Welche Meldung ist bei Ihrem Cyber-Vorfall Pflicht - und wie lange läuft die Frist noch? Der Navigator prüft in einem Durchgang die vier Regime, die eine Schweizer Organisation gleichzeitig treffen können: ISG-Meldepflicht an das BACS (24 Stunden), FINMA-Meldung für Beaufsichtigte, Meldung von Datensicherheitsverletzungen an den EDÖB nach dem revidierten DSG und die DORA-Meldekette über EU-Einheiten. Mit Live-Countdown ab Entdeckung, vorbereiteten Meldeinhalten und einem Playbook für die ersten 24 Stunden - für den Ernstfall und für die Übung.
100 % lokale Verarbeitung (LocalStorage). Kein Server, keine Cloud, kein Account. Gerade in der laufenden Vorfallsbewältigung entscheidend - auch wir sehen nichts.
Aus dem Entdeckungszeitpunkt entsteht je greifendem Regime ein eigener Countdown - inklusive Hinweis, welche Frist gesetzlich ist und welche Marke wir zur Selbstorganisation empfehlen.
Aufgebaut auf den öffentlich publizierten Vorgaben von BACS, FINMA, EDÖB und den EU-Rechtsakten zu DORA. Jede Einstufung wird mit Begründung ausgewiesen - die Erlasstexte selbst sind eigenständig zusammengefasst.
Das Werkzeug strukturiert Ihre Entscheidung, ersetzt aber weder Rechtsberatung noch die Kommunikation mit der Behörde. Im Ernstfall gilt: eine Meldung nie wegen dieses Werkzeugs verzögern.
Legen Sie einen akuten Vorfall oder eine Meldeübung an - der Navigator führt Sie durch Triage, Fristen, Meldeinhalte und Playbook
Dieses Werkzeug führt in fünf Schritten durch vier voneinander unabhängige Meldewege: die Meldepflicht nach dem Informationssicherheitsgesetz an das Bundesamt für Cybersicherheit, die Meldung wesentlicher Cyber-Vorkommnisse an die FINMA, die Meldung von Datensicherheitsverletzungen nach Artikel 24 des Datenschutzgesetzes an den EDÖB und die Meldung schwerwiegender IKT-Vorfälle nach DORA in der EU. Ein einziger Vorfall kann mehrere davon gleichzeitig auslösen, mit unterschiedlichen Fristen ab unterschiedlichen Startpunkten. Keine Rechtsberatung.
Die Meldepflicht nach dem Informationssicherheitsgesetz gilt seit dem 1. April 2025. Die Erstmeldung geht innert 24 Stunden ab Entdeckung an das Bundesamt für Cybersicherheit; fehlende Angaben dürfen innert 14 Tagen nachgereicht werden, die Erstmeldung selbst darf deswegen nicht warten. Wer meldepflichtig ist, ergibt sich aus der Kategorienliste nach Artikel 74b des Gesetzes mit 21 Tätigkeitsbereichen: von Hochschulen und Behörden über Energie, Gesundheit, Finanz und Verkehr bis zu Domain-Registern, Cloud-, Suchmaschinen- und Sicherheitsdiensten und Herstellerinnen von Hard- oder Software für kritische Infrastrukturen.
Die Sanktionsbestimmungen gelten seit dem 1. Oktober 2025, und sie sind zweistufig aufgebaut: Zuerst erlässt das Bundesamt für Cybersicherheit eine Verfügung, und erst deren vorsätzliche Missachtung führt zur Busse bis 100 000 Franken. Die verspätete oder unterlassene Meldung allein ist nicht der Bussentatbestand. Diese Unterscheidung wird häufig falsch dargestellt, und sie verschiebt die Risikobetrachtung: Teuer wird nicht die verpasste Frist, sondern das Ignorieren der darauf folgenden behördlichen Anordnung.
Die Cybersicherheitsverordnung nimmt kleine Einheiten aus. Richtwerte sind weniger als 50 Beschäftigte und höchstens 10 Millionen Franken Umsatz oder Bilanzsumme im meldepflichtigen Bereich, Behörden mit weniger als 1000 Einwohnerinnen und Einwohnern und Hochschulen mit weniger als 2000 Studierenden; dazu kommt der Fall, dass ein Angriff ausschliesslich nicht-kritische Tätigkeitsbereiche betrifft. Die vier Fristen laufen nicht synchron. Artikel 24 des Datenschutzgesetzes nennt keine Stundenzahl, sondern verlangt eine Meldung so rasch als möglich; die im Cockpit angezeigte 72-Stunden-Marke für den EDÖB ist eine Empfehlung dieses Werkzeugs zur Selbstorganisation und keine Rechtsfrist. Die FINMA erwartet die formlose Erstmeldung innert 24 Stunden und die Vollmeldung innert 72 Stunden über die Erhebungs- und Gesuchsplattform. DORA rechnet ab der Klassifizierung: Erstmeldung spätestens vier Stunden danach und in jedem Fall innert 24 Stunden ab Kenntnis, Zwischenbericht spätestens 72 Stunden nach der Erstmeldung.
Hinweis zur Anwendung: Die Ausnahmen der Cybersicherheitsverordnung sind eine Indikation; der Einzelfall ist am Verordnungstext zu prüfen. Meldestellen sind das Bundesamt für Cybersicherheit über das Meldeformular im Cyber Security Hub, die FINMA über den zuständigen Key Account Manager und die Erhebungs- und Gesuchsplattform, der EDÖB über sein Meldeportal DataBreach und für DORA die zuständige Behörde des EU-Mitgliedstaats der betroffenen Finanzeinheit. Meldewege und Fristen dieses Werkzeugs sind eigenständige Paraphrasen der Erlasse, keine amtlichen Texte und keine Rechtsberatung.