{"id":14293,"date":"2026-11-04T09:00:00","date_gmt":"2026-11-04T08:00:00","guid":{"rendered":"https:\/\/my-swiss-company.com\/?p=14293"},"modified":"2026-10-29T14:24:56","modified_gmt":"2026-10-29T13:24:56","slug":"crear-empresa-ciberseguridad-suiza","status":"publish","type":"post","link":"https:\/\/my-swiss-company.com\/es\/crear-empresa-ciberseguridad-suiza\/","title":{"rendered":"Crear una empresa de ciberseguridad en Suiza siendo extranjero: pruebas de intrusi\u00f3n, notificaci\u00f3n de ciberataques y datos"},"content":{"rendered":"
\n

Para crear una empresa de ciberseguridad en Suiza no necesita ninguna licencia: ni el C\u00f3digo penal, ni la ley sobre la seguridad de la informaci\u00f3n, ni la ley de protecci\u00f3n de datos someten la profesi\u00f3n a autorizaci\u00f3n. Lo que protege a su sociedad es la autorizaci\u00f3n por escrito de cada cliente antes de una prueba de intrusi\u00f3n. Lo que puede alcanzarla es la ley sobre la seguridad de la informaci\u00f3n, que desde el 1 de abril de 2025 obliga a las infraestructuras cr\u00edticas, precisamente los clientes que usted vigilar\u00e1, a notificar sus ciberataques en 24 horas.<\/p>\n<\/div>\n

\n

\u00cdndice<\/h3>\n
    \n
  1. Sin licencia, con t\u00edtulos opcionales<\/a><\/li>\n
  2. Pruebas de intrusi\u00f3n: la frontera entre auditor\u00eda y delito<\/a><\/li>\n
  3. Herramientas y contrase\u00f1as: un delito perseguible de oficio<\/a><\/li>\n
  4. El SOC y la notificaci\u00f3n de ciberataques a la OFCS<\/a><\/li>\n
  5. Su sociedad, encargada del tratamiento seg\u00fan la LPD<\/a><\/li>\n
  6. Control de exportaciones: bienes, no servicios<\/a><\/li>\n
  7. Fundador extranjero, forma jur\u00eddica e IVA<\/a><\/li>\n
  8. Los errores que exponen a la sociedad<\/a><\/li>\n
  9. FAQ<\/a><\/li>\n<\/ol>\n<\/div>\n

    Crear una empresa de ciberseguridad en Suiza: sin licencia, con t\u00edtulos opcionales<\/h2>\n

    Ninguna ley federal exige licencia, autorizaci\u00f3n ni inscripci\u00f3n especial para vender servicios de ciberseguridad. La ley sobre la seguridad de la informaci\u00f3n (LSI) regula la notificaci\u00f3n de ciberataques y el apoyo de la Oficina federal de ciberseguridad (OFCS), no el acceso a la profesi\u00f3n.<\/p>\n

    Los t\u00edtulos sirven para vender. Seg\u00fan orientation.ch, el t\u00edtulo federal de Cyber Security Specialist est\u00e1 abierto a quienes tienen un certificado federal de capacidad en inform\u00e1tica o comunicaci\u00f3n y al menos dos a\u00f1os de pr\u00e1ctica en seguridad de la informaci\u00f3n o ciberseguridad. La certificaci\u00f3n ISO\/IEC 27001 de la empresa tambi\u00e9n es opcional.<\/p>\n

    La vigilancia de bienes, la protecci\u00f3n de personas y el transporte de valores dependen de otro r\u00e9gimen: el concordato sobre las empresas de seguridad (CES), cuyo texto ginebrino se refiere a la seguridad f\u00edsica y no menciona la inform\u00e1tica. Si su proyecto incluye vigilantes o una central de alarmas, consulte nuestra gu\u00eda para crear una empresa de seguridad en Suiza<\/a>. Para un SOC puramente inform\u00e1tico el texto no resuelve la cuesti\u00f3n: pregunte al cant\u00f3n de su sede.<\/p>\n

    Pruebas de intrusi\u00f3n: la frontera entre auditor\u00eda y delito<\/h2>\n

    El derecho penal suizo no conoce la palabra pentest. Castiga el acceso indebido, y todo depende de dos palabras: sin derecho. El art\u00edculo 143bis apdo. 1 CP sanciona a quien se introduce sin derecho, mediante un dispositivo de transmisi\u00f3n de datos, en un sistema inform\u00e1tico ajeno especialmente protegido contra su acceso, previa denuncia, con hasta tres a\u00f1os de prisi\u00f3n o pena pecuniaria.<\/p>\n

    Una prueba de intrusi\u00f3n reproduce esos mismos actos, pero con el permiso del titular del sistema. El art\u00edculo 14 CP saca la consecuencia: act\u00faa de forma l\u00edcita quien obra seg\u00fan lo que la ley ordena o autoriza, aunque el acto sea punible en otro caso. La ley no ofrece ning\u00fan modelo de carta de autorizaci\u00f3n: redactar el documento que fija lo que el cliente permite le corresponde a usted.<\/p>\n

    \n\n\n\n\n\n\n\n
    Delito del C\u00f3digo penal<\/th>\nConducta castigada<\/th>\nRiesgo para un equipo de pruebas<\/th>\n<\/tr>\n<\/thead>\n
    Acceso indebido, art. 143bis apdo. 1 (previa denuncia)<\/td>\nEntrar sin derecho en un sistema ajeno especialmente protegido<\/td>\nSalir del per\u00edmetro acordado, por ejemplo en un servidor no incluido<\/td>\n<\/tr>\n
    Da\u00f1os a los datos, art. 144bis n\u00fam. 1 (previa denuncia; de oficio si el da\u00f1o es considerable)<\/td>\nModificar, borrar o inutilizar datos sin derecho<\/td>\nUna prueba destructiva que el mandato no preve\u00eda<\/td>\n<\/tr>\n
    Sustracci\u00f3n de datos personales sensibles, art. 179novies (previa denuncia)<\/td>\nApoderarse de datos personales sensibles que no son accesibles al p\u00fablico<\/td>\nCopiar historiales m\u00e9dicos para ilustrar un informe<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Fuente: C\u00f3digo penal suizo (CP), RS 311.0, versi\u00f3n en vigor el 29 de octubre de 2026.<\/p>\n<\/div>\n

    El art\u00edculo 143bis exige que el sistema pertenezca a otra persona. Si la aplicaci\u00f3n del cliente est\u00e1 alojada en un proveedor de hosting o de nube, el consentimiento del cliente por s\u00ed solo puede no cubrir la infraestructura de ese tercero. Separe ambos en el per\u00edmetro.<\/p>\n

    Herramientas y contrase\u00f1as: un delito perseguible de oficio<\/h2>\n

    La segunda norma penal afecta a sus herramientas. El art\u00edculo 143bis apdo. 2 CP castiga a quien pone en circulaci\u00f3n o hace accesible una contrase\u00f1a, un programa u otros datos sabiendo, o debiendo suponer, que servir\u00e1n para cometer un acceso indebido. Aqu\u00ed no hace falta denuncia: se persigue de oficio.<\/p>\n

    Tener herramientas ofensivas para pruebas autorizadas no est\u00e1 castigado como tal; ponerlas al alcance de cualquiera puede estarlo. El art\u00edculo 144bis n\u00fam. 2 aplica la misma l\u00f3gica a los programas que destruyen datos, con penas de seis meses a diez a\u00f1os para quien act\u00faa por oficio. Fije por escrito qui\u00e9n usa las herramientas, a qui\u00e9n van las credenciales obtenidas y c\u00f3mo se destruyen al final.<\/p>\n

    El SOC y la notificaci\u00f3n de ciberataques a la OFCS<\/h2>\n

    Desde el 1 de abril de 2025, las infraestructuras cr\u00edticas deben notificar sus ciberataques a la OFCS en las 24 horas siguientes a su detecci\u00f3n (art. 74e apdo. 1 LSI), y las sanciones rigen desde el 1 de octubre de 2025. Un comunicado federal del 29 de septiembre de 2025 contabilizaba 164 ataques notificados en seis meses.<\/p>\n

    Buena parte de los clientes de un SOC figura en el art\u00edculo 74b LSI: universidades, autoridades, bancos, aseguradoras, infraestructuras del mercado financiero, hospitales de la lista cantonal, laboratorios m\u00e9dicos, energ\u00eda, transportes y telecomunicaciones. Hay que notificar cuando el ataque pone en peligro el funcionamiento de la infraestructura, provoca manipulaci\u00f3n o fuga de informaci\u00f3n, va acompa\u00f1ado de chantaje, amenazas o coacci\u00f3n, o permaneci\u00f3 mucho tiempo sin detectar (art. 74d LSI). La ordenanza sobre la ciberseguridad (OCyS) fija ese umbral en m\u00e1s de 90 d\u00edas. Si en 24 horas no se conoce todo, la OFCS concede 14 d\u00edas para completar la notificaci\u00f3n.<\/p>\n

    El art\u00edculo 17 apdo. 2 OCyS abre una l\u00ednea de negocio: una o varias organizaciones obligadas pueden confiar el proceso de notificaci\u00f3n, de forma individual o conjunta, a una organizaci\u00f3n tercera. Su contrato de SOC debe entonces precisar qui\u00e9n detecta, qui\u00e9n valora y qui\u00e9n transmite a tiempo.<\/p>\n

    \n

    Importante<\/h4>\n

    La multa de hasta 100 000 francos del art\u00edculo 74h LSI no castiga directamente una notificaci\u00f3n tard\u00eda. Sanciona a quien, intencionadamente, no cumple una decisi\u00f3n firme que la OFCS le haya notificado con la advertencia de esa multa.<\/p>\n<\/div>\n

    Su sociedad tambi\u00e9n puede estar incluida. La letra t del art\u00edculo 74b menciona a los proveedores de servicios digitales de seguridad o de confianza con sede en Suiza, y la ordenanza exime a quienes no prestan servicios a terceros a cambio de remuneraci\u00f3n. La OFCS informa y puede decidir mediante resoluci\u00f3n si una empresa est\u00e1 sujeta (art. 74a apdo. 2 LSI)<\/p>\n

    \n

    Su empresa de ciberseguridad en Suiza<\/p>\n

    Una estructura en regla antes de la primera prueba<\/p>\n

    Elecci\u00f3n del cant\u00f3n y de la forma jur\u00eddica, objeto social, constituci\u00f3n e inscripci\u00f3n en el registro mercantil, gerente residente si usted a\u00fan vive en el extranjero, domiciliaci\u00f3n, contabilidad de sus encargos e IVA de sus servicios internacionales: My Swiss Company SA crea y administra su sociedad desde Ginebra, Lucerna o Zug.<\/p>\n

    Plantear su proyecto<\/a>
    \n Gestor\u00eda suiza en Ginebra, Lucerna y Zug, al servicio de clientes en m\u00e1s de 20 pa\u00edses.<\/span>\n<\/div>\n

    Su sociedad, encargada del tratamiento seg\u00fan la LPD<\/h2>\n

    Un SOC que analiza registros o un equipo de respuesta que abre buzones trata datos personales por cuenta de su cliente. La ley sobre la protecci\u00f3n de datos (LPD) lo califica de encargado del tratamiento: la persona privada u \u00f3rgano federal que trata datos personales por cuenta del responsable (art. 5 let. k LPD).<\/p>\n