Créer une entreprise de cybersécurité à Genève : SOC, tests d’intrusion, obligation de signaler et protection des données

Créer une entreprise de cybersécurité à Genève sans autorisation

Le droit fédéral ne connaît ni licence de pentesteur ni agrément de SOC. Les lois qui comptent pour votre métier, du Code pénal à la loi sur la sécurité de l’information (LSI), règlent la manière d’exercer, pas l’accès à l’activité. Le brevet fédéral de Cyber Security Specialist et la norme ISO/IEC 27001 restent des choix commerciaux.

Le seul texte genevois proche du sujet est le concordat sur les entreprises de sécurité (CES, RSG I 2 14). Son article 4 al. 1 vise « la surveillance ou la garde de biens mobiliers ou immobiliers », « la protection des personnes » et « le transport de sécurité de biens ou de valeurs », exercés notamment au moyen d’« installations adéquates (notamment centrales d’alarmes) ». L’informatique n’y figure pas, et le texte ne dit pas s’il s’appliquerait à un SOC.

Le gardiennage, les agents et les centrales d’alarme forment donc un autre métier, traité dans notre article pour créer une entreprise de sécurité en Suisse. Une offre mixte se clarifie auprès du canton avant l’inscription.

Le contrat de test d’intrusion face au Code pénal

Un test d’intrusion devient licite par l’accord écrit du titulaire du système, parce que les infractions informatiques du Code pénal visent des actes commis « sans droit ». L’accès indu est puni de trois ans au plus, sur plainte (art. 143bis al. 1 CP), et l’article 14 CP rend licite celui qui « agit comme la loi l’ordonne ou l’autorise ».

Avec une banque ou une organisation internationale, le périmètre se négocie ligne par ligne :

Vos outils obéissent à une règle plus stricte. L’article 143bis al. 2 CP punit celui qui « met en circulation ou rend accessible un mot de passe, un programme ou toute autre donnée » dont il sait ou doit présumer l’usage pour un accès indu, et cette infraction ne requiert aucune plainte : le ministère public agit d’office. Tenez la liste de qui accède aux outils et aux identifiants récupérés.

Clients bancaires et signalement des cyberattaques

Les banques, les assurances et les infrastructures des marchés financiers figurent parmi les organisations qui doivent signaler leurs cyberattaques à l’Office fédéral de la cybersécurité (OFCS). L’article 74b al. 1 let. e LSI vise les « entreprises soumises à la loi du 8 novembre 1934 sur les banques, à la loi du 17 décembre 2004 sur la surveillance des assurances ou à la loi du 19 juin 2015 sur l’infrastructure des marchés financiers ». L’obligation court depuis le 1er avril 2025, et les sanctions depuis le 1er octobre 2025.

Pour un SOC qui sert ces clients, quatre chiffres structurent le contrat :

• 24 heures : « Le signalement doit être fait dans les 24 heures suivant la détection de la cyberattaque » (art. 74e al. 1 LSI).
• 14 jours : le délai que l’OFCS accorde pour compléter un signalement incomplet (art. 16 al. 1 OCyS).
• 90 jours : au-delà, une attaque passée inaperçue est réputée indétectée pendant une période prolongée et doit être signalée (art. 14 al. 3 OCyS et 74d LSI).
• 100 000 francs : l’amende maximale de l’article 74h LSI, qui sanctionne le refus intentionnel de se conformer à une décision de l’OFCS entrée en force, et non le simple retard.

L’ordonnance sur la cybersécurité (OCyS) permet à la banque de vous confier ce travail : « Une ou plusieurs autorités ou organisations soumises à l’obligation de signaler peuvent décider de confier le processus de signalement, individuellement ou collectivement, à une organisation tierce » (art. 17 al. 2 OCyS). Le contrat doit alors répartir la détection, la qualification au regard de l’article 74d LSI et l’envoi.

Une banque genevoise dont les serveurs sont à l’étranger n’y échappe pas : la loi vise les attaques « qui ont un effet en Suisse » (art. 74b al. 3 LSI). Le communiqué fédéral du 29 septembre 2025 comptait 164 signalements en six mois.

Votre société de SOC face à la LSI

Votre société peut être elle-même soumise au signalement pour ses propres moyens informatiques. L’article 74b al. 1 let. t LSI s’applique « aux fournisseurs et aux exploitants d’informatique en nuage, de moteurs de recherche, de services numériques de sécurité ou de confiance ainsi que de centres de calcul, pour autant qu’ils aient un siège en Suisse ».

L’OCyS exempte toutefois ceux qui ne fournissent pas de prestations à des tiers contre rémunération (art. 12 al. 1 let. e OCyS), ce qui n’est pas le cas d’un prestataire commercial. La loi laisse le dernier mot à l’OFCS, qui peut rendre une décision sur l’assujettissement (art. 74a al. 2 LSI).

Marchés fédéraux : la procédure de sécurité relative aux entreprises

Un mandat fédéral qui confie à votre société l’exploitation ou le contrôle de systèmes classés à protection élevée peut déclencher une procédure de sécurité relative aux entreprises (PSE). Selon l’article 49 LSI, cette procédure « vise à préserver la sécurité de l’information lors de l’exécution de mandats publics par des entreprises » lorsqu’ils impliquent une activité sensible. L’article 5 let. b ch. 2 LSI range parmi ces activités « l’administration, l’exploitation, la maintenance et le contrôle de moyens informatiques relevant des catégories de sécurité “protection élevée” ou “protection très élevée” ».

La procédure suppose votre accord : « La procédure ne peut être menée sans le consentement de l’entreprise concernée » (art. 50 al. 2 LSI). Le service spécialisé fixe avec l’adjudicateur les exigences de sécurité (art. 54 LSI) et collecte des données auprès de l’entreprise, du Service de renseignement de la Confédération et de sources publiques (art. 56 LSI).

Les autorités reprennent en outre les exigences de la LSI dans leurs contrats avec des tiers (art. 9 al. 1 LSI), et la loi sur les marchés publics permet d’exclure le soumissionnaire qui « n’élimine pas une vulnérabilité du matériel informatique ou du logiciel qu’il a fabriqué dans le délai fixé par l’Office fédéral de la cybersécurité » (art. 44 al. 1 let. fbis LMP).

Journaux, boîtes mail, bases clients : le rôle de sous-traitant LPD

Votre société traite des données personnelles pour le compte de vos clients dès qu’elle analyse des journaux de connexion ou examine une messagerie compromise. Elle est alors sous-traitante au sens de l’article 5 let. k de la loi sur la protection des données (LPD), et le client doit « s’assurer que le sous-traitant est en mesure de garantir la sécurité des données » (art. 9 al. 2 LPD).

Trois conséquences pratiques pour une équipe genevoise :

• Un contrat de sous-traitance signé avant le premier accès (art. 9 al. 1 LPD).
• Aucun recours à un consultant externe ou à un service hébergé ailleurs sans l’autorisation préalable du client (art. 9 al. 3 LPD).
• Toute violation de la sécurité des données annoncée au client « dans les meilleurs délais » (art. 24 al. 3 LPD). La LPD ne chiffre pas ce délai ; les 72 heures appartiennent au droit européen.

Le client risque jusqu’à 250 000 francs d’amende s’il confie le traitement sans respecter ces règles (art. 61 let. b LPD).

Contrôle des exportations de vos outils

Vendre un test d’intrusion à une organisation établie hors de Suisse ne requiert aucun permis : le contrôle des exportations porte sur des marchandises, des technologies et des logiciels (art. 3 let. a LCB), pas sur des prestations. Vos outils, en revanche, peuvent être des biens à double usage.

L’annexe 2 de l’ordonnance sur le contrôle des biens (OCB) vise les logiciels « spécialement conçus ou modifiés pour la génération, la commande et le contrôle ou la livraison de “logiciels d’intrusion” » (4D004), les équipements correspondants (4A005) et la technologie de développement (4E001.c). Leur exportation exige un permis du Secrétariat d’État à l’économie (SECO). L’ordonnance OSIC soumet ces positions à un permis individuel.

Une équipe dont les membres travaillent depuis Milan ou Turin doit y penser : envoyer une plateforme propriétaire à un collègue resté à l’étranger est un transfert de logiciel, punissable sans permis (art. 14 al. 1 let. b LCB). La divulgation de vulnérabilité et la réponse aux incidents de cybersécurité sont en revanche exclues de 4E001.a et c.

Une SA ou une Sàrl genevoise pour une équipe étrangère

Une équipe qui vise des banques et des organisations internationales choisit souvent la SA : 100 000 francs de capital, dont 20 % par action et au moins 50 000 francs libérés (art. 621 et 632 CO). La Sàrl, avec 20 000 francs entièrement libérés, convient à une équipe de deux ou trois auditeurs. Notre guide sur la création d’une société à Genève détaille les étapes jusqu’au registre du commerce.

Un ressortissant de l’Union européenne qui s’établit en Suisse pour exercer une activité non salariée obtient un titre de séjour de cinq ans au moins s’il prouve cet établissement (ALCP, annexe I, art. 12). Hors Union européenne, l’admission dépend de l’intérêt économique du projet et d’une source de revenus suffisante et autonome (art. 19 LEI). Pour une SA, la personne domiciliée en Suisse qui représente la société « doit être un membre du conseil d’administration ou un directeur » (art. 718 al. 4 CO).

La TVA s’applique dès 100 000 francs de chiffre d’affaires annuel, clients étrangers compris (art. 10 al. 2 let. a LTVA), au taux de 8,1 % ; l’audit facturé à une entreprise étrangère est réputé fourni au lieu de son siège (art. 8 al. 1 LTVA).

Un cas concret : une équipe milanaise à Genève

Trois spécialistes italiens constituent à Genève une SA de 100 000 francs, dont 50 000 libérés, pour servir des organisations internationales et des banques privées. L’un d’eux s’installe à Genève et devient administrateur, ce qui assure la représentation exigée par l’article 718 al. 4 CO ; les deux autres restent à Milan pendant la première année.

Le premier contrat, avec une banque, combine un test d’intrusion annuel et un SOC. Le contrat de test liste les applications, exclut les tests destructifs et joint l’accord du fournisseur de nuage ; une annexe confie à la SA le signalement à l’OFCS, en 24 heures puis 14 jours. Quand l’Administration fédérale lance un appel d’offres pour surveiller des systèmes à protection élevée, la SA consent à la procédure de sécurité relative aux entreprises et fournit son registre des actions. Avant d’envoyer sa plateforme de test aux associés de Milan, elle fait vérifier son classement au regard de l’OCB.

Cinq erreurs fréquentes

• Commencer un test sur un courriel sans périmètre signé ni accord de l’hébergeur.
• Promettre à une banque un signalement en 24 heures sans répartir dans le contrat la détection et la qualification de l’attaque.
• Supposer que votre propre société échappe à la LSI sans avoir interrogé l’OFCS.
• Répondre à un appel d’offres fédéral avec un dossier de société incomplet.
• Partager vos outils avec des associés restés à l’étranger sans vérifier leur classement.