164 Meldungen, keine Busse: Was die erste BACS-Bilanz nicht zählt
Die erste BACS-Bilanz zur ISG-Meldepflicht zählt 164 Cyberangriffe in sechs Monaten und über 260 bis Februar 2026 — bis zu diesem Datum keine Busse nach Art. 74h ISG. Wer darin Entwarnung liest, verwechselt die Folgsamkeit der bereits Überzeugten mit der Reichweite der Pflicht: Wer die Unterstellung nach Art. 74b ISG verneint, taucht in keiner Statistik auf, sondern erst in der ersten formlosen Aufforderung des BACS.
Casimir von Firn, MLaw
Die erste Bilanz zur ISG-Meldepflicht liegt vor, und sie liest sich beruhigend: In den ersten sechs Monaten gingen beim Bundesamt für Cybersicherheit (BACS) 164 Meldungen zu Cyberangriffen auf kritische Infrastrukturen ein, die meisten innert der 24-Stunden-Frist; bis Februar 2026 waren es über 260. Eine veröffentlichte Busse nach Art. 74h ISG ist bis Februar 2026 nicht bekannt. Wer als mittelgrosser Betreiber daraus liest, das System laufe und das Bussrisiko bleibe theoretisch, liest die falsche Spalte.
Die 164 Meldungen sind Selbsteinschätzungen. Eine Meldung nach Art. 74e ISG stammt nur von einem Betreiber, der für sich bereits bejaht hat, dass ihn der Sektorenkatalog von Art. 74b ISG und die Schwellen von Art. 12 CSV erfassen. Wer dieselbe Prüfung verneint, ob zu Recht oder zu Unrecht, erzeugt keine Meldung und erscheint in keiner Statistik. Ob der Katalog Sie überhaupt erfasst, haben wir an dieser Stelle behandelt. Die Bilanz misst die Folgsamkeit der bereits Überzeugten, nicht die Reichweite über alle Betreiber.
Dass keine Busse vorliegt, hat zwei getrennte Ursachen, die die Bilanz nicht trennt. In den ersten sechs Monaten — April bis September 2025 — sanktionierte das BACS fehlende Meldungen noch nicht; der Vollzug setzte erst ab Oktober 2025 ein. Seither liegt der Grund im Aufbau der Kette: Art. 74h ISG bestraft nicht die ausgebliebene Meldung, sondern die Missachtung einer rechtskräftigen Verfügung des BACS, die das Amt erst nach zweimaliger Fristansetzung erlässt (Art. 74g ISG). Der erste Schritt gegen einen Betreiber, der sich nie registriert hat, ist eine formlose Kontaktaufnahme — sie steht in keinem Register und setzt die einzige Uhr in Gang, die für ihn zählt. Bleibt die anschliessende Verfügung unbeachtet, erstattet das BACS Strafanzeige; die Busse bis 100’000 Franken gegen die Betreiberin verhängt dann die Strafverfolgungsbehörde.
Die Bilanz ist deshalb kein Grund zur Entwarnung. Sie ist der Anlass, die Unterstellungsprüfung jetzt durchzuführen und das Ergebnis schriftlich festzuhalten — auch ein begründetes «nicht meldepflichtig». Die Kurve von 164 auf über 260 steigt, weil das BACS den Sektor kartiert und die Angriffe zunehmen. Wer im Zählwerk fehlt, ist bloss noch nicht angeschrieben.
Bekannt ist die Meldelage: 164 Angriffe in sechs Monaten, über 260 bis Februar 2026, keine veröffentlichte Verfügung bis zu diesem Datum. Offen ist, ob das BACS die stille Nicht-Registrierung in erste Fristen nach Art. 74g ISG übersetzt oder den Perimeter weiter durch die freiwillige Meldung bestimmen lässt. Das entscheidet die erste veröffentlichte Verfügung nach Art. 74h ISG — oder der nächste BACS-Bericht, der zeigt, ob die Kurve gesättigte Freiwilligkeit abbildet oder das Amt nach den Betreibern greift, die sich für ausgenommen hielten.