Cybersecurity wird zur Rechtsfrage.

Was Unternehmen in der Schweiz und der EU jetzt beachten müssen

Datenschutz, Meldepflichten
und neue Vorgaben zur Cyberresilienz erhöhen den regulatorischen Druck auf
Unternehmen. Längst betrifft das Thema nicht mehr nur Konzerne oder Betreiber
kritischer Infrastrukturen. Auch KMU müssen zunehmend nachvollziehbar organisieren
und abhängig von Tätigkeit und Rechtsrahmen dokumentieren können, wie sie
Daten, Systeme und digitale Zugänge schützen.

Ein gestohlenes Passwort, ein falsch konfigurierter Cloud-Dienst oder ein erfolgreicher Phishing-Angriff ist heute nicht mehr ausschliesslich ein Problem der IT-Abteilung. Sobald personenbezogene Daten betroffen sind, Geschäftssysteme ausfallen oder kritische Dienstleistungen beeinträchtigt werden, kann aus einem technischen Vorfall innerhalb kurzer Zeit eine rechtliche Angelegenheit werden.

Unternehmen bewegen sich dabei in einem zunehmend dichten Geflecht aus Datenschutz-, Cybersecurity- und branchenspezifischen Vorschriften. In der Schweiz bildet das seit dem 1. September 2023 geltende revidierte Datenschutzgesetz (DSG) eine zentrale Grundlage. In der Europäischen Union kommen neben der Datenschutz-Grundverordnung (DSGVO) zunehmend Vorschriften wie NIS2 und für bestimmte Branchen die Verordnung über die digitale operationale Resilienz im Finanzsektor, DORA, hinzu.

Datenschutz verlangt heute auch Informationssicherheit

Eine der wichtigsten Entwicklungen besteht darin, dass Datenschutz und IT-Sicherheit immer stärker miteinander verbunden sind. Unternehmen müssen nicht nur erklären können, weshalb sie personenbezogene Daten bearbeiten. Sie müssen diese Daten auch angemessen schützen.

Das Schweizer DSG verlangt deshalb technische und organisatorische Massnahmen und verankert den Grundsatz «Datenschutz durch Technik». Datenschutz soll bereits bei der Planung von Systemen und Prozessen berücksichtigt werden. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) nennt dabei unter anderem Zugriffsbeschränkungen, Verschlüsselung und eine datenschutzgerechte Ausgestaltung von Systemen als relevante Massnahmen. Auch bei ausgelagerten Dienstleistungen bleibt das beauftragende Unternehmen grundsätzlich dafür verantwortlich, dass die datenschutzrechtlichen Anforderungen eingehalten werden.

In der Praxis betrifft das weit mehr als klassische Kundendatenbanken. Mitarbeitendendaten, E-Mail-Konten, Zugangsdaten, Cloud-Anwendungen, CRM-Systeme oder gemeinsam genutzte Geschäftskonten können sicherheits- und datenschutzrechtlich relevant sein. Ein Unternehmen muss deshalb wissen, wer auf welche Informationen zugreifen darf, wie Zugriffe entzogen werden und was bei einem Sicherheitsvorfall geschieht.

Gerade für KMU ist das entscheidend. Kleinere Unternehmen verfügen häufig über weniger spezialisierte Ressourcen für Datenschutz und Cybersecurity, sind von den wesentlichen Pflichten jedoch nicht pauschal ausgenommen. Die regulatorischen Anforderungen orientieren sich zwar vielfach am Risiko und an der konkreten Tätigkeit, grundlegende Pflichten zur sicheren Datenbearbeitung bleiben aber bestehen.

Ein Cybervorfall kann mehrere Meldepflichten gleichzeitig auslösen

Besonders deutlich wird die zunehmende Regulierungsdichte bei Sicherheitsvorfällen. Nach Schweizer Datenschutzrecht muss eine Verletzung der Datensicherheit dem EDÖB so rasch als möglich gemeldet werden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen führt. Das kann beispielsweise bei bestimmten Ransomware-Angriffen, umfangreichen Datenabflüssen oder der Offenlegung besonders sensibler Informationen der Fall sein.

Für bestimmte Betreiber kritischer Infrastrukturen besteht darüber hinaus seit dem 1. April 2025 eine eigenständige Meldepflicht gegenüber dem Bundesamt für Cybersicherheit (BACS). Relevante Cyberangriffe müssen grundsätzlich innerhalb von 24 Stunden nach ihrer Entdeckung gemeldet werden. Betroffen sein können beispielsweise Einrichtungen der Energie- und Wasserversorgung, des Verkehrs oder der öffentlichen Verwaltung sowie weitere gesetzlich definierte kritische Infrastrukturen.

Im Finanzsektor kommen zusätzliche Anforderungen hinzu. Die Eidgenössische Finanzmarktaufsicht FINMA überwacht bei den von ihr beaufsichtigten Instituten ausdrücklich auch den Umgang mit Cyber- und operationellen Risiken. Cyberrisiken und Abhängigkeiten von externen Dienstleistern gehören weiterhin zu ihren Aufsichtsschwerpunkten.

Damit wird eine zentrale Herausforderung sichtbar: Ein einzelner Vorfall kann je nach Unternehmen, Branche und betroffenem Datenbestand mehrere rechtliche Prüfungen und Meldewege gleichzeitig auslösen. Ein Incident-Response-Plan sollte deshalb nicht erst festlegen, wie Systeme technisch wiederhergestellt werden, sondern auch, wer innerhalb welcher Frist welche rechtliche Meldepflicht beurteilt.

Schweizer Unternehmen und die EU: Geschäftsbeziehung allein reicht nicht

Für Schweizer Unternehmen mit Geschäftskontakten in die EU ist die Situation besonders relevant. Häufig wird angenommen, dass bereits ein Kunde oder Geschäftspartner innerhalb der EU automatisch zur vollständigen Anwendung der DSGVO führt. So pauschal ist dies nicht.

Die DSGVO gilt für ausserhalb der EU ansässige Unternehmen insbesondere dann, wenn sie Waren oder Dienstleistungen gezielt Personen in der EU anbieten oder deren Verhalten innerhalb der EU beobachten. Auch eine Niederlassung in der EU kann den Anwendungsbereich eröffnen. Ein gewöhnliches B2B-Geschäftsverhältnis muss deshalb anhand der konkreten Datenbearbeitung und Geschäftstätigkeit beurteilt werden.

Für den Datenaustausch zwischen der Schweiz und der EU besteht gleichzeitig eine wichtige Erleichterung: Die Europäische Kommission bestätigte 2024 erneut, dass die Schweiz ein angemessenes Datenschutzniveau bietet. Personendaten können deshalb grundsätzlich aus der EU in die Schweiz übermittelt werden, ohne dass allein wegen des Drittlandtransfers zusätzliche Datenschutzgarantien notwendig werden. Das bedeutet jedoch nicht, dass damit sämtliche übrigen Pflichten der DSGVO entfallen.

Auch die Meldefristen unterscheiden sich. Während das Schweizer DSG bei einer meldepflichtigen Datensicherheitsverletzung von einer Meldung «so rasch als möglich» ausgeht, sieht die DSGVO grundsätzlich eine Meldung an die zuständige Datenschutzaufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden vor, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht.

NIS2 macht Cybersecurity stärker zur Führungsaufgabe

Über den Datenschutz hinaus erweitert die EU mit NIS2 die regulatorischen Anforderungen an Cybersecurity erheblich. In der Regel werden mittlere und grosse Unternehmen aus bestimmten kritischen oder besonders relevanten Sektoren erfasst. Dazu gehören unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur, Cloud- und Rechenzentrumsdienste, Managed Services, Teile der Industrie sowie weitere kritische Branchen. Unter bestimmten Voraussetzungen können auch kleinere Unternehmen erfasst werden.

Die NIS2-Richtlinie und ihre Umsetzung in nationales Recht verlangen von erfassten Unternehmen unter anderem einen risikobasierten Umgang mit Cybersecurity. Dazu gehören beispielsweise Incident Management, Lieferkettensicherheit, Schwachstellenmanagement, Zugriffskontrollen sowie der angemessene Einsatz von Kryptografie und Verschlüsselung. Gleichzeitig wird die Verantwortung des Managements stärker betont. Cybersecurity ist damit nicht mehr nur eine operative Aufgabe der IT, sondern zunehmend ein Thema der Unternehmensführung.

Für bestimmte digitale Dienstleister kann NIS2 zudem auch dann relevant werden, wenn das Unternehmen nicht in der EU niedergelassen ist. Bei beispielsweise Cloud-, Rechenzentrums-, Managed- oder Managed-Security-Diensten können besondere territoriale Regelungen und gegebenenfalls die Pflicht zur Benennung einer Vertretung innerhalb der EU greifen. Auch hier gilt deshalb: Nicht der Sitz allein, sondern Geschäftsmodell und angebotene Leistungen sind entscheidend.

Die Entwicklung geht weiter. Mit dem EU Cyber Resilience Act (CRA) werden insbesondere Hersteller von Produkten mit digitalen Elementen adressiert. Erste Teile gelten bereits, seid dem 11. September 2026 treten Meldepflichten für bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in Kraft. Die wesentlichen Produktanforderungen gelten ab Dezember 2027.

Wer kontrolliert – und wie hoch können die Sanktionen werden?

In der Schweiz übernimmt der EDÖB die datenschutzrechtliche Aufsicht und kann Untersuchungen durchführen sowie bei Verstössen Verwaltungsmassnahmen anordnen. Die strafrechtlichen Bussen nach DSG werden hingegen grundsätzlich durch die kantonalen Strafverfolgungsbehörden verfolgt. Bei vorsätzlichen Verstössen sieht das DSG Bussen von bis zu CHF 250’000 gegen verantwortliche natürliche Personen vor. Unter bestimmten Voraussetzungen kann stattdessen ein Unternehmen mit bis zu CHF 50’000 gebüsst werden.

Für die Meldepflicht von Cyberangriffen auf kritische Infrastrukturen ist das BACS die zentrale Stelle. Bei Missachtung der gesetzlichen Meldepflicht sind seit dem 1. Oktober 2025 Bussen von bis zu CHF 100’000 vorgesehen. Für beaufsichtigte Finanzunternehmen kommt zusätzlich die FINMA als zuständige Branchenaufsicht hinzu.

In der EU erfolgt die Durchsetzung der DSGVO durch die jeweiligen nationalen Datenschutzaufsichtsbehörden. Der Europäische Datenschutzausschuss (EDSA/EDPB) sorgt insbesondere bei grenzüberschreitenden Fällen für eine einheitliche Anwendung. Bei schweren DSGVO-Verstössen können Geldbussen von bis zu EUR 20 Mio. oder 4 Prozent des weltweiten Jahresumsatzes verhängt werden; für andere Verstosskategorien liegt die Obergrenze bei bis zu EUR 10 Mio. oder 2 Prozent. Entscheidend ist jeweils der höhere Betrag.

Bei NIS2 liegt die konkrete Aufsicht bei den von den EU-Mitgliedstaaten bestimmten nationalen Behörden; nationale CSIRTs übernehmen wichtige Aufgaben bei Sicherheitsvorfällen, während die EU-Cybersicherheitsagentur ENISA die Zusammenarbeit und Umsetzung unterstützt. Die Richtlinie verlangt für wesentliche Einrichtungen einen maximalen Bussgeldrahmen von mindestens EUR 10 Mio. beziehungsweise 2 Prozent des weltweiten Jahresumsatzes und für wichtige Einrichtungen mindestens EUR 7 Mio. beziehungsweise 1,4 Prozent. Die konkrete Umsetzung erfolgt über das jeweilige nationale Recht.

Moderne Sicherheitslösungen werden zum Bestandteil der Compliance

Gesetze schreiben Unternehmen in der Regel nicht vor, einen bestimmten Passwortmanager, eine bestimmte Firewall oder einen konkreten Cloud-Anbieter einzusetzen. Sie verlangen vielmehr ein Sicherheitsniveau, das dem jeweiligen Risiko entspricht. Genau deshalb gewinnt die technische Umsetzung für die Compliance an Bedeutung.

Mehrfaktor-Authentifizierung, zentrale Zugriffsverwaltung, rollenbasierte Berechtigungen, professionelle Passwortverwaltung, Verschlüsselung, Protokollierung, zuverlässige Backups sowie klar definierte Ein- und Austrittsprozesse für Mitarbeitende können dazu beitragen, Risiken systematisch zu reduzieren. Entscheidend ist, dass Sicherheitsmechanismen nicht isoliert eingesetzt werden: Unternehmen müssen auch wissen, wer für sie verantwortlich ist, wie ihre Wirksamkeit überprüft wird und wie im Ernstfall reagiert werden muss.

Besondere Aufmerksamkeit verdient zudem die Lieferkette. Cloud-Anbieter, externe IT-Dienstleister, Softwarelösungen und andere Auftragsbearbeiter entbinden das Unternehmen nicht automatisch von seiner Verantwortung. Sowohl Schweizer Datenschutzrecht als auch europäische Vorgaben verlangen zunehmend, Risiken bei Drittanbietern in die eigene Sicherheitsorganisation einzubeziehen.

Für Unternehmen bedeutet das einen grundlegenden Perspektivwechsel: Die entscheidende Frage lautet nicht mehr nur, ob eine Sicherheitslösung vorhanden ist. Sie lautet, ob das Unternehmen nachvollziehbar zeigen kann, dass Risiken erkannt, Verantwortlichkeiten geregelt, Zugriffe kontrolliert, Vorfälle vorbereitet und angemessene Schutzmassnahmen tatsächlich umgesetzt werden.

Cybersecurity wird damit zunehmend zu einem Bestandteil guter Unternehmensführung. Wer Datenschutz, Informationssicherheit und Compliance gemeinsam betrachtet, reduziert nicht nur das Risiko von Bussen und regulatorischen Verfahren. Er schafft zugleich die Grundlage dafür, dass Geschäftsprozesse auch dann funktionieren, wenn die digitale Infrastruktur unter Druck gerät.

Über die ALPEIN Software SWISS AG

Die ALPEIN Software SWISS AG entwickelt Software und Sicherheitslösungen für Unternehmen und unterstützt Organisationen unter anderem bei der sicheren Verwaltung digitaler Zugänge und Zugangsdaten. Zum Themenkreis Rechtsfragen im Unternehmen in der Schweiz und der EU, zum Datenschutz, zu Meldepflichten und Vorgaben zur Cyberresilienz, finden Interessenten Zugang zu den Sicherheitsspezialisten der ALPEIN Software gerne über www.alpeinsoftware.ch.

ALPEIN Software SWISS AG- Softwarehaus & Medienagentur in der Schweiz:
Ihr kompetenter Partner für individuelle Software-Entwicklung, Beratung und Dienstleistungen zu den Themen SAP BI, HANA, ME, MII, SAP UI5/Fiori, ABAP-Entwicklung, Webtechnologien auf HTML5, Javascript, PHP, SQL und JAVA-Basis. ALPEIN Software: Alles aus einer Hand!
Aktuelle Produkte: SWISS SECURIUM, CloudSecurium, PassSecurium, MailSecurium, DeskSecurium, AccessSecurium. JIRA2SAP PII Reporting Kit.

Kontakt
Alpein Software Swiss AG
Volker Strecker
Obergass 23
8260 Stein am Rhein
+41 (0) 41 552 44 07
http://www.alpeinsoft.ch