Aprire una società di sicurezza informatica in Svizzera: test di intrusione, obbligo di segnalare i ciberattacchi, dati ed esportazioni

da Andrés Taracido | 4 Nov, 2026

Per aprire una società di sicurezza informatica in Svizzera non serve alcuna licenza: né il Codice penale, né la legge sulla sicurezza delle informazioni, né la legge sulla protezione dei dati sottopongono ad autorizzazione i test di intrusione, un SOC o la gestione degli incidenti. A proteggere la vostra società è l’autorizzazione scritta di ogni cliente prima di un test; a raggiungerla è la legge sulla sicurezza delle informazioni, che dal 1° aprile 2025 obbliga le infrastrutture critiche, cioè molti dei vostri clienti, a segnalare i ciberattacchi entro 24 ore.

Indice

Nessuna licenza, titoli facoltativi
Test di intrusione e Codice penale
Strumenti e password: un reato perseguito d’ufficio
SOC e obbligo di segnalare i ciberattacchi
La vostra società come responsabile del trattamento (LPD)
Controllo delle esportazioni: beni, non servizi
Fondatore straniero, Sagl o SA, IVA
Gli errori che espongono la società
FAQ

Aprire una società di sicurezza informatica in Svizzera: nessuna licenza, titoli facoltativi

Nessuna legge federale subordina la vendita di servizi di cibersicurezza a una licenza, a un’omologazione o all’iscrizione in un albo. La legge sulla sicurezza delle informazioni (LSIn) disciplina la segnalazione dei ciberattacchi e il sostegno dell’Ufficio federale della cibersicurezza (UFCS), non l’accesso alla professione.

I titoli servono a vendere. Secondo orientation.ch, l’attestato professionale federale di Cyber Security Specialist è aperto a chi possiede un AFC in informatica o comunicazione e almeno due anni di pratica nella sicurezza dell’informazione o nella cibersicurezza. Anche la certificazione ISO/IEC 27001 è facoltativa.

Vigilanza, protezione di persone e trasporto di valori sono un altro mestiere: il concordato sulle imprese di sicurezza (CES), nel testo ginevrino, riguarda queste attività fisiche e non menziona l’informatica. Se la vostra offerta include vigilanza o una centrale d’allarme, leggete la nostra guida per aprire una società di sicurezza in Svizzera. Per un SOC puramente informatico quel testo non dà risposta: chiedete al Cantone della vostra sede.

Test di intrusione e Codice penale: tutto ruota attorno a «indebitamente»

Il Codice penale non conosce il penetration test. Punisce l’accesso indebito: «Chiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l’elaborazione di dati specialmente protetto contro ogni suo accesso è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria» (art. 143bis cpv. 1 CP). Ciò che separa il test dal reato è il consenso del titolare del sistema.

L’art. 14 CP ne trae la conseguenza: «Chiunque agisce come lo impone o lo consente la legge si comporta lecitamente anche se l’atto in sé sarebbe punibile secondo il presente Codice o un’altra legge.» La legge non offre modelli di autorizzazione: il perimetro lo scrivete voi con il cliente (sistemi, date, tecniche, contatti d’emergenza).

Reato del CP	Condotta punita	Rischio concreto in un incarico
Accesso indebito, art. 143bis cpv. 1 (a querela di parte)	Introdursi indebitamente in un sistema altrui specialmente protetto	Un server che non figura nel perimetro firmato
Danneggiamento di dati, art. 144bis n. 1 (a querela; d’ufficio se il danno è considerevole)	Cancellare, modificare o rendere inservibili dati, illecitamente	Un test distruttivo non previsto dal contratto
Sottrazione di dati personali degni di particolare protezione, art. 179novies (a querela)	Sottrarre tali dati quando non sono accessibili a chiunque	Cartelle cliniche copiate per documentare il rapporto

Fonte: Codice penale svizzero (CP), RS 311.0, versione in vigore al 1° ottobre 2026.

L’art. 143bis protegge un sistema «altrui». Se l’applicazione del cliente gira presso un hosting o un fornitore di nuvola informatica, il consenso del cliente può non coprire l’infrastruttura di quel terzo. Per ciò che il cliente affitta, chiedete l’accordo scritto del fornitore.

Strumenti e password: un reato perseguito d’ufficio

La seconda norma penale guarda ai vostri strumenti. È punito «Chiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1» (art. 143bis cpv. 2 CP). Qui manca la formula «a querela di parte»: il pubblico ministero procede d’ufficio.

Possedere strumenti offensivi per test autorizzati non è punito in sé; metterli a disposizione di chiunque può esserlo. L’art. 144bis n. 2 CP fa lo stesso per i programmi di danneggiamento dei dati. Mettete per iscritto chi accede agli strumenti e come si distruggono le credenziali a fine incarico.

SOC e obbligo di segnalare i ciberattacchi all’UFCS

Dal 1° aprile 2025 le infrastrutture critiche devono segnalare i propri ciberattacchi all’UFCS, e dal 1° ottobre 2025 sono in vigore le sanzioni. «La segnalazione deve avvenire entro le 24 ore successive all’individuazione del ciberattacco» (art. 74e cpv. 1 LSIn). Il comunicato federale del 29 settembre 2025 contava 164 segnalazioni in sei mesi.

I clienti di un SOC figurano spesso nell’elenco dell’art. 74b LSIn: scuole universitarie, autorità, energia, ospedali dell’elenco cantonale, telecomunicazioni e, per una piazza finanziaria come Lugano, le imprese «che sottostanno alla legge dell’8 novembre 1934 sulle banche, alla legge del 17 dicembre 2004 sulla sorveglianza degli assicuratori o alla legge del 19 giugno 2015 sull’infrastruttura finanziaria» (lett. e).

L’art. 74d LSIn indica quattro casi di segnalazione obbligatoria: l’attacco compromette il funzionamento dell’infrastruttura, comporta una manipolazione o una fuga di informazioni, è connesso a estorsione, minaccia o coazione, oppure non è stato identificato per un periodo prolungato. L’ordinanza sulla cibersicurezza (OCS) fissa quel periodo: l’incidente «si è verificato più di 90 giorni prima» (art. 14 cpv. 3 OCS). Se dopo 24 ore mancano informazioni, l’UFCS concede 14 giorni per completare la segnalazione (art. 16 cpv. 1 OCS).

Per un SOC, l’art. 17 cpv. 2 OCS apre un servizio da vendere: «Una o più organizzazioni assoggettate all’obbligo di segnalazione possono decidere di affidare la procedura di segnalazione, singolarmente o collettivamente, a una terza organizzazione.» Il contratto deve allora dire chi individua l’attacco, chi lo qualifica e chi lo trasmette.

Importante

La multa sino a 100 000 franchi dell’art. 74h LSIn non colpisce direttamente il ritardo nella segnalazione. Punisce chi, intenzionalmente, non ottempera a una decisione dell’UFCS passata in giudicato e intimata sotto la comminatoria di quell’articolo.

Anche la vostra società può essere assoggettata per i propri mezzi informatici. L’art. 74b cpv. 1 lett. t LSIn si applica «ai fornitori e ai gestori di servizi di nuvole informatiche, motori di ricerca o servizi di sicurezza e fiduciari digitali nonché ai centri di calcolo, sempre che abbiano una sede in Svizzera». L’art. 12 cpv. 1 lett. e OCS esenta solo chi non fornisce le proprie prestazioni, in parte o interamente, dietro compenso a favore di terzi. A decidere è l’UFCS, che informa sull’assoggettamento e, su richiesta, pronuncia una decisione (art. 74a cpv. 2 LSIn).

La vostra società di sicurezza informatica in Svizzera

Una struttura in ordine prima del primo test

Scelta del Cantone e della forma giuridica, scopo sociale, costituzione della Sagl o della SA e iscrizione a registro di commercio, rappresentanza da parte di una persona domiciliata in Svizzera finché vivete all’estero, domiciliazione, contabilità degli incarichi, IVA sulle prestazioni all’estero e salari degli analisti: RISTER® mette in piedi e amministra la vostra società, così voi potete occuparvi dei clienti.

Richiedere un colloquio
RISTER – Fiduciaria a Ginevra, risposta entro un giorno lavorativo.

La vostra società come responsabile del trattamento ai sensi della LPD

Un SOC che analizza i log o un team di risposta agli incidenti che apre caselle di posta compromesse tratta dati personali per conto del cliente. La legge sulla protezione dei dati (LPD) chiama questa figura responsabile del trattamento: «il privato o l’organo federale che tratta dati personali per conto del titolare del trattamento» (art. 5 lett. k LPD).

Ne derivano quattro obblighi da scrivere nel contratto:

Una base contrattuale: il trattamento può essere affidato a un responsabile «per contratto o per legge» (art. 9 cpv. 1 LPD).
Una sicurezza adeguata: titolare e responsabile garantiscono, «mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio» (art. 8 cpv. 1 LPD).
Nessun terzo senza autorizzazione: «Il responsabile del trattamento può affidare il trattamento a un terzo soltanto previa autorizzazione del titolare del trattamento» (art. 9 cpv. 3 LPD).
L’informazione sulle violazioni: «Il responsabile del trattamento informa quanto prima il titolare del trattamento su ogni violazione della sicurezza dei dati» (art. 24 cpv. 3 LPD).

La LPD non fissa un numero di ore; le 72 ore che un fondatore italiano conosce bene vengono dal regolamento europeo sulla protezione dei dati. Anche i clienti hanno interesse al contratto: l’art. 61 lett. b LPD punisce con la multa fino a 250 000 franchi chi, intenzionalmente, affida il trattamento a un responsabile senza che sussistano le condizioni dell’art. 9 cpv. 1 e 2.

Consiglio di RISTER

Preparate tre documenti prima della prima offerta: un’autorizzazione al test con sistemi, date, tecniche e contatti d’emergenza; un contratto di trattamento dei dati conforme alla LPD; un allegato che stabilisca, per i clienti soggetti alla LSIn, se vi occupate voi della segnalazione all’UFCS. Le chiedono per prime banche e ospedali.

Controllo delle esportazioni: beni, non servizi

La legge sul controllo dei beni a duplice impiego (LBDI) riguarda i «beni: merci, tecnologie e software» (art. 3 lett. a LBDI). Un test di intrusione venduto a un’azienda di Milano non è un bene: per la prestazione in sé non serve un’autorizzazione della SECO.

Il discorso cambia quando sviluppate strumenti vostri. L’allegato 2 dell’ordinanza sul controllo dei beni a duplice impiego (OBDI) comprende i sistemi e i software appositamente progettati o modificati per generare, comandare e controllare o consegnare software di intrusione (voci 4A005 e 4D004) e la tecnologia per svilupparli (4E001.c). Chi intende esportarli «necessita di un’autorizzazione della Segreteria di Stato dell’economia (SECO)» (art. 3 cpv. 1 OBDI), e per una persona giuridica va fornita «la prova di un controllo attendibile, all’interno dell’azienda, del rispetto delle prescrizioni in materia di controlli delle esportazioni» (art. 5 cpv. 2 OBDI). L’ordinanza RS 946.202.3 sui beni di sorveglianza di Internet aggiunge un’autorizzazione individuale.

Due esclusioni proteggono il lavoro quotidiano: la divulgazione di vulnerabilità e la risposta agli incidenti di cibersicurezza non rientrano in 4E001.a e c, e il software di pubblico dominio sfugge al controllo. Attenzione invece agli scambi interni: inviare una piattaforma proprietaria a un collaboratore rimasto in Italia è un trasferimento di software. È punito chi, intenzionalmente, «senza autorizzazione, o contravvenendo alle condizioni e oneri stabiliti in un’autorizzazione, trasferisce tecnologie o software» per destinatari all’estero (art. 14 cpv. 1 lett. b LBDI).

Fondatore straniero, Sagl o SA, IVA

Il cittadino italiano, come ogni cittadino dell’UE o dell’AELS che si stabilisce per un’attività indipendente, «riceve una carta di soggiorno della durata di almeno cinque anni a decorrere dalla data di rilascio, purché dimostri alle autorità nazionali competenti di essersi stabilito o di volersi stabilire a tal fine» (allegato I art. 12 par. 1 ALC). Per i cittadini di Stati terzi l’art. 19 LStrI consente l’ammissione, tra l’altro, se «l’ammissione è nell’interesse dell’economia svizzera» e se lo straniero «dispone di una base esistenziale sufficiente e autonoma».

Qualunque sia il passaporto, la società deve poter essere rappresentata da una persona domiciliata in Svizzera: per la Sagl «un gestore o un direttore» (art. 814 cpv. 3 CO), per la SA «un membro del consiglio d’amministrazione o un direttore» (art. 718 cpv. 4 CO). Un frontaliere che continua a vivere a Como o a Varese può essere gerente, ma non è la persona domiciliata in Svizzera che il CO richiede.

Un piccolo team parte di solito con una Sagl da 20 000 franchi interamente liberati (art. 773 e 777c CO). La SA (100 000 franchi, almeno 50 000 liberati, art. 621 e 632 CO) conviene se entrano investitori. Le tappe fino al registro di commercio sono descritte nella nostra pagina sulla creazione di società.

I vostri contratti sono di regola mandati: il mandatario «è responsabile verso il mandante della fedele e diligente esecuzione degli affari affidatigli» (art. 398 cpv. 2 CO). Un tetto di responsabilità copre solo la colpa leggera: «È nullo il patto avente per scopo di liberare preventivamente dalla responsabilità dipendente da dolo o da colpa grave» (art. 100 cpv. 1 CO). Quanto all’IVA, l’assoggettamento scatta da 100 000 franchi di cifra d’affari annua «sul territorio svizzero e all’estero» (art. 10 cpv. 2 lett. a LIVA), all’aliquota normale dell’8,1 %. Un audit per un’impresa estera si considera reso presso la sua sede (art. 8 cpv. 1 LIVA).

Un caso concreto: un fondatore milanese a Lugano

Un consulente di sicurezza milanese costituisce a Lugano una Sagl da 20 000 franchi per test di intrusione e un SOC. Si trasferisce in Ticino, ne diventa gerente e ottiene la carta di soggiorno prevista dall’ALC. Due analisti restano per ora a Milano.

Ogni test comincia con un’autorizzazione firmata, anche dall’hosting quando serve. Il primo contratto di SOC arriva da una banca luganese, assoggettata come banca all’obbligo di segnalazione: il contratto di trattamento dei dati esclude terzi senza autorizzazione, e un allegato affida alla Sagl la segnalazione all’UFCS, entro 24 ore e poi 14 giorni per completarla. Prima di inviare agli analisti di Milano la piattaforma di consegna dei payload sviluppata in casa, la Sagl ne fa verificare la classificazione rispetto alle voci 4A005 e 4D004 e, rientrandovi, chiede l’autorizzazione alla SECO.

Gli errori che espongono la società

Iniziare un test su un accordo a voce e dover poi dimostrare di non essere entrati «indebitamente».
Includere nel perimetro il server di un hosting senza l’accordo di quel terzo.
Assumere la segnalazione di un cliente senza un contratto su qualificazione e trasmissione.
Mandare la piattaforma interna oltre confine prima di averne verificato la classificazione.

FAQ: aprire una società di sicurezza informatica in Svizzera

Serve una licenza per aprire una società di sicurezza informatica in Svizzera?

No. Nessuna legge federale sottopone ad autorizzazione la vendita di servizi di cibersicurezza,. L’attestato professionale federale di Cyber Security Specialist e la certificazione ISO/IEC 27001 sono facoltativi.

Un test di intrusione è legale in Svizzera?

Sì, se il titolare del sistema lo autorizza. L’art. 143bis cpv. 1 CP punisce solo chi si introduce indebitamente, e secondo l’art. 14 CP agisce lecitamente chi fa ciò che la legge consente. Il consenso del cliente non copre automaticamente i sistemi di un hosting.

Entro quanto tempo va segnalato un ciberattacco?

Entro 24 ore dalla sua individuazione, per le infrastrutture critiche dell’art. 74b LSIn e dal 1° aprile 2025. Se mancano informazioni, l’UFCS concede 14 giorni per completare la segnalazione. La procedura può essere affidata a un SOC.

Una società di sicurezza informatica deve segnalare i propri ciberattacchi?

Può darsi. La LSIn comprende i fornitori di servizi di sicurezza digitali con sede in Svizzera, e l’OCS esenta solo chi non lavora per terzi dietro compenso. L’UFCS informa sull’assoggettamento e, su richiesta, pronuncia una decisione.

Un SOC è responsabile del trattamento ai sensi della LPD?

Sì, quando tratta dati personali per conto del cliente. Gli servono un contratto, una sicurezza dei dati adeguata al rischio, l’autorizzazione preventiva del titolare per coinvolgere terzi e l’obbligo di informarlo quanto prima di ogni violazione. La LPD non prevede un termine di 72 ore.

Serve un’autorizzazione della SECO per vendere test di intrusione all’estero?

Non per la prestazione in sé. L’autorizzazione serve per esportare o trasferire sistemi, software e tecnologia di generazione o consegna di software di intrusione (voci 4A005, 4D004 e 4E001.c dell’allegato 2 OBDI).

Fonti

Conclusione

Aprire una società di sicurezza informatica in Svizzera non richiede alcuna licenza, ma tre discipline fin dal primo incarico: un’autorizzazione scritta con un perimetro preciso per ogni test, contratti che fanno della vostra società il responsabile del trattamento ai sensi della LPD e, se serve, l’incaricato della segnalazione all’UFCS, e una classificazione degli strumenti prima che lascino la Svizzera. RISTER accompagna i fondatori stranieri nella costituzione della Sagl o della SA e poi nella contabilità, nell’IVA e nei salari, sotto la guida di Andrés Taracido, con oltre 25 anni di esperienza fiduciaria.

Scritto da

Andrés Taracido

Esperto principale di RISTER®, fiduciario a Ginevra. Diploma federale di esperto in finanza e investimenti, CIWM, STEP/TEP, CAS in fiscalità delle PMI, membro IAF.

Oltre 25 anni di esperienza nell'affiancamento di imprenditori, PMI e strutture internazionali: costituzione di società, fiscalità, amministrazione e gestione in Svizzera.

Scopri di più sull'Esperto Contatta l'esperto