nDSG für KMU: Welche Pflichten gelten und was Sie technisch nachweisen müssen

01 Was das nDSG für KMU bedeutet

Eine Änderung gegenüber dem alten Recht betrifft den Kreis der Geschützten. Das nDSG schützt nur noch Daten natürlicher Personen [ DSG, Art. 5 lit. a ] . Die Adresse Ihres Firmenkunden als juristische Person fällt heraus. Name, E-Mail und Telefonnummer seiner Einkaufsleiterin bleiben drin.

Eine Grössenschwelle gibt es nicht. Der Schreinereibetrieb mit zwölf Leuten hat dieselbe Pflicht zur Datensicherheit wie die Versicherung mit zwölftausend. Erleichterungen bestehen an einzelnen Stellen, vor allem beim Verzeichnis der Bearbeitungstätigkeiten. Dazu mehr in Kapitel 5.

02 Art. 8 DSG und die DSV: die technische Pflicht

Art. 8 DSG ist kurz. Verantwortliche und Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. Die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden. Den Rest delegiert das Gesetz an den Bundesrat [ DSG, Art. 8 ] .

Der Bundesrat hat geliefert. Art. 1 DSV verlangt, dass Sie zuerst den Schutzbedarf Ihrer Daten bestimmen, nach Art der Daten und nach Zweck, Umfang und Umständen der Bearbeitung. Bei der Wahl der Massnahmen zählen der Stand der Technik und die Implementierungskosten. Das ist für ein KMU eine gute Nachricht: Angemessen heisst verhältnismässig. Und Art. 1 Abs. 5 DSV legt fest, dass Schutzbedarf, Risiko und Massnahmen über die gesamte Bearbeitungsdauer zu überprüfen sind [ DSV, Art. 1 ] .

Art. 2 DSV nennt die vier Ziele: Vertraulichkeit, Verfügbarkeit, Integrität, Nachvollziehbarkeit. Art. 3 DSV wird dann konkret. Fünf der dort aufgezählten Kontrollen treffen fast jedes KMU direkt.

Art. 3 Abs. 2 lit. f DSV verdient einen zweiten Blick. Die Verordnung verlangt ausdrücklich, dass bekannte kritische Lücken geschlossen werden [ DSV, Art. 3 ] . Eine ungepatchte Firewall mit öffentlich bekannter Schwachstelle ist damit keine Ermessensfrage mehr. Sie ist ein Verstoss gegen eine Mindestanforderung.

Die Protokollierungspflicht nach Art. 4 DSV (Fassung seit 1. Dezember 2025) trifft private Betriebe nur, wenn sie besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeiten oder ein Profiling mit hohem Risiko durchführen und die präventiven Massnahmen nicht genügen. Dann müssen die Protokolle mindestens ein Jahr getrennt vom System aufbewahrt werden. Für die meisten KMU gilt diese Spezialregel nicht. Die Erkennungspflicht aus Art. 3 gilt trotzdem, und ohne Protokolle erkennt niemand etwas.

03 Wie Sie «angemessen» belegen

Nach einem Vorfall fragt niemand, ob Sie ein Konzept hatten. Gefragt wird, ob die Massnahmen bestanden und wirkten. Der EDÖB kann nach einer Datensicherheitsverletzung Verwaltungsmassnahmen aussprechen, wenn die Vorgaben von Art. 8 DSG nicht eingehalten wurden [ EDÖB-Leitfaden, Ziff. 1.8 ] . Ihre Antwort sind datierte Belege. Sechs davon decken den Kern der DSV ab.

Die DSV erwähnt MFA nicht beim Namen. Benutzerkontrolle heisst aber, dass Unbefugte Ihre Systeme nicht über das Netz benutzen können. Ein Passwort allein leistet das nach dem heutigen Stand der Technik kaum, weil ein einziges Passwort aus einer Phishing-Mail oder einem fremden Datenleck für die Anmeldung genügt. Diese Abwägung sollten Sie schriftlich festhalten. Sie zeigt, dass Sie den Stand der Technik nach Art. 1 Abs. 4 DSV geprüft haben.

Wie weit Schweizer KMU davon entfernt sind, zeigt die Studie «KMU Cybersicherheit 2026» der Mobiliar mit dem BACS. Von 507 befragten KMU mit bis zu 49 Mitarbeitenden führen 34 Prozent ein systematisches Inventar ihrer IT-Systeme und Cloud-Dienste. 25 Prozent klassifizieren ihre Daten nach Schutzbedarf. 15 Prozent führen Sicherheitsaudits durch [ Mobiliar / BACS 2026 ] . Genau diese drei Punkte sind der Anfang jeder DSV-Prüfung. Wer seinen Schutzbedarf nie bestimmt hat, kann nicht begründen, warum seine Massnahmen angemessen sind.

04 Meldepflicht an den EDÖB

Art. 24 DSG verpflichtet Sie, dem EDÖB eine Verletzung der Datensicherheit so rasch als möglich zu melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen führt [ DSG, Art. 24 ] . Eine Stundenfrist wie die 72 Stunden der DSGVO kennt das Schweizer Recht nicht. Daraus folgt kein Spielraum. Der EDÖB schreibt in seinem Leitfaden, dass bei Ransomware je nach Umständen von einem voraussichtlich hohen Risiko auszugehen ist und dass Sie nicht auf länger dauernde Abklärungen warten dürfen [ EDÖB-Leitfaden, Ziff. 1.3 ] .

Was in die Meldung gehört, regelt Art. 15 DSV: Art der Verletzung, soweit möglich Zeitpunkt, Dauer und ungefähre Zahl der betroffenen Daten und Personen, die Folgen, die ergriffenen Massnahmen und eine Ansprechperson. Fehlende Angaben dürfen Sie nachliefern. Gemeldet wird über das Meldeportal DataBreach auf edoeb.admin.ch. Zusätzlich müssen Sie jede Verletzung dokumentieren und die Dokumentation mindestens zwei Jahre aufbewahren [ DSV, Art. 15 ] .

Wer einen IT-Dienstleister oder Cloud-Anbieter einsetzt, sollte Art. 24 Abs. 3 DSG kennen. Der Auftragsbearbeiter meldet Ihnen eine Verletzung so rasch als möglich. Ob die Meldung an den EDÖB nötig ist, entscheiden Sie als Verantwortlicher. Ihr Vertrag mit dem Dienstleister sollte deshalb festhalten, wie und an wen er meldet.

Ein Detail aus dem Leitfaden überrascht viele: Das Unterlassen der Meldung ist nach DSG nicht strafbar. Der EDÖB kann die Meldung aber verfügen, und strafrechtlich relevant wird der Vorfall, wenn die Mindestanforderungen an die Datensicherheit nicht eingehalten waren. Eine Pflichtmeldung darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden [ EDÖB-Leitfaden, Ziff. 1.8 ] .

05 Verzeichnis und Folgenabschätzung

Art. 12 DSG verlangt ein Verzeichnis der Bearbeitungstätigkeiten. Es nennt Zweck, Kategorien von Personen und Daten, Empfänger, Aufbewahrungsdauer, Länder bei Bekanntgabe ins Ausland und, wenn möglich, eine allgemeine Beschreibung der Massnahmen nach Art. 8 [ DSG, Art. 12 ] .

Hier greift die wichtigste KMU-Ausnahme. Unternehmen, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen, sind von der Pflicht befreit. Die Ausnahme fällt weg, wenn Sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen [ DSV, Art. 24 ] . Gesundheitsdaten sind besonders schützenswert. Eine Arztpraxis oder Physiotherapie mit vielen Patientendossiers sollte deshalb genau prüfen, ob sie unter die erste Bedingung fällt.

Auch ohne Pflicht lohnt sich eine schlanke Version. Sie ist die Grundlage für das Inventar aus Kapitel 3, und bei einem Vorfall sehen Sie in Minuten, welche Daten auf dem betroffenen System lagen. Diese Angabe verlangt die Meldung an den EDÖB ohnehin.

Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 22 DSG ist nötig, bevor Sie eine Bearbeitung starten, die ein hohes Risiko für die Betroffenen bringen kann. Das Gesetz nennt zwei Beispiele: die umfangreiche Bearbeitung besonders schützenswerter Daten und die systematische Überwachung umfangreicher öffentlicher Bereiche. Die DSFA beschreibt die Bearbeitung, bewertet die Risiken und nennt die Schutzmassnahmen [ DSG, Art. 22 ] . Für ein KMU wird sie typischerweise bei neuer Software für Gesundheits- oder Personaldaten relevant. Das Gesetz nennt die Verwendung neuer Technologien ausdrücklich als Faktor, das betrifft auch KI-Werkzeuge, die solche Daten verarbeiten.

06 Auftragsbearbeiter und Cloud im Ausland

Fast jedes KMU lagert Bearbeitung aus: Buchhaltung in der Cloud, Microsoft 365, ein IT-Partner mit Fernzugriff. Art. 9 DSG erlaubt das. Sie müssen sich aber vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Unterauftragnehmer darf er nur mit Ihrer vorgängigen Genehmigung beiziehen [ DSG, Art. 9 ] . Nach Art. 7 DSV kann diese Genehmigung allgemein erteilt werden. Dann muss der Dienstleister Sie über jeden Wechsel informieren, und Sie können widersprechen.

Liegen die Daten im Ausland, gilt Art. 16 DSG. Ohne Weiteres zulässig ist die Bekanntgabe in Staaten, die der Bundesrat in Anhang 1 der DSV als angemessen aufführt, darunter die EU- und EWR-Staaten und das Vereinigte Königreich. Die USA stehen seit dem 15. September 2024 auf der Liste, allerdings nur für Organisationen, die nach dem Datenschutzrahmen Schweiz–USA zertifiziert sind [ DSV, Anhang 1 ] . Für alle anderen Empfänger brauchen Sie geeignete Garantien, etwa Standarddatenschutzklauseln, die der EDÖB anerkannt hat.

Hier liegt eine der wenigen Strafnormen, die KMU im Alltag treffen kann. Art. 61 DSG bestraft die vorsätzliche Bekanntgabe ins Ausland ohne diese Voraussetzungen und die Übergabe an einen Auftragsbearbeiter, ohne dass die Bedingungen von Art. 9 erfüllt sind. Prüfen Sie deshalb für jeden Cloud-Dienst drei Dinge: wo die Daten liegen, ob ein Vertrag zur Auftragsbearbeitung besteht und ob der Anbieter belegen kann, wie er sie schützt. Wer tiefer in die Frage des US-Zugriffs einsteigen will, findet sie in unserem Beitrag zum US CLOUD Act und der Schweizer Datenhoheit.

07 Bussen: wen sie treffen

Das nDSG straft anders als die DSGVO. Die Bussen bis CHF 250'000 richten sich gegen private Personen, also gegen die Geschäftsführerin oder den IT-Verantwortlichen, die vorsätzlich gehandelt haben. Für die Datensicherheit entscheidend ist Art. 61 lit. c DSG: Bestraft wird, wer die Mindestanforderungen an die Datensicherheit, die der Bundesrat erlassen hat, vorsätzlich nicht einhält [ DSG, Art. 61 ] . Diese Mindestanforderungen stehen im Abschnitt «Datensicherheit» der DSV (Art. 1 bis 6), den Kapitel 2 beschreibt.

Drei Punkte relativieren und verschärfen das Bild zugleich. Die Verletzung der Sorgfaltspflichten nach Art. 61 wird nur auf Antrag verfolgt, also nur, wenn jemand einen Strafantrag stellt. Zuständig sind die kantonalen Strafverfolgungsbehörden, der EDÖB kann Anzeige erstatten [ DSG, Art. 65 ] . Und fahrlässiges Handeln ist nicht strafbar. Gerade deshalb zählt die Dokumentation: Wer eine bekannte kritische Lücke über Monate offen lässt, obwohl der Hersteller den Patch publiziert hat, wird Mühe haben zu erklären, warum das kein Vorsatz war. Wer einen datierten Patch-Report und einen Nachtestbericht vorlegt, hat die Antwort schon.

08 Was Sie diesen Monat erledigen

Die Reihenfolge folgt der Verordnung. Zuerst wissen, was Sie haben, dann schützen, dann prüfen, ob der Schutz hält. Die meisten Punkte kosten Zeit, kaum Geld. Was ein realistisches Sicherheitsbudget für ein Schweizer KMU umfasst, zeigt unser Budget-Leitfaden für KMU.

Danach fehlt noch der Beleg, dass all das einem echten Angriff standhält. Ein Penetrationstest für KMU liefert ihn: Sie erfahren, welche Ihrer Systeme ein Angreifer von aussen erreicht, welche Lücke er zuerst nutzt und in welcher Reihenfolge Sie schliessen. Der Nachtest bestätigt schriftlich, dass die Befunde behoben sind. Damit erfüllen Sie die Überprüfungspflicht aus Art. 1 Abs. 5 DSV mit einem Dokument, das auch vor dem EDÖB besteht. Ist Ihr Betrieb zusätzlich von der FINMA beaufsichtigt, kommen deren Anforderungen hinzu. Sie finden sie in unserem Beitrag zu den FINMA-Cybersecurity-Anforderungen.

Der kostenlose Erst-Audit von Red Team Partners ist der erste Schritt: Sie bekommen Ihre exponierte Angriffsfläche, den wahrscheinlichsten Weg hinein und eine priorisierte Liste, geschrieben für Ihre IT und Ihre Geschäftsleitung. Ihr Red Team. In Reichweite.