Cybersecurity-Gesetzgebung in der Schweiz: Rechtliche Pflichten für Unternehmensleitungen
Von SPIE ICS AG
Vorab sind zwei Dinge festzuhalten:
1. Der Verwaltungsrat trägt gemäss Art. 716a Abs. 1 Ziff. 1 OR die letztliche Verantwortung für Cybersecurity.
2. Die Schweiz verfügt nicht über ein eigentliches „Cybersecurity-Gesetz”. Diesbezügliche Regeln und Verbote ergeben sich aus verschiedenen Gesetzen.
Cybersecurity ist nicht mehr nur eine Frage des technischen Schutzes. Schweizer Unternehmen müssen heute immer strengere gesetzliche Auflagen erfüllen, vor allem wenn sie mehr als 200 Beschäftigte haben. Die digitale Landschaft entwickelt sich rasant, die Bedrohungen nehmen zu, und die Cyberkriminalität verursacht heute weltweit Kosten in Höhe von mehreren Milliarden Dollar. Vor diesem Hintergrund können die Verantwortlichen die Systemsicherheit nicht länger als eine einfache technische Formalität betrachten. Die Cybersicherheit gehört vielmehr zu ihren Kernaufgaben und verpflichtet jedes Unternehmen unmittelbar zur Vertraulichkeit, Integrität und Verfügbarkeit von Daten.
Warum Cybersecurity heute eine rechtliche Verantwortung der Geschäftsleitung ist
In einem Umfeld, in dem Organisationen zunehmend durch Cyberangriffe gefährdet sind, muss das Bewusstsein für diese Problematik unmittelbar vorhanden sein. Führungskräfte müssen wissen, dass sich die Gesetzgebung in der Schweiz nicht auf theoretische Verpflichtungen beschränkt. Sie fordert konkrete Massnahmen zum Schutz persönlicher und geschäftlicher Daten, zur Vermeidung von Datenschutzverletzungen und zur Verringerung des Risikos von Datendiebstahl. Typisch schweizerisch: Die Datenschutzgesetzgebung beinhaltet allgemeine Cybersecurity-Verpflichtungen. Eine aktuelle Studie zeigt, dass Angriffe unter Ausnutzung von Sicherheitslücken in Software oder mobilen Anwendungen stark zunehmen und sowohl grosse Unternehmen als auch öffentliche Einrichtungen betreffen. Die rechtlichen Anforderungen erstrecken sich über die gesamte Organisationskette, von internen Teams bis hin zu externen Partnern. Jedes Mitglied des Unternehmens wird dadurch zu einem wichtigen Akteur in Sachen Cybersicherheit.
Cybersecurity für exponierte Unternehmen
Grosse Unternehmen sind besonders anfällig für Bedrohungen. In grösseren Organisationen gibt es mehr Angriffspunkte für Cyberattacken und auch mehr sensible Daten, die geschützt werden müssen.
Die Anforderungen umfassen mehrere Bereiche:
- Einführung eines formellen Cybersecurity-Managementsystems
- Kontinuierliche Updates zur Reduzierung von Sicherheitslücken
- Dokumentation jeder kritischen Anwendung
- Strikte Einhaltung der geltenden Gesetze in allen relevanten Ländern, wenn das Unternehmen international tätig ist
- Aufrechterhaltung eines internen oder externen Kompetenzzentrums, das schnell auf eine Bedrohung reagieren kann
- Kontinuierliche Überprüfung der Identität des Absenders bei jeder sensiblen Nachricht
- Spezielle Verfahren zur Erkennung und Behandlung von Online-Vorfällen
Datenschutz
Das Bundesgesetz über den Datenschutz (DSG) verpflichtet Unternehmen zum Schutz personenbezogener Daten durch geeignete technische Massnahmen, die regelmässig überprüft werden.
Mindeststandards und branchenspezifische Verpflichtungen
Für kritische Infrastrukturen gelten Meldpflichten (ISG/CSV) sowie allgemein erhöhte Pflichten zur Cybersicherheit. Weitere Pflichten können sich aus Regulierungen (z. B. Finma) oder aus Branchenstandards ergeben.
Verträge und Verantwortlichkeiten
Unternehmen müssen häufig nachweisen, dass sie die rechtlichen Pflichten in ihren vertraglichen Beziehungen einhalten, insbesondere wenn sie mit Technologiepartnern oder externen Spezialisten zusammenarbeiten. Hier ist festzuhalten, dass die europäische NIS2-Regulierung auch direkte Auswirkungen auf die Schweiz haben kann, sofern Schweizer Lieferanten in die EU liefern.
Wichtige Massnahmen zur Gewährleistung von Resilienz
Um den Erfolg ihrer Cybersecurity-Strategie zu gewährleisten und mit dem Schweizer Recht konform zu bleiben, müssen Unternehmen einen strukturierten Ansatz verfolgen.
Governance und Aufsicht
Die Geschäftsleitung sollte ein spezielles Kompetenzzentrum einrichten und die Rollen von internen Teams und Dienstleistern klar definieren.
Risikomanagement
Jede Organisation sollte eine Bestandsaufnahme ihrer Assets erstellen, die für Cyberangriffe anfälligen Systeme identifizieren und realistische Pläne zur Schadensbegrenzung aufstellen.
Schulung
Kontinuierliche Schulungen sind unerlässlich. Die Mitarbeitenden müssen verdächtige Nachrichten und betrügerische Links erkennen und verstehen, wie wichtig die tägliche Wachsamkeit ist.
Technischer Schutz
Die technischen Massnahmen umfassen die Segmentierung des Netzwerks, die Überwachung des Zugriffs, ein strenges Berechtigungsmanagement und die systematische Aktualisierung der IT-Umgebungen.
Reaktionsplan
Die Unternehmen müssen realistische Szenarien erstellen, mögliche Vorfälle antizipieren und eine schnelle Reaktion im Falle eines Angriffs gewährleisten.
Fazit
Die Cybersicherheit in der Schweiz beruht auf einer Kombination aus Rechtskonformität, operativer Resilienz und aktiver Beteiligung der Führungsebene. Ihre Massnahmen müssen global, dokumentiert und an Standards ausgerichtet sein; andernfalls riskieren sie grössere Zwischenfälle mit schwerwiegenden finanziellen und rufschädigenden Folgen. Durch die Einhaltung rechtlicher Pflichten und die Strukturierung robuster Prozesse schaffen Führungskräfte die Grundlage für dauerhafte Sicherheit und strategischen Erfolg.