Bern BE: Bundesrat will neues Cybersicherheitsgesetz

Am Freitag (25.09.2026) beauftragte der Bundesrat das VBS mit der Ausarbeitung eines neuen Cybersicherheitsgesetzes bis Juni 2027.

Der Bundesrat hat an seiner Sitzung vom 25. September 2026 zur Verstärkung der nationalen Cybersicherheit das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) damit beauftragt, bis im Juni 2027 einen Vernehmlassungsentwurf für ein neues, eigenständiges Bundesgesetz über die Cybersicherheit zu erarbeiten. Über diesen Weg sollen drei Vorstösse aus dem Parlament in einem zusammengefassten Erlass umgesetzt werden.

Das Bundesamt für Cybersicherheit (BACS) bearbeitet drei vom Parlament beauftragte Projekte zur Rechtsetzung: die Cyberresilienz von Produkten mit digitalen Elementen (Mo. 24.3810), den Schutz besonders wichtiger digitaler Daten (Mo. 23.3002) sowie die Rolle von Hosting- und Cloud-Anbietern bei der Cybersicherheit (Mo. 25.3011). Diese drei Vorhaben betreffen sich ergänzende Regulierungsbereiche – Produkte, Daten und digitale Infrastrukturen – und sollten ursprünglich jeweils einzeln über Anpassungen des Informationssicherheitsgesetzes (ISG) realisiert werden.

Um eine einheitliche Regelung der Cybersicherheit bei Dritten sicherzustellen, führt der Bundesrat die drei Projekte neu in einer gemeinsamen Vorlage zusammen. Zu diesem Zweck soll ein eigenständiges Bundesgesetz über die Cybersicherheit (Cybersicherheitsgesetz, CSG) geschaffen werden. In dieses wird auch die seit April 2025 bestehende Pflicht zur Meldung von Cyberangriffen auf kritische Infrastrukturen aus dem ISG übertragen. Das ISG ist weiterhin für die Regelung der Informationssicherheit der Bundesbehörden zuständig.

Besondere Pflichten zum Schutz digitaler Daten

Das geplante Cybersicherheitsgesetz soll verbindliche Vorgaben für Hersteller, Importeure und Händler von Soft- und Hardware-Produkten festlegen, einschliesslich Grundlagen für die Überwachung des Marktes sowie eines Vertriebsverbots für unsichere Produkte. Die Regelung lehnt sich an den europäischen Cyber Resilience Act (CRA) an und hat zum Ziel, den administrativen Aufwand der Unternehmen tief zu halten. Darüber hinaus beinhaltet das Gesetz spezielle Pflichten zur Cybersicherheit für den Schutz wichtiger digitaler Daten sowie für Hosting- und Cloud-Anbieter, wie etwa Mitwirkungs- und Abwehrpflichten im Falle von Cyberbedrohungen.

Bestehende branchenspezifische Vorschriften wie das Fernmeldegesetz, die Stromversorgungsverordnung oder die Verordnung über Fernmeldeanlagen bleiben weiterhin in Kraft. Das Cybersicherheitsgesetz ergänzt diese um jene Pflichten, die sich aus der Cybersicherheit als Verbundaufgabe ergeben. Künftige Entwicklungen im technologischen oder europäischen Bereich können dadurch an einer einzigen Stelle nachgeführt werden, ohne dass mehrere Erlasse gleichzeitig angepasst werden müssen. Zudem kann auf spezifische Fragestellungen, wie etwa Open Source Software, besser eingegangen werden.

Konsolidierung senkt Aufwand für Wirtschaft und Behörden

Ein eigenständiges Cybersicherheitsgesetz bündelt die übergreifend relevanten Pflichten in einem einzigen Erlass. Das bringt insbesondere für international tätige Unternehmen Vorteile, die den CRA der EU bereits befolgen müssen: Eine abgestimmte Schweizer Gesetzgebung stellt sicher, dass kein zusätzlicher Compliance-Aufwand entsteht.

Der Bundesrat hat das VBS beauftragt, bis im Juni 2027 eine Vernehmlassungsvorlage auszuarbeiten und ihm diese zum Entscheid zu unterbreiten.

Quelle der Meldung: Der Schweizerische Bundesrat