Créer une entreprise de cybersécurité en Suisse : tests d’intrusion, signalement des cyberattaques, données et exportations

Aucune licence, des titres facultatifs

Aucun texte fédéral n’impose de licence, d’agrément ou d’inscription pour vendre des services de cybersécurité. La loi sur la sécurité de l’information (LSI) organise le signalement des cyberattaques et le soutien de l’Office fédéral de la cybersécurité (OFCS), sans réglementer l’accès au métier.

Les titres servent la vente plutôt que la conformité. Selon orientation.ch, le brevet fédéral de Cyber Security Specialist s’adresse aux titulaires d’un CFC en informatique ou en communication qui comptent au moins deux ans de pratique en sécurité de l’information ou en cybersécurité. La certification ISO/IEC 27001 de l’entreprise reste, elle aussi, un argument commercial.

La surveillance de biens, la protection de personnes et le transport de valeurs relèvent d’un autre régime, le concordat sur les entreprises de sécurité (CES), dont le texte genevois vise la sécurité physique sans mentionner l’informatique. Si votre projet comporte du gardiennage ou une centrale d’alarme, lisez plutôt notre guide pour créer une entreprise de sécurité en Suisse. Pour un SOC purement informatique, le texte ne tranche pas : interrogez le canton de votre siège.

Tests d’intrusion : ce qui sépare l’audit de l’infraction

Le droit pénal suisse ne connaît pas le pentest. Il punit l’accès indu, et le mot qui décide de tout est « sans droit » : « Quiconque s’introduit sans droit, au moyen d’un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part, est, sur plainte, puni d’une peine privative de liberté de trois ans au plus ou d’une peine pécuniaire » (art. 143bis al. 1 CP).

Un test d’intrusion reproduit ces gestes avec l’accord du titulaire du système, et l’article 14 CP en tire la conséquence : « Quiconque agit comme la loi l’ordonne ou l’autorise se comporte de manière licite, même si l’acte est punissable en vertu du présent code ou d’une autre loi. » La loi ne fournit ni modèle de lettre d’autorisation ni clause type. À vous de rédiger un document qui délimite ce que le client permet.

L’article 143bis parle d’un système « appartenant à autrui ». Lorsque l’application du client tourne chez un hébergeur ou un fournisseur de nuage, l’accord du client seul peut ne pas couvrir l’infrastructure de ce tiers. Distinguez dans le périmètre les systèmes du client et ceux de ses prestataires.

Outils et mots de passe : une infraction poursuivie d’office

La deuxième règle pénale vise vos outils. L’article 143bis al. 2 CP punit « Quiconque met en circulation ou rend accessible un mot de passe, un programme ou toute autre donnée dont il sait ou doit présumer qu’ils doivent être utilisés dans le but de commettre une infraction visée à l’al. 1 ». Sans la mention « sur plainte », l’infraction est poursuivie d’office.

Détenir des outils offensifs pour des tests autorisés n’est pas visé tel quel ; les mettre à disposition de n’importe qui peut l’être. L’article 144bis ch. 2 suit la même logique pour les logiciels de destruction de données, jusqu’à dix ans pour qui agit par métier. Décidez donc par écrit qui accède aux outils internes, à qui vont les identifiants obtenus pendant un test et comment ils sont détruits à la fin du mandat.

SOC et signalement des cyberattaques à l’OFCS

Depuis le 1er avril 2025, les infrastructures critiques doivent signaler leurs cyberattaques à l’OFCS « dans les 24 heures suivant la détection de la cyberattaque » (art. 74e al. 1 LSI), et les sanctions s’appliquent depuis le 1er octobre 2025. Selon le communiqué fédéral du 29 septembre 2025, 164 cyberattaques contre des infrastructures critiques avaient été signalées en six mois.

Vos clients de SOC sont souvent dans la liste de l’article 74b LSI : hautes écoles, autorités, banques, assurances et infrastructures des marchés financiers, hôpitaux de la liste cantonale, laboratoires médicaux, énergie, transports, télécommunications. Le signalement s’impose si l’attaque met en péril le fonctionnement de l’infrastructure, provoque une manipulation ou une fuite d’informations, s’accompagne de chantage ou reste indétectée longtemps (art. 74d LSI), soit, selon l’ordonnance sur la cybersécurité (OCyS), « plus de 90 jours auparavant ». Un signalement incomplet peut être complété dans les 14 jours accordés par l’OFCS.

L’article 17 al. 2 OCyS ouvre une offre commerciale : « Une ou plusieurs autorités ou organisations soumises à l’obligation de signaler peuvent décider de confier le processus de signalement, individuellement ou collectivement, à une organisation tierce. » Votre contrat doit alors dire qui détecte, qui qualifie l’attaque et qui transmet dans le délai.

Votre société peut aussi être concernée pour ses propres systèmes. La let. t de l’article 74b vise les fournisseurs « de services numériques de sécurité ou de confiance », « pour autant qu’ils aient un siège en Suisse », et l’ordonnance exempte ceux qui ne servent pas de tiers contre rémunération. L’OFCS renseigne et peut trancher par décision (art. 74a al. 2 LSI) : posez-lui la question dès la constitution.

Le prestataire de sécurité, sous-traitant au sens de la LPD

Un SOC qui lit des journaux ou une équipe de réponse à incident qui ouvre des boîtes mail traite des données personnelles pour le compte de son client. La loi sur la protection des données (LPD) en fait un sous-traitant, c’est-à-dire « la personne privée ou l’organe fédéral qui traite des données personnelles pour le compte du responsable du traitement » (art. 5 let. k LPD).

• Un contrat : la sous-traitance suppose qu’un contrat ou la loi la prévoie (art. 9 al. 1 LPD).
• Une sécurité adéquate, par des mesures organisationnelles et techniques appropriées au risque (art. 8 al. 1 LPD).
• Aucun tiers sans accord : « Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu’avec l’autorisation préalable du responsable du traitement » (art. 9 al. 3 LPD).
• L’annonce des violations au client, « dans les meilleurs délais » (art. 24 al. 3 LPD).

La LPD ne chiffre aucun délai ; les 72 heures souvent citées viennent du règlement européen. Vos clients ont une raison de vous demander ce contrat : l’article 61 LPD punit d’une amende de 250 000 francs au plus celui qui confie un traitement sans respecter l’article 9 al. 1 et 2.

Contrôle des exportations : des biens, pas des services

La loi sur le contrôle des biens (LCB) vise « les marchandises, les technologies et les logiciels » (art. 3 let. a LCB). Un test d’intrusion vendu à un client étranger n’apparaît dans aucune entrée de la liste : la prestation elle-même ne demande pas de permis du SECO.

Le développement d’outils change la donne. L’annexe 2 de l’ordonnance sur le contrôle des biens (OCB) contrôle les systèmes et logiciels de génération, de commande et de contrôle ou de livraison de logiciels d’intrusion (positions 4A005 et 4D004) et la technologie servant à les développer (4E001.c). Leur exportation exige un permis du SECO (art. 3 al. 1 OCB), et une personne morale doit prouver un contrôle interne fiable (art. 5 al. 2 OCB). L’ordonnance OSIC y ajoute un permis individuel pour les biens de surveillance d’Internet.

Deux exclusions protègent l’activité courante : 4E001.a et c « ne visent ni la “divulgation de vulnérabilité” ni la “réponse aux incidents de cybersécurité” », et les logiciels du domaine public échappent au contrôle. Attention en revanche au partage interne : envoyer un outil propriétaire à un consultant à l’étranger est un transfert, puni par l’article 14 al. 1 let. b LCB s’il a lieu sans permis.

Fondateur étranger, forme juridique et TVA

Un ressortissant de l’Union européenne ou de l’AELE qui s’établit pour une activité non salariée « reçoit un titre de séjour d’une durée de cinq ans au moins » s’il prouve cet établissement (accord sur la libre circulation, annexe I, art. 12). Hors UE et AELE, l’admission suppose qu’elle « sert les intérêts économiques du pays » et une source de revenus suffisante et autonome (art. 19 LEI). Dans les deux cas, la société doit pouvoir être représentée par une personne domiciliée en Suisse : gérant ou directeur d’une Sàrl (art. 814 al. 3 CO), administrateur ou directeur d’une SA (art. 718 al. 4 CO).

La Sàrl, avec 20 000 francs de capital entièrement libéré, convient aux petites équipes d’auditeurs. La SA, avec 100 000 francs de capital dont 50 000 au moins libérés, se justifie si vous prévoyez des investisseurs. Notre comparatif SA ou Sàrl en Suisse et notre guide pour créer une société en Suisse détaillent le choix et les étapes.

Vos contrats relèvent du mandat : le mandataire répond de « la bonne et fidèle exécution du mandat » (art. 398 al. 2 CO). Un plafond de responsabilité couvre la faute légère, jamais le dol ou la faute grave (art. 100 al. 1 CO). Côté TVA, l’assujettissement commence à 100 000 francs de chiffre d’affaires annuel, étranger compris (art. 10 al. 2 let. a LTVA), au taux de 8,1 %. Un audit vendu à une entreprise étrangère s’impose au lieu de son siège (art. 8 al. 1 LTVA).

Un cas concret : un fondateur lyonnais à Lausanne

Un ingénieur français crée à Lausanne une Sàrl de 20 000 francs qui vend des tests d’intrusion et un SOC ; il en est le gérant et s’installe dans le canton de Vaud. Chaque test commence par une lettre de mission signée qui liste adresses, dates et techniques ; quand le site d’un client est hébergé par un tiers, l’hébergeur donne son accord écrit.

Son premier contrat de SOC vient d’un hôpital de la liste cantonale. Le contrat de sous-traitance interdit tout tiers sans accord de l’hôpital, et une annexe confie à la Sàrl le signalement à l’OFCS : 24 heures, puis 14 jours pour compléter. Lorsqu’un client établi hors de Suisse veut acheter la plateforme de livraison de charges développée par l’équipe, la Sàrl fait vérifier son classement au regard des positions 4A005 et 4D004 et, l’outil y figurant, demande un permis au SECO avant toute livraison.

Les erreurs qui exposent la société

• Tester sur un accord oral, puis devoir prouver que l’accès n’était pas « sans droit ».
• Inclure un serveur d’hébergeur dans le périmètre sans l’accord de ce tiers.
• Laisser circuler outils ou identifiants hors de l’équipe autorisée.
• Reprendre le signalement d’un client sans contrat sur la qualification et la transmission.
• Envoyer un outil propriétaire à l’étranger sans classement préalable.
• Présenter une certification comme obligatoire dans une offre.

FAQ : créer une entreprise de cybersécurité en Suisse

Faut-il une licence pour créer une entreprise de cybersécurité en Suisse ?

Non. Aucun texte fédéral n’impose de licence ou d’agrément pour vendre des services de cybersécurité. Le brevet fédéral de Cyber Security Specialist et la certification ISO/IEC 27001 sont facultatifs. Le gardiennage et les centrales d’alarme relèvent d’un autre régime.

Un test d’intrusion est-il légal en Suisse ?

Oui, lorsqu’il est autorisé par le titulaire du système. L’accès indu de l’article 143bis al. 1 CP suppose un acte « sans droit », et l’article 14 CP déclare licite celui qui agit comme la loi l’autorise. L’accord du client ne couvre pas automatiquement les systèmes d’un hébergeur tiers.

Dans quel délai faut-il signaler une cyberattaque en Suisse ?

Dans les 24 heures suivant sa détection, pour les infrastructures critiques de l’article 74b LSI, depuis le 1er avril 2025. L’OFCS accorde 14 jours pour compléter un signalement incomplet. Le processus peut être confié à une organisation tierce, comme un SOC.

Une société de cybersécurité doit-elle signaler ses propres cyberattaques ?

Peut-être. La LSI vise les fournisseurs de services numériques de sécurité ayant un siège en Suisse, et l’ordonnance exempte ceux qui ne servent pas de tiers contre rémunération. L’OFCS renseigne et peut rendre une décision sur l’assujettissement.

Un SOC est-il sous-traitant au sens de la LPD ?

Oui, dès qu’il traite des données personnelles pour son client. Il lui faut un contrat, une sécurité adéquate, l’accord préalable du client pour tout tiers et l’annonce des violations dans les meilleurs délais. La LPD ne fixe pas de délai de 72 heures.

Faut-il un permis du SECO pour vendre des tests d’intrusion à l’étranger ?

Pas pour la prestation elle-même. Un permis est exigé pour exporter ou transférer des outils de génération ou de livraison de logiciels d’intrusion (positions 4A005, 4D004 et 4E001.c de l’annexe 2 OCB). La divulgation de vulnérabilité et la réponse aux incidents sont exclues de 4E001.a et c.

Sources

• Code pénal suisse (CP), RS 311.0, art. 14, 143bis, 144bis et 179novies
• Loi sur la sécurité de l’information (LSI), RS 128, art. 74a à 74h
• Ordonnance sur la cybersécurité (OCyS), RS 128.51
• Office fédéral de la cybersécurité (OFCS)
• Loi sur la protection des données (LPD), RS 235.1
• Loi sur le contrôle des biens (LCB), RS 946.202
• Ordonnance sur le contrôle des biens (OCB), RS 946.202.1
• Ordonnance sur les biens destinés à la surveillance d’Internet (OSIC), RS 946.202.3
• Code des obligations (CO), RS 220
• Loi sur la TVA (LTVA), RS 641.20
• Accord sur la libre circulation des personnes, RS 0.142.112.681
• Loi sur les étrangers et l’intégration (LEI), RS 142.20
• orientation.ch, Cyber Security Specialist BF