IT-Sicherheit in der Schweiz: eine Offerte von genau einem Sicherheitsdienstleister

Läuft ein Angriff, wählen Sie im Formular die Dringlichkeit »Notfall, sofort«. Löschen Sie nichts und setzen Sie keine Systeme neu auf, bevor Fachleute die Lage beurteilt haben, damit Spuren für Analyse und Strafverfolgung erhalten bleiben.

Parallel sind Meldungen zu prüfen: an das Bundesamt für Cybersicherheit (BACS), wenn Sie eine kritische Infrastruktur betreiben, und an den EDÖB, wenn Personendaten betroffen sind und das DSG eine Meldung verlangt. Strafanzeige erstatten Sie bei der Kantonspolizei.

• Penetrationstest: vorher schriftlich freigegebene Angriffe auf Website, Netz oder Anwendungen, mit Bericht und Massnahmen
• Sicherheitsaudit: Abgleich von Organisation und Technik mit einem Massstab wie ISO 27001 oder dem IKT-Minimalstandard des Bundes, Ergebnis ist eine priorisierte Liste
• Zertifizierung: Vorbereitung auf ISO 27001; zertifiziert wird durch eine akkreditierte Stelle, nicht durch den Berater
• Überwachung (SOC): laufende Auswertung von Protokollen und Alarmen mit Reaktion auf Angriffe
• Schulung: Phishing-Übungen und Verhaltensregeln für Mitarbeitende, auf Wunsch mehrsprachig

Das Formular fragt die Punkte ab, nach denen Umfang und Aufwand kalkuliert werden.

• Grösse Ihres Unternehmens und Anzahl der Arbeitsplätze
• Bedarf: Pentest, Audit, Zertifizierung, Überwachung, Schulung oder akuter Vorfall
• ob Ihr Unternehmen unter NIS-2 fällt; das betrifft in der Schweiz vor allem Firmen, die Dienste in der EU erbringen
• Dringlichkeit und grober Budgetrahmen in Franken
• eine kurze Beschreibung, etwa welche Systeme geprüft werden sollen

Die Schweiz ist nicht an die EU-Richtlinie NIS-2 gebunden, hat aber eine eigene Regel: Seit dem 1. April 2025 müssen Betreiberinnen und Betreiber kritischer Infrastrukturen Cyberangriffe innerhalb von 24 Stunden nach der Entdeckung dem BACS melden. Fehlen bei der Erstmeldung Angaben, können sie innert 14 Tagen ergänzt werden. Geregelt ist das im Informationssicherheitsgesetz (ISG) und in der Cybersicherheitsverordnung.

Meldepflichtig sind laut BACS etwa Unternehmen der Energie- oder Trinkwasserversorgung, Transportunternehmen und die Verwaltungen von Kantonen und Gemeinden. Ob Ihr Unternehmen dazugehört, zeigt die Übersicht des BACS. Erbringen Sie Dienste in der EU, kann zusätzlich eine NIS-2-Umsetzung eines EU-Staats gelten; das klären Sie mit einer Fachperson.

Quelle: bacs.admin.ch

• Prüfumfang mit Systemen, Adressen und Standorten sowie ausdrückliche Ausschlüsse
• Methode und Massstab, nach dem geprüft wird
• Ihre schriftliche Freigabe; bei gehosteten Systemen auch die Zustimmung des Anbieters
• Aufbau des Berichts und ob ein Nachtest enthalten ist
• Vertraulichkeit und Umgang mit gefundenen Personendaten
• bei Überwachung: Reaktionszeiten, Pikett, Eskalation, Laufzeit und Kündigung

Sie beschreiben Ihren Bedarf und bestätigen Telefonnummer und E-Mail-Adresse. Dienstleister sehen zuerst nur die Eckdaten, ohne Firmennamen; technische Einzelheiten besprechen Sie direkt. Genau ein Dienstleister kann übernehmen, er bezahlt Offrano dafür. Für Sie ist die Anfrage kostenlos und unverbindlich. Bevor er Ihre Kontaktdaten erhält, senden wir Ihnen seinen Namen, seine Adresse und seine Telefonnummer per E-Mail.

Geprüft ist nur, dass er als Unternehmen existiert, etwa über MWST-Nummer oder Handelsregisterauszug; seine Qualifikation prüfen wir nicht. Fragen Sie selbst nach Referenzen und Zertifikaten. Dass sich jemand meldet, können wir nicht zusagen; nach 21 Tagen ohne Übernahme nehmen wir die Anfrage aus dem Angebot. Offrano ist nicht Vertragspartei.