Die Schweiz regelt Cybersecurity neu

Die Schweiz will ihre Cybersicherheitsregulierung grundlegend neu ordnen. Der Bundesrat hat das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport beauftragt, bis Juni 2027 eine Vernehmlassungsvorlage für ein eigenständiges Bundesgesetz über die Cybersicherheit auszuarbeiten.

Das geplante Cybersicherheitsgesetz soll mehrere bisher getrennt behandelte Themen zusammenführen: die Cyberresilienz von Produkten mit digitalen Elementen, den Schutz besonders wichtiger digitaler Daten und die Rolle von Hosting- und Cloud-Anbietern bei der Cybersicherheit.

Besonders relevant für Unternehmen ist die geplante Orientierung am europäischen Cyber Resilience Act. Damit zeichnet sich ab, dass Cybersecurity-Anforderungen in der Schweiz stärker von technischen Einzelmassnahmen zu einem umfassenden Governance- und Compliance-Thema werden.

Das Wichtigste in Kürze

Das geplante Schweizer Cybersicherheitsgesetz soll Anforderungen an Hersteller, Importeure und Händler von Soft- und Hardware-Produkten schaffen und sich dabei am EU Cyber Resilience Act orientieren.

Zusätzlich sind besondere Pflichten für Hosting- und Cloud-Anbieter sowie zum Schutz wichtiger digitaler Daten vorgesehen. Die bereits bestehende Meldepflicht für Cyberangriffe auf kritische Infrastrukturen soll ebenfalls in das neue Gesetz überführt werden.

Für Unternehmen entstehen daraus heute noch keine neuen Pflichten. Die konkrete Ausgestaltung wird erst mit der Vernehmlassungsvorlage sichtbar. Die Richtung ist jedoch klar: Produktsecurity, Cloud-Risiken, kritische Daten und Cyberresilienz sollen stärker in einem gemeinsamen regulatorischen Rahmen zusammengeführt werden.

Warum die Schweiz ein eigenes Cybersicherheitsgesetz plant

Bislang werden verschiedene Aspekte der Cybersicherheit in unterschiedlichen gesetzlichen und regulatorischen Strukturen behandelt. Der Bundesrat will drei laufende Rechtsetzungsprojekte nun in einem gemeinsamen Gesetz zusammenführen.

Dabei geht es im Kern um drei Ebenen: Produkte, Daten und digitale Infrastruktur.

Produkte mit digitalen Elementen sollen künftig verbindliche Cybersecurity-Anforderungen erfüllen. Besonders wichtige digitale Daten sollen besser geschützt werden. Gleichzeitig sollen Hosting- und Cloud-Anbieter stärker in die Abwehr von Cyberbedrohungen eingebunden werden.

Der Ansatz zeigt, dass die Schweiz Cybersicherheit zunehmend als zusammenhängende Governance-Aufgabe versteht.

Für Unternehmen bedeutet das perspektivisch, dass Product Security, Informationssicherheit, Third-Party Risk, Incident Management und Business Continuity enger miteinander verbunden werden müssen.

Die Nähe zum EU Cyber Resilience Act ist kein Zufall

Ein besonders wichtiger Punkt ist die geplante Orientierung am europäischen Cyber Resilience Act.

Der CRA schafft in der EU verbindliche Cybersecurity-Anforderungen für Produkte mit digitalen Elementen. Hersteller müssen Cyberrisiken stärker über den gesamten Produktlebenszyklus berücksichtigen und Schwachstellen systematisch behandeln.

Die Schweiz verfolgt nun einen ähnlichen Ansatz.

Das geplante Gesetz soll verbindliche Anforderungen für Hersteller, Importeure und Händler von Soft- und Hardware-Produkten schaffen. Zusätzlich sind Grundlagen für eine Marktüberwachung und sogar für Vertriebsverbote unsicherer Produkte vorgesehen.

Für Schweizer Unternehmen mit Geschäft in der EU ist diese Annäherung besonders relevant.

Viele Unternehmen müssen den CRA ohnehin berücksichtigen. Stark voneinander abweichende Schweizer und europäische Anforderungen würden zusätzliche Prozesse, Dokumentationen und Kontrollen notwendig machen.

Der Bundesrat verfolgt deshalb ausdrücklich das Ziel, unnötige zusätzliche Compliance-Belastungen für international tätige Unternehmen zu vermeiden.

Cybersecurity wird Teil des Produktlebenszyklus

Die geplante Regulierung verändert die Perspektive auf Produktsicherheit.

Cybersecurity kann nicht mehr erst dann beginnen, wenn ein Produkt bereits beim Kunden eingesetzt wird und eine Schwachstelle entdeckt wurde. Sicherheitsanforderungen müssen bereits bei Entwicklung, Einführung und laufender Pflege berücksichtigt werden.

Für Hersteller bedeutet das beispielsweise, Cyberrisiken systematisch zu bewerten, Verantwortlichkeiten festzulegen und Schwachstellenprozesse aufzubauen.

Entscheidend wird dabei auch die Nachweisbarkeit.

Welche Risiken wurden identifiziert? Welche Sicherheitsmassnahmen wurden umgesetzt? Welche Schwachstellen sind bekannt? Wer entscheidet über notwendige Massnahmen? Und wie wird dokumentiert, dass ein Produkt weiterhin den Anforderungen entspricht?

Damit wird Product Security zunehmend zu einem klassischen GRC-Prozess.

Cloud- und Hosting-Anbieter rücken stärker in den regulatorischen Fokus

Das geplante Gesetz geht jedoch deutlich über digitale Produkte hinaus.

Auch Hosting- und Cloud-Anbieter sollen besondere Cybersicherheitspflichten erhalten. Der Bundesrat nennt dabei unter anderem Mitwirkungs- und Abwehrpflichten bei Cyberbedrohungen.

Die konkreten Anforderungen stehen noch nicht fest. Trotzdem zeigt die geplante Regelung eine wichtige Entwicklung: Digitale Infrastruktur wird zunehmend als Teil der gesamtwirtschaftlichen Cyberresilienz betrachtet.

Das betrifft nicht nur die Provider selbst.

Auch Unternehmen, die kritische Prozesse an Cloud- oder Hosting-Anbieter auslagern, müssen ihre Abhängigkeiten verstehen. Fällt ein Provider aus oder wird er kompromittiert, können zahlreiche Kunden gleichzeitig betroffen sein.

Cloud Governance und Third-Party Risk Management werden deshalb immer stärker zu einem Bestandteil moderner Cyber-Governance.

Kritische Daten werden zum eigenen Schutzgut

Ein weiterer Schwerpunkt des geplanten Cybersicherheitsgesetzes ist der Schutz besonders wichtiger digitaler Daten.

Damit erweitert sich der Blick über klassischen Datenschutz hinaus.

Nicht alle geschäftskritischen Daten sind zwangsläufig personenbezogene Daten. Produktionsdaten, technische Informationen, Konfigurationen, Zugangsdaten, Geschäftsgeheimnisse oder operative Steuerungsinformationen können für ein Unternehmen genauso kritisch sein.

Für GRC-Verantwortliche wird deshalb die Frage wichtiger, welche Informationen tatsächlich geschäftskritisch sind und welche Sicherheitsanforderungen daraus entstehen.

Dazu gehören Risikoanalysen, Zugriffskontrollen, Backup-Strategien, Wiederherstellungsprozesse und klare Verantwortlichkeiten.

Cybersecurity, Informationssicherheit und Business Continuity wachsen damit weiter zusammen.

Die bestehende Meldepflicht soll integriert werden

Seit April 2025 gilt in der Schweiz bereits eine Meldepflicht für bestimmte Cyberangriffe auf kritische Infrastrukturen.

Betroffene Organisationen müssen relevante Cyberangriffe innerhalb von 24 Stunden nach ihrer Entdeckung an das Bundesamt für Cybersicherheit melden.

Diese bestehende Regelung soll künftig ebenfalls in das neue Cybersicherheitsgesetz integriert werden.

Damit würde ein grosser Teil der Schweizer Cybersecurity-Governance in einem gemeinsamen gesetzlichen Rahmen gebündelt.

Für Unternehmen ist das grundsätzlich positiv. Ein konsolidierter regulatorischer Rahmen kann dabei helfen, Überschneidungen und widersprüchliche Anforderungen zu reduzieren.

Gleichzeitig steigt aber die Bedeutung integrierter Prozesse. Incident Management, Meldepflichten, Risikomanagement und technische Security-Prozesse dürfen nicht unabhängig voneinander organisiert werden.

Was bedeutet das für Schweizer Unternehmen?

Noch entstehen aus dem angekündigten Cybersicherheitsgesetz keine neuen unmittelbaren Compliance-Pflichten.

Die Vernehmlassungsvorlage soll erst bis Juni 2027 ausgearbeitet werden. Erst dann werden viele Details zu Scope, Schwellenwerten, konkreten Anforderungen und möglichen Ausnahmen sichtbar.

Unternehmen sollten deshalb nicht versuchen, heute bereits Anforderungen umzusetzen, die noch gar nicht feststehen.

Trotzdem lohnt sich eine Vorbereitung auf struktureller Ebene.

Unternehmen können bereits heute prüfen, welche digitalen Produkte sie herstellen oder vertreiben, welche kritischen Daten sie verarbeiten, welche Cloud- und Hosting-Anbieter sie nutzen und welche Abhängigkeiten daraus entstehen.

Diese Transparenz ist unabhängig von der späteren Detailregulierung sinnvoll.

Besonders relevant für Hersteller digitaler Produkte

Für Schweizer Softwareunternehmen, Technologieanbieter, Maschinenbauer, Gerätehersteller und Anbieter vernetzter Produkte dürfte die CRA-Nähe besonders wichtig werden.

Viele dieser Unternehmen sind bereits direkt oder indirekt vom europäischen Cyber Resilience Act betroffen.

Eine ähnliche Schweizer Regulierung könnte langfristig dazu führen, dass zentrale Prozesse für beide Märkte genutzt werden können.

Das betrifft insbesondere Cyber Risk Assessments, Vulnerability Management, Produktdokumentation, Incident-Prozesse, Verantwortlichkeiten und Kontrollnachweise.

Wer diese Prozesse heute bereits strukturiert aufbaut, dürfte deutlich einfacher auf spätere Schweizer Anforderungen reagieren können.

Auch Cloud-Kunden sollten das Thema beobachten

Das Gesetz richtet sich bei den geplanten Cloud-Pflichten zunächst an Anbieter. Trotzdem ist das Thema auch für deren Kunden relevant.

Unternehmen verlagern immer mehr kritische Prozesse, Daten und Anwendungen in externe Infrastrukturen.

Damit steigt die Abhängigkeit von wenigen strategisch wichtigen Dienstleistern.

Für GRC-Verantwortliche stellt sich deshalb nicht nur die Frage, ob ein Anbieter technisch sicher ist. Entscheidend ist auch, wie kritisch der Dienstleister für das Unternehmen ist, welche Prozesse von ihm abhängen und wie ein Ausfall bewältigt werden könnte.

Ein modernes Third-Party-Risk-Management sollte solche Abhängigkeiten sichtbar machen und mit BCM, Informationssicherheit und Risikomanagement verbinden.

Fazit: Die Schweiz bündelt Cybersecurity zu einem Governance-Thema

Das geplante Cybersicherheitsgesetz markiert einen wichtigen nächsten Schritt für die Schweizer Cybersecurity-Regulierung.

Produkte mit digitalen Elementen, wichtige digitale Daten, Cloud- und Hosting-Anbieter sowie die bereits bestehende Meldepflicht für kritische Infrastrukturen sollen künftig in einem gemeinsamen gesetzlichen Rahmen zusammengeführt werden.

Für Unternehmen besteht noch kein unmittelbarer Handlungsdruck. Die konkreten Anforderungen werden sich erst mit der Vernehmlassungsvorlage zeigen.

Die strategische Richtung ist jedoch eindeutig: Cybersecurity wird stärker reguliert, vernetzter und nachweisorientierter.

Unternehmen, die ihre digitalen Produkte, kritischen Daten, Drittanbieter, Risiken und Kontrollen bereits heute transparent abbilden, schaffen damit eine gute Grundlage für die kommenden Anforderungen.

FAQ

Gibt es bereits ein neues Schweizer Cybersicherheitsgesetz?

Nein. Der Bundesrat hat am 25. September 2026 die Ausarbeitung einer Vernehmlassungsvorlage beschlossen. Diese soll bis Juni 2027 vorliegen.

Was soll das neue Cybersicherheitsgesetz regeln?

Geplant sind insbesondere Anforderungen an Produkte mit digitalen Elementen, der Schutz besonders wichtiger digitaler Daten sowie besondere Pflichten für Hosting- und Cloud-Anbieter.

Orientiert sich die Schweiz am EU Cyber Resilience Act?

Ja. Bei den Anforderungen an Produkte mit digitalen Elementen soll sich die Schweizer Regulierung am europäischen Cyber Resilience Act orientieren.

Welche Unternehmen könnten betroffen sein?

Besonders relevant könnte das Gesetz für Hersteller, Importeure und Händler von Soft- und Hardware-Produkten sowie für Hosting- und Cloud-Anbieter werden. Die genaue Abgrenzung steht jedoch noch nicht fest.

Was passiert mit der bestehenden Meldepflicht für Cyberangriffe?

Die seit April 2025 geltende Meldepflicht für bestimmte Cyberangriffe auf kritische Infrastrukturen soll in das neue Cybersicherheitsgesetz überführt werden.

Müssen Unternehmen jetzt bereits Massnahmen umsetzen?

Aus dem geplanten Gesetz entstehen derzeit noch keine neuen Pflichten. Unternehmen können jedoch bereits ihre digitalen Produkte, kritischen Daten, Cloud-Abhängigkeiten, Risiken und bestehenden Cybersecurity-Kontrollen strukturieren.

Wie unterstützt Zazoon?

Zazoon unterstützt Unternehmen dabei, Cyberrisiken, regulatorische Anforderungen, Kontrollen, Verantwortlichkeiten, Third Parties, Massnahmen und Nachweise zentral zu verwalten. Dadurch können neue regulatorische Anforderungen einfacher in bestehende GRC-Prozesse integriert werden.