Hardware und Software mit digitalen Komponenten, sicher zu sein, Angriffe abzuwehren und Sicherheitslücken schnell zu beheben.

Warum plant der Bundesrat dieses Gesetz?
Weil es bisher keine verbindlichen Regeln in der Schweiz gibt, obwohl die Bedrohungslage durch unsichere digitale Produkte steigt.

Wann soll die Gesetzesvorlage vorliegen?
Bis Herbst 2026 soll die Vorlage zur Vernehmlassung bereitstehen.

Welche Anforderungen könnten gelten?
Sicherheitsanforderungen bei Entwicklung und Inverkehrbringen, verpflichtende Updates, Offenlegung von Schwachstellen sowie Importverbote unsicherer Geräte.

Gibt es Parallelen zu EU-Gesetzen?
Ja, viele Elemente ähneln dem Cyber Resilience Act und der NIS-2 Richtlinie, die ebenfalls Mindestanforderungen, Meldepflichten und Marktüberwachungsmaßnahmen enthalten.

Was sollten Unternehmen jetzt tun?
Frühzeitig Produktportfolios prüfen, Sicherheitsprozesse implementieren, Governance-Strukturen anpassen und sich mit den EU-Standards vertraut machen.