Viele KMU sind direkt betroffen, wenn sie kritische Dienstleistungen erbringen. Auch als Zulieferer oder Dienstleister von Betreibern kritischer Infrastrukturen können Pflichten auf Sie übergehen – etwa über Auftragsbearbeitungs-Verträge oder Lieferantenanforderungen.
Definition
Das ISG (in Kraft seit 1. Januar 2024) betrifft vor allem Betreiber kritischer Infrastrukturen und öffentliche Organisationen in Sektoren wie Energie, Verkehr, Gesundheit, Wasser, Finanz, Verwaltung und digitale Dienste. Es verpflichtet zu Risikoanalysen, angemessenen Sicherheitsmassnahmen, Meldung von Cybervorfällen an das BACS und zur Zusammenarbeit mit den Behörden. Die genauen Pflichten werden in einer separaten Verordnung konkretisiert.
Das sollten Sie zu Bundesgesetz über die Informationssicherheit wissen
Risikoanalyse und Informationssicherheits-Konzept
Mindeststandards gemäss Branchenverordnung
Meldeprozess für Cybervorfälle innert 24 Stunden
Incident-Response und Krisenkommunikation
Regelmässige Sicherheitsaudits und Penetrationstests
Schulung der Mitarbeitenden zu Cyber-Hygiene
Zusammenarbeit mit dem BACS und kantonalen Stellen
Wiederherstellungspläne und Business Continuity
Häufige Fragen zu Bundesgesetz über die Informationssicherheit
Betrifft das ISG auch mein KMU?
Was ist der Unterschied zwischen ISG und DSG?
Welche Pflichten bringt das ISG konkret?
Was passiert bei einem Vorfall, den ich melden muss?
Wie bereite ich mich auf das ISG vor?
Wer überwacht die Einhaltung des ISG?
Themen