BACS-Meldepflicht für Cyberangriffe: Was Spitäler jetzt wissen müssen

Die BACS-Meldepflicht für Cyberangriffe gilt seit April 2025 für Betreiber kritischer Infrastrukturen in der Schweiz. Spitäler, die auf kantonalen Spitallisten geführt werden, gehören zu den betroffenen Einrichtungen — und stehen vor konkreten operativen Anforderungen. Dieser Artikel beschreibt, was die Pflicht umfasst, wer betroffen ist und wie Spitäler ihre Meldeprozesse praxistauglich aufsetzen.

Was ist die BACS-Meldepflicht — und warum jetzt?

Das Informationssicherheitsgesetz (ISG) bildet die gesetzliche Grundlage für die Meldepflicht bei Cyberangriffen in der Schweiz.

Das Bundesamt für Cybersicherheit (BACS) — bis Ende 2023 als NCSC bekannt — ist die zuständige Meldestelle. Meldepflichtige Einrichtungen müssen erhebliche Cyberangriffe innerhalb einer gesetzlich definierten Frist melden.

Der Hintergrund ist nachvollziehbar: Ransomware-Angriffe auf Schweizer Spitäler — darunter öffentlich bekannte Vorfälle der letzten Jahre — haben gezeigt, dass Behörden ohne Frühwarnsystem keine koordinierten Gegenmassnahmen einleiten können. Die Meldepflicht soll diese Lücke schliessen.

Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Für verbindliche Einschätzungen zur konkreten Betroffenheit Ihrer Einrichtung wenden Sie sich an einen auf IT- und Gesundheitsrecht spezialisierten Anwalt.

Wer ist betroffen — und wer nicht?

Die Meldepflicht richtet sich nach aktuellem Erkenntnisstand an Betreiber kritischer Infrastrukturen. Im Gesundheitsbereich fallen darunter im Wesentlichen Spitäler, die auf kantonalen Spitallisten gemäss KVG geführt werden.

Nicht betroffen sind nach aktuellem Stand:

  • Arztpraxen und ambulante Einzelpraxen: Sie fallen nicht unter den Begriff der kritischen Infrastruktur im Sinne des ISG. Für sie gelten weiterhin die Anforderungen des nDSG (Datenschutzgesetz, in Kraft seit September 2023), insbesondere die Pflicht zur Meldung von Datenschutzverletzungen an den EDÖB.
  • Kleinere Pflegeheime und Spitex-Organisationen:

Wichtige Abgrenzung: „Gesundheitseinrichtung" ist nicht automatisch gleichbedeutend mit „kritische Infrastruktur" im Sinne des ISG. Die Betroffenheit ergibt sich aus der konkreten Einordnung durch die zuständige Behörde — nicht aus einer pauschalen Sektorenzugehörigkeit. Prüfen Sie im Zweifel mit rechtlicher Unterstützung, ob Ihre Einrichtung unter die Meldepflicht fällt.

Was muss gemeldet werden — und was nicht?

Nicht jeder Sicherheitsvorfall löst eine Meldepflicht aus. Massgeblich ist, ob ein Angriff als erheblich eingestuft wird. Das BACS nennt dazu folgende offizielle Kriterien:

  • Gefährdung der Funktionsfähigkeit der kritischen Infrastruktur (z. B. Ausfall von KIS, Bildgebung oder Notaufnahme-Infrastruktur)
  • Manipulation oder Abfluss von Informationen (z. B. Exfiltration von Patientendaten oder anderen schützenswerten Daten)
  • Verbindung mit Erpressung, Drohung oder Nötigung (z. B. Ransomware mit Lösegeldforderung)

Die Meldung erfolgt über das Online-Meldeformular des BACS unter bacs.admin.ch. Das BACS wertet Meldungen aus, leitet keine Strafverfolgung ein und ist keine Aufsichtsbehörde — die Meldung dient primär der nationalen Lagebeurteilung.

Wie läuft eine BACS-Meldung in der Praxis ab?

Für Informationssicherheitsbeauftragte (ISB) und IT-Leitungen bedeutet die Meldepflicht vor allem: Der Prozess muss vor dem Vorfall definiert sein, nicht währenddessen.

Schritt 1: Ersterkennung und interne Eskalation

Sobald ein Sicherheitsvorfall entdeckt wird, greift das Incident-Response-Verfahren. Intern muss innerhalb kurzer Zeit geklärt werden:

  • Ist der Vorfall meldepflichtig (erheblicher Cyberangriff)?
  • Wer ist intern für die Meldung verantwortlich (ISB, CISO, IT-Leitung)?
  • Liegt eine Datenschutzverletzung vor, die zusätzlich dem EDÖB nach nDSG gemeldet werden muss?

Schritt 2: BACS-Meldung

Die Meldung an das BACS muss die wesentlichen bekannten Fakten enthalten: betroffene Systeme, Art des Angriffs, Zeitpunkt der Entdeckung, bisherige Massnahmen. Vollständige forensische Analyse ist zu diesem Zeitpunkt nicht erforderlich — die Erstmeldung kann auf Basis der initialen Lagebeurteilung erfolgen.

Können bei der Erstmeldung noch nicht alle Angaben gemacht werden, besteht eine Frist von 14 Tagen, um die Meldung zu vervollständigen.

Schritt 3: Parallele Meldepflichtkaskade prüfen

Ein erheblicher Cyberangriff auf ein Spital kann mehrere Meldepflichten gleichzeitig auslösen:

Meldepflicht Empfänger Rechtsgrundlage
Datenschutzverletzung EDÖB nDSG Art. 24
Patientensicherheitsrelevante Vorfälle Kantonale Gesundheitsbehörde Kantonales Gesundheitsgesetz Je nach Kanton unterschiedlich
Medizinprodukte-Vorfall Swissmedic MepV/HMG

Diese Parallelstruktur ist einer der häufigsten operativen Stolpersteine: Teams fokussieren auf die technische Schadensbehebung und verpassen Meldefristen.

Sanktionen: Was droht bei unterlassener Meldung?

Das Gesetz sieht Bussen für die unterlassene Meldung vor. Die Sanktionsbestimmungen traten dabei nicht gleichzeitig mit der Meldepflicht in Kraft: Die Meldepflicht gilt seit dem 1. April 2025; die Sanktionsbestimmungen wurden erst per 1. Oktober 2025 wirksam. In den ersten sechs Monaten (1. April bis 30. September 2025) galt damit faktisch eine Kulanzphase, in der keine Bussen für die Unterlassung der Meldung verhängt wurden.

Typische Stolperfallen — und wie Sie sie vermeiden

Stolperfalle 1: Meldeprozess nicht dokumentiert

Die Frage „Wer meldet wann was an wen?" darf nicht erst im Ernstfall beantwortet werden. Definieren Sie einen Meldeverantwortlichen (in der Regel ISB oder CISO) und einen Stellvertreter. Halten Sie die Kontaktdaten des BACS und des EDÖB im Notfallhandbuch vor.

Stolperfalle 2: Fristbeginn unklar

Dieser Unterschied ist praktisch relevant: Wenn ein SIEM-Alert um 02:00 Uhr ausgelöst wird, der Vorfall aber erst um 08:00 Uhr durch einen Analysten als erheblich eingestuft wird — welcher Zeitpunkt zählt? Klären Sie das im Voraus mit rechtlicher Unterstützung.

Stolperfalle 3: Scope-Unsicherheit bei Verbünden

Spitalnetzwerke und Verbundstrukturen (z. B. mehrere Standorte unter einer Trägerschaft) müssen klären, ob die Meldepflicht pro Rechtseinheit oder pro Träger gilt.

Stolperfalle 4: BACS-Meldung als Selbstanzeige missverstehen

Das BACS ist keine Strafverfolgungsbehörde und leitet keine Ermittlungen ein. Die Meldung dient der nationalen Lagebeurteilung. Dieser Punkt ist für die interne Kommunikation gegenüber Geschäftsleitung und Rechtsabteilung wichtig — unbegründete Zurückhaltung bei Meldungen erhöht das rechtliche Risiko.

Praktische Handlungsschritte für ISB und IT-Leitung

  1. Betroffenheit klären: Prüfen Sie mit rechtlicher Unterstützung, ob Ihre Einrichtung unter die ISG-Meldepflicht fällt. Stützen Sie sich dabei auf den Gesetzestext und offizielle BACS-Informationen — nicht auf Analogieschlüsse.

  2. Meldeverfahren dokumentieren: Erstellen Sie ein Meldepflichtenregister, das alle relevanten Meldepflichten (BACS, EDÖB, Swissmedic, kantonale Behörden) mit Fristen, Verantwortlichen und Meldeformularen auflistet.

  3. Incident-Response-Plan anpassen: Integrieren Sie die BACS-Meldung als definierten Schritt in Ihren IR-Plan. Trainieren Sie den Prozess in Tabletop-Übungen — inklusive der Frage, wann ein Vorfall als „erheblich" eingestuft wird, und der 14-Tage-Frist zur Vervollständigung der Erstmeldung.

  4. Erste Meldung üben: Füllen Sie das BACS-Meldeformular im Testszenario einmal gemeinsam mit Ihrem Team aus. Identifizieren Sie fehlende Informationen und Engpässe.

  5. Parallelfristen synchronisieren: Stellen Sie sicher, dass bei einem Vorfall nDSG- und ISG-Meldepflichten koordiniert bearbeitet werden — mit klarer Zuständigkeit und einem gemeinsamen Kommunikationskanal.

  6. Schulung und Awareness: Sensibilisieren Sie insbesondere den Bereitschaftsdienst der IT für die Meldefristen. Ein kritischer Vorfall tritt selten während der Kernarbeitszeit auf.

Dieser Artikel wurde zuletzt aktualisiert am 20. Juli 2026 und spiegelt den Informationsstand zu diesem Datum wider. Rechtslagen können sich ändern; dieser Artikel ersetzt keine rechtliche Beratung. Für verbindliche Einschätzungen wenden Sie sich an einen auf IT- und Gesundheitsrecht spezialisierten Anwalt.

REDAKTIONELLER HINWEIS (intern, vor Publikation entfernen): Dieser Artikel enthält mehrere …-Marker. Vor der Publikation müssen folgende Punkte durch die Rechtsredaktion verifiziert werden: 1. Genaue Rechtsgrundlage (ISG-Artikel) für die Meldepflicht — Art. 74b (Adressatenkreis inkl. Listenspitäler), Art. 74c (Ausnahmen), Folgeartikel (teils Art. 74e) für Meldepflicht und Fristen 2. Meldefrist (24 Stunden?) und Fristbeginn 3. 14-Tage-Frist zur Vervollständigung der Erstmeldung 4. Adressatenkreis: Alle Spitäler auf kantonalen Spitallisten oder Teilmenge? 5. Geltung für Pflegeheime und Spitex 6. Kriterien für „erheblichen Cyberangriff" (Funktionsfähigkeit, Informationsabfluss, Erpressung/Drohung/Nötigung) 7. Geltung bei versuchten Angriffen 8. Meldepflicht bei Verbundstrukturen (pro Rechtseinheit?) 9. nDSG-Meldeschwelle und -frist (Art. 24 nDSG) 10. Bussenhöhe (bis CHF 100'000) und Inkrafttreten der Sanktionsbestimmungen per 1. Oktober 2025; Kulanzphase 1.4.–30.9.2025

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen