摘要

  • 瑞士政府要求DDPS在2027年6月前起草一部独立网络安全法，将数字产品、重要数据、托管与云服务三项议会授权合并处理。
  • 新法拟接手已经生效的关键基础设施网络攻击报告义务；联邦机关内部的信息安全仍归ISA管辖。目前没有草案文本，也没有新增义务生效。

瑞士这次调整的首先是网络安全规则的法律归属，并非企业今天就多了一项合规要求。瑞士政府在9月25日指示联邦国防、民防与体育部（DDPS）为一部联邦网络安全法准备咨询草案，期限是2027年6月；公告在9月28日发布。这个决定开启起草工作，尚不是法律通过或生效。

拟议中的法律把三项议会授权放在一起。24.3810号动议要求补上数字产品网络安全检查的法律基础；23.3002号动议关注联邦、州级及市镇机关和关键基础设施运营方所持重要数字数据的保护；25.3011号动议则涉及托管与云服务提供方在应对网络威胁、阻止服务被滥用方面应有的权利和义务。瑞士政府称，三项工作最初都考虑通过修订《信息安全法》（ISA）落实，如今改为一部独立法案。

公告勾勒了三类未来规则：软件和硬件的制造商、进口商与分销商可能面对有约束力的安全要求；监管机构可进行市场监督，并禁止不安全产品出售；重要数字数据的保护要求，以及托管和云服务提供方合作、防御网络威胁的义务，也将写入草案。这里描述的是政府希望提交的立法方向，不是已经可以据以处罚企业的条文。哪些数据算“重要”、哪些提供方会纳入范围，公告没有说明。

报告义务的转移更为具体，因为它已经运行。自2025年4月1日起，符合规定的机关和关键基础设施运营方须在发现特定网络攻击后24小时内向瑞士国家网络安全中心（NCSC）作初报，之后最多有14天补齐资料。瑞士政府表示，这项义务将从ISA移入新法。与此同时，ISA仍负责联邦机关内部的信息安全；电信、电力等领域现行的行业规则也会继续有效。

因此，新法不是要取代各行业规则，而是给跨行业义务一个统一的立法位置。这有机会减少每次新增共同要求都要改动多部法律的情况，但也会形成多层规则并行：产品市场监督、行业监管、州和市镇数据保护，以及私人托管基础设施的责任可能同时交叠。草案需要交代这些权限如何衔接，尤其是某个服务或事件横跨多个监管范围时由谁负责。

瑞士政府称，已经受欧盟《网络韧性法案》（CRA）约束的国际企业不应再承担额外的瑞士合规要求。这是尚未看到法案文本前提出的政策目标。公告没有说明如何判断等效、设置豁免或处理企业对监管决定的申诉。

下一个可核查节点是2027年6月的咨询草案。届时，重要数据的定义、覆盖哪些托管与云服务提供方、监督机关、法律救济、费用分担和行业规则接口才可能更清楚。在草案公开之前，能够确认的是立法架构正在改变，而不是产品禁售或云服务义务已经生效。

来源