Resumen

  • El Gobierno suizo pidió al DDPS redactar antes de junio de 2027 una ley independiente que agrupe los mandatos sobre productos digitales, datos importantes y proveedores de alojamiento y nube.
  • La propuesta absorbería la notificación de ciberataques a infraestructuras críticas, una obligación ya vigente. La ISA seguiría cubriendo la seguridad de la información en la administración federal; todavía no hay texto legal ni nuevas obligaciones.

La primera obligación que cambiaría de ley ya está funcionando. Desde el 1 de abril de 2025, las autoridades y los operadores de infraestructuras críticas comprendidos en la norma deben notificar ciertos ciberataques al National Cyber Security Centre (NCSC): el aviso inicial debe presentarse dentro de las 24 horas desde que se descubre el incidente y puede completarse en los 14 días siguientes. El Gobierno suizo quiere trasladar esa obligación a una ley nueva. El cambio anunciado no significa que el deber actual se haya ampliado.

En su reunión del 25 de septiembre, el Gobierno suizo encargó al Departamento Federal de Defensa, Protección Civil y Deporte (DDPS) preparar antes de junio de 2027 un proyecto de consulta para una ley federal de ciberseguridad. El comunicado se publicó el 28 de septiembre. Lo que se decidió es el marco para redactar el proyecto, no la aprobación de una nueva ley ni de reglas listas para aplicar.

La iniciativa reúne tres encargos parlamentarios que en un principio debían implementarse mediante cambios a la Ley de Seguridad de la Información (ISA). La moción 24.3810 pide cerrar brechas en las pruebas de ciberseguridad de productos digitales. La 23.3002 busca proteger los datos digitales más importantes de las autoridades federales, cantonales y municipales y de los operadores de infraestructuras críticas. La 25.3011 aborda el papel de los proveedores de alojamiento y nube frente a las ciberamenazas y al uso indebido de sus servicios.

El Gobierno suizo describe estos tres frentes como capas complementarias: productos, datos e infraestructura digital.

La propuesta señala requisitos vinculantes para fabricantes, importadores y distribuidores de software y hardware, vigilancia del mercado y la posibilidad de prohibir productos inseguros. También prevé obligaciones para proteger datos importantes y deberes de cooperación y defensa contra ciberamenazas para proveedores de alojamiento y nube. Son los objetivos que el Gobierno atribuye al futuro proyecto; el comunicado no define todavía qué productos, conjuntos de datos ni proveedores quedarán incluidos.

La separación con la ISA ayuda a entender el diseño. La obligación de notificar ataques a infraestructuras críticas pasaría al nuevo texto, pero la ISA seguiría vigente para la seguridad de la información dentro de las autoridades federales. A la vez, la regulación específica de sectores como telecomunicaciones y electricidad continuaría en vigor. La nueva ley pretende añadir reglas transversales, no sustituir los marcos sectoriales existentes.

Esa convivencia será una prueba práctica. Un solo marco puede evitar que cada obligación común requiera modificar varias leyes. Pero también puede dejar varias autoridades y normas alrededor de un mismo incidente, servicio o sistema. La consulta tendrá que explicar cómo se aplicarán los criterios federales a datos gestionados en niveles cantonales o municipales, qué supervisor controlará la comercialización de productos y cómo se coordinarán las obligaciones impuestas a los proveedores con las reglas de los sectores que utilizan sus servicios.

El Gobierno suizo sostiene que las empresas con actividad internacional que ya cumplen el Reglamento de Ciberresiliencia de la Unión Europea (CRA) no deberían asumir requisitos suizos adicionales. Esa es la intención declarada por el Gobierno antes de publicar el proyecto. Aún no se ha explicado qué mecanismo de equivalencia, excepción o revisión permitiría comprobarla.

El próximo hito es junio de 2027, cuando el DDPS debe presentar un proyecto de consulta. Hasta entonces, la noticia describe una reorganización legislativa, no una prohibición ya vigente para productos ni nuevas facultades que los proveedores de nube ya puedan ejercer. El alcance de los datos importantes, los proveedores cubiertos, la autoridad de supervisión, los costos y los recursos determinarán la fuerza real de la consolidación.

Fuentes