Verordnung vom 7. März 2025 über die Cybersicherheit (Cybersicherheitsverordnung, CSV) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="fr" value="Ordonnance du 7 mars 2025 sur la cybersécurité (OCyS)" shortForm="OCyS"/><FRBRname xml:lang="it" value="Ordinanza del 7 marzo 2025 sulla cibersicurezza (OCS)" shortForm="OCS"/><FRBRname xml:lang="de" value="Verordnung vom 7. März 2025 über die Cybersicherheit (Cybersicherheitsverordnung, CSV)" shortForm="CSV"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/de"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/de/xml"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.6"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Bundeskanzlei"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/DEU" showAs="de"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>128.51 </docNumber></p><p><docTitle>Verordnung <br/>über die Cybersicherheit</docTitle></p><p>(Cybersicherheitsverordnung, CSV)</p><p>vom 7. März 2025 (Stand am 1. April 2025)</p></preface><preamble><p>Der Schweizerische Bundesrat,</p><p>gestützt auf die Artikel 74<i>c</i> und 84 Absatz 1 des Informationssicherheitsgesetzes vom 18. Dezember 2020<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>128</b></ref></p></authorialNote> (ISG), </p><p>verordnet:</p></preamble><body><section eId="sec_1"><num>1. Abschnitt: </num><heading>Gegenstand</heading><article eId="art_1"><num><b>Art. 1</b></num><paragraph eId="art_1/para"><content><blockList><listIntroduction eId="art_1/para/listintro">Diese Verordnung regelt:</listIntroduction><item eId="art_1/para/lbl_a"><num>a. </num><p>die Grundzüge und die Erarbeitung der Nationalen Cyberstrategie (NCS);</p></item><item eId="art_1/para/lbl_b"><num>b. </num><p>die Aufgaben des Bundesamts für Cybersicherheit (BACS);</p></item><item eId="art_1/para/lbl_c"><num>c. </num><p>den Informationsaustausch des BACS mit Behörden und Organisationen zum Schutz vor Cybervorfällen und Cyberbedrohungen;</p></item><item eId="art_1/para/lbl_d"><num>d. </num><p>die Meldepflicht bei Cyberangriffen.</p></item></blockList></content></paragraph></article></section><section eId="sec_2"><num>2. Abschnitt: </num><heading>Nationale Cyberstrategie</heading><article eId="art_2"><num><b>Art. 2</b></num><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro"> Die NCS legt Folgendes fest:</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p>den strategischen Rahmen für die Prävention im Bereich der Cybersicherheit;</p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p>die Früherkennung von Cyberbedrohungen;</p></item><item eId="art_2/para_1/lbl_c"><num>c. </num><p>die Reaktionsmöglichkeiten und die Resilienz bei Vorfällen;</p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p>die Bekämpfung der Cyberkriminalität;</p></item><item eId="art_2/para_1/lbl_e"><num>e. </num><p>die internationale Zusammenarbeit.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><p> Das BACS erarbeitet die NCS gemeinsam mit Vertreterinnen und Vertretern der Kantone, der Wirtschaft, der Betreiberinnen kritischer Infrastrukturen, der Wissenschaft, der Gesellschaft, der Departemente und der Bundeskanzlei.</p></content></paragraph></article></section><section eId="sec_3"><num>3. Abschnitt: </num><heading>Aufgaben des BACS</heading><article eId="art_3"><num><b>Art. 3</b></num><heading>Halterabfragen</heading><paragraph eId="art_3/para"><content><p>Das BACS kann zur Warnung von betroffenen Behörden, Organisationen und Personen im Fall einer unmittelbaren Cyberbedrohung oder eines laufenden Cyberangriffs bei der Registerbetreiberin von Domain-Namen, die in die Kompetenz des Bundes fallen, die Kontaktangaben der Halter der Domain-Namen abfragen.</p></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Technische Analyse von Cybervorfällen und Cyberbedrohungen</heading><paragraph eId="art_4/para_1"><num>1</num><content><blockList><listIntroduction eId="art_4/para_1/listintro"> Das BACS betreibt ein nationales <span>Einsatzteam für Computersicherheit</span>; dieses nimmt insbesondere die folgenden Aufgaben wahr:</listIntroduction><item eId="art_4/para_1/lbl_a"><num>a. </num><p>Unterstützung bei der technischen Bewältigung von Cybervorfällen;</p></item><item eId="art_4/para_1/lbl_b"><num>b. </num><p>Analyse technischer Fragestellungen;</p></item><item eId="art_4/para_1/lbl_c"><num>c. </num><p>Identifikation und Beurteilung von Cyberbedrohungen.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Es betreibt für die Analyse der Cybervorfälle und Cyberbedrohungen eine resiliente, von der restlichen Bundesinformatik unabhängige Infrastruktur.</p></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Priorisierung der Beratung und Unterstützung bei Cyberangriffen</heading><paragraph eId="art_5/para_1"><num>1</num><content><p> Übersteigt die Nachfrage nach Beratung und Unterstützung bei einem Cyberangriff die Kapazitäten des BACS, so kann das BACS die Beratung und Unterstützung in Bezug auf den Zeitpunkt und den Umfang priorisieren.</p></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><p> Es berücksichtigt dabei die öffentliche Sicherheit und Ordnung, das Wohlergehen der Bevölkerung und das Funktionieren der Wirtschaft.</p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Offenlegung von Schwachstellen</heading><paragraph eId="art_6/para_1"><num>1</num><content><p> Das BACS sorgt dafür, dass Schwachstellen an Hard- und Software koordiniert offengelegt werden; es berücksichtigt dabei international anerkannte Standards.</p></content></paragraph><paragraph eId="art_6/para_2"><num>2</num><content><p> Es setzt der Herstellerin der betroffenen Hard- oder Software eine Frist von 90 Tagen zur Behebung der Schwachstellen.</p></content></paragraph><paragraph eId="art_6/para_3"><num>3</num><content><blockList><listIntroduction eId="art_6/para_3/listintro"> Es kann die Frist verkürzen, wenn eine Schwachstelle:</listIntroduction><item eId="art_6/para_3/lbl_a"><num>a. </num><p>die Funktionsfähigkeit von kritischen Infrastrukturen gefährdet;</p></item><item eId="art_6/para_3/lbl_b"><num>b. </num><p>weit verbreitete Systeme betrifft; oder</p></item><item eId="art_6/para_3/lbl_c"><num>c. </num><p>für einen Cyberangriff verwendet wird oder besonders leicht für einen Cyberangriff ausgenutzt werden kann.</p></item></blockList></content></paragraph><paragraph eId="art_6/para_4"><num>4</num><content><p> Es kann die Frist verlängern, wenn sich die Behebung der Schwachstelle als besonders aufwendig erweist.</p></content></paragraph><paragraph eId="art_6/para_5"><num>5</num><content><p> Es kann die Betreiberinnen kritischer Infrastrukturen bereits vor der Offenlegung oder Behebung über Schwachstellen informieren.</p></content></paragraph><paragraph eId="art_6/para_6"><num>6</num><content><p> Es informiert das Bundesamt für Kommunikation (BAKOM) unverzüglich über Schwachstellen in Fernmeldeanlagen nach Artikel 3 Buchstabe d des Fernmeldegesetzes vom 30. April 1997<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>784.10</b></ref></p></authorialNote>.</p></content></paragraph><paragraph eId="art_6/para_7"><num>7</num><content><p> Die Absätze 1–4 gelten nicht für Schwachstellen, die das BAKOM im Rahmen seiner Aufsichtskontrollen (Art. 36–40 der Verordnung vom 25. November 2015<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2016/24" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>784.101.2</b></ref></p></authorialNote> über Fernmeldeanlagen) feststellt und dem BACS meldet.</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Unterstützung von Behörden</heading><paragraph eId="art_7/para"><content><p>Das BACS unterstützt die Behörden von Bund und Kantonen bei der Entwicklung, Umsetzung und Prüfung von Standards und Regulierungen im Bereich der Cybersicherheit.</p></content></paragraph></article></section><section eId="sec_4"><num>4. Abschnitt: </num><heading>Informationsaustausch</heading><article eId="art_8"><num><b>Art. 8</b></num><heading>Kommunikationssystem für den sicheren Informationsaustausch und Informationssysteme für den automatischen Austausch</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Zugang zum Kommunikationssystem des BACS für den sicheren Informationsaustausch haben alle meldepflichtigen Betreiberinnen von kritischen Infrastrukturen sowie Organisationen mit Sitz in der Schweiz und Behörden.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> Das BACS stellt den Betreiberinnen kritischer Infrastrukturen technische Informationen nach Artikel 74 Absatz 2 Buchstabe b ISG zu Cyberbedrohungen und Cybervorfällen über Informationssysteme für den automatischen Austausch zur Verfügung.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p> Das BACS ist für die Sicherheit des Kommunikations- sowie der Informationssysteme und die Rechtmässigkeit der Bearbeitung der Daten verantwortlich.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Registrierung</heading><paragraph eId="art_9/para_1"><num>1</num><content><p> Die Organisationen und Behörden müssen sich für die Nutzung des Kommunikationssystems registrieren. Sie müssen Änderungen von Angaben unverzüglich melden. </p></content></paragraph><paragraph eId="art_9/para_2"><num>2</num><content><blockList><listIntroduction eId="art_9/para_2/listintro"> Die Registrierung muss mindestens folgende Angaben enthalten:</listIntroduction><item eId="art_9/para_2/lbl_a"><num>a. </num><p>Firma, Name oder Bezeichnung und Adresse;</p></item><item eId="art_9/para_2/lbl_b"><num>b. </num><p>Kontaktperson.</p></item></blockList></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Dienstleister</heading><paragraph eId="art_10/para_1"><num>1</num><content><p> Die Betreiberinnen kritischer Infrastrukturen können dem BACS Dienstleister melden, die für sie Leistungen im Bereich der Cybersicherheit erbringen und die am Informationsaustausch teilnehmen wollen.</p></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> Die Dienstleister müssen sich mit der Firma oder dem Namen sowie Angaben zur Kontaktperson registrieren.</p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Übermittlung und Nutzung der Informationen</heading><paragraph eId="art_11/para_1"><num>1</num><content><p> Die registrierten Organisationen und Behörden legen bei der Übermittlung von Informationen fest, an wen das BACS diese im Kommunikationssystem für den sicheren Informationsaustausch weitergeben darf, es sei denn, die Weitergabe ist gesetzlich vorgesehen.</p></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><p> Das BACS entscheidet über die Veröffentlichung von freigegebenen Informationen.</p></content></paragraph><paragraph eId="art_11/para_3"><num>3</num><content><p> Die Informationsempfängerinnen und -empfänger müssen den Schutz der Informationen gewährleisten.</p></content></paragraph><paragraph eId="art_11/para_4"><num>4</num><content><p> Die registrierten Dienstleister von Betreiberinnen kritischer Infrastrukturen dürfen Informationen, die sie erhalten, ausschliesslich zum Schutz kritischer Infrastrukturen verwenden.</p></content></paragraph></article></section><section eId="sec_5"><num>5. Abschnitt: </num><heading>Meldepflicht</heading><article eId="art_12"><num><b>Art. 12</b></num><heading>Ausnahmen von der Meldepflicht</heading><paragraph eId="art_12/para_1"><num>1</num><content><blockList><listIntroduction eId="art_12/para_1/listintro"> Die folgenden Behörden und Organisationen sind unter den nachstehenden Voraussetzungen von der Meldepflicht ausgenommen:</listIntroduction><item eId="art_12/para_1/lbl_a"><num>a. </num><p>Hochschulen nach Artikel 74<i>b </i>Absatz 1 Buchstabe a ISG, sofern sie über weniger als 2000 Studierende verfügen;</p></item><item eId="art_12/para_1/lbl_b"><num>b. </num><blockList><listIntroduction eId="art_12/para_1/lbl_b/listintro">Unternehmen nach Artikel 74<i>b</i> Absatz 1 Buchstabe d ISG, sofern sie:</listIntroduction><item eId="art_12/para_1/lbl_b/lbl_1"><num>1. </num><p>als Netzbetreiber, Elektrizitätserzeuger, Elektrizitätsspeicherbetreiber oder Dienstleister im Elektrizitätsbereich nach Artikel 5<i>a</i> Absatz 1 und Anhang 1<i>a</i> der Stromversorgungsverordnung vom 14. März 2008<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2008/226" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>734.71</b></ref></p></authorialNote> weder das Schutzniveau A noch das Schutzniveau B einhalten müssen, oder</p></item><item eId="art_12/para_1/lbl_b/lbl_2"><num>2. </num><p>als Betreiber von Gasleitungen nach Artikel 2 Absatz 3 der Rohrleitungssicherheitsverordnung vom 4. Juni 2021<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2021/348" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>746.12</b></ref></p></authorialNote> im Durchschnitt der letzten fünf Jahre eine transportierte Energie von weniger als 400 GWh/Jahr aufweisen;</p></item></blockList></item><item eId="art_12/para_1/lbl_c"><num>c. </num><blockList><listIntroduction eId="art_12/para_1/lbl_c/listintro">Eisenbahnunternehmen sowie Seilbahn-, Trolleybus-, Autobus- und Schifffahrtsunternehmen nach Artikel 74<i>b</i> Absatz 1 Buchstabe m ISG, sofern sie:</listIntroduction><item eId="art_12/para_1/lbl_c/lbl_1"><num>1. </num><p>nicht mit Systemaufgaben (Art. 37 des Eisenbahngesetzes vom 20. Dezember 1957<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1958/335_341_347" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>742.101</b></ref></p></authorialNote> [EBG]) beauftragt sind,</p></item><item eId="art_12/para_1/lbl_c/lbl_2"><num>2. </num><p>über eine Personenbeförderungskonzession nach Artikel 6 des Personenbeförderungsgesetzes vom 20. März 2009<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2009/680" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>745.1</b></ref></p></authorialNote> (PBG) verfügen, aber keine durch Bund und Kantone gemeinsam bestellten Angebote erbringen (Art. 28–31<i>c</i> PBG),</p></item><item eId="art_12/para_1/lbl_c/lbl_3"><num>3. </num><p>über eine Infrastrukturkonzession nach Artikel 5 EBG verfügen, diese aber nicht erteilt wurde, weil ein öffentliches Interesse am Bau und Betrieb der Infrastruktur besteht (Art. 6 Abs. 1 Bst. a EBG);</p></item></blockList></item><item eId="art_12/para_1/lbl_d"><num>d. </num><blockList><listIntroduction eId="art_12/para_1/lbl_d/listintro">Unternehmen nach Artikel 74<i>b</i> Absatz 1 Buchstabe n ISG, sofern sie:</listIntroduction><item eId="art_12/para_1/lbl_d/lbl_1"><num>1. </num><p>nach den Artikeln 2 und 4 und Anhang II der Durchführungsverordnung (EU) 2023/203<authorialNote><p>  Durchführungsverordnung (EU) 2023/203 der Kommission vom 27. Oktober 2022 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) Nr. 2018/1139 des Europäischen Parlaments und des Rates hinsichtlich der Anforderungen an das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit für Organisationen, die unter die Verordnungen (EU) Nr. 1321/2014, (EU) Nr. 965/2012, (EU) Nr. 1178/2011, (EU) 2015/340 der Kommission, die Durchführungsverordnungen (EU) 2017/373 und (EU) 2021/664 der Kommission fallen, sowie für zuständige Behörden, die unter die Verordnungen (EU) Nr. 748/2012, (EU) Nr. 1321/2014, (EU) Nr. 965/2012, (EU) Nr. 1178/2011, (EU) 2015/340 und (EU) Nr. 139/2014 der Kommission und die Durchführungsverordnungen (EU) 2017/373 und (EU) 2021/664 der Kommission fallen, sowie zur Änderung der Verordnungen (EU) Nr. 1178/2011, (EU) Nr. 748/2012, (EU) Nr. 965/2012, (EU) Nr. 139/2014, (EU) Nr. 1321/2014, (EU) 2015/340 der Kommission und der Durchführungsverordnungen (EU) 2017/373 und (EU) 2021/664 der Kommission, in der für die Schweiz verbindlichen Fassung gemäss Ziffer 3 des Anhangs zum Abkommen vom 21. Juni 1999 zwischen der Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft über den Luftverkehr (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>0.748.127.192.68</b></ref>).</p></authorialNote> oder nach Artikel 2 und dem Anhang der Delegierten Verordnung (EU) 2022/1645<authorialNote><p>  Delegierte Verordnung (EU) 2022/1645 der Kommission vom 14. Juli 2022 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates im Hinblick auf die Anforderungen an das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit für Organisationen, die unter die Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission fallen, und zur Änderung der Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission, in der für die Schweiz verbindlichen Fassung gemäss Ziffer 3 des Anhangs zum Abkommen vom 21. Juni 1999 zwischen der Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft über den Luftverkehr (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>0.748.127.192.68</b></ref>).</p></authorialNote> kein Information Security Management System einrichten müssen,</p></item><item eId="art_12/para_1/lbl_d/lbl_2"><num>2. </num><p>die Vorgaben nach Ziffer 1.7 des Anhangs der Durchführungsverordnung (EU) 2015/1998<authorialNote><p>  Durchführungsverordnung (EU) 2015/1998 der Kommission vom 5. November 2015 zur Festlegung detaillierter Massnahmen für die Durchführung der gemeinsamen Grundstandards für die Luftsicherheit, in der für die Schweiz verbindlichen Fassung gemäss Ziffer 4 des Anhangs zum Abkommen vom 21. Juni 1999 zwischen der Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft über den Luftverkehr (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>0.748.127.192.68</b></ref>).</p></authorialNote> in ihrem Security-Programm nach Artikel 2, 12, 13 oder 14 der Verordnung (EG) Nr. 300/2008<authorialNote><p>  Verordnung (EG) Nr. 300/2008 des europäischen Parlaments und des Rates vom 11. März 2008 über gemeinsame Vorschriften für die Sicherheit in der Zivilluftfahrt und zur Aufhebung der Verordnung (EG) Nr. 2320/2002, in der für die Schweiz verbindlichen Fassung gemäss Ziffer 4 des Anhangs zum Abkommen vom 21. Juni 1999 zwischen der Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft über den Luftverkehr (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>0.748.127.192.68</b></ref>).</p></authorialNote> nicht umsetzen müssen;</p></item></blockList></item><item eId="art_12/para_1/lbl_e"><num>e. </num><p>Anbieterinnen und Betreiberinnen nach Artikel 74<i>b</i> Absatz 1 Buchstabe t ISG, sofern sie ihre Leistungen weder teilweise noch vollumfänglich gegen Entgelt für Dritte erbringen.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p> Behörden und Organisationen nach Artikel 74<i>b</i> Absatz 1 Buchstaben g, h, l und p ISG sind von der Meldepflicht ausgenommen, sofern sie im betroffenen Bereich weniger als 50 Personen beschäftigen und ihr Jahresumsatz oder ihre Jahresbilanzsumme im betroffenen Bereich 10 Millionen Franken nicht übersteigt.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Einreichung von Unterlagen zur Abklärung der Meldepflicht</heading><paragraph eId="art_13/para"><content><p>Die interessierten Behörden und Organisationen müssen dem BACS alle Unterlagen zur Verfügung stellen, die dieses benötigt, um Auskunft über die Unterstellung unter die Meldepflicht zu erteilen.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Zu meldende Cyberangriffe</heading><paragraph eId="art_14/para_1"><num>1</num><content><blockList><listIntroduction eId="art_14/para_1/listintro"> Die Funktionsfähigkeit einer kritischen Infrastruktur gilt als gefährdet, wenn:</listIntroduction><item eId="art_14/para_1/lbl_a"><num>a. </num><p>Mitarbeitende oder Dritte von Systemunterbrüchen betroffen sind; oder</p></item><item eId="art_14/para_1/lbl_b"><num>b. </num><p>die betroffene Organisation oder Behörde ihre Tätigkeiten nur noch mit Hilfe von Notfallplänen aufrechterhalten kann.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><blockList><listIntroduction eId="art_14/para_2/listintro"> Eine Manipulation oder ein Abfluss von Informationen liegt vor, wenn:</listIntroduction><item eId="art_14/para_2/lbl_a"><num>a. </num><p>geschäftsrelevante Informationen von Unbefugten eingesehen, verändert oder offengelegt werden; oder</p></item><item eId="art_14/para_2/lbl_b"><num>b. </num><p>eine Meldung von Verletzungen der Datensicherheit nach Artikel 24 des Datenschutzgesetzes vom 25. September 2020<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>235.1</b></ref></p></authorialNote> erfolgt ist.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><p> Ein Cyberangriff gilt als über einen längeren Zeitraum unentdeckt, wenn der Vorfall mehr als 90 Tage zurückliegt.</p></content></paragraph><paragraph eId="art_14/para_4"><num>4</num><content><p> Ein Cyberangriff gilt als mit Erpressung, Drohung oder Nötigung verbunden, wenn sich diese Handlungen gegen eine meldepflichtige Behörde oder Organisation richten oder gegen Personen, die für eine solche Behörde oder Organisation tätig sind.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Inhalt der Meldung</heading><paragraph eId="art_15/para_1"><num>1</num><content><blockList><listIntroduction eId="art_15/para_1/listintro"> Die Meldung muss nebst den Angaben nach Artikel 74<i>e</i> Absatz 2 ISG folgende Informationen zum Cyberangriff enthalten:</listIntroduction><item eId="art_15/para_1/lbl_a"><num>a. </num><p>Datum und Uhrzeit der Feststellung des Angriffs;</p></item><item eId="art_15/para_1/lbl_b"><num>b. </num><p>Datum und Uhrzeit des Angriffs; und</p></item><item eId="art_15/para_1/lbl_c"><num>c. </num><p>Angaben zum Angreifer.</p></item></blockList></content></paragraph><paragraph eId="art_15/para_2"><num>2</num><content><p> Sie muss zudem die Information enthalten, ob der Angriff mit Erpressung, Drohung oder Nötigung verbunden war und ob Strafanzeige erstattet wurde.</p></content></paragraph><paragraph eId="art_15/para_3"><num>3</num><content><blockList><listIntroduction eId="art_15/para_3/listintro"> Sie muss folgende Informationen zu den Auswirkungen des Cyberangriffs enthalten:</listIntroduction><item eId="art_15/para_3/lbl_a"><num>a. </num><p>Schweregrad der Beeinträchtigung der Verfügbarkeit, Integrität und Vertraulichkeit der Informationen; und</p></item><item eId="art_15/para_3/lbl_b"><num>b. </num><p>Auswirkung des Cyberangriffs auf die Funktionsfähigkeit der Organisation oder Behörde.</p></item></blockList></content></paragraph><paragraph eId="art_15/para_4"><num>4</num><content><blockList><listIntroduction eId="art_15/para_4/listintro"> Erfolgt die Meldung nicht über das Kommunikationssystem des BACS, so muss sie zusätzlich folgende Informationen zur meldepflichtigen Behörde oder Organisation enthalten:</listIntroduction><item eId="art_15/para_4/lbl_a"><num>a. </num><p>Firma, Name oder Bezeichnung und Adresse; und</p></item><item eId="art_15/para_4/lbl_b"><num>b. </num><p>Kontaktangaben der meldenden Person.</p></item></blockList></content></paragraph></article><article eId="art_16"><num><b>Art. 16</b></num><heading>Frist zur Erfassung der Meldung</heading><paragraph eId="art_16/para_1"><num>1</num><content><p> Sind innerhalb der Meldefrist von 24 Stunden nach der Entdeckung des Cyberangriffs nicht alle erforderlichen Informationen bekannt, so gewährt das BACS der betreffenden Behörde oder Organisation eine Frist von 14 Tagen zur Ergänzung der Meldung.</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><p> Liegen bis zum Ablauf der Frist nicht alle erforderlichen Informationen vor, so fordert das BACS die betreffende Behörde oder Organisation auf, diese umgehend zu ergänzen oder zu bestätigen, dass die Informationen nicht vorhanden sind.</p></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Übermittlung der Meldung</heading><paragraph eId="art_17/para_1"><num>1</num><content><p> Falls die Meldung nicht über das Kommunikationssystem des BACS erfolgt, informiert dieses die Kontaktperson nach Artikel 9 Absatz 2 Buchstabe b über den Eingang und den Inhalt der Meldung.</p></content></paragraph><paragraph eId="art_17/para_2"><num>2</num><content><p> Eine oder mehrere meldepflichtige Behörden oder Organisationen können beschliessen, den Meldeprozess einzeln oder gemeinsam an eine Drittorganisation auszulagern.</p></content></paragraph></article></section><section eId="sec_6"><num>6. Abschnitt: </num><heading>Schlussbestimmungen</heading><article eId="art_18"><num><b>Art. 18 </b></num><heading>Änderung anderer Erlasse</heading><paragraph eId="art_18/para"><content><p>Die Änderung anderer Erlasse wird im Anhang geregelt.</p></content></paragraph></article><article eId="art_19"><num><b>Art. 19</b></num><heading>Inkrafttreten</heading><paragraph eId="art_19/para"><content><p>Diese Verordnung tritt am 1. April 2025 in Kraft.</p></content></paragraph></article></section></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="fr" value="Ordonnance du 7 mars 2025 sur la cybersécurité (OCyS)" shortForm="OCyS"/><FRBRname xml:lang="it" value="Ordinanza del 7 marzo 2025 sulla cibersicurezza (OCS)" shortForm="OCS"/><FRBRname xml:lang="de" value="Verordnung vom 7. März 2025 über die Cybersicherheit (Cybersicherheitsverordnung, CSV)" shortForm="CSV"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/de"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/de/xml"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="heading">Anhang</block></container></preface><mainBody><p>(Art. 18)</p><level eId="annex_u1/lvl_u1"><heading>Änderung anderer Erlasse</heading><content><p>Die nachstehenden Erlasse werden wie folgt geändert:</p><p>…<authorialNote><p> Die Änderungen können unter <ref href="https://fedlex.data.admin.ch/eli/oc/2025/169" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2025</b> 169 </ref>konsultiert werden.</p></authorialNote></p></content></level></mainBody></doc></component></components></act></akomaNtoso>