Un empleado deja la empresa, pero sigue conociendo la contraseña de una cuenta corporativa compartida. Un proveedor de servicios externo obtiene acceso temporal a una aplicación en la nube, pero su permiso no se retira al finalizar el proyecto. O bien se intercambian credenciales sensibles dentro de un equipo mediante hojas de Excel y correos electrónicos.

En el día a día empresarial, estas situaciones suelen parecer inofensivas. Sin embargo, si se produce un acceso no autorizado o la pérdida de información sensible, pueden derivarse riesgos de seguridad considerables y, en determinadas circunstancias, consecuencias jurídicas.

Por ello, el reto central es el siguiente: las empresas no solo deben proteger sus datos, sino también poder controlar quién tiene acceso a qué sistemas.

Por qué la seguridad de las contraseñas es también una cuestión de cumplimiento normativo

Las contraseñas se encuentran entre los medios de acceso más importantes de las empresas. Protegen cuentas de correo electrónico, bases de datos de clientes, servicios en la nube, sistemas financieros y muchas otras aplicaciones empresariales.

Al mismo tiempo, representan un riesgo a menudo subestimado. Si las credenciales se reutilizan, se almacenan sin cifrar o se transmiten sin control, una sola cuenta comprometida puede tener consecuencias de gran alcance.

Las disposiciones legales sobre seguridad de la información abordan precisamente estos riesgos.

En Suiza, la Ley Federal de Protección de Datos (LPD) revisada, vigente desde el 1 de septiembre de 2023, constituye una base jurídica esencial. Exige a las empresas proteger los datos personales mediante medidas técnicas y organizativas adecuadas.

No se trata únicamente del cifrado o de la protección de la infraestructura de TI. La organización de los derechos de usuario, los procedimientos de inicio de sesión seguros y las responsabilidades internas también forman parte de un concepto de seguridad eficaz.

Un gestor de contraseñas profesional puede ayudar a las empresas a aplicar estas medidas. Permite, por ejemplo, almacenar las credenciales de forma protegida, asignar permisos de manera estructurada y reducir la transmisión de contraseñas a través de canales inadecuados.

No obstante, es importante tener en cuenta que el uso de un gestor de contraseñas por sí solo no supone el cumplimiento íntegro de todas las normas de protección de datos. Lo decisivo es cómo se integra la solución en los procesos de seguridad existentes.

LPD y RGPD: qué deben tener en cuenta las empresas suizas

Muchas empresas suizas trabajan con clientes, socios o proveedores de servicios de otros países europeos. Por ello, además de la ley suiza de protección de datos, también pueden resultar relevantes normativas europeas.

La LPD suiza obliga a los responsables del tratamiento a garantizar la seguridad de los datos personales tratados de forma adecuada al riesgo. Esto incluye, entre otras, medidas contra accesos no autorizados, pérdida de datos y uso indebido.

El Reglamento General de Protección de Datos (RGPD) europeo persigue objetivos de protección comparables. En determinadas condiciones, también puede aplicarse a empresas situadas fuera de la UE, por ejemplo, cuando ofrecen de forma específica bienes o servicios a personas en la UE o controlan su comportamiento allí. En cambio, una relación comercial habitual con una empresa de la UE no implica automáticamente la aplicación de todas las disposiciones del RGPD.

Para la transferencia de datos personales de la UE a Suiza existe una importante facilidad: la Comisión Europea reconoce a Suiza como país con un nivel adecuado de protección de datos. Las demás obligaciones en materia de protección de datos no se ven afectadas.

En la práctica empresarial, de ello se deriva un requisito básico común: las empresas deberían establecer de forma trazable qué personas pueden acceder a información sensible y con qué medidas de seguridad se controlan esos accesos.

Precisamente aquí cobra importancia una gestión estructurada de contraseñas y accesos.

NIS2, DORA y Cyber Resilience Act: otros requisitos de seguridad informática

Además de la protección de datos, en Europa ganan importancia otras normativas sobre ciberseguridad.

La Directiva NIS2 se dirige especialmente a medianas y grandes empresas de determinados sectores críticos o especialmente relevantes, como el suministro energético, la sanidad, el transporte, las infraestructuras digitales y determinados servicios de TI. En determinadas condiciones, también pueden verse afectadas organizaciones más pequeñas.

Entre los principales ámbitos de seguridad figuran la gestión de riesgos, los controles de acceso, el uso adecuado de la autenticación multifactor, la gestión de incidentes de seguridad y la protección de las cadenas de suministro. Las obligaciones concretas se derivan de la directiva y de su respectiva transposición nacional.

Además, desde el 17 de enero de 2025 se aplica a determinadas entidades financieras de la UE el Reglamento DORA (Digital Operational Resilience Act). Este establece requisitos para la gestión de los riesgos de TI, las interrupciones operativas digitales y los proveedores externos de servicios de TI.

El Cyber Resilience Act (CRA) de la UE, por su parte, afecta principalmente a los fabricantes de productos de hardware y software con elementos digitales. Desde el 11 de septiembre de 2026 ya se aplican determinadas obligaciones de notificación relativas a vulnerabilidades explotadas activamente e incidentes de seguridad graves. Los requisitos esenciales de los productos serán aplicables a partir del 11 de diciembre de 2027.

No todas las pymes suizas están sujetas automáticamente a estas normativas europeas. Son determinantes, entre otros factores, la actividad empresarial, los servicios ofrecidos y el ámbito de aplicación jurídico correspondiente.

Aun así, estos desarrollos marcan una dirección clara: la ciberseguridad debe organizarse, revisarse y asumirse cada vez más de forma sistemática.

Gestión de contraseñas en la empresa: dónde surgen los mayores riesgos

Los requisitos legales pueden parecer complejos. Sin embargo, en el trabajo diario, muchos problemas de seguridad comienzan con deficiencias organizativas básicas.

La situación se vuelve especialmente crítica cuando las credenciales no se gestionan de forma centralizada.

Como consecuencia, en las empresas se producen a menudo situaciones similares:

• Varios empleados utilizan la misma contraseña para una cuenta corporativa.
• Las credenciales se guardan en archivos de Excel, documentos o correos electrónicos.
• Los proveedores de servicios externos reciben contraseñas sin que se controle suficientemente su uso posterior.
• Tras la salida de empleados, las contraseñas conocidas por varias personas no se modifican.
• Nadie puede saber con fiabilidad qué accesos existen dentro de un departamento.

El verdadero problema no reside únicamente en la solidez de una contraseña. Incluso una contraseña larga y técnicamente segura puede convertirse en un riesgo si se transmite sin control o si antiguos empleados siguen conociéndola.

Por ello, las empresas necesitan una estructura clara para la gestión de los accesos corporativos.

Un gestor de contraseñas centralizado puede ayudar a poner a disposición de forma protegida las contraseñas y otra información de acceso compatible, así como a vincular su uso a permisos definidos.

Qué medidas de seguridad respalda la gestión profesional de contraseñas

La gestión moderna de contraseñas va mucho más allá de almacenar y rellenar automáticamente contraseñas. Para las empresas, los siguientes ámbitos son especialmente relevantes.

1. Almacenamiento protegido en lugar de listas de contraseñas sin control

Las credenciales corporativas no deberían estar repartidas en documentos sin protección o notas personales.

Un gestor de contraseñas profesional almacena las contraseñas en un entorno cifrado. De este modo se reduce el riesgo de que credenciales sensibles se divulguen accidentalmente o se transmitan a través de canales de comunicación inadecuados.

2. Permisos basados en roles y uso compartido controlado

No todos los empleados necesitan acceder a todas las cuentas de la empresa.

Mediante permisos basados en roles y grupos, las empresas pueden determinar qué personas o equipos pueden utilizar determinadas credenciales. Esto respalda el llamado principio de mínimo privilegio (least privilege): los usuarios solo reciben los permisos necesarios para sus tareas.

Sigue siendo importante distinguir entre el acceso a un gestor de contraseñas y los permisos dentro de una aplicación. Ambos deben gestionarse de forma adecuada.

3. Procesos seguros de incorporación y salida

Cuando los empleados dejan la empresa o cambian de función internamente, deben ajustarse los derechos de acceso.

La desactivación de una cuenta de usuario en Active Directory o en el sistema de gestión de identidades puede ser una parte importante del offboarding. Sin embargo, no impide necesariamente que se sigan utilizando contraseñas ya conocidas para cuentas corporativas independientes o compartidas.

Por ello, las empresas también deberían comprobar qué credenciales deben cambiarse, qué sesiones activas deben cerrarse y qué otras opciones de inicio de sesión deben revocarse.

Una gestión centralizada de contraseñas ayuda a identificar los accesos afectados y a reorganizar su puesta a disposición.

4. Autenticación multifactor y contraseñas robustas

Una contraseña por sí sola no debería ser la única medida de protección, especialmente en aplicaciones empresariales críticas.

La autenticación multifactor complementa el inicio de sesión con un mecanismo de seguridad adicional. Siempre que sea posible, deberían preferirse métodos resistentes al phishing.

Al mismo tiempo, siguen siendo necesarias contraseñas largas y únicas para numerosas aplicaciones. Un gestor de contraseñas puede generarlas y gestionarlas de forma segura sin que los empleados tengan que memorizarlas.

5. Trazabilidad y revisión periódica

Para la seguridad informática no solo es importante saber si se han concedido permisos, sino también si siguen estando justificados.

Unas funciones de administración y registro adecuadas pueden ayudar a rastrear los cambios en los permisos y determinados eventos de acceso. La información que se registra realmente depende de la solución utilizada y de su configuración.

Una revisión periódica de los derechos de acceso existentes contribuye a detectar a tiempo permisos innecesarios y accesos compartidos obsoletos.

Ciberataque o pérdida de datos: ¿cuándo existe la obligación de notificar?

A pesar de las medidas de protección técnicas y organizativas, los incidentes de seguridad no pueden descartarse por completo.

Si, por ejemplo, se compromete una cuenta corporativa y personas no autorizadas obtienen así acceso a datos personales, la empresa debe comprobar si se ha producido una violación de la seguridad de los datos sujeta a notificación.

En Suiza, la LPD exige notificar lo antes posible al Comisionado Federal de Protección de Datos y Transparencia (EDÖB/PFPDT) si es probable que la violación suponga un riesgo elevado para la personalidad o los derechos fundamentales de las personas afectadas.

Según el RGPD, una violación de la seguridad de los datos personales sujeta a notificación debe comunicarse, por regla general, a la autoridad de control competente en un plazo de 72 horas desde que se tenga constancia de ella. No es necesaria la notificación si es improbable que la violación constituya un riesgo para los derechos y libertades de las personas físicas.

Además, desde el 1 de abril de 2025, determinados operadores de infraestructuras críticas en Suiza están obligados a notificar a la Oficina Federal de Ciberseguridad (BACS). Los ciberataques sujetos a notificación deben comunicarse, por regla general, en un plazo de 24 horas desde su detección.

Por tanto, en función de la empresa y del sistema afectado, un incidente de seguridad puede desencadenar distintas obligaciones legales.

Además de la respuesta técnica, deben existir procedimientos internos claros. ¿Quién evalúa el incidente? ¿Quién informa a la dirección? ¿Qué cuentas deben bloquearse y a qué autoridades debe notificarse, en su caso?

Una gestión estructurada de contraseñas y derechos de acceso facilita la identificación de las cuentas afectadas y la adopción de las medidas de protección necesarias. Sin embargo, no sustituye ni un plan de respuesta a incidentes ni la evaluación jurídica de las obligaciones de notificación.

Proveedores externos de servicios de TI: la responsabilidad no puede externalizarse sin más

Muchas empresas colaboran con socios de TI externos, proveedores de servicios en la nube o proveedores de servicios especializados. Algunos de ellos necesitan acceder a sistemas internos e información empresarial.

No obstante, la colaboración con socios externos no exime automáticamente a las empresas de sus responsabilidades en materia de protección de datos.

Por ello, debería regularse claramente qué accesos son necesarios y con qué finalidad, durante cuánto tiempo pueden mantenerse y quién es responsable de su revisión.

Los accesos compartidos merecen especial atención. Si se transmiten contraseñas a socios externos, puede resultar difícil mantener una visión de conjunto sobre su uso posterior.

La gestión profesional de contraseñas puede realizar aquí una contribución importante. Los accesos pueden ponerse a disposición de forma estructurada, los permisos gestionarse de manera específica y, en caso necesario, retirarse.

En el caso de contraseñas ya compartidas, puede ser necesario además cambiarlas. La mera eliminación de un acceso compartido en el gestor de contraseñas no invalida automáticamente una contraseña ya conocida.

Por ello, una colaboración segura con socios externos requiere tanto mecanismos técnicos de protección como reglas organizativas claras.

¿Qué consecuencias jurídicas pueden tener las deficiencias de seguridad?

Las violaciones de la protección de datos y el incumplimiento de los requisitos legales de seguridad pueden tener consecuencias considerables.

En Suiza, la LPD prevé para determinadas infracciones dolosas multas de hasta 250.000 CHF contra las personas físicas responsables. En determinadas condiciones legales especiales, puede multarse en su lugar a la empresa con hasta 50.000 CHF.

El RGPD permite, en caso de infracciones especialmente graves, multas de hasta 20 millones de euros o del cuatro por ciento del volumen de negocio anual mundial, optándose por la de mayor cuantía.

Otras normativas, como NIS2, también prevén mecanismos sancionadores cuya aplicación concreta depende del marco jurídico correspondiente.

Sin embargo, no toda brecha de seguridad conlleva automáticamente una multa. Son determinantes las obligaciones legales concretas, las circunstancias del incidente y, en su caso, la culpabilidad.

Con independencia de ello, los ciberataques pueden tener consecuencias operativas: interrupciones del trabajo, costes de recuperación, posibles pérdidas de datos y una confianza de los clientes deteriorada.

Por tanto, las medidas de seguridad preventivas no son solo una cuestión de cumplimiento normativo, sino también de gestión del riesgo empresarial.

Conclusión: una gestión segura de contraseñas es un elemento de una dirección empresarial responsable

Los requisitos normativos en materia de protección de datos y ciberseguridad siguen evolucionando. Para las empresas suizas, esto significa sobre todo cuestionar periódicamente los procesos de seguridad existentes.

No se trata de implantar el mayor número posible de soluciones de seguridad aisladas. Lo decisivo es un concepto global coherente y trazable que combine medidas técnicas y organizativas.

La gestión profesional de contraseñas puede contribuir de forma esencial a ello. Mediante el almacenamiento protegido, el uso compartido controlado, permisos claros y procesos regulados de incorporación y salida, es posible reducir numerosos riesgos en el manejo de los accesos corporativos.

Al mismo tiempo, otras medidas de protección como la autenticación multifactor, la gestión de identidades, la formación de los empleados y una gestión eficaz de los incidentes de seguridad siguen siendo imprescindibles.

Por ello, la pregunta decisiva para las empresas no es solo: ¿son seguras nuestras contraseñas? Sino también: ¿sabemos en todo momento quién puede acceder a qué accesos corporativos y cómo los controlamos?

Quien pueda responder a estas preguntas y aplique los procesos correspondientes de forma coherente sienta una base importante para la seguridad de la información, la protección de datos y la resiliencia digital a largo plazo.

¿Quiere mejorar la gestión de contraseñas en su empresa?

Una gestión centralizada y segura de contraseñas y accesos puede ayudar a las empresas a reducir riesgos y a hacer más eficientes sus procesos de seguridad internos. Descubra cómo la gestión profesional de contraseñas puede apoyar a su organización en el día a día empresarial.