GRC & Compliance
12. Oktober 202612 October 2026
5 Min. Lesezeit5 min read
ISDS-Konzept nach P042: Inhalt, Gültigkeit und was ab 2027 giltISDS Concept under P042: Content, Validity and What Applies from 2027
Wer für die Bundesverwaltung ein Vorhaben umsetzt oder als Zulieferer daran mitarbeitet, wird früher oder später nach einem ISDS-Konzept gefragt, dem Informationssicherheits- und Datenschutzkonzept. Auch kantonale Verwaltungen und öffentliche Ausschreibungen verlangen es immer häufiger. Dieser Ratgeber beantwortet die Fragen, die uns dazu am häufigsten gestellt werden.
Was ist ein ISDS-Konzept nach P042?
P042 ist die Vorgabe des Bundes, wie ein ISDS-Konzept aufgebaut wird. Sie wurde ursprünglich vom Nationalen Zentrum für Cybersicherheit (NCSC) erlassen; seit dem 1. Januar 2024 führt sie die Fachstelle des Bundes für Informationssicherheit im SEPOS. Angewendet wird sie zusammen mit P041, der Methode für die Schutzbedarfsanalyse. Das Konzept hält fest, welche Informationen und Systeme ein Vorhaben betrifft, wie hoch ihr Schutzbedarf ist, welche Risiken bestehen und welche Massnahmen sie begrenzen.
Verbindlich ist P042 für die Bundesverwaltung. Für Kantone und Unternehmen ist sie freiwillig, wird aber oft vertraglich oder in Ausschreibungen verlangt. Die geltende Fassung V4.5 und P041 stehen auf der Seite Sicherheitsverfahren des SEPOS.
Wie lange ist ein ISDS-Konzept gültig?
Nach P042, Ziffer 1.1 beträgt die Gültigkeit eines ISDS-Konzepts höchstens fünf Jahre; danach wird es neu bearbeitet. Unabhängig davon verlangt die Informationssicherheitsverordnung (ISV), Art. 27, das Sicherheitsverfahren nach wesentlichen Änderungen zu wiederholen. Wer heute ein Konzept abschliesst, trägt deshalb am besten gleich die Wiedervorlage ein.
Welche Dokumente gehören dazu?
Unser kostenloser ISDS-Konzept-Generator erzeugt je nach Vorhaben bis zu sieben Dokumente. Das Notfallkonzept und die Dokumente zur Datenschutz-Folgenabschätzung entstehen nur, wenn das Vorhaben sie braucht. Jede Erzeugung wird mit Version, Datum und Projektleitung im Änderungsverzeichnis festgehalten.
| Dokument | Grundlage |
|---|
| Schutzbedarfsanalyse | P041 |
| ISDS-Konzept | P042, Hilfsmittel Hi01 |
| Risikoanalyse | P042, Hilfsmittel Hi02 |
| Notfallkonzept | P042, Hilfsmittel Hi03 |
| Bericht zur Datenschutz-Folgenabschätzung | Art. 22 DSG bzw. kantonales Recht |
| Rechtsgrundlagenanalyse | DSG bzw. kantonales Datenschutzgesetz |
| Schreiben zur Vorabkonsultation | Art. 23 DSG bzw. kantonales Recht |
Wann braucht es eine Datenschutz-Folgenabschätzung?
Nach Art. 22 DSG immer dann, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen kann. Bleibt das Risiko trotz der vorgesehenen Massnahmen hoch, holt der Verantwortliche nach Art. 23 DSG vorgängig die Stellungnahme des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) ein. Private Verantwortliche können darauf verzichten, wenn sie ihre Datenschutzberaterin oder ihren Datenschutzberater konsultiert haben. Kantonale Stellen wenden ihr kantonales Datenschutzgesetz an und wenden sich an die kantonale Aufsichtsbehörde.
Gilt in jedem Kanton dasselbe?
Nein. Der Generator führt 27 Rechtsgrundlagen: den Bund und alle 26 Kantone, je mit Datenschutzgesetz und zuständiger Aufsichtsbehörde. Einige Besonderheiten:
- Schwyz regelt den Datenschutz im ÖDSG.
- Glarus regelt ihn im IDAG.
- Neuenburg und Jura haben mit der Convention CPDT-JUNE ein gemeinsames Recht und eine gemeinsame Aufsicht.
- Nicht jeder Kanton regelt die Folgenabschätzung in einer eigenen Bestimmung; einige verweisen auf das DSG des Bundes. Der Blick ins kantonale Gesetz lohnt sich deshalb vor jeder Abgabe.
Was gilt ab dem 1. Januar 2027?
P042 V4.5 stützt sich auf die Cyberrisikenverordnung. Diese wurde mit dem Inkrafttreten der ISV am 1. Januar 2024 aufgehoben (Anhang 2). Nach Art. 51 Abs. 1 ISV gelten die vorher vom NCSC erlassenen Vorgaben höchstens drei Jahre weiter, also längstens bis zum 1. Januar 2027. Stand 12. Oktober 2026 führt das SEPOS P042 V4.5 weiterhin als geltende Vorgabe; ein Nachfolgedokument ist nicht veröffentlicht. Prüfen Sie vor einer Abgabe deshalb den aktuellen Stand beim SEPOS und bei der auftraggebenden Stelle.
Einordnung: Der ISDS-Konzept-Generator von Cavora Partners ist eine unabhängige Umsetzung der Methodik P041/P042. Er ist kein offizielles Instrument des Bundes und ersetzt weder eine Prüfung durch die zuständige Stelle noch eine Rechtsberatung. Die Daten bleiben in Ihrem Browser; es gibt keinen Upload und kein Konto.
Quellen
Anyone delivering a project for the Swiss federal administration, or working on one as a supplier, will sooner or later be asked for an ISDS concept, the information security and data protection concept. Cantonal administrations and public tenders ask for it more and more often as well. This guide answers the questions we hear most.
What is an ISDS concept under P042?
P042 is the federal specification for how an ISDS concept is structured. It was originally issued by the National Cyber Security Centre (NCSC); since 1 January 2024 it has been maintained by the federal information security office within SEPOS. It is applied together with P041, the method for the protection needs analysis. The concept records which information and systems a project involves, how much protection they need, which risks exist and which measures limit them.
P042 is binding for the federal administration. For cantons and companies it is voluntary, but it is often required by contract or in tenders. The current version V4.5 and P041 are published on the SEPOS security procedures page (in German).
How long is an ISDS concept valid?
According to P042, section 1.1, an ISDS concept is valid for at most five years; after that it is reworked. Independently of this, the Information Security Ordinance (ISV), Art. 27 requires the security procedure to be repeated after significant changes. If you complete a concept today, it is best to schedule the review right away.
Which documents belong to it?
Depending on the project, our free ISDS concept generator produces up to seven documents. The emergency concept and the data protection impact assessment documents are only created when the project needs them. Every generation is logged in the change history with version, date and project lead.
| Document | Basis |
|---|
| Protection needs analysis | P041 |
| ISDS concept | P042, aid Hi01 |
| Risk analysis | P042, aid Hi02 |
| Emergency concept | P042, aid Hi03 |
| Data protection impact assessment report | Art. 22 FADP or cantonal law |
| Legal basis analysis | FADP or cantonal data protection act |
| Letter for prior consultation | Art. 23 FADP or cantonal law |
When is a data protection impact assessment needed?
Under Art. 22 of the Federal Act on Data Protection (FADP), whenever processing may result in a high risk to the personality or fundamental rights of the data subjects. If the risk remains high despite the planned measures, the controller must obtain the opinion of the Federal Data Protection and Information Commissioner (FDPIC) in advance under Art. 23 FADP. Private controllers may refrain from this if they have consulted their data protection advisor. Cantonal bodies apply their cantonal data protection act and turn to the cantonal supervisory authority.
Is it the same in every canton?
No. The generator covers 27 legal bases: the Confederation and all 26 cantons, each with its data protection act and responsible supervisory authority. Some particularities:
- Schwyz governs data protection in the ÖDSG.
- Glarus governs it in the IDAG.
- Neuchâtel and Jura share one law and one supervisory authority under the Convention CPDT-JUNE.
- Not every canton has its own provision on the impact assessment; some refer to the federal act. It is therefore worth checking the cantonal act before every submission.
What applies from 1 January 2027?
P042 V4.5 is based on the Cyber Risks Ordinance, which was repealed when the ISV entered into force on 1 January 2024 (Annex 2). Under Art. 51 para. 1 ISV, specifications previously issued by the NCSC remain valid for at most three years, that is until 1 January 2027 at the latest. As of 12 October 2026, SEPOS still lists P042 V4.5 as a valid specification; no successor document has been published. Before a submission, please check the current status with SEPOS and with the contracting authority.
Please note: The ISDS concept generator by Cavora Partners is an independent implementation of the P041/P042 methodology. It is not an official federal tool and replaces neither a review by the responsible office nor legal advice. Your data stays in your browser; there is no upload and no account.
Sources
ISDS-Konzept in wenigen Schritten
Der ISDS-Konzept-Generator führt Sie durch Schutzbedarfsanalyse, Risikoanalyse und Datenschutz-Folgenabschätzung für den Bund und alle 26 Kantone. Kostenlos, ohne Konto, die Daten bleiben in Ihrem Browser.
Your ISDS concept in a few steps
The ISDS concept generator guides you through the protection needs analysis, risk analysis and data protection impact assessment for the Confederation and all 26 cantons. Free, no account, your data stays in your browser.
