Seit dem 1. April 2025 müssen Gemeinden Cyberangriffe melden. Die Reaktion war vielerorts vorhersehbar: Man klärt, wer meldet, an wen, in welcher Frist. Ein Prozess entsteht, ein Formular, eine Zuständigkeit.
Damit ist die Pflicht erfüllt. Das Risiko ist es nicht.
Eine Meldung beschreibt die Vergangenheit
Sie dokumentiert, dass etwas passiert ist. Sie verändert nicht die Wahrscheinlichkeit, dass es wieder passiert. Wer Compliance als Papierübung behandelt, hat am Ende einen sehr gut dokumentierten Vorfall.
Der Unterschied ist der zwischen einem Nachweis und einem Alibi.
Wo der eigentliche Wert liegt
Die Pflicht hat trotzdem einen Wert, nur an einer anderen Stelle als gedacht. Sie zwingt zu einer Frage, die vorher niemand gestellt hat: Woher wüssten wir überhaupt, dass wir angegriffen werden?
Die ehrliche Antwort lautet meistens: von einer Person, die etwas Ungewöhnliches bemerkt und es weitersagt. Nicht von einem System. Ihre Meldekette beginnt nicht bei der Technik. Sie beginnt bei einem Menschen, der einen Verdacht ernst nimmt und weiss, wohin damit.
Was sich messen lässt
Genau das lässt sich prüfen, lange bevor der Ernstfall eintritt:
- Wie viele Mitarbeitende erkennen einen realistischen Angriff?
- Wie viele melden ihn, statt ihn nur zu ignorieren?
- Wie schnell?
Wer diese Zahlen kennt, erfüllt die Meldepflicht nicht nur. Er kann belegen, dass er seine Sorgfalt laufend wahrnimmt, statt sie im Nachhinein zu beschreiben.