Crear una empresa de ciberseguridad en Ginebra: SOC, pruebas de intrusión, notificación y protección de datos

Una empresa de ciberseguridad en Ginebra no necesita licencia

El derecho federal suizo no prevé licencia de auditor de intrusión ni homologación para los proveedores de SOC. El Código penal (CP) y la ley sobre la seguridad de la información (LSI) regulan cómo se trabaja, no quién entra en el mercado.

Los títulos sirven para vender. El brevet fédéral de Cyber Security Specialist y la certificación ISO/IEC 27001 de la empresa ayudan ante un banco; ninguno condiciona la inscripción.

En Ginebra rige un texto cercano al tema, el concordato sobre las empresas de seguridad (CES, RSG I 2 14). Su artículo 4, apartado 1, abarca la vigilancia o custodia de bienes muebles e inmuebles, la protección de personas y el transporte de seguridad de bienes o valores, también cuando se prestan mediante instalaciones como las centrales de alarma. La informática no aparece, y el texto no aclara si alcanzaría a un SOC.

La vigilancia física y las centrales de alarma son otro oficio, que tratamos en nuestro artículo sobre la autorización de una empresa de seguridad privada en Ginebra. Una oferta mixta se aclara con el cantón antes de inscribirse.

Pruebas de intrusión y Código penal

Una prueba de intrusión es lícita porque el titular del sistema la autoriza por escrito. Los delitos informáticos del Código penal castigan los actos cometidos sin derecho: quien accede sin autorización, mediante un dispositivo de transmisión de datos, a un sistema informático ajeno especialmente protegido se expone a tres años de prisión como máximo, previa querella (art. 143bis, apdo. 1, CP). El artículo 14 CP declara lícito el acto de quien actúa como la ley ordena o autoriza.

Con un banco privado o una organización internacional, el perímetro se negocia punto por punto:

Sus herramientas siguen una regla más estricta. El artículo 143bis, apartado 2, CP castiga a quien pone en circulación o hace accesible una contraseña, un programa u otros datos sabiendo o debiendo presumir que servirán para un acceso indebido. Ese delito no necesita querella: la fiscalía actúa de oficio. Registre quién accede a las herramientas y a las credenciales recuperadas.

Clientes bancarios y notificación de ciberataques

Bancos, aseguradoras e infraestructuras de los mercados financieros figuran entre las organizaciones que deben notificar sus ciberataques a la Oficina federal de ciberseguridad (OFCS). El artículo 74b, apartado 1, letra e, LSI incluye a las empresas sometidas a la ley sobre los bancos, a la ley sobre la supervisión de los seguros y a la ley sobre la infraestructura de los mercados financieros. La obligación rige desde el 1 de abril de 2025, y las sanciones desde el 1 de octubre de 2025.

Si presta un SOC a estos clientes, cuatro cifras acabarán en su contrato:

• 24 horas: el plazo para notificar a la OFCS desde la detección del ataque (art. 74e, apdo. 1, LSI).
• 14 días: el plazo que concede la OFCS para completar una notificación incompleta (art. 16, apdo. 1, de la ordenanza sobre la ciberseguridad, OCyS).
• 90 días: un ataque ocurrido hace más de 90 días se considera no detectado durante un periodo prolongado, uno de los supuestos que obligan a notificar (art. 14, apdo. 3, OCyS y art. 74d LSI).
• 100 000 francos: la multa máxima del artículo 74h LSI. Castiga a quien, de forma intencionada, desobedece una decisión firme de la OFCS dictada bajo amenaza de esa multa, no el simple retraso.

El banco puede delegarle ese trabajo. El artículo 17, apartado 2, OCyS permite a una o varias organizaciones obligadas encargar el proceso de notificación, individual o conjuntamente, a una organización tercera. El contrato reparte entonces detección, calificación según el artículo 74d LSI y envío.

Los servidores en el extranjero no cambian nada: la ley alcanza los ataques con efectos en Suiza (art. 74b, apdo. 3, LSI). Según el comunicado federal del 29 de septiembre de 2025, en seis meses se notificaron 164 ciberataques contra infraestructuras críticas.

¿Debe su SOC notificar sus propios incidentes?

Es posible. El artículo 74b, apartado 1, letra t, LSI extiende la obligación a los proveedores y operadores de computación en la nube, motores de búsqueda, servicios digitales de seguridad o de confianza y centros de datos que tengan su sede en Suiza.

La ordenanza exime a quienes no prestan esos servicios, total o parcialmente, a terceros y a cambio de una remuneración (art. 12, apdo. 1, letra e, OCyS), lo que no describe a una empresa comercial de seguridad. La OFCS puede decidir si una sociedad concreta está sujeta (art. 74a, apdo. 2, LSI).

Contratos federales y procedimiento de seguridad de empresas

Un contrato federal que confíe a su sociedad la explotación o el control de sistemas clasificados como de protección elevada puede activar el procedimiento de seguridad relativo a las empresas (PSE) de la LSI. Según su artículo 49, ese procedimiento protege la seguridad de la información cuando una empresa ejecuta un encargo público que implica una actividad sensible. El artículo 5, letra b, número 2, LSI considera sensibles la administración, la explotación, el mantenimiento y el control de medios informáticos de protección elevada o muy elevada.

Nada se hace sin usted: el procedimiento requiere el consentimiento de la empresa afectada (art. 50, apdo. 2, LSI). El servicio especializado fija con la entidad adjudicadora las exigencias de seguridad (art. 54 LSI) y recaba datos de la propia empresa, del Servicio de inteligencia de la Confederación y de fuentes públicas (art. 56 LSI).

Las autoridades trasladan además la LSI a sus contratos con terceros (art. 9, apdo. 1, LSI), y puede excluirse al licitador que no corrige a tiempo una vulnerabilidad de su propio hardware o software (art. 44, apdo. 1, letra fbis, LMP).

Registros, correos y bases de clientes: usted como encargado del tratamiento

En cuanto sus analistas revisan registros de conexión o examinan un buzón comprometido, su sociedad trata datos personales por cuenta del cliente. La ley sobre la protección de datos (LPD) la califica entonces de encargada del tratamiento (art. 5, letra k, LPD), y el cliente, como responsable, debe asegurarse de que usted puede garantizar la seguridad de los datos (art. 9, apdo. 2, LPD).

En la práctica, tres reglas para su equipo en Ginebra:

• Un contrato de encargo del tratamiento firmado antes del primer acceso (art. 9, apdo. 1, LPD).
• Ningún consultor externo ni servicio alojado en otro lugar sin la autorización previa del cliente (art. 9, apdo. 3, LPD).
• Toda violación de la seguridad de los datos comunicada al cliente lo antes posible (art. 24, apdo. 3, LPD). La ley suiza no fija un número de horas; las 72 horas proceden del RGPD europeo.

El cliente que encarga el tratamiento sin respetar esas reglas arriesga hasta 250 000 francos de multa (art. 61, letra b, LPD).

Control de exportaciones de sus herramientas

Vender una prueba de intrusión a un cliente fuera de Suiza no requiere permiso. La ley sobre el control de bienes (LCB) se aplica a mercancías, tecnologías y programas informáticos (art. 3, letra a, LCB), no a prestaciones de servicios. Algunas de sus herramientas, en cambio, pueden ser bienes de doble uso.

El anexo 2 de la ordenanza sobre el control de bienes (OCB) recoge los programas diseñados o modificados especialmente para generar, dirigir y controlar o entregar programas de intrusión (posición 4D004), los equipos correspondientes (4A005) y la tecnología para desarrollar programas de intrusión (4E001.c). Exportarlos exige un permiso individual de la Secretaría de Estado de Economía (SECO), según la OCB y la ordenanza sobre bienes de vigilancia (OSIC).

Enviar su plataforma de mando y control a un colaborador en Buenos Aires es una transferencia de software, punible sin permiso (art. 14, apdo. 1, letra b, LCB). La divulgación de vulnerabilidades y la respuesta a incidentes quedan excluidas de las posiciones 4E001.a y c.

Sàrl o SA para un fundador extranjero

La Sàrl encaja con un equipo pequeño: 20 000 francos de capital (art. 773, apdo. 1, CO), íntegramente desembolsados. Quien apunta a grandes bancos suele preferir la SA, con 100 000 francos de capital, de los que deben desembolsarse al menos el 20 % de cada acción y no menos de 50 000 francos (art. 621 y 632 CO). Nuestra guía para crear una empresa en Suiza detalla los pasos hasta el registro mercantil.

Su nacionalidad marca el camino. Un ciudadano de la Unión Europea o de la AELC que se instala en Suiza para trabajar por cuenta propia obtiene un permiso de residencia de al menos cinco años si acredita ese establecimiento (Acuerdo sobre la libre circulación de personas, anexo I, art. 12). Fuera de la Unión Europea, cuentan el interés económico del proyecto, sus condiciones financieras y unos ingresos suficientes y propios (art. 19 LEI).

En ambos casos, alguien domiciliado en Suiza debe poder representar a la sociedad: en una Sàrl, un gerente o un director (art. 814, apdo. 3, CO); en una SA, un miembro del consejo de administración o un director (art. 718, apdo. 4, CO).

El IVA es obligatorio a partir de 100 000 francos de volumen de negocios anual, clientes extranjeros incluidos (art. 10, apdo. 2, letra a, LTVA), al tipo normal del 8,1 % (art. 25 LTVA). Una auditoría facturada a una empresa extranjera se considera prestada en el lugar de su sede (art. 8, apdo. 1, LTVA).

Un caso concreto: una fundadora argentina en Ginebra

Una especialista en respuesta a incidentes, de nacionalidad argentina, constituye en Ginebra una Sàrl de 20 000 francos, íntegramente desembolsados. Mientras el cantón estudia su admisión como fundadora en virtud del artículo 19 LEI, un gerente domiciliado en Ginebra asegura la representación que exige el artículo 814, apartado 3, CO; ella asume la gerencia al instalarse.

Su primer cliente, un banco privado, contrata una prueba de intrusión anual y vigilancia. El contrato enumera las aplicaciones, excluye las técnicas destructivas e incorpora el consentimiento del proveedor de nube; un anexo encarga a la Sàrl la notificación a la OFCS, en 24 horas y después en el plazo de 14 días.

Ante una licitación federal sobre sistemas de protección elevada, consiente el PSE y entrega su registro de participaciones. Antes de enviar su plataforma de ataque al analista que colabora con ella desde Buenos Aires, hace verificar su clasificación en la OCB.

Cinco errores frecuentes

• Empezar una prueba con un simple correo, sin perímetro firmado ni consentimiento del proveedor de alojamiento.
• Prometer a un banco una notificación en 24 horas sin repartir en el contrato la detección y la calificación del ataque.
• Dar por hecho que su sociedad escapa a la LSI sin haber consultado a la OFCS.
• Presentarse a una licitación federal con un expediente societario incompleto.
• Compartir sus herramientas con colaboradores en el extranjero sin comprobar antes su clasificación.