Die 24-Stunden-Meldepflicht des revidierten Informationssicherheitsgesetzes (ISG) gilt seit dem 1. April 2025 und ist seit dem 1. Oktober 2025 bussenbewehrt. Compliance-Abteilungen haben das verbucht; in der M&A-Praxis taucht die Pflicht bislang kaum auf. Kauft Ihr Haus eine Schweizer Gesellschaft, die nach Art. 74b ISG als Betreiberin einer kritischen Infrastruktur gilt, übernimmt es deren laufende Meldepflicht nach Art. 74e ISG — und die persönliche Bussdrohung nach Art. 74h ISG wechselt mit dem Vollzug die zuständige Person.

Den Geltungsbereich (Art. 74b ISG samt den Schwellen von Art. 12 CSV) und die Bussenmechanik haben wir bereits behandelt; hier geht es um den Deal. Drei Punkte gehören auf die Due-Diligence-Liste: Erfüllt die Zielgesellschaft die Schwellen von Art. 12 CSV überhaupt, verfügt sie über einen funktionsfähigen 24-Stunden-Meldeprozess (via Cyber Security Hub-Account oder BACS-Webformular), und liegt gegen sie eine rechtskräftige Verfügung des BACS oder eine informelle BACS-Anfrage vor? Die Verfügung ist der einzige Weg zur Busse nach Art. 74h ISG. Ein hängiges BACS-Verfahren läuft gegen die Zielgesellschaft weiter — die Käuferin übernimmt es mit den Aktien, weil die Zielgesellschaft Partei bleibt.

Eine allgemeine Compliance-Zusicherung trägt das ISG-Risiko nicht ab. Verlangt wird eine eigene ISG-Zusicherung: ein funktionsfähiger 24-Stunden-Meldeprozess über einen der BACS-Meldekanäle besteht, kein meldepflichtiger Vorfall blieb ungemeldet, kein BACS-Verfahren und keine informelle BACS-Anfrage sind hängig. Das BACS-Sanktionsverfahren beginnt mit einer informellen Aufforderung zur Nachreichung der Meldung, die in keinem öffentlichen Register erscheint und daher gezielt abgefragt werden muss. Was die Verkäuferin dazu nicht im Offenlegungsanhang aufführt, fällt unter die Zusicherung — und damit unter die Freistellung.

Die Lücke, die der Vertrag am schwersten schliessen kann, liegt zwischen Unterzeichnung und Vollzug. Die Frist nach Art. 74e ISG läuft ab Entdeckung des Angriffs, nicht ab Gremienfreigabe und nicht ab Vollzug. In diesem Fenster bleibt die Zielgesellschaft die meldepflichtige Stelle, während die Käuferin bereits das wirtschaftliche Risiko trägt. Art. 74e ISG verpflichtet zudem, eine summarische Erstmeldung binnen 14 Tagen zu ergänzen. Versäumt die Zielgesellschaft das, ist sie vor Vollzug bereits in Verletzung — der Freistellungsumfang muss diesen Fall ausdrücklich erfassen. Der Vertrag muss deshalb regeln, wer innert 24 Stunden meldet und die Käuferin unverzüglich orientiert. Ein Meldeversäumnis vor Vollzug ist eine Tatsache, die allein die Freistellung noch auffängt.

Am Montag also zwei Einträge: eine ISG-Zeile auf der Diligence-Anforderungsliste und eine eigene Zusicherung samt Freistellung in der Vorlage des Aktienkaufvertrags. Für die eigene Gruppe gilt parallel: Halten Sie schriftlich fest, wer nach Vollzug die verantwortliche natürliche Person im Sinne von Art. 74h ISG ist. Diese Bestimmung erfasst die bei der Zielgesellschaft für die Erfüllung der Meldepflicht verantwortliche Person — in der Regel der Geschäftsführer oder ein bezeichneter Informationssicherheitsverantwortlicher. Die Sanktion setzt voraus, dass BACS eine Verfügung erlassen hat und die Zielgesellschaft dieser nicht nachgekommen ist; das Maximum beträgt CHF 100 000. Prüfen Sie zudem die D&O-Police auf Verwaltungsbussen — in der Regel sind diese ausgeschlossen. Die zivilrechtliche Verantwortlichkeit nach Art. 754 OR ist ohnehin eine andere Baustelle als eine Sanktion nach Art. 74h ISG. Offen bleibt, wie hoch eine Käuferin das Bussrisiko bepreisen soll: Konkret kalkulierbar ist heute der Aufwand für eine externe Prüfung des 24-Stunden-Meldeprozesses und den laufenden Betrieb eines strukturierten Meldeprotokolls. Ob eine Sanktion nach Art. 74h ISG je materiell wird, zeigt sich erst, wenn BACS erste Vollzugsdaten veröffentlicht.