Mit der jüngsten Revision des Informationssicherheitsgesetzes führte die Schweiz neu eine Meldepflicht für Cyberangriffe auf ausgewählte Betreiberinnen von kritischen Infrastrukturen ein – ein wichtiger Teil der nationalen Cybersicherheitsstrategie. Der Aufsatz erläutert den persönlichen und sachlichen Anwendungsbereich dieser neuen Pflicht und legt die Ausnahmen, die der Gesetzgeber vorgesehen hat, dar. Dabei werden nicht nur juristische Details und Abgrenzungsfragen beleuchtet, sondern auch die ersten praktischen Herausforderungen für meldepflichtige Organisationen gezeigt. Im Vergleich mit der NIS2-Richtlinie der EU wird deutlich, dass die Schweiz einen eigenen, massvollen Weg geht, der zwischen staatlicher Regulierung und unternehmerischer Eigenverantwortung balanciert. Der Beitrag schliesst mit konkreten Handlungsempfehlungen für Unternehmen und Behörden.