Para crear una empresa de ciberseguridad en Suiza no necesita ninguna licencia: ni el Código penal, ni la ley sobre la seguridad de la información, ni la ley de protección de datos someten la profesión a autorización. Lo que protege a su sociedad es la autorización por escrito de cada cliente antes de una prueba de intrusión. Lo que puede alcanzarla es la ley sobre la seguridad de la información, que desde el 1 de abril de 2025 obliga a las infraestructuras críticas, precisamente los clientes que usted vigilará, a notificar sus ciberataques en 24 horas.
Índice
- Sin licencia, con títulos opcionales
- Pruebas de intrusión: la frontera entre auditoría y delito
- Herramientas y contraseñas: un delito perseguible de oficio
- El SOC y la notificación de ciberataques a la OFCS
- Su sociedad, encargada del tratamiento según la LPD
- Control de exportaciones: bienes, no servicios
- Fundador extranjero, forma jurídica e IVA
- Los errores que exponen a la sociedad
- FAQ
Crear una empresa de ciberseguridad en Suiza: sin licencia, con títulos opcionales
Ninguna ley federal exige licencia, autorización ni inscripción especial para vender servicios de ciberseguridad. La ley sobre la seguridad de la información (LSI) regula la notificación de ciberataques y el apoyo de la Oficina federal de ciberseguridad (OFCS), no el acceso a la profesión.
Los títulos sirven para vender. Según orientation.ch, el título federal de Cyber Security Specialist está abierto a quienes tienen un certificado federal de capacidad en informática o comunicación y al menos dos años de práctica en seguridad de la información o ciberseguridad. La certificación ISO/IEC 27001 de la empresa también es opcional.
La vigilancia de bienes, la protección de personas y el transporte de valores dependen de otro régimen: el concordato sobre las empresas de seguridad (CES), cuyo texto ginebrino se refiere a la seguridad física y no menciona la informática. Si su proyecto incluye vigilantes o una central de alarmas, consulte nuestra guía para crear una empresa de seguridad en Suiza. Para un SOC puramente informático el texto no resuelve la cuestión: pregunte al cantón de su sede.
Pruebas de intrusión: la frontera entre auditoría y delito
El derecho penal suizo no conoce la palabra pentest. Castiga el acceso indebido, y todo depende de dos palabras: sin derecho. El artículo 143bis apdo. 1 CP sanciona a quien se introduce sin derecho, mediante un dispositivo de transmisión de datos, en un sistema informático ajeno especialmente protegido contra su acceso, previa denuncia, con hasta tres años de prisión o pena pecuniaria.
Una prueba de intrusión reproduce esos mismos actos, pero con el permiso del titular del sistema. El artículo 14 CP saca la consecuencia: actúa de forma lícita quien obra según lo que la ley ordena o autoriza, aunque el acto sea punible en otro caso. La ley no ofrece ningún modelo de carta de autorización: redactar el documento que fija lo que el cliente permite le corresponde a usted.
| Delito del Código penal | Conducta castigada | Riesgo para un equipo de pruebas |
|---|---|---|
| Acceso indebido, art. 143bis apdo. 1 (previa denuncia) | Entrar sin derecho en un sistema ajeno especialmente protegido | Salir del perímetro acordado, por ejemplo en un servidor no incluido |
| Daños a los datos, art. 144bis núm. 1 (previa denuncia; de oficio si el daño es considerable) | Modificar, borrar o inutilizar datos sin derecho | Una prueba destructiva que el mandato no preveía |
| Sustracción de datos personales sensibles, art. 179novies (previa denuncia) | Apoderarse de datos personales sensibles que no son accesibles al público | Copiar historiales médicos para ilustrar un informe |
Fuente: Código penal suizo (CP), RS 311.0, versión en vigor el 29 de octubre de 2026.
El artículo 143bis exige que el sistema pertenezca a otra persona. Si la aplicación del cliente está alojada en un proveedor de hosting o de nube, el consentimiento del cliente por sí solo puede no cubrir la infraestructura de ese tercero. Separe ambos en el perímetro.
Herramientas y contraseñas: un delito perseguible de oficio
La segunda norma penal afecta a sus herramientas. El artículo 143bis apdo. 2 CP castiga a quien pone en circulación o hace accesible una contraseña, un programa u otros datos sabiendo, o debiendo suponer, que servirán para cometer un acceso indebido. Aquí no hace falta denuncia: se persigue de oficio.
Tener herramientas ofensivas para pruebas autorizadas no está castigado como tal; ponerlas al alcance de cualquiera puede estarlo. El artículo 144bis núm. 2 aplica la misma lógica a los programas que destruyen datos, con penas de seis meses a diez años para quien actúa por oficio. Fije por escrito quién usa las herramientas, a quién van las credenciales obtenidas y cómo se destruyen al final.
El SOC y la notificación de ciberataques a la OFCS
Desde el 1 de abril de 2025, las infraestructuras críticas deben notificar sus ciberataques a la OFCS en las 24 horas siguientes a su detección (art. 74e apdo. 1 LSI), y las sanciones rigen desde el 1 de octubre de 2025. Un comunicado federal del 29 de septiembre de 2025 contabilizaba 164 ataques notificados en seis meses.
Buena parte de los clientes de un SOC figura en el artículo 74b LSI: universidades, autoridades, bancos, aseguradoras, infraestructuras del mercado financiero, hospitales de la lista cantonal, laboratorios médicos, energía, transportes y telecomunicaciones. Hay que notificar cuando el ataque pone en peligro el funcionamiento de la infraestructura, provoca manipulación o fuga de información, va acompañado de chantaje, amenazas o coacción, o permaneció mucho tiempo sin detectar (art. 74d LSI). La ordenanza sobre la ciberseguridad (OCyS) fija ese umbral en más de 90 días. Si en 24 horas no se conoce todo, la OFCS concede 14 días para completar la notificación.
El artículo 17 apdo. 2 OCyS abre una línea de negocio: una o varias organizaciones obligadas pueden confiar el proceso de notificación, de forma individual o conjunta, a una organización tercera. Su contrato de SOC debe entonces precisar quién detecta, quién valora y quién transmite a tiempo.
Importante
La multa de hasta 100 000 francos del artículo 74h LSI no castiga directamente una notificación tardía. Sanciona a quien, intencionadamente, no cumple una decisión firme que la OFCS le haya notificado con la advertencia de esa multa.
Su sociedad también puede estar incluida. La letra t del artículo 74b menciona a los proveedores de servicios digitales de seguridad o de confianza con sede en Suiza, y la ordenanza exime a quienes no prestan servicios a terceros a cambio de remuneración. La OFCS informa y puede decidir mediante resolución si una empresa está sujeta (art. 74a apdo. 2 LSI)
Su empresa de ciberseguridad en Suiza
Una estructura en regla antes de la primera prueba
Elección del cantón y de la forma jurídica, objeto social, constitución e inscripción en el registro mercantil, gerente residente si usted aún vive en el extranjero, domiciliación, contabilidad de sus encargos e IVA de sus servicios internacionales: My Swiss Company SA crea y administra su sociedad desde Ginebra, Lucerna o Zug.
Plantear su proyecto
Gestoría suiza en Ginebra, Lucerna y Zug, al servicio de clientes en más de 20 países.
Su sociedad, encargada del tratamiento según la LPD
Un SOC que analiza registros o un equipo de respuesta que abre buzones trata datos personales por cuenta de su cliente. La ley sobre la protección de datos (LPD) lo califica de encargado del tratamiento: la persona privada u órgano federal que trata datos personales por cuenta del responsable (art. 5 let. k LPD).
- Un contrato: el encargo del tratamiento requiere que lo prevea un contrato o la ley (art. 9 apdo. 1 LPD).
- Una seguridad adecuada al riesgo, mediante medidas técnicas y organizativas apropiadas (art. 8 apdo. 1 LPD).
- Ningún tercero sin permiso: el encargado solo puede subcontratar el tratamiento con la autorización previa del responsable (art. 9 apdo. 3 LPD).
- La comunicación de las violaciones de seguridad al cliente, lo antes posible (art. 24 apdo. 3 LPD).
La LPD no fija un plazo en horas; las 72 horas que se citan a menudo proceden del Reglamento general de protección de datos (RGPD) europeo. Sus clientes tienen motivos para exigir ese contrato: el artículo 61 LPD prevé una multa de hasta 250 000 francos para quien encarga un tratamiento sin respetar el artículo 9 apdos. 1 y 2.
Consejo de My Swiss Company
Tenga listos tres documentos antes del primer encargo: una carta de mandato con los sistemas, las fechas, las técnicas autorizadas y los contactos de urgencia; un contrato de encargo del tratamiento conforme a la LPD; y un anexo que indique, para los clientes sujetos a la LSI, si usted asume la notificación a la OFCS. Bancos y hospitales los piden.
Control de exportaciones: bienes, no servicios
La ley sobre el control de bienes (LCB) se aplica a las mercancías, las tecnologías y los programas informáticos (art. 3 let. a LCB). Una prueba de intrusión vendida a un cliente extranjero no figura en ninguna partida de la lista, por lo que el servicio en sí no necesita permiso de la Secretaría de Estado de Economía (SECO).
Desarrollar herramientas cambia las cosas. El anexo 2 de la ordenanza sobre el control de bienes (OCB) controla los sistemas y programas diseñados para generar, dirigir y controlar o entregar software de intrusión (partidas 4A005 y 4D004), así como la tecnología para desarrollarlo (4E001.c). Su exportación requiere un permiso de la SECO (art. 3 apdo. 1 OCB), y una persona jurídica debe demostrar un control interno fiable (art. 5 apdo. 2 OCB). Otra ordenanza, la de los bienes destinados a la vigilancia de internet y de las comunicaciones móviles (OSIC), añade un permiso individual para esas mismas partidas.
Dos exclusiones protegen la actividad diaria. Una nota a la partida 4E001 deja fuera de 4E001.a y c la divulgación de vulnerabilidades y la respuesta a incidentes de ciberseguridad, y el software de dominio público no está sometido a control. Cuidado, en cambio, con el intercambio interno: enviar una herramienta propia a un consultor en el extranjero es una transferencia, que el artículo 14 apdo. 1 let. b LCB castiga si se hace sin permiso.
Fundador extranjero, forma jurídica e IVA
Un ciudadano de la Unión Europea o de la AELC que se establece en Suiza para ejercer una actividad por cuenta propia obtiene un permiso de residencia de al menos cinco años si acredita ese establecimiento (Acuerdo sobre la libre circulación de personas, anexo I, art. 12). Fuera de la UE y la AELC, la admisión es cantonal y exige que sirva a los intereses económicos del país y que el fundador disponga de ingresos suficientes y propios (art. 19 LEI). En ambos casos la sociedad debe poder ser representada por una persona domiciliada en Suiza: un gerente o director en la Sàrl (art. 814 apdo. 3 CO), un administrador o director en la SA (art. 718 apdo. 4 CO).
La Sàrl, con 20 000 francos de capital totalmente desembolsado, encaja con un pequeño equipo de auditores. La SA, con 100 000 francos de capital y al menos 50 000 desembolsados, tiene sentido si piensa abrir el capital a inversores. Vea nuestra guía sobre los pasos para establecer un negocio en Suiza
Sus contratos con clientes son mandatos: el mandatario responde ante el mandante de la ejecución fiel y diligente del encargo (art. 398 apdo. 2 CO). Un límite de responsabilidad puede cubrir la culpa leve, pero nunca el dolo ni la culpa grave, porque esa exclusión anticipada es nula (art. 100 apdo. 1 CO). En el IVA, la sujeción empieza a partir de 100 000 francos de volumen de negocios anual, incluido el realizado en el extranjero (art. 10 apdo. 2 let. a LTVA), con un tipo normal del 8,1 %. Una auditoría vendida a una empresa extranjera se localiza en su sede (art. 8 apdo. 1 LTVA).
Un caso concreto: un fundador madrileño en Ginebra
Un ingeniero español que dirigía un equipo de pentesting en Madrid constituye en Ginebra una Sàrl con 20 000 francos de capital para vender pruebas de intrusión y un SOC. Como ciudadano de la UE, se instala en Ginebra al amparo de la libre circulación y es él mismo el gerente residente. Aunque no ofrece vigilancia física, consulta al cantón sobre el concordato CES antes de inscribir el objeto social.
Cada prueba arranca con una carta de mandato firmada; cuando la web de un cliente está alojada por un tercero, el proveedor de hosting da su acuerdo por escrito. Su primer contrato de SOC llega de una aseguradora sujeta a la ley de supervisión de seguros, y por tanto a la LSI. El contrato de encargo prohíbe subcontratistas sin su acuerdo, y un anexo confía a la Sàrl la notificación a la OFCS. Cuando un cliente de fuera de Suiza quiere comprar la plataforma de entrega de cargas del equipo, la Sàrl la hace clasificar y, como entra en las partidas 4A005 y 4D004, solicita un permiso a la SECO antes de entregarla.
Los errores que exponen a la sociedad
- Probar con un acuerdo verbal y tener que demostrar después que el acceso no fue sin derecho.
- Incluir el servidor de un proveedor de hosting en el perímetro sin el permiso de ese tercero.
- Dejar circular herramientas o credenciales fuera del equipo.
- Asumir la notificación de un cliente sin contrato.
- Enviar una herramienta propia al extranjero sin clasificarla antes.
- Vender una certificación como obligatoria.
FAQ: crear una empresa de ciberseguridad en Suiza
¿Se necesita una licencia para crear una empresa de ciberseguridad en Suiza?
No. Ninguna ley federal exige licencia ni autorización para vender servicios de ciberseguridad. El título federal de Cyber Security Specialist y la certificación ISO/IEC 27001 son opcionales.
¿Es legal una prueba de intrusión en Suiza?
Sí, cuando la autoriza el titular del sistema. El acceso indebido del artículo 143bis apdo. 1 CP supone actuar sin derecho, y el artículo 14 CP declara lícito lo que la ley autoriza. El permiso del cliente no cubre automáticamente los sistemas de un proveedor de hosting.
¿En qué plazo hay que notificar un ciberataque en Suiza?
En las 24 horas siguientes a su detección, para las infraestructuras críticas del artículo 74b LSI, desde el 1 de abril de 2025. La OFCS concede 14 días para completar una notificación incompleta. Un SOC puede asumir el proceso.
¿Una empresa de ciberseguridad debe notificar sus propios ciberataques?
Es posible. La LSI menciona a los proveedores de servicios digitales de seguridad con sede en Suiza, y la ordenanza exime a quienes no prestan servicios a terceros contra remuneración. La OFCS informa y puede decidir mediante resolución si la empresa está sujeta.
¿Un SOC es encargado del tratamiento según la LPD?
Sí, en cuanto trata datos personales por cuenta de su cliente. Necesita un contrato, una seguridad adecuada, la autorización previa del cliente para recurrir a terceros y debe comunicarle las violaciones de seguridad lo antes posible.
¿Hace falta un permiso de la SECO para vender pentests en el extranjero?
No para el servicio en sí. El permiso se exige para exportar o transferir herramientas que generan o entregan software de intrusión (partidas 4A005, 4D004 y 4E001.c del anexo 2 OCB). La divulgación de vulnerabilidades y la respuesta a incidentes quedan excluidas de 4E001.a y c.
Fuentes
- Código penal suizo (CP), RS 311.0, art. 14, 143bis, 144bis y 179novies (francés)
- Ley sobre la seguridad de la información (LSI), RS 128, art. 74a a 74h (francés)
- Ordenanza sobre la ciberseguridad (OCyS), RS 128.51 (francés)
- Oficina federal de ciberseguridad (OFCS) (francés)
- Ley sobre la protección de datos (LPD), RS 235.1 (francés)
- Ley sobre el control de bienes (LCB), RS 946.202 (francés)
- Ordenanza sobre el control de bienes (OCB), RS 946.202.1 (francés)
- Ordenanza sobre los bienes destinados a la vigilancia de internet (OSIC), RS 946.202.3 (francés)
- Código de obligaciones (CO), RS 220 (francés)
- Ley del IVA (LTVA), RS 641.20 (francés)
- Acuerdo sobre la libre circulación de personas (ALCP), RS 0.142.112.681, anexo I (francés)
- Ley de extranjería e integración (LEI), RS 142.20, art. 19 (francés)
- orientation.ch, Cyber Security Specialist con título federal (francés)
Conclusión
Crear una empresa de ciberseguridad en Suiza no exige licencia, pero sí tres disciplinas desde el primer encargo: una autorización escrita y un perímetro preciso para cada prueba, contratos que conviertan a su sociedad en encargada del tratamiento según la LPD y, si procede, en relevo de la notificación a la OFCS, y una clasificación de sus herramientas antes de que salgan de Suiza. Pregunte también a la OFCS si su propia sociedad entra en la LSI. My Swiss Company, gestoría suiza en Ginebra, Lucerna y Zug, acompaña a emprendedores de más de 20 países en la creación y la administración de su sociedad, desde la inscripción en el registro mercantil hasta el IVA de sus servicios internacionales.
