Spitäler sind kritische Infrastruktur, mit Cyber-Meldepflichten und einer Verantwortung, die bis in den Verwaltungsrat reicht. Wir grenzen die Schweizer ISG/BACS-Pflicht sauber von der EU-Richtlinie NIS2 ab, schliessen Ihre Lücken mit Gap-Analyse, Meldeprozess-Playbooks und ISMS, rechtlich geführt und unabhängig.
Für Spitalführungen, Verwaltungsräte, Geschäftsleitungen, CFOs, CISOs und kantonale Betreiber
Ein Cyberangriff trifft im Spital nicht nur Daten, sondern den Betrieb und die Patientensicherheit. Genau deshalb behandelt der Gesetzgeber die Gesundheitsversorgung als kritische Infrastruktur.
In der Schweiz besteht für Betreiberinnen kritischer Infrastrukturen eine Cyber-Meldepflicht gegenüber dem Bundesamt für Cybersicherheit (BACS), gestützt auf das Informationssicherheitsgesetz (ISG). Spitäler und Teile der Gesundheitsversorgung können davon erfasst sein. Schwerwiegende Cybervorfälle sind dem BACS innert einer kurzen Frist zu melden.
Ob Ihr Haus konkret meldepflichtig ist, welche Schwellenwerte gelten und in welcher Frist gemeldet werden muss, ist im Einzelfall zu prüfen. Die Detailfristen und der genaue Geltungsbereich sind teils noch in Konkretisierung. Wir klären diese Einordnung sauber, bevor wir Prozesse aufsetzen.
Wir behandeln das Thema als Governance- und Compliance-Frage: nicht als Technikbeschaffung, sondern als nachweisbare Organisation von Verantwortung, Prozessen und Eskalationswegen rund um den Vorfall.
NIS2 und die Schweizer Meldepflicht werden oft in einen Topf geworfen. Das ist riskant, weil sich Anwendbarkeit, Fristen und Pflichten unterscheiden. Wir trennen die beiden Regime sauber.
NIS2 ist eine EU-Richtlinie. Die Schweiz hat sie nicht übernommen. Direkt binden kann NIS2 daher nur Einrichtungen, die über eine Niederlassung oder Tätigkeit innerhalb der EU verfügen, etwa ein Schweizer Spitalkonzern mit Standorten oder Tochtergesellschaften in einem EU-Mitgliedstaat. Für ein rein in der Schweiz tätiges Spital entfaltet NIS2 selbst keine unmittelbare Pflicht.
Rein schweizerisch tätige Spitäler unterstehen stattdessen der schweizerischen Cyber-Meldepflicht nach dem ISG, vollzogen durch das BACS. Das ist ein eigenständiges Regime mit eigenen Schwellenwerten und Fristen und darf nicht mit NIS2 verwechselt oder vermischt werden.
Für Häuser mit einem Fuss in der EU können beide Regime nebeneinander gelten. Wir erstellen für Sie eine klare Anwendbarkeits-Landkarte: Welche Einheit fällt unter welches Regime, mit welcher Frist und welchem Meldeweg, damit niemand im Vorfall die falsche Behörde sucht.
Orientierung, kein Rechtsrat. Geltungsbereich, Schwellenwerte und Fristen prüfen wir fallbezogen. Details sind teils noch in Konkretisierung.
| Regime | Was es verlangt | Wen es bindet | Status |
|---|---|---|---|
| Schweiz: ISG / BACS-Meldepflicht | Meldung schwerwiegender Cybervorfälle ans BACS innert kurzer Frist; Betreiber kritischer Infrastruktur | Schweizer Betreiber kritischer Infrastruktur (Spital im Einzelfall prüfen) | in Kraft (Detailfristen prüfen) |
| EU: NIS2-Richtlinie | Risikomanagement, Meldepflichten und Leitungsverantwortung für wesentliche und wichtige Einrichtungen | nur Einrichtungen mit EU-Niederlassung oder -Tätigkeit (nicht für rein schweizerische Häuser) | EU-Recht, von der Schweiz nicht übernommen |
| revDSG / nDSG (Datenschutz) | Separate Meldung von Verletzungen der Datensicherheit an den EDÖB, eigene Logik neben der Cyber-Meldepflicht | alle Verantwortlichen in der Schweiz, die Personendaten bearbeiten | in Kraft seit 1. Sept. 2023 |
Cybersicherheit ist im Spital Chefsache. Verantwortung lässt sich nicht an die IT delegieren, aber sie lässt sich sauber organisieren und nachweisen.
Cyberrisiken gehören zu den nicht delegierbaren Sorgfaltspflichten der obersten Leitung. Wir machen die Aufsicht handhabbar: klare Rollen, Berichtslinien und ein dokumentiertes Risikobild, das der Verwaltungsrat tatsächlich versteht und verantworten kann.
Mit unserem vCISO erhält Ihr Haus eine verantwortliche Sicherheitsführung, die Strategie, Risikoakzeptanz und Berichterstattung an die Geschäftsleitung steuert, ohne dass Sie eine teure Vollzeitstelle aufbauen müssen.
Ein ISMS nach ISO 27001 verankert Risikomanagement, Massnahmen und Vorfallbehandlung in einem prüffähigen System. Das ist genau die Struktur, die Meldepflicht-Regime und Aufsichtsorgane sehen wollen.
Wo ein SIDD-Anwalt in anwaltlicher Funktion berät, können Ihre Angaben dem Berufsgeheimnis nach Art. 321 StGB unterliegen, zusätzlich zur vertraglichen Vertraulichkeit. Den genauen Schutzumfang klären wir mandatsbezogen, gerade bei heiklen Vorfall-Informationen.
Wir beraten in Deutsch, Französisch und Englisch, relevant für die Romandie und für Häuser mit EU-Mutterhäusern, bei denen NIS2 und ISG/BACS nebeneinander zu steuern sind. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen unabhängig.
Risikobild, Massnahmen und Meldeprozesse pflegen wir strukturiert, auf Wunsch in unserer Schweizer Priverion-Plattform. Bei einer Behördenanfrage liegt der Nachweis als gepflegtes Tooling vor, statt verstreut in E-Mails.
Unser Mandat ist Readiness und Assessment, die Vorbereitung von Verantwortung, Prozessen und Nachweisen. Ausdrücklich nicht ein Managed-SOC- oder 24/7-Überwachungsdienst.
Wir bereiten die organisatorischen Schnittstellen und Eskalationswege vor, damit Ihr Haus im Vorfall schnell und korrekt handeln kann. Den eigentlichen Betrieb der Überwachung und die technische Vorfallbearbeitung koordinieren wir mit Ihren spezialisierten Anbietern. Wir ersetzen sie nicht.
KRITIS/NIS2 24h-Readiness Check
Festpreis
Der schnelle Einstieg: Sind Sie meldepflichtig, und könnten Sie heute fristgerecht und über den richtigen Kanal melden?
Meldeprozess- & Playbook-Paket
auf Anfrage
Von der Lücke zum funktionierenden Prozess: dokumentierte Meldeabläufe und vorbereitete Eskalationswege.
vCISO & ISMS-Governance
auf Anfrage
Laufende Sicherheitsführung: ISMS-Aufbau nach ISO 27001 und kontinuierliche Verantwortung über unseren vCISO.
Diese Themen greifen im Spital ineinander:
Zertifizierungsreifes ISMS, zugeschnitten auf Gesundheits-Datenflüsse.
Tabletop-Übungen, Playbooks und Governance, vor dem Vorfall.
Externer Datenschutzberater für Spitäler, Meldepflicht an den EDÖB inklusive.
Alle Compliance- und Sicherheitsthemen für das Gesundheitswesen auf einen Blick.
Unser Werkzeug: LexCommand
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihre Anwendbarkeits-Landkarte und die Meldeprozess-Playbooks: LexCommand hält die Schweizer ISG/BACS-Pflicht und die EU-Richtlinie NIS2 jurisdiktionsgetrennt auseinander und stellt die Pflichten quellenbelegt nebeneinander, sodass jede Frist und jeder Meldeweg auf eine abrufbare Primärquelle zurückgeht.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
NIS2 ist eine EU-Richtlinie, die die Schweiz nicht übernommen hat. Sie bindet direkt nur Einrichtungen mit einer Niederlassung oder Tätigkeit in der EU. Ein rein in der Schweiz tätiges Spital untersteht stattdessen der schweizerischen Cyber-Meldepflicht nach dem ISG, vollzogen durch das BACS. Häuser mit EU-Standorten oder -Töchtern können unter beide Regime fallen. Das prüfen wir konkret für Ihre Struktur.
Die schweizerische Cyber-Meldepflicht verlangt die Meldung schwerwiegender Vorfälle ans BACS innert kurzer Frist. Die genauen Schwellenwerte und Detailfristen sind im Einzelfall zu prüfen, da sie teils noch konkretisiert werden. Genau dafür bereiten wir Ihren Meldeprozess so vor, dass Sie fristgerecht und über den richtigen Kanal handeln können.
Nein. Wir betreiben kein eigenes SOC und bieten keine laufende Überwachung oder technische Vorfallbearbeitung an. Unser Mandat ist Readiness und Governance: Wir bereiten Verantwortung, Prozesse, Schnittstellen und Eskalationswege vor und koordinieren mit Ihren spezialisierten IR-Dienstleistern, Versicherern und Behörden. So bleibt unsere Beratung unabhängig.
Cyberrisiken gehören zu den Sorgfaltspflichten der obersten Leitung und lassen sich nicht an die IT delegieren. Wir bereiten das Risikobild board-tauglich auf, klären Rollen und Berichtslinien und liefern dem Verwaltungsrat eine dokumentierte Grundlage, auf der er seine Aufsicht wahrnehmen und verantworten kann.
Mit dem KRITIS/NIS2 24h-Readiness Check zum Festpreis. Er klärt, ob und unter welchem Regime Sie meldepflichtig sind, prüft Ihre Meldefähigkeit und liefert eine priorisierte Lückenliste mit board-tauglichem Ergebnisbericht. Danach entscheiden Sie über Playbooks, ISMS und ein laufendes vCISO-Mandat.
Starten Sie mit dem KRITIS/NIS2 24h-Readiness Check: Einordnung ISG/BACS vs. NIS2, Prüfung Ihrer Meldefähigkeit und priorisierte Lückenliste, mit board-tauglichem Ergebnisbericht.