“Betrifft mich das?” Das ist die erste Frage, die sich eine KMU-Inhaberin oder ein KMU-Inhaber angesichts der Cyber-Vorschriften stellt. Und es ist die richtige Frage, denn die Antwort hängt weit weniger von der Grösse des Unternehmens ab als davon, was es tut und wen es bedient.
Dieser Artikel dient als Einstiegspunkt. Sie finden Ihre Branche, sehen, was für Sie gilt, und wissen, wo Sie weiterlesen sollten. Eine Klarstellung vorab: Es handelt sich um eine orientierende Übersicht, nicht um eine Rechtsberatung. Bei Grenzfällen bleiben eine Juristin, ein Jurist oder die Aufsichtsbehörde Ihrer Branche die richtigen Ansprechpersonen.
Die gemeinsame Grundlage: das nDSG, für alle
Beginnen wir mit dem wichtigsten Punkt, denn er entschärft die Hälfte der Fragen.
Das neue Datenschutzgesetz gilt für alle Schweizer Unternehmen, die Personendaten bearbeiten. Keine Schwelle bei der Mitarbeiterzahl, keine Umsatzschwelle, keine Liste betroffener Branchen. Wenn Sie Kundinnen und Kunden, Lieferanten oder Mitarbeitende haben, bearbeiten Sie Personendaten und sind somit betroffen.
Die zentralen Pflichten sind für einen Coiffeursalon und für ein Unternehmen mit fünfzig Mitarbeitenden dieselben: die betroffenen Personen darüber informieren, was mit ihren Daten geschieht, diese Daten mit verhältnismässigen Massnahmen sichern, Auskunftsbegehren beantworten und dem EDÖB Verletzungen mit hohem Risiko melden. Die Einzelheiten finden Sie in unserem Artikel zu Ihren nDSG-Pflichten.
Was die Branche also ändert, ist nicht das Prinzip. Es ist die Intensität der erwarteten Massnahmen, und vor allem ein konkreter Punkt: das Bearbeitungsverzeichnis.
Was lässt eine Branche wirklich ins Gewicht fallen?
Artikel 12 Absatz 5 DSG und Artikel 24 DSV befreien Unternehmen mit weniger als 250 Mitarbeitenden am 1. Januar des Jahres vom Bearbeitungsverzeichnis. Das ist eine gute Nachricht für die überwiegende Mehrheit der Westschweizer KMU.
Die Ausnahme entfällt jedoch in zwei Fällen:
- bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten;
- bei Profiling mit hohem Risiko.
Zu den besonders schützenswerten Personendaten zählen insbesondere Gesundheitsdaten, religiöse oder politische Ansichten, die Zugehörigkeit zu einer Gewerkschaft, genetische und biometrische Daten sowie Angaben zu strafrechtlichen oder verwaltungsrechtlichen Verfahren.
Es ist genau diese Definition, und nur sie, die erklärt, warum manche Branchen stärker exponiert sind als andere. Eine Arztpraxis, eine Physiotherapiepraxis, eine Pensionskasse, eine Treuhandfirma, die Inkassodossiers verwaltet, eine Personalvermittlung oder ein Sozialdienst bearbeiten gewöhnlich besonders schützenswerte Personendaten. Die Ausnahme gilt für sie wahrscheinlich nicht, selbst mit drei Mitarbeitenden.
Seit dem 1. April 2025 besteht im Schweizer Recht eine Pflicht, Cyberangriffe dem Nationalen Zentrum für Cybersicherheit zu melden, mit Sanktionen seit dem 1. Oktober 2025. Sie beruht auf dem Informationssicherheitsgesetz und betrifft ausschliesslich Betreiber kritischer Infrastrukturen, nicht gewöhnliche KMU. Viele Unternehmerinnen und Unternehmer denken das Gegenteil. Eine freiwillige Meldung bleibt selbstverständlich möglich und wird sogar gefördert: Das NCSC erhielt 2025 64 733 freiwillige Meldungen, gegenüber 62 954 im Jahr 2024.
Welche Pflichten gelten für Ihre Branche?
Die folgende Tabelle fasst zusammen, was je nach Tätigkeit zur nDSG-Grundlage hinzukommt. Lesen Sie sie als Orientierung, nicht als abschliessende Liste.
| Branche | Bearbeitungsverzeichnis | Zusätzliche Regeln | Wichtigster Punkt der Wachsamkeit |
|---|---|---|---|
| Handel und Online-Verkauf | Ausnahme grundsätzlich anwendbar | DSGVO, falls Sie aktiv den EU-Markt ansprechen | Zahlungsdaten, Kundenkonten, ausländische E-Commerce-Anbieter |
| Dienstleistungsberufe (Treuhand, Anwaltschaft, Beratung) | Oft obligatorisch (Inkasso, sensible Dossiers) | Berufsgeheimnis und berufsständische Pflichten | Zugriff auf Kundendaten, vertragliche Anforderungen der Auftraggeber |
| Gesundheitswesen und Praxen | In der Praxis obligatorisch | Kantonale und berufsständische Regeln des Gesundheitswesens | Umfangreiche Gesundheitsdaten, Patientendossiers, Anbieter von Fachsoftware |
| Industrie und Fertigung | Ausnahme grundsätzlich anwendbar | CRA und RED / EN 18031, falls Sie Produkte in der EU verkaufen | Vernetzte Produkte, Produktionssysteme, Anforderungen europäischer Kunden |
| Bau und Gewerbe | Ausnahme grundsätzlich anwendbar | Keine branchenspezifische Cyber-Regel | Zahlungsbetrug, Baustellendaten, Abhängigkeit von einem IT-Dienstleister |
| Öffentlicher und halböffentlicher Sektor | Kantonale Regelung anwendbar | Kantonale Datenschutzgesetze | Kantonales Recht statt nDSG für kantonale öffentliche Organe |
| Informatik und Dienstleister | Je nach den für Kunden bearbeiteten Daten | NIS2, vertraglich weitergegeben, Kundenanforderungen | Status als Auftragsbearbeiter, Pflicht, jede Verletzung dem Auftraggeber zu melden |
Handel, Dienstleistungsberufe und Gesundheitswesen
Handel und Online-Verkauf. Die nDSG-Grundlage reicht in den meisten Fällen aus. Die immer wiederkehrende Frage ist die der DSGVO: Eine von Europa aus zugängliche Website reicht nicht aus, um sie Ihnen aufzuerlegen, Sie müssen diesen Markt aktiv ansprechen, etwa mit Preisen in Euro oder Lieferung in die EU. Wir beschreiben diese Abgrenzung ausführlich in nDSG oder DSGVO, was gilt. Das eigentliche Risiko bleibt hier operativ: Zahlungsdaten und Kundenkonten sind ein direktes Ziel, wie unser Artikel zu Datendiebstahl und Datenlecks zeigt.
Dienstleistungsberufe. Treuhandfirmen, Anwaltskanzleien, Beratungsfirmen und Verwaltungen vereinen zwei Auflagen. Zunächst das Berufsgeheimnis oder die für ihre Tätigkeit typische Schweigepflicht. Dann das nDSG, mit einer wichtigen Nuance: Sobald ein Dossier ein Inkasso- oder ein Straf- oder Verwaltungsverfahren enthält, handelt es sich um besonders schützenswerte Personendaten. Eine Treuhandfirma, die Inkasso betreibt, sollte das Bearbeitungsverzeichnis daher als anwendbar betrachten.
Gesundheitswesen und Praxen. Dies ist die am stärksten regulierte Branche. Gesundheitsdaten sind per Definition besonders schützenswert, und eine Praxis bearbeitet sie umfangreich, selbst mit einer kleinen Patientenzahl. Das Bearbeitungsverzeichnis ist in der Praxis erforderlich. Hinzu kommen kantonale und berufsständische Regeln des Gesundheitswesens, die von Kanton zu Kanton unterschiedlich sind: Sie sind beim Gesundheitsamt Ihres Kantons zu prüfen, nicht in einem allgemeinen Artikel wie diesem.
Industrie, Bau und Informatik
Industrie und Fertigung. Wenn Ihre Produkte digitale Elemente enthalten und in der Europäischen Union verkauft werden, betreffen Sie zwei Texte direkt. Die Verordnung (EU) 2024/2847, genannt CRA, verlangt ab September 2026 die Meldung aktiv ausgenutzter Schwachstellen, wobei die Hauptpflichten ab Ende 2027 gelten. Und die RED-Richtlinie mit den Normen EN 18031 ist seit dem 1. August 2025 für vernetzte Funkanlagen, die in der EU verkauft werden, obligatorisch. Beide Themen haben eigene Artikel: der CRA und die RED-Richtlinie und die Normen EN 18031. Auf der Produktionsseite fällt die Sicherheit industrieller Systeme eher unter den Rahmen IEC 62443.
Bau und Gewerbe. Keine branchenspezifische Cyber-Regelung betrifft diese Berufe. Die nDSG-Grundlage gilt, und das ist alles. Das bedeutet nicht, dass das Risiko gering ist: Zahlungsbetrug und Identitätsmissbrauch per E-Mail treffen diese Unternehmen hart, oft weil die Informatik vollständig an einen Dienstleister delegiert wird, ohne dass jemand prüft, was tatsächlich vorhanden ist.
Informatik und Dienstleister. Sie befinden sich in einer besonderen Position: Ihre Pflichten kommen ebenso von Ihren Kundinnen und Kunden wie vom Gesetz. Wenn Sie Daten im Auftrag einer Kundin oder eines Kunden bearbeiten, sind Sie Auftragsbearbeiter und müssen jede Verletzung ohne Risikoschwellenbedingung melden. Wenn Sie europäische Unternehmen beliefern, die NIS2 unterliegen, müssen Sie mit Sicherheitsanforderungen rechnen, die vertraglich auf Sie zukommen. Das ist der Mechanismus, der in unserem Artikel zu Angriffen über die Lieferkette beschrieben wird.
Öffentlicher Sektor, halböffentlicher Sektor, Finanzwesen und Versicherung
Öffentlicher und halböffentlicher Sektor. Kantonale und kommunale öffentliche Organe unterstehen grundsätzlich nicht dem eidgenössischen nDSG, sondern dem kantonalen Datenschutzgesetz. Im Kanton Freiburg gilt das kantonale DSchG mit seiner eigenen Aufsichtsbehörde: siehe Datenschutz im Kanton Freiburg. Private Unternehmen, die für ein Gemeinwesen arbeiten, bleiben dem nDSG unterstellt und sehen sich bei öffentlichen Beschaffungen oft mit Sicherheitsanforderungen konfrontiert.
Finanzwesen und Versicherung. Diese Branche unterliegt einer prudenziellen Aufsicht, die zusätzlich zum nDSG eigene Anforderungen an die Systemsicherheit, das Risikomanagement und die Meldung von Vorfällen stellt. Diese Regeln entwickeln sich regelmässig weiter und hängen vom genauen Status des Instituts ab. Wir gehen hier bewusst nicht ins Detail: Die zu konsultierende Quelle ist die Aufsichtsbehörde, der Sie unterstehen, oder Ihr gewohnter Rechtsbeistand.
Unabhängig von Ihrer Branche kommen dieselben Massnahmen immer wieder vor: Datenbestandsaufnahme, eingeschränkte Zugänge, Zwei-Faktor-Authentifizierung, getestete Backups, Vorgehen im Vorfall. Die branchenspezifischen Pflichten kommen zusätzlich hinzu, sie ersetzen diese Grundlagen nie. Das ist ermutigend, denn es bedeutet, dass derselbe Aufwand gleichzeitig der Compliance und der tatsächlichen Sicherheit dient. Die KMU-Cybersicherheitsstudie 2025 erinnert zudem an die Dringlichkeit: 42 % der Schweizer KMU halten ihren Schutz für ausreichend, gegenüber 55 % ein Jahr zuvor.
Wo fangen Sie in Ihrem Fall an?
Drei Fragen reichen, um sich einzuordnen.
- Bearbeiten Sie besonders schützenswerte Personendaten? Gesundheit, Inkasso, politische oder religiöse Ansichten, Gewerkschaftszugehörigkeit, biometrische Daten. Wenn ja, betrifft Sie das Bearbeitungsverzeichnis wahrscheinlich, unabhängig von Ihrer Grösse. Der nDSG-Test gibt Ihnen in fünf Fragen die Antwort.
- Verkaufen Sie Produkte oder Dienstleistungen in der Europäischen Union? Wenn ja, prüfen Sie den CRA, die RED-Richtlinie und die DSGVO, je nachdem, was Sie an wen verkaufen.
- Verlangen Ihre Kundinnen und Kunden Sicherheitsanforderungen von Ihnen? Ein Lieferantenfragebogen, eine Vertragsklausel, ein verlangtes Audit. Auf diesem Weg erreichen Sie NIS2 und die europäischen Anforderungen oft, lange bevor eine gesetzliche Schweizer Pflicht entsteht.
Wenn Sie alle drei Fragen mit Nein beantworten, beschränkt sich Ihr Fahrplan auf die nDSG-Grundlage und grundlegende Sicherheitsmassnahmen. Das ist bereits viel, und es ist machbar.
Um Ihr Unternehmen in drei Minuten einzuordnen, gibt Ihnen der Cyber-Check-up einen Score und Ihre drei Prioritäten. Alle für Schweizer Unternehmen geltenden Texte sind im Themenbereich Regulierung zusammengefasst.