Datenschutz & Informationssicherheitsgesetz (ISG)
Wir verbinden Datenschutz und Informationssicherheit: vom Bearbeitungsverzeichnis nach revDSG über die DSGVO für EU-Bezüge und kantonale Datenschutzgesetze bis zur Meldepflicht für Cyberangriffe nach dem ISG.
Welche Regeln für Sie gelten
Das revidierte Datenschutzgesetz (revDSG) gilt seit dem 1. September 2023 für alle privaten Unternehmen und Bundesorgane in der Schweiz. Es verlangt unter anderem ein Verzeichnis der Bearbeitungstätigkeiten, Datenschutz-Folgenabschätzungen bei hohen Risiken, Privacy by Design und die rasche Meldung von Datenschutzverletzungen an den EDÖB. Bei vorsätzlichen Verstössen drohen Bussen bis CHF 250'000 gegen die verantwortlichen Personen.
Wer Waren oder Dienstleistungen an Personen in der EU anbietet, muss zusätzlich die DSGVO beachten. Kantone und Gemeinden unterstehen ihren eigenen Datenschutzgesetzen.
Seit dem 1. April 2025 gilt mit dem Informationssicherheitsgesetz (ISG) eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen: Meldung innert 24 Stunden an das Bundesamt für Cybersicherheit (BACS).
So setzen wir es mit Ihnen um
Bestandesaufnahme
1–2 WochenDatenflüsse, Systeme, Auftragsbearbeiter und bestehende Dokumente.
Lückenanalyse
1–2 WochenrevDSG, DSGVO, kantonales Recht und ISG im Abgleich mit Ihrer Praxis.
- Priorisierte Lücken
Umsetzung
projektbasiertVerzeichnis, Datenschutzerklärung, Verträge, DSFA, Meldeprozess und technische Massnahmen.
- Purview-Labels und DLP
- Melde-Playbook
Betrieb
laufendAnfragen, Datenpannen und Nachweise laufen strukturiert in der GRC-Plattform.
Was Sie am Ende in der Hand haben
Häufige Fragen
Brauchen wir einen Datenschutzberater?
Das revDSG schreibt keinen vor, empfiehlt ihn aber. Wir unterstützen Sie bei Bedarf als externe Ansprechstelle.
Wann muss eine Datenpanne gemeldet werden?
Nach revDSG so rasch als möglich an den EDÖB, wenn ein hohes Risiko für die Betroffenen besteht. Betreiber kritischer Infrastrukturen melden Cyberangriffe zusätzlich innert 24 Stunden an das BACS.
Gilt das ISG für unser Unternehmen?
Die Meldepflicht betrifft Betreiber kritischer Infrastrukturen, etwa in Energie, Gesundheit, Finanz, Verkehr, Telekommunikation und Behörden. Der Compliance-Check zeigt Ihnen eine erste Einschätzung.
Reicht ein Muster-Text für die Datenschutzerklärung?
Selten. Die Erklärung muss Ihre tatsächlichen Bearbeitungen, Tools und Empfänger abbilden. Wir erstellen sie auf Basis Ihres Verzeichnisses.
Verwandte Themen
NIS2-Umsetzung
Betroffenheit prüfen, Lücken schliessen, Meldeprozesse aufsetzen.
Mehr erfahrenData Security
Sensible Daten mit Microsoft Purview klassifizieren, schützen und überwachen. Schutz inklusive DLP und Labels,…
Mehr erfahrenPrivacy & Risk Management
Datenschutz- und Insider-Risiken mit Microsoft Purview steuern: Priva, Insider Risk Management und Compliance …
Mehr erfahrenWo stehen Sie heute?
In einem kostenlosen Erstgespräch klären wir Ihren Scope und die nächsten drei Schritte.