Stand: 07.10.2026 · Audinero
Die Schweiz bekommt möglicherweise ihr erstes eigenständiges Cybersicherheitsgesetz. Der Bundesrat hat am 25. September 2026 das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) beauftragt, bis Juni 2027 eine Vernehmlassungsvorlage auszuarbeiten. Für Unternehmen mit Schweizbezug, insbesondere Hersteller, Importeure und Händler digitaler Produkte, lohnt sich ein genauer Blick auf das, was da kommt.
Was der Bundesrat konkret beschlossen hat
Mit der Vernehmlassung werden Kantone, Parteien, Verbände und weitere interessierte Kreise eingeladen, zu einem Entwurf Stellung zu nehmen. Die angekündigte Vorlage ist noch kein geltendes Recht. Sie bereitet die weiteren Schritte im Gesetzgebungsverfahren vor.
Das VBS soll bis Juni 2027 einen solchen Entwurf für ein Bundesgesetz über die Cybersicherheit vorlegen, kurz Cybersicherheitsgesetz oder CSG genannt. Bemerkenswert ist, dass dieses Gesetz nicht bei null anfängt, sondern drei bereits bestehende parlamentarische Vorstösse bündelt. Eine Motion ist dabei ein parlamentarischer Auftrag an den Bundesrat, eine Gesetzesänderung oder einen Erlass vorzuschlagen.
Nach der offiziellen Mitteilung des Bundesamts für Cybersicherheit sollen drei parlamentarische Aufträge gemeinsam umgesetzt werden:
• Motion 24.3810 zur Cyberresilienz von Produkten mit digitalen Elementen, also Software und vernetzter Hardware
• Motion 23.3002 zum Schutz besonders wichtiger digitaler Daten
• Motion 25.3011 zur Rolle von Hosting- und Cloud-Anbietern bei der Cybersicherheit
Zusätzlich soll die seit April 2025 geltende Meldepflicht für Cyberangriffe auf kritische Infrastrukturen aus dem Informationssicherheitsgesetz (ISG) in das neue Gesetz überführt werden. Das ISG soll weiterhin die Informationssicherheit der Bundesbehörden regeln. Die bestehende Meldepflicht bleibt bis zu einer gesetzlichen Änderung massgeblich.
Die Anlehnung an den EU Cyber Resilience Act
Der vielleicht wichtigste Punkt für DACH-Unternehmen steckt in einem einzigen Satz der Bundesratsmitteilung: Die künftige Schweizer Regelung soll sich ausdrücklich am europäischen Cyber Resilience Act orientieren, dem CRA.
Der CRA ist eine EU-Verordnung zur Cybersicherheit von Produkten mit digitalen Elementen. Er umfasst unter anderem sichere Entwicklung, Schwachstellenbehandlung, Sicherheitsupdates und technische Dokumentation. Dabei sind Produktkategorie, Rolle des Unternehmens und Anwendungsbereich zu prüfen. Für die Schwachstellenbehandlung ist insbesondere der gesetzlich zu bestimmende Unterstützungszeitraum relevant; eine pauschale Pflicht über jede tatsächliche Nutzungsdauer wäre zu weit gefasst.
Auch Schweizer Hersteller können dem CRA unterliegen, wenn sie erfasste Produkte auf dem EU-Markt bereitstellen. Für die zeitliche Einordnung sind zwei Termine besonders wichtig:
• Seit dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.
• Ab dem 11. Dezember 2027 gelten grundsätzlich die zentralen Produkt- und Herstellerpflichten des CRA; Übergangsregeln sind gesondert zu prüfen.
Die Orientierung am CRA soll insbesondere international tätigen Unternehmen Doppelaufwand ersparen. Daraus folgt jedoch noch keine automatische Gleichwertigkeit: Welche Nachweise und Massnahmen für das Schweizer Gesetz ausreichen werden, lässt sich erst anhand des Entwurfs und der später verabschiedeten Regelungen beurteilen.
Was das für DACH-KMU praktisch bedeutet
Für kleine und mittlere Unternehmen mit Schweizbezug, die Software oder vernetzte Hardware herstellen, importieren oder vertreiben, ergibt sich daraus eine klare Priorität: CRA-Compliance jetzt angehen, nicht erst, wenn das Schweizer Gesetz konkret wird.
Das betrifft vor allem folgende Bereiche:
Schwachstellenmanagement. Hersteller sollten einen nachvollziehbaren Prozess für die Erkennung, Bewertung und Behebung von Sicherheitslücken etablieren. Meldepflichtige Fälle müssen zuverlässig erkannt und fristgerecht gemeldet werden. Nicht jede Schwachstelle ist automatisch meldepflichtig; entscheidend sind die gesetzlichen Voraussetzungen und die Rolle des Unternehmens.
Dokumentation und Unterstützungszeitraum. Risikobeurteilungen, Sicherheitsmassnahmen, Komponenten und Updateprozesse sollten nachvollziehbar dokumentiert sein. Ein Informationssicherheits-Managementsystem nach ISO 27001 kann organisatorisch unterstützen. Es ersetzt jedoch weder die produktbezogenen CRA-Anforderungen noch ein gegebenenfalls erforderliches Konformitätsbewertungsverfahren.
Lieferkette und Cloud-Anbieter. Der geplante Schweizer Entwurf soll auch Pflichten für Hosting- und Cloud-Anbieter behandeln. Unternehmen können bereits heute ihre Lieferanten, Verantwortlichkeiten und Sicherheitsnachweise erfassen. Ein SOC-2-Bericht oder eine ISO-27001-Zertifizierung kann dabei hilfreich sein; ob solche Nachweise künftige gesetzliche Anforderungen erfüllen, steht noch nicht fest.
Wer zusätzlich NIS2 oder branchenspezifische Anforderungen wie TISAX berücksichtigen muss, kann gemeinsame Prozesse und Nachweise nutzen. Die jeweiligen Anwendungsbereiche und Pflichten bleiben aber getrennt zu prüfen. Gute Dokumentation erleichtert die Umsetzung mehrerer Regelwerke, schafft allein jedoch keine vollständige Compliance.
Der Zeitplan: Warum es noch dauert, sich aber trotzdem jetzt lohnt
Bis Juni 2027 soll dem Bundesrat die Vernehmlassungsvorlage zum Beschluss vorliegen. Danach sind weitere Verfahrensschritte nötig: die Vernehmlassung und ihre Auswertung, gegebenenfalls eine Botschaft des Bundesrats und die parlamentarische Beratung. Hinzu kommen die Möglichkeit eines Referendums sowie die Festlegung des Inkrafttretens. Ein verbindlicher Termin für das Inkrafttreten wurde bislang nicht angekündigt.
Unternehmen sollten deshalb weder von bereits geltenden neuen CSG-Pflichten noch von einer garantierten mehrjährigen Schonfrist ausgehen. Der konkrete Zeitplan und mögliche Übergangsfristen werden erst im weiteren Verfahren sichtbar.
Unabhängig davon hat der CRA bereits feste Anwendungszeitpunkte. Die Meldepflichten gelten seit September 2026, die zentralen weiteren Anforderungen grundsätzlich ab Dezember 2027. Investitionen in passende Prozesse für Schwachstellenbehandlung, Dokumentation und Lieferantenmanagement können auch die Vorbereitung auf das geplante Schweizer Gesetz erleichtern. Welche zusätzlichen Anforderungen entstehen, muss später anhand des endgültigen Gesetzes geprüft werden.
Fazit
Das Schweizer Cybersicherheitsgesetz ist bislang ein Gesetzgebungsprojekt. Bis Juni 2027 ist ein Vernehmlassungsentwurf vorgesehen; das Inkrafttreten steht noch nicht fest. Die angekündigte Orientierung am CRA spricht dafür, vorhandene Sicherheitsprozesse systematisch weiterzuentwickeln. Für DACH-KMU mit Schweizbezug gilt: Aktuelle EU-Pflichten erfüllen, die Schweizer Entwicklung beobachten und mögliche Synergien nutzen, ohne automatische Gleichwertigkeit vorauszusetzen.
Quellen und weiterführende Informationen
Bundesamt für Cybersicherheit: Bundesrat will neues Cybersicherheitsgesetz schaffen (25.09.2026)
