Sofern ein Pflegeheim auf der Spitalliste ist, ist es bei einem Cyberangriff meldepflichtig. Eine freiwillige Meldung ist in jedem Fall möglich.

Seit dem 1. April 2025 gilt für öffentliche und private Betreiberinnen kritischer Infrastruktur die Meldepflicht bei Cyberangriffen. Unter diese Kategorie fallen namentlich Gesundheitseinrichtungen, welche auf der kantonalen Spitalliste aufgeführt sind. Wie der Bundesrat in seiner Botschaft ausführt, ist bei einer Gefährdung von Daten in elektronischen Patientendossiers «jene Organisation meldepflichtig, welche vom Cyberangriff bedroht ist».

Pflegeheime auf der Spitalliste müssen Cyberangriffe rasch melden

Fällt ein Pflegeheim unter den Geltungsbereich des Informationssicherheitsgesetzes, muss es dem Bundesamt für Cybersicherheit (BACS) melden, wenn ein Cyberangriff:

• Die Funktionsfähigkeit der betroffenen Infrastruktur die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet;
• zu einer Manipulation oder zu einem Abfluss von Informationen geführt hat;
• über mindestens 90 Tage unentdeckt blieb, insbesondere wenn Anzeichen dafür bestehen, dass er zur Vorbereitung weiterer Cyberangriffe ausgeführt wurde; 
• oder mit Erpressung, Drohung oder Nötigung verbunden ist.

Das meldepflichtige Pflegeheim muss einen solchen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem BACS melden. Verfügt das Pflegeheim zum Zeitpunkt der Meldung nicht über alle erforderlichen Informationen, setzt das BACS ihm eine Frist von 14 Tagen zur Ergänzung der Meldung.