🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Cyberresilienz Schweizer Unternehmen: Was das BACS-Pilotassessment zeigt

Das Bundesamt für Cybersicherheit (BACS) hat im Juni 2026 erstmals ein standardisiertes Cyberresilienz-Assessment unter realen Bedingungen erprobt — im Kanton Aargau. Die Ergebnisse sind aufschlussreich: Technische Grundschutzmassnahmen existieren, aber ein ganzheitliches, prozessorientiertes Resilienzkonzept fehlt in vielen Organisationen noch. Für ISB und IT-Leitung in Schweizer Spitälern liefert dieser Pilotversuch wichtige Orientierung — auch weil die Meldepflicht für Cyberangriffe seit April 2025 gilt.

Was das BACS-Assessment gezeigt hat

Am 26. Juni 2026 veröffentlichte das BACS die Ergebnisse seines Pilotprojekts zur Cyberresilienz-Beurteilung im Kanton Aargau. Das Bundesamt hatte dafür ein standardisiertes Instrument entwickelt, das Organisationen anhand eines einheitlichen Rahmens bewertet — vergleichbar mit einem strukturierten Reifegrad-Check.

Das Kernbefund lässt sich in zwei Aussagen zusammenfassen:

Was funktioniert: Grundlegende IT-Schutzmassnahmen sind in den geprüften Organisationen mehrheitlich vorhanden. Firewall, Virenscanner, Patch-Management — die klassischen technischen Basiskontrollen sind implementiert.

Was fehlt: Ein ganzheitliches, prozessorientiertes Resilienzkonzept. Gemeint ist damit die Fähigkeit einer Organisation, einen Cybervorfall nicht nur abzuwehren, sondern auch zu erkennen, darauf zu reagieren, sich zu erholen und dabei den Betrieb aufrechtzuerhalten. Genau diese Dimension — Resilience statt nur Protection — fehlt laut BACS in vielen Fällen noch.

Für Schweizer Spitäler ist dieser Befund keine Überraschung, aber er ist gut dokumentiert: Die technische Härtung hat Fortschritte gemacht. Die organisatorische und prozessuale Reife hinkt hinterher.

Quelle: BACS, Cyberresilienz-Assessment 2026, Pilotprojekt Kanton Aargau (abgerufen 20.07.2026)

Warum dieser Befund Schweizer Spitäler direkt betrifft

Spitäler sind kritische Infrastrukturen im Sinne des Informationssicherheitsgesetzes (ISG).. Das ISG verlangt von Betreibern kritischer Infrastrukturen ein systematisches Informationssicherheitsmanagement — nicht bloss technische Einzelmassnahmen.

Parallel dazu gilt seit April 2025 die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen.. Wer melden muss, braucht zwingend einen funktionierenden Erkennungs- und Eskalationsprozess — genau das, was laut BACS-Pilotprojekt noch mangelhaft ausgeprägt ist.

Hinzu kommt das nDSG (neues Datenschutzgesetz), das seit September 2023 gilt. Bei einer Datenschutzverletzung — etwa durch einen Ransomware-Angriff mit Patientendaten — ist der EDÖB zu informieren.. Das nDSG sieht Bussen vor; die genaue Höhe hängt vom Einzelfall und der Art der Verletzung ab..

Der regulatorische Druck ist real. Und er setzt genau dort an, wo der BACS-Befund eine Lücke zeigt: bei der prozessorientierten Resilienz.

Die drei Resilienz-Lücken, die das Assessment offenlegt

Aus dem BACS-Pilotprojekt lassen sich drei strukturelle Schwachstellen ableiten, die auch im Spitalkontext typisch sind:

1. Fehlende Erkennungsfähigkeit (Detection)

Technische Schutzmassnahmen sind vorhanden, aber SIEM-Systeme, Log-Management und Security Monitoring fehlen oder sind unvollständig konfiguriert. Angriffe werden oft erst erkannt, wenn der Schaden bereits eingetreten ist — zu spät für eine wirksame Eindämmung und zu spät, um Meldepflichten fristgerecht zu erfüllen.

Handlungsschritt: Führen Sie ein strukturiertes Log-Konzept ein. Definieren Sie, welche Systeme welche Ereignisse protokollieren, wie lange Logs aufbewahrt werden und wer sie auswertet.

2. Fehlende oder ungetestete Incident-Response-Prozesse

Incident-Response-Pläne existieren manchmal auf dem Papier, werden aber selten geprobt. Im Ernstfall fehlt die Routine: Wer informiert wen? Wer entscheidet über Abschaltung eines Systems? Wie wird der Betrieb aufrechterhalten?

Handlungsschritt: Führen Sie mindestens einmal jährlich eine Tabletop-Übung durch. Simulieren Sie einen Ransomware-Vorfall und prüfen Sie, ob Ihre Eskalationswege, Kommunikationspläne und technischen Rückfalloptionen funktionieren.

3. Schwaches Business Continuity Management (BCM)

Selbst wenn ein Angriff erkannt und eingedämmt wird: Wie wird der Spitalbetrieb aufrechterhalten? Für welche Systeme gibt es Rückfallpläne? Wie lange dauert der Wiederanlauf kritischer Applikationen? Ohne Business Impact Analyse (BIA) und getestete Wiederanlaufpläne bleibt die Antwort auf diese Fragen dem Zufall überlassen.

Handlungsschritt: Erstellen Sie eine BIA für Ihre kritischen Prozesse — beginnend mit Patientenverwaltung, bildgebenden Systemen und medizinischen Geräten mit Netzwerkanschluss. Definieren Sie RTO (Recovery Time Objective) und RPO (Recovery Point Objective) für jedes kritische System.

Was ein ganzheitliches Resilienzkonzept ausmacht

Der BACS-Befund macht implizit deutlich, was ein prozessorientiertes Resilienzkonzept leisten muss. Es folgt dem Grundprinzip von NIST Cybersecurity Framework oder ISO 27001/27799: nicht nur schützen, sondern auch erkennen, reagieren, erholen und anpassen.

Für Schweizer Spitäler bedeutet das konkret:

Dimension	Typische Lücke	Massnahme
Identify	Keine vollständige Asset-Inventur	CMDB einführen, Medizingeräte erfassen
Protect	Netzwerksegmentierung unvollständig	VLAN-Konzept für klinische Netze
Detect	Kein zentrales Log-Management	SIEM oder managed SOC prüfen
Respond	IR-Plan nicht getestet	Jährliche Übungen, klare Rollen
Recover	BCM ohne aktuelle BIA	BIA und Wiederanlaufpläne aktualisieren

Ein ISMS nach ISO 27001 — ergänzt durch ISO 27799 für den Gesundheitsbereich — bietet den organisatorischen Rahmen, um diese Dimensionen systematisch zu adressieren. Das BACS-Assessment kann als externer Reifegrad-Check dienen, um Lücken zu identifizieren und Prioritäten zu setzen.

Praktische nächste Schritte für ISB in Schweizer Spitälern

Das BACS-Pilotprojekt ist ein Weckruf, kein Abschlussbericht. Für ISB und IT-Leitung ergeben sich konkrete Handlungsfelder:

Self-Assessment durchführen: Prüfen Sie Ihre eigene Resilienz anhand der fünf NIST-Dimensionen oder nutzen Sie das ISMShield-Assessment als strukturierten Einstieg: ismshield.bpcgmbh.com/assessment/
Meldeprozesse verifizieren: Stellen Sie sicher, dass Ihre internen Prozesse die Meldepflicht an das BACS operativ abdecken — mit klaren Verantwortlichkeiten, Kontakten und Zeitplänen.
BCM auf Aktualität prüfen: Wann wurde Ihre letzte BIA durchgeführt? Sind neue Systeme oder Abhängigkeiten entstanden (z.B. Cloud-Dienste, EPD-Anbindung)?
Detection-Fähigkeiten ausbauen: Bewerten Sie, ob Ihr bestehendes Monitoring ausreicht, um einen Angriff innerhalb von Stunden — nicht Tagen — zu erkennen.
Lieferkette (Supply Chain) berücksichtigen: Medizintechnik-Hersteller, Cloud-Provider und IT-Dienstleister sind potenzielle Einfallstore. Prüfen Sie vertragliche Sicherheitsanforderungen und Meldepflichten gegenüber Lieferanten.

Für rechtliche Fragen zur Meldepflicht, zu Haftungsfragen oder zur Auslegung des ISG und nDSG wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.

Fazit

Das BACS-Cyberresilienz-Assessment bestätigt, was erfahrene ISB bereits ahnen: Der technische Basisschutz ist häufig vorhanden, aber die organisatorische und prozessuale Resilienz — Erkennung, Reaktion, Wiederherstellung — bleibt eine Schwachstelle. Für Schweizer Spitäler, die unter Meldepflicht stehen und patientenbezogene Daten nach nDSG schützen müssen, ist das kein akademisches Problem. Es ist eine operative Risikolage.

Die gute Nachricht: Das BACS hat ein standardisiertes Instrument entwickelt. Das schafft Vergleichbarkeit und die Grundlage für gezielte Verbesserungen. Nutzen Sie diesen Impuls, um Ihre eigene Resilienz strukturiert zu bewerten.

Weiterführende Artikel auf ismshield.ai/wissen/ zu Incident Response, Business Impact Analyse und ISMS-Implementierung im Spitalkontext.

Quellen und weiterführende Links

Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für rechtliche Fragen zur Umsetzung des ISG, der Meldepflicht oder des nDSG in Ihrer Organisation wenden Sie sich an einen qualifizierten Rechtsanwalt.

Kostenlose NIS2-Bestandsaufnahme starten →