Das Informationssicherheitsgesetz (ISG) im Fokus
Cyberangriffe haben bei Privatpersonen, Unternehmen und auch bei Behörden stark zugenommen - mit zum Teil gravierenden Folgen. Das neue Informationssicherheitsgesetz (ISG) soll deshalb die Cybersicherheit in der Schweiz gesamthaft stärken. Wer ist von diesem Gesetz betroffen und was bedeutet es für Ihr Unternehmen? Hier finden Sie Antworten auf die wichtigsten Fragen.
Das ISG: Was Unternehmen jetzt wissen müssen
Was ist das Informationssicherheitsgesetz (ISG)?
Das Informationssicherheitsgesetz (ISG) ist ein Schweizer Bundesgesetz, das die Cybersicherheit (Informationssicherheit) des Bundes regelt. Es trat am 1. Januar 2024 in Kraft und bezweckt, die in einer Vielzahl von Gesetzen bereits vorhandenen Rechtsgrundlagen zusammenzuführen, um die Sicherheit der Informationen und Informatikmittel des Bundes und den dazugehörenden Behörden und Organisationen einheitlich zu regeln und so die Informationssicherheit insgesamt zu stärken.
Die Revision des ISG (revISG) sieht die Einführung einer Meldepflicht für Cyberangriffe vor und tritt voraussichtlich am 1. Januar 2025 in Kraft. Diese Meldepflicht betrifft Betreiber kritischer Infrastrukturen sowie Zulieferer von Systemen, die in kritischen Infrastrukturen verwendet werden. Darüber hinaus wird eine freiwillige (und anonyme) Meldung von Cybervorfällen und Schwachstellen an das Bundesamt für Cybersicherheit (BACS) auch für Privatpersonen ermöglicht.
Was bedeutet dieses Gesetz für die Schweiz?
Das Informationssicherheitsgesetz stärkt die Cybersicherheit in der Schweiz und wirkt so den wachsenden Cybergefahren entgegen. Durch diese umfassende Regelung stellt das ISG sicher, dass eine breite Palette von Institutionen und Unternehmen zur Stärkung der Informations- und Cybersicherheit beiträgt. Dadurch erhöht das Gesetz die Resilienz der Schweizer Infrastruktur und erhöht das Vertrauen in die Sicherheit der digitalen Kommunikation.
Wie wichtig ist das ISG für Schweizer Unternehmen?
Das ISG ist von grosser Bedeutung für Schweizer Unternehmen, da es weit über die reine IT-Sicherheit und den traditionellen Datenschutz hinausgeht. Unter dem Begriff "Cybersicherheit" werden alle Massnahmen zusammengefasst, die dazu dienen, Informationen von Behörden und Unternehmen vor unbefugtem Zugriff, Manipulation oder Verlust zu schützen. Dadurch kann auf Sicherheitsvorfälle schneller reagiert und grössere Schäden verhindert werden. Die Einhaltung der ISG-Vorgaben gewährleistet einen besseren Schutz sensibler Daten.
In erster Linie schützt das ISG-Informationen, für die der Bund zuständig ist, sowie die Informatikmittel des Bundes. Dies betrifft neben staatlichen Organisationen auch Unternehmen, die den Bund und die kantonalen Behörden bei der Erfüllung ihrer Pflichten unterstützen. Die Meldepflicht der ISG-Revision umfasst jedoch eine Vielzahl weiterer Sektoren, die spezifisch im Gesetz aufgelistet sind und hier eingesehen werden können.
Betroffene Sektoren der Meldepflicht
- Hochschulen
- Bundes-, Kantons- und Gemeindebehörden sowie interkantonale, kantonale und interkommunale Organisationen
- Organisationen mit öffentlichen Aufgaben in den Bereichen Sicherheit und Rettung, Trinkwasserversorgung, Abwasseraufbereitung und Abfallentsorgung (soweit sie hoheitlich handeln)
- Energieversorger und in den Energieversorgung Energiehandel, Energiemessung oder Energiesteuerung tätige Unternehmen
- Banken, Privatversicherungen und Finanzmarktinfrastrukturen
- Gesundheitseinrichtungen auf der kantonalen Spitalliste (neben Spitälern auch Geburtshäuser und Pflegeheime)
- medizinische Laboratorien mit einer Bewilligung nach dem Epidemiengesetz
- Unternehmen, die Arzneimittel herstellen, Inverkehrbringen oder Einführen
- Sozialversicherer
- die SRG und Nachrichtenagenturen von nationaler Bedeutung (derzeit nur noch Keystone-SDA)
- Postdienstanbieter
- Eisenbahnunternehmen und Seilbahn-, Trolleybus-, Autobus- und Schifffahrtsunternehmen
- Unternehmen der Zivilluftfahrt und Landesflughäfen gemäss Sachplan Infrastruktur
- Bestimmte Schifffahrtsunternehmen (Rhein und Hafen Basel);
- Unternehmen, welche die Bevölkerung mit unentbehrlichen Gütern des täglichen Bedarfs versorgen und deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen führen würde
- registrierte Fernmeldedienstanbieterinnen
- Registrare
- Anbieter und Betreiber von Diensten und Infrastrukturen, die der Ausübung der politischen Rechte dienen (E-Voting, Systeme zur Führung von Stimmregistern etc.)
- Anbieter und Betreiber von Cloudcomputing, Suchmaschinen, digitalen Sicherheits- und Vertrauensdiensten sowie Rechenzentren mit Sitz in der Schweiz
- Hersteller von Hard- oder Software, deren Produkte von kritischen Infrastrukturen genutzt werden und einen Fernwartungszugang haben oder zur Steuerung und Überwachung von betriebstechnischen Systemen und Prozessen oder zur Gewährleistung der öffentlichen Sicherheit eingesetzt werden.
Wer ist vom Informationssicherheitsgesetz (ISG) betroffen?
Das Informationssicherheitsgesetz betrifft eine Vielzahl von Behörden, Organisationen und Unternehmen in der Schweiz.
Behörden
- Bundesversammlung
- Bundesrat
- Eidgenössische Gerichte
- Bundesanwaltschaft und die Aufsichtsbehörde über die Bundesanwaltschaft
- Schweizerische Nationalbank
Kantone
- Kantone, wenn sie klassifizierte Informationen des Bundes bearbeiten oder Zugriff auf Informatikmittel des Bundes haben.
Organisationen
- Parlamentsdienste
- Bundesverwaltung
- Verwaltungen der eidgenössischen Gerichte
- Armee
- Organisationen und Personen des öffentlichen oder privaten Rechts, die nicht der Bundesverwaltung angehören, aber mit Verwaltungsaufgaben betraut werden.
Nicht nur Bundes- und Kantonsbehörden, sondern auch private Unternehmen, die Behörden bei der Erfüllung ihrer Pflichten unterstützen, sind betroffen. Die Einhaltung des ISG erfordert von diesen Einheiten, dass sie Sicherheitspraktiken und -richtlinien einhalten und regelmässig ihre Systeme überprüfen und aktualisieren.
Was genau wird im neuen Gesetz geregelt?
Das ISG beinhaltet mehrere zentrale Bestimmungen:
Informationssicherheits-Management-System (ISMS)
Behörden und Organisationen des Bundes müssen ein Informationssicherheits-Management-System (ISMS) erstellen und umsetzen, das den gesetzlichen Anforderungen entspricht.
Zugangsschutz und Informationsintegrität
Das Gesetz verpflichtet Organisationen und Behörden des Bundes, dafür zu sorgen, dass Informationen entsprechend ihrem Schutzbedarf nur berechtigten Personen zugänglich sind. Zudem muss sichergestellt werden, dass Informationen nicht unberechtigt oder unbeabsichtigt verändert und nachvollziehbar verarbeitet werden können. Des Weiteren müssen sie verfügbar sein, wenn die Informationen benötigt werden.
Risikomanagement-Anforderungen des ISG
Ein Risikomanagement muss implementiert werden, um Risiken zu erkennen, zu beurteilen, zu behandeln und regelmässig zu überprüfen
Sicherheitsverfahren und –stufen
Das ISG stellt sicher, dass Organisationen und Behörden des Bundes ein Sicherheitsverfahren beim Einsatz von Informatikmitteln inkl. Zuordnung einer Sicherheitsstufe festlegen.
Personalmanagement und Geheimhaltungspflichten
Das ISG fordert Organisationen und Behörden des Bundes dazu auf, ihr Personal sorgfältig auszuwählen, risikogerecht zu identifizieren und korrekt auszubilden und sie gegebenenfalls zur Geheimhaltung zu verpflichten.
Physische Schutzmassnahmen
Das Gesetz verpflichtet Organisationen und Behörden des Bundes, physischen Schutz von betroffenen Räumlichkeiten und Bereichen zu schaffen, um so Risiken zu reduzieren.
Vertragliche Sicherheitsmassnahmen
Das ISG stellt sicher, dass Organisationen und Behörden des Bundes bei der Zusammenarbeit mit anderen Unternehmen Sicherheitsmassnahmen vertraglich regeln und diese dafür sorgen, dass sie eingehalten werden.
Wann muss ich einen Cyberangriff von Gesetzes wegen melden?
Ein Cyberangriff muss laut der ISG-Revision (revISG), welche ab dem 1. Januar 2025 in Kraft tritt, gemeldet werden, wenn er:
- die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet.
- zu einer Manipulation oder zu einem Abfluss von Informationen geführt hat.
- über einen längeren Zeitraum unentdeckt blieb, insbesondere wenn Anzeichen dafür bestehen, dass er zur Vorbereitung weiterer Cyberangriffe ausgeführt wurde.
- mit Erpressung, Drohung oder Nötigung verbunden ist.
Diese Regelung betrifft nicht nur Organisationen und Behörden des Bundes, sondern verpflichtet auch Unternehmen im Energie-, Finanz- und Gesundheits-Sektor. Weiter gilt die revISG für Firmen in der Entsorgung, in der Information und Kommunikation und für solche, die in der Nahrung, dem Verkehr sowie in der öffentlichen Sicherheit tätig sind. Das können auch Cloud-, Service-Provider oder Hersteller von Hard- und Software sein, deren Produkte von kritischen Infrastrukturen genutzt werden.
Das ISG im Vergleich zu NIS2
Die NIS2-Richtlinie ist eine verbindliche EU-Richtlinie für deren Mitgliedstaaten. Das ISG gilt primär für die Bundesverwaltung, kantonale Behörden und deren Partner in der Schweiz. Beide Gesetze zielen darauf ab, die Cybersicherheit zu stärken, unterscheiden sich jedoch in mehreren Aspekten.
Das ISG führt eine Meldepflicht für Cyberangriffe ab 2025 ein und fokussiert auf die Schaffung eines Informationssicherheits-Management-Systems (ISMS). NIS2 verlangt bei signifikanten Sicherheitsvorfällen innerhalb von 72 Stunden eine Einschätzung an die Behörde und sieht strengere Sanktionen mit Bussen bis zu 10 Mio. Euro und 2 Prozent des Gesamtjahresumsatzes vor. Auch CEOs bzw. Verwaltungsräte können zur Verantwortung gezogen werden. Zudem betrifft NIS 2 eine breitere Gruppe von Unternehmen und umfasst umfangreichere Pflichten, einschliesslich Lieferkettensicherheit, Risikovorsorge, Gewährleistung der Sicherheit von Netz- und Informationssystemen und Massnahmen, die die Auswirkungen von Sicherheitsvorfällen so gering wie möglich halten.
Die NIS2-Richtlinie kann sich aber auch auf Schweizer Unternehmen auswirken. Das gilt vor allem für Firmen, die Niederlassungen innerhalb der EU haben. Betroffen sind auch Schweizer IT-Dienstleister, die Kunden direkt oder indirekt über deren Tochterunternehmen innerhalb der EU betreuen. Bei Lieferketten und Abhängigkeiten von Partnerunternehmen können ebenfalls Schweizer Unternehmen von NIS2 betroffen sein.
Wichtiges Wissen für Schweizer Unternehmen
Schweizer Unternehmen müssen Folgendes zum Informationssicherheitsgesetz (ISG) wissen:
Anwendungsbereich des ISG
Das ISG findet Anwendung auf Bundesbehörden, kantonale Behörden sowie spezifische Organisationen, die mit Bundesinformationen arbeiten.
Meldefrist für Cyberangriffe
Ab dem 1. Januar 2025 müssen Cyberangriffe auf kritische Infrastrukturen innerhalb von 24 Stunden gemeldet werden. Diese Pflicht betrifft viele Unternehmen aus diversen Sektoren.
Anwendungsbereich des ISG
Eine Verletzung der Meldepflicht kann mit einer Busse von bis zu CHF 100 000 bestraft werden.
Einfluss der EU NIS2-Richtlinie
Schweizer Unternehmen, welche in irgendeiner Form auch in der EU tätig sind, können auch von der NIS 2-Richtlinie der EU betroffen sein. Dieses Gesetz ähnelt dem ISG, ist jedoch noch bedeutend umfangreicher.
Hilfsmittel herunterladen
Unter folgendem Link hat das Bundesamt für Cybersicherheit BACS Vorlagen für ein Informationssicherheits- und Datenschutzkonzept (ISDS-Konzept), eine Risikoanalyse sowie ein Notfallkonzept erarbeitet.
Juristischer Leitfaden zum ISG
Erfahren Sie alle juristischen Details und bereiten Sie Ihr Unternehmen optimal auf die neuen gesetzlichen Anforderungen vor. Laden Sie unser ausführliches Whitepaper herunter!
Haben Sie Fragen?
Sprechen Sie uns gerne an!
Trend Micro Schweiz GmbH
Nehmen Sie mit uns Kontakt auf, denn wir unterstützen Sie gerne auf Ihrem Weg zur Cybersicherheit Bezug nehmend auf das ISG