🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG).

Von Frank Becker, Externer ISB / DSB, BPC GmbH
Aktualisiert am 14.09.2026

Am 1. November 2026 treten im Kanton Bern das Gesetz über die Informations- und Cybersicherheit (ICSG) und die Verordnung über die Informations- und Datensicherheit (IDSV) in Kraft. Je nach Bestimmung gelten Übergangsfristen von bis zu drei Jahren. Der Grosse Rat hatte dem ICSG-Entwurf in erster Lesung am Donnerstag, 5. Dezember 2024, einstimmig mit 148 Stimmen zugestimmt.

Für CISOs und Informationssicherheitsbeauftragte im Kanton Bern stellen sich jetzt drei Fragen: Bin ich überhaupt gebunden? Was muss ich bis wann umsetzen? Und wie verhält sich das ICSG zu den bereits geltenden Bundesregeln?

Betrifft mich das?

Wer gebunden ist

Das ICSG und die IDSV binden kantonale Behörden, Gemeinden, Landeskirchen und weitere Träger öffentlicher Aufgaben im Kanton Bern. Für kantonale Behörden gilt der vollständige Geltungsbereich einschliesslich der Klassifizierungspflicht für Informationen. Für Gemeinden, Landeskirchen und weitere Träger öffentlicher Aufgaben gelten die grundsätzlichen Bestimmungen; sie sind jedoch nicht verpflichtet, ihre Informationen zu klassifizieren. Weitergehende Vorgaben gelten für sie nur, soweit sie mit Informationen oder Applikationen des Kantons oder des Bundes arbeiten. Der Regierungsrat hält fest, dass Gemeinden die kantonalen Regeln freiwillig übernehmen können, was einen einheitlichen Sicherheitsraum begünstigen würde.

Wer nicht ohne Weiteres gebunden ist

Privatrechtlich organisierte Spitäler und Kliniken sind keine kantonalen Behörden und keine Gemeinden. Das ICSG erfasst sie nach dem belegten Geltungsbereich grundsätzlich nicht, sofern sie nicht als weitere Träger öffentlicher Aufgaben im Kanton Bern einzustufen sind — was im Einzelfall zu prüfen ist. Die Kategorie «weitere Träger öffentlicher Aufgaben» ist im vorliegenden Medienbericht nicht abschliessend definiert; privatrechtlich organisierte Spitäler mit öffentlichem Auftrag könnten je nach Ausgestaltung darunter fallen.

Öffentlich-rechtlich organisierte Spitäler, die als kantonale Behörden oder als Träger öffentlicher Aufgaben im Kanton Bern qualifizieren, sollten ihre Einordnung sorgfältig prüfen.

Für Spitäler, die auf der kantonalen Spitalliste nach Art. 39 Abs. 1 Bst. e KVG aufgeführt sind, gilt unabhängig vom ICSG bereits seit dem 1. April 2025 die Meldepflicht für Cyberangriffe nach Art. 74b Abs. 1 Bst. f ISG gegenüber dem BACS (ehemals NCSC). Diese Pflicht besteht kraft Bundesrecht und ist nicht an die Geltung des kantonalen ICSG geknüpft. Mehr dazu lesen Sie in unserem Artikel zur BACS-Meldepflicht für Cyberangriffe.

Was ist zu tun?

Einstufung von ICT-Mitteln (kantonale Behörden)

Das ICSG verpflichtet kantonale Behörden, jedes ICT-Mittel vor dessen Inbetriebnahme zu beurteilen und in eines von vier Schutzniveaus einzustufen. Die Quelle unterscheidet dabei zwei tiefere und zwei höhere Niveaus:

  • Beide tieferen Niveaus (keine vertraulichen Inhalte): Ein einheitlicher Satz von Mindestmassnahmen — der «Grundschutz BE» — genügt.
  • Beide höheren Niveaus: Der Kanton verlangt ein Sicherheits- und Datenschutzkonzept.

Aus Beratungssicht empfehlen wir, die Einstufungsentscheide zu dokumentieren und nachvollziehbar zu begründen, auch wenn eine ausdrückliche Inventarpflicht in den ausgewerteten Quellen (Stand 12. September 2026) nicht belegt ist.

Klassifizierung von Informationen (kantonale Behörden)

Informationen werden nach dem ICSG nur klassifiziert, wenn ihre Kenntnisnahme durch Unberechtigte die Interessen des Kantons beeinträchtigen könnte. In diesem Fall gelten drei Abstufungen:

  • intern
  • vertraulich
  • geheim

Gemeinden, Landeskirchen und weitere Träger öffentlicher Aufgaben sind nach dem belegten Geltungsbereich nicht zur Klassifizierung verpflichtet.

Zum Vergleich: Das Bundesgesetz über die Informationssicherheit beim Bund (ISG, SR 128) kennt für Bundesorgane dieselben drei Klassifizierungsstufen (Art. 13 ISG) und drei Sicherheitsstufen für Informatikmittel: «Grundschutz», «hoher Schutz» und «sehr hoher Schutz» (Art. 17 ISG). Das ISG gilt gemäss Art. 2 Abs. 1 und 2 ISG für Bundesbehörden und Bundesorganisationen — nicht für kantonale Behörden oder Spitäler. Die Parallelstruktur zwischen ISG und ICSG ist aus Beratungssicht dennoch nützlich: Wer bereits mit dem ISG-Rahmen vertraut ist, findet im ICSG eine ähnliche Logik.

Meldepflichten nach ICSG (kantonale Behörden, Gemeinden, Landeskirchen und weitere Träger öffentlicher Aufgaben)

Das ICSG sieht für kantonale Behörden, Gemeinden, Landeskirchen und weitere Träger öffentlicher Aufgaben im Kanton Bern folgende Meldepflichten vor:

  • Cyberangriffe und Sicherheitsvorfälle: Meldung innert 24 Stunden
  • Vorfälle mit betroffenen Personendaten: Meldung innert 72 Stunden

Die Meldungen erfolgen über eine kantonale Plattform und werden nötigenfalls an das Bundesamt für Cybersicherheit weitergeleitet.

Parallele Meldepflichten für Spitallisten-Organisationen mit kantonalem Auftrag

Ab dem 1. November 2026 kommen für Organisationen, die sowohl kantonale Aufgaben wahrnehmen als auch auf der kantonalen Spitalliste stehen, zur bereits seit dem 1. April 2025 geltenden ISG-Meldepflicht (24 Stunden an das BACS, Art. 74e Abs. 1 ISG) die kantonale ICSG-Meldepflicht (24 Stunden an die kantonale Plattform) hinzu. Beide Fristen laufen ab Entdeckung des Vorfalls. Die Adressaten sind verschieden: Die kantonale Plattform leitet nötigenfalls weiter; das BACS (ehemals NCSC) ist direkt zu bedienen.

Meldepflichtig an das BACS sind Cyberangriffe, die mindestens eines der folgenden Tatbestandsmerkmale nach Art. 74d ISG erfüllen: - Der Angriff gefährdet die Funktionsfähigkeit der betroffenen kritischen Infrastruktur. - Er hat zu einer Manipulation oder zu einem Abfluss von Informationen geführt. - Er blieb über einen längeren Zeitraum unentdeckt, insbesondere wenn Anzeichen bestehen, dass er zur Vorbereitung weiterer Angriffe ausgeführt wurde. - Er ist mit Erpressung, Drohung oder Nötigung verbunden.

Bei vorsätzlicher Missachtung einer rechtskräftigen Verfügung des BACS droht eine Busse von bis zu 100 000 Franken (Art. 74h Abs. 1 ISG).

Personensicherheitsprüfung

Das ICSG führt die Personensicherheitsprüfung als zentrale Neuerung ein. Auf Bundesebene kennt das ISG zwei Prüfstufen (Art. 30 ISG), die verpflichteten Bundesbehörden zugeordnet werden:

  • Grundsicherheitsprüfung: für sicherheitsempfindliche Tätigkeiten, bei deren vorschriftswidriger Ausübung die Interessen erheblich beeinträchtigt werden können; Wiederholung frühestens nach fünf, spätestens nach zehn Jahren (Art. 43 Abs. 1 Bst. a ISG).
  • Erweiterte Personensicherheitsprüfung: für sicherheitsempfindliche Tätigkeiten mit schwerwiegendem Beeinträchtigungspotenzial; Wiederholung frühestens nach drei, spätestens nach fünf Jahren (Art. 43 Abs. 1 Bst. b ISG).

Das ISG gilt für Bundesorgane, nicht für kantonale Behörden. Übertragbar ist das Prinzip: Auch das ICSG sieht nach dem Medienbericht eine Personensicherheitsprüfung vor. Die genaue Ausgestaltung auf Kantonsebene ist in den ausgewerteten Quellen (Stand 12. September 2026) nicht im Wortlaut belegt.

Datenschutzrechtliche Pflichten (bundesrechtlicher Rahmen)

Unabhängig vom ICSG gelten für alle Verantwortlichen und Auftragsbearbeiter, die Personendaten natürlicher Personen bearbeiten und deren Tätigkeit sich in der Schweiz auswirkt, die Pflichten aus dem Bundesgesetz über den Datenschutz (DSG, SR 235.1, in Kraft seit 1. September 2023) und der Datenschutzverordnung (DSV, SR 235.11, Stand 1. Dezember 2025).

Das DSG gilt nach Art. 2 Abs. 1 DSG für private Personen und Bundesorgane. Kantonale Behörden sind keine Bundesorgane im Sinne des DSG; für sie gilt das kantonale Datenschutzrecht. Aus Beratungssicht ist jedoch die Parallelität der Anforderungen relevant: Die DSV-Pflichten zur Datensicherheit (Art. 2 und 3 DSV) und zur Protokollierung (Art. 4 DSV) setzen denselben Massstab, den das ICSG für kantonale Behörden ebenfalls anstrebt.

Für private Verantwortliche und private Auftragsbearbeiter gilt nach Art. 4 Abs. 1 DSV eine Protokollierungspflicht, wenn besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet werden oder ein Profiling mit hohem Risiko durchgeführt wird und präventive Massnahmen den Datenschutz nicht gewährleisten können. Für Bundesorgane und ihre Auftragsbearbeiter gilt Art. 4 Abs. 2 DSV mit abweichenden Voraussetzungen: Bei automatisierter Bearbeitung besonders schützenswerter Personendaten, bei Profilings und bei automatisierten Bearbeitungen im Anwendungsbereich der Richtlinie (EU) 2016/680 ist ebenfalls zumindest das Speichern, Verändern, Bekanntgeben, Löschen, Vernichten und Zugreifen zu protokollieren; bei übrigen automatisierten Bearbeitungen ist vorgängig das Risiko für die Grundrechte der betroffenen Personen zu beurteilen.

Protokolle sind nach Art. 4 Abs. 5 DSV während mindestens einem Jahr getrennt vom bearbeitenden System aufzubewahren.

Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führen, sind dem EDÖB so rasch als möglich zu melden (Art. 24 Abs. 1 DSG). Die Meldung muss nach Art. 15 Abs. 1 DSV unter anderem Art, Zeitpunkt und Dauer der Verletzung, Kategorien und ungefähre Anzahl betroffener Personendaten und Personen, Folgen und ergriffene Massnahmen sowie Kontaktdaten einer Ansprechperson enthalten. Verletzungen sind zu dokumentieren; die Dokumentation ist ab dem Zeitpunkt der Meldung mindestens zwei Jahre aufzubewahren (Art. 15 Abs. 4 DSV).

Einen vertieften Überblick über die Cybersicherheitspflichten im Schweizer Gesundheitssektor bietet unser Artikel Cybersicherheit Schweizer Gesundheitssektor: Was jetzt gilt.

Checkliste

Für kantonale Behörden im Kanton Bern (ab 1. November 2026)

  • Jedes ICT-Mittel vor Inbetriebnahme beurteilen und in eines der vier Schutzniveaus einstufen (ICSG). Aus Beratungssicht: Einstufungsentscheide nachvollziehbar begründen und festhalten.
  • Für ICT-Mittel der beiden höheren Schutzniveaus: Sicherheits- und Datenschutzkonzept erstellen (ICSG).
  • Informationen nur klassifizieren, wenn ihre Kenntnisnahme durch Unberechtigte die Interessen des Kantons beeinträchtigen könnte; in diesem Fall Abstufungen «intern», «vertraulich» oder «geheim» anwenden (ICSG).
  • Meldeprozess für Cyberangriffe und Sicherheitsvorfälle einrichten: 24-Stunden-Frist an kantonale Plattform; bei Personendaten-Vorfällen 72-Stunden-Frist (ICSG).
  • Regelungen für die oberste Führungsebene zur Prävention implementieren (ICSG, zentrale Neuerung).
  • Übergangsfristen je nach Bestimmung im Blick behalten: Das ICSG sieht bis zu drei Jahre vor.

Für Gemeinden, Landeskirchen und weitere Träger öffentlicher Aufgaben im Kanton Bern

  • Grundsätzliche Bestimmungen des ICSG prüfen und umsetzen.
  • Keine Klassifizierungspflicht — aber weitergehende Vorgaben prüfen, soweit Informationen oder Applikationen des Kantons oder des Bundes genutzt werden.
  • Freiwillige Übernahme der kantonalen Regeln erwägen (begünstigt einheitlichen Sicherheitsraum).

Für auf der Spitalliste aufgeführte Gesundheitseinrichtungen (bundesrechtlich, unabhängig vom ICSG)

  • ISG-Meldepflicht nach Art. 74b Abs. 1 Bst. f ISG sicherstellen: Cyberangriffe mit Tatbestandsmerkmalen nach Art. 74d ISG innert 24 Stunden nach Entdeckung dem BACS (ehemals NCSC) melden (gilt seit 1. April 2025).
  • Interne Meldekette so aufstellen, dass die 24-Stunden-Frist auch ausserhalb der Bürozeiten eingehalten werden kann. Aus Beratungssicht: fehlende Informationen nachliefern, sobald verfügbar.

Für private Verantwortliche und Auftragsbearbeiter (DSG/DSV, bundesrechtlich)

  • Schutzbedarf der Personendaten bestimmen und geeignete technische und organisatorische Massnahmen festlegen (Art. 1 DSV / Art. 8 DSG); Schutzbedarf, Risiko und Massnahmen über die gesamte Bearbeitungsdauer hinweg überprüfen und nötigenfalls anpassen.
  • Schutzziele Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit durch Massnahmen nach Art. 2 und 3 DSV sicherstellen.
  • Protokollierungspflicht nach Art. 4 Abs. 1 DSV prüfen: Gilt für private Verantwortliche und private Auftragsbearbeiter bei grossem Umfang besonders schützenswerter Personendaten oder Profiling mit hohem Risiko, sofern präventive Massnahmen den Datenschutz nicht gewährleisten können. Für Bundesorgane gilt Art. 4 Abs. 2 DSV mit abweichenden Voraussetzungen.
  • Protokolle mindestens ein Jahr getrennt vom bearbeitenden System aufbewahren (Art. 4 Abs. 5 DSV).
  • Verzeichnis der Bearbeitungstätigkeiten führen (Art. 12 DSG); Ausnahme für Unternehmen mit weniger als 250 Mitarbeitenden nach Art. 24 DSV, sofern keine umfangreiche Bearbeitung besonders schützenswerter Personendaten und kein Profiling mit hohem Risiko vorliegt.
  • Datenschutz-Folgenabschätzung nach Beendigung der Datenbearbeitung mindestens zwei Jahre aufbewahren (Art. 14 DSV).
  • Dokumentation von Datensicherheitsverletzungen ab Zeitpunkt der Meldung mindestens zwei Jahre aufbewahren (Art. 15 Abs. 4 DSV).

Quellen

Dieser Artikel stellt keine Rechtsberatung dar. Für rechtliche Beratung wenden Sie sich an einen Anwalt.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen