Ab sofort gilt in der Schweiz eine Meldepflicht für Cyberangriffe – und das innert 24 Stunden. Die neue gesetzliche Vorgabe betrifft vor allem Betreiber kritischer Infrastrukturen. Doch was bedeutet das konkret? Wer ist betroffen? Was muss gemeldet werden – und innerhalb welcher Frist? Und wie kann man sich heute schon darauf vorbereiten?

Im folgenden Beitrag geben wir einen Überblick über die wichtigsten Fakten zur Meldepflicht bei Cyberangriffen und zeigen auf, wie axelion Sie als Partner dabei unterstützen kann.

Wer ist betroffen?

Zur Meldepflicht verpflichtet sind Betreiber sogenannter kritischer Infrastrukturen – also Einrichtungen, deren Ausfall die Gesellschaft oder Wirtschaft erheblich beeinträchtigen würde. Dazu zählen insbesondere:

• Kritische Infrastrukturen (Energieversorger, Gesundheitswesen, Banken und Telekommunikation)
• IT-Dienstleister, die Rechenzentren betreiben, Cloud-Computing anbieten oder digitale Sicherheitsdienste bereitstellen
• Hersteller von Hard- und Software mit Fernwartungszugang
• Unternehmen, die IT-Sicherheitsleistungen für kritische Infrastrukturen erbringen

Was muss gemeldet werden?

Nicht jeder IT-Zwischenfall ist automatisch meldepflichtig. Die Verordnung definiert verschiedene Kriterien, anhand derer beurteilt wird, ob ein Vorfall zu melden ist. Dazu zählen unter anderem alle Cyberangriffe, die zu Systemausfällen, Datenverlust oder Datenmanipulation führen, sowie Cyberangriffe, die längere Zeit unentdeckt bleiben oder mit Erpressung, Drohung oder Nötigung verbunden sind. Die Einschätzung der Meldepflicht liegt letztlich beim betroffenen Unternehmen wo Fachwissen und schnelles Handeln gefragt ist.

So läuft der Meldeprozess ab:

Kommt es zu einem meldepflichtigen Vorfall, greift ein klar strukturierter Prozess. Dieser verlangt eine erste Reaktion innert kürzester Zeit – ein gut vorbereitetes Notfallkonzept ist daher essenziell.

Die wichtigsten Schritte im Überblick:

• Cyberangriff entdecken
• Innert 24h Erstmeldung an das Bundesamt für Cybersicherheit (BACS)
  Zum BACS-Meldeportal
• Vervollständigung der Meldung innerhalb von 14 Tagen

Wer ist verantwortlich für die Meldung?

Die Verantwortung für die rechtzeitige und korrekte Meldung liegt bei den Verantwortlichen für Informationssicherheit innerhalb der Organisation. In der Regel betrifft dies:

• CIOs / IT-Leiter*innen
• IT-Sicherheitsverantwortliche
• Geschäftsführer*innen kleinerer Einrichtungen, wenn keine explizite IT-Funktion vorhanden ist

Wichtig: Die Pflicht zur Meldung kann nicht an externe Dienstleister ausgelagert werden – auch wenn diese z. B. das Netzwerk betreuen. Eine saubere interne Zuständigkeit muss deshalb frühzeitig geregelt werden.

Wie unterstützt axelion?

Auch wenn die gesetzliche Verantwortung bei Ihnen liegt – wir stehen Ihnen zur Seite. Als erfahrener Digitalisierungspartner unterstützen wir Sie nicht nur technisch, sondern auch organisatorisch bei der Einhaltung der neuen gesetzlichen Anforderungen. Unsere Leistungen umfassen:

• Wir helfen beim Ausfüllen des Meldeformulars
• Wir beraten zu technischen Details und Inhalten
• Wenn unsere Systeme betroffen sind (z. B. Cloud-Dienste), übermitteln wir eine ergänzende Meldung – in enger Absprache mit Ihnen

Gut vorbereitet sein

Unsicher, ob Ihre Organisation betroffen ist, was im Fall eines Cybervorfalls zu tun ist oder Ihr Unternehmen einer Meldepflicht unterliegt? Dies lässt sich zum Beispiel durch eine Betroffenheitsanalyse oder über das Bundesamt für Cybersicherheit (BACS) herausfinden.

Klären Sie offene Fragen lieber heute als morgen und ziehen Sie Ihr axelion-Crew frühzeitig in Ihre Prozesse mit ein. Ihr persönlicher Ansprechpartner bei axelion steht Ihnen beratend zur Seite – präventiv und im Ernstfall.

Wichtige Links & weiterführende Informationen

Medienmitteilung des Bundesrats zur Meldepflicht

Meldepflicht für Cyberangriffe auf kritische Infrastrukturen gilt ab 1. April

Ob Spital oder Pflegeheim – Cyberangriffe sind Realität und keine Ausnahme. Wir zeigen, worauf es ankommt, um Angriffe frühzeitig zu erkennen und Schäden zu minimieren.

Mit der zunehmenden Digitalisierung steigen auch die Risiken. Gesundheitsorganisationen – von Spitälern über Pflegeeinrichtungen bis hin zu Reha-Zentren – sind attraktive Ziele für Cyberkriminelle. Der Grund ist einfach: Sie arbeiten mit sensiblen Daten, sind auf einen reibungslosen Betrieb rund um die Uhr angewiesen und verfügen oft über begrenzte Ressourcen im Bereich IT-Sicherheit.

Ein erfolgreicher Angriff kann weitreichende Folgen haben: Systeme werden lahmgelegt, Daten verschlüsselt oder manipuliert, die Patientenversorgung kommt ins Stocken – und nicht zuletzt steht das Vertrauen von Patienten, Angehörigen und Partnern auf dem Spiel. Umso wichtiger ist es, Risiken frühzeitig zu erkennen, richtig zu reagieren und im besten Fall bereits im Vorfeld vorzusorgen.

So erkennen Sie mögliche Cyberangriffe

Nicht jeder Angriff ist sofort sichtbar. Manche schleichen sich unbemerkt ins System – andere schlagen plötzlich zu. Achten Sie auf:

• Plötzliche Systemverlangsamungen oder -ausfälle
• Unerklärliche Login-Versuche oder neue Benutzerkonten
• Warnmeldungen, Sperrbildschirme oder Lösegeldforderungen
• Veränderte, verschobene oder gelöschte Daten
• Mitarbeitende, die verdächtige E-Mails oder Anhänge erhalten

Schon ein einziges falsch geöffnetes E-Mail kann reichen. Umso wichtiger ist es, auch bei kleinsten Auffälligkeiten achtsam zu sein.

Wie Sie im Ernstfall richtig handeln

Ein klarer Reaktionsplan entscheidet darüber, wie schnell und kontrolliert Sie reagieren können. Im Akutfall zählt jede Minute. Wir empfehlen:

• Sofortige interne Alarmierung (IT, Datenschutzbeauftragte etc.)
• Systeme sichern, betroffene Geräte isolieren
• Verdächtige E-Mails oder Hinweise dokumentieren
• Externe Partner (z. B. axelion) informieren
• Prüfen, ob eine Meldung an das BACS erforderlich ist

Cybersecurity beginnt mit Bewusstsein

Viele Vorfälle lassen sich verhindern – oder abmildern. Dazu braucht es keine High-End-Lösungen, sondern Klarheit, Schulung und klare Präventionsmassnahmen.

• Sensibilisieren Sie Ihre Mitarbeitenden regelmässig
• Führen Sie Security-Awareness-Trainings durch
• Definieren Sie Zuständigkeiten und Meldeprozesse
• Halten Sie alle wichtigen Kontakte griffbereit

Gut vorbereitet sein

Unsicher, ob Ihre Organisation betroffen ist, was im Fall eines Cybervorfalls zu tun ist oder Ihr Unternehmen einer Meldepflicht unterliegt? Dies lässt sich zum Beispiel durch eine Betroffenheitsanalyse oder über das Bundesamt für Cybersicherheit (BACS) herausfinden.

Klären Sie offene Fragen lieber heute als morgen und ziehen Sie Ihr axelion-Crew frühzeitig in Ihre Prozesse mit ein. Ihr persönlicher Ansprechpartner bei axelion steht Ihnen beratend zur Seite – präventiv und im Ernstfall.

Wichtige Links & weiterführende Informationen 

Medienmitteilung des Bundesrats zur Meldepflicht 

Meldepflicht für Cyberangriffe auf kritische Infrastrukturen gilt ab 1. April 

Microsoft gibt eine neue Preisstruktur bekannt und passt ab dem 1. April 2025 die Kosten für verschiedene Microsoft 365-Dienste an. Wer seine Lizenzen verlängert oder neue Lizenzen kauft, sollte sich auf Preisveränderungen einstellen. 

Wir bringen die wichtigsten Infos auf den Radar. 

Welche Lizenzen sind betroffen? 

• Teams Phone: ca. 25% 
• Power BI Pro: ca. 40% 
• Power BI Premium: ca. 20% 

Wichtig: Microsoft 365 E5 und Office 365 E5 sind von dieser Anpassung nicht betroffen. Beide beinhalten bereits Teams Phone Standard und Power BI Pro. 

5% Aufpreis für Jahreslizenzen mit monatlicher Abrechnung 

Wer hingegen Jahreslizenzen mit monatlicher Abrechnung nutzt, sollte sich auf einen zusätzlichen Preisaufschlag von 5% einstellen. Diese Anpassung betrifft Neubestellungen und Verlängerungen ab dem 1. April 2025. Bestandskunden zahlen erst bei der nächsten Verlängerung den neuen Preis. 

axelion stellt sich strategisch neu auf und setzt auf innovative Impulse, um den künftigen Herausforderungen gerecht zu werden. Im Zuge dieser Neuausrichtung geben wir wichtige Veränderungen in der Geschäftsleitung und im Verwaltungsrat bekannt.

Oliver Eglin zieht sich aus der operativen Geschäftsleitung zurück und übernimmt das Präsidium des Verwaltungsrates. Damit fokussiert er sich auf die strategische Weiterentwicklung der Firma. Der Verwaltungsrat wird zudem mit Florian Frank-Döbeli als Vertreter der Geschäftsleitung ergänzt. Die Geschäftsleitung setzt sich weiterhin aus Roland Buchser, Florian Frank-Döbeli und Philipp Wigger zusammen, die für die operative Führung verantwortlich sind.

Nadine Stutz verstärkt den Verwaltungsrat

Zeitgleich zur neuen Führungsstruktur verstärken wir den Verwaltungsrat, um die strategische Expertise zu erweitern und das Unternehmen noch professioneller aufzustellen. Wir freuen uns, Nadine Stutz, eine ausgewiesene Expertin für digitale Kommunikation und Transformationsprozesse, als neues Mitglied im Verwaltungsrat begrüssen zu dürfen.

Nadine Stutz ist Gründerin von empower digital und bringt über 15 Jahre Erfahrung in der digitalen Kommunikation sowie in der Gestaltung von Transformationsprozessen mit. Sie unterstützt Unternehmen in der Entwicklung moderner Kommunikationsstrategien, beim Einsatz von generativer KI und dem Aufbau digitaler Kompetenzen für die Zukunft. Ihr besonderes Augenmerk liegt auf der Befähigung von Menschen und der nachhaltigen Integration digitaler Technologien.

Nadine Stutz studierte Medien- und Kommunikationswissenschaften, Journalistik und Englische Literatur an der Universität Freiburg i.Üe. und promovierte an der Universität Zürich. In ihrer bisherigen Laufbahn war sie unter anderem für die Hochschule Luzern und Raiffeisen Schweiz tätig. Derzeit wirkt sie als Beraterin und Dozentin im Bereich digitale Kommunikation und generative Künstliche Intelligenz. Seit 2020 ist sie als Kommunikationsverantwortliche Teil des Badenfahrtkomitees.

Wir sind überzeugt, dass Nadine Stutz mit ihrer umfassenden Expertise und ihrem innovativen Ansatz eine wertvolle Bereicherung für unseren Verwaltungsrat sein wird und freuen uns auf die künftige Zusammenarbeit.