在古巴圣斯皮里图斯（Sancti Spíritus）注册一家面向拉美市场的数字服务公司——这个念头，最近常出现在我微信对话框里。上个月，有位做跨境电商的朋友发来一张截图：他刚和当地一家合作社签了办公场地意向书，对方递来的纸质合同第3页写着“所有数据存储须经省级信息监管办公室书面备案”，可他查遍古巴通信部官网（MINCOM），也没找到这个办公室的联系方式。

这其实不是孤例。我在整理律咖网近半年关于古巴的咨询记录时发现：圣斯皮里图斯是目前古巴中部唯一被明确列入《2025–2030数字转型试点省》名单的行政区划，但它既没有独立的信息安全法规细则，也未设立省级网络安全响应中心（CSIRT）。换句话说——你想建一套能过审、能落地、能真正保护客户数据的信息安全管理体系（Information Security Management System, ISMS），得先学会在“无路标”的地方自己画导航线。

而最让人心里打鼓的，不是政策空白，而是那些藏在签字笔尖下的“常识性默认项”。

比如，你可能以为——用加密邮箱收客户订单、给员工配双因素认证（2FA）就算合规了？
但去年底，一位在卡马圭（Camagüey）运营在线教育平台的创业者告诉我，她按欧盟GDPR逻辑设计的隐私政策，在提交给古巴国家信息与通信技术局（Agencia de Información y Comunicaciones, AIC）预审时被退回三次。原因不是内容不对，而是——AIC要求所有ISMS文件必须使用西班牙语撰写，并加盖公证处（Notaría Pública）红色印章原件，电子扫描件不被接受。而圣斯皮里图斯全省仅1家公证处，每月预约排期已至8月。

再比如，你以为服务器放在迈阿密或马德里就能绕开本地监管？
现实是：只要你的服务页面出现“.cu”域名、支付通道接入古巴银行系统（如Banco Metropolitano）、或签约方为古巴实体（哪怕只是保洁公司），就自动触发《第19/2022号信息技术使用条例》第7条——任何处理古巴居民个人数据的境外系统，均需指定一名位于古巴境内的“数据合规联络人”（Representante Legal en Cuba），且该人须持有AIC颁发的年度数字活动许可（Licencia Anual de Actividad Digital）。

听起来很重？但更常见的是轻描淡写的“小漏洞”：

✅ 你用了带审计日志的云平台；
✅ 你给财务系统加了访问权限分级；
✅ 你让员工每季度改一次密码……

可一旦发生数据异常访问，你拿不出本地时间戳+公证处存证的原始日志副本——对不起，古巴法院不采信境外云服务商出具的“日志证明”。这不是刁难，而是当前司法实践的真实水位线。

所以今天，我想和你一起拆解5个在圣斯皮里图斯落地ISMS时，最容易被忽略、却最可能让项目卡在“最后一步”的实操陷阱。它们不写在法律条文里，却真实地长在办事员的流程习惯里、印在公证处的红章下、藏在停电三小时后的服务器重启记录中。

🌐 陷阱一：把“国际标准”当“本地准入门票”，忘了古巴尚无ISO/IEC 27001官方认可机制

国际上常说的“通过ISO 27001认证”，在古巴圣斯皮里图斯目前不具备行政效力。AIC从未发布过任何关于采纳ISO/IEC 27001作为强制或推荐标准的公告。当地企业若主动申请该认证，只能找境外机构（如SGS、BSI）完成，但证书无法用于向AIC提交材料。

📌 真实路径建议：

  • 第一步：登录AIC官网（https://www.aic.cu）下载《小型数字服务单位信息安全自评指引（Versión Piloto 2025）》（西语版，共12页）；
  • 第二步：对照其中第4章“物理与环境安全”、第6章“访问控制”、第9章“事件管理”，逐项填写自查表；
  • 第三步：将填妥表格+签字盖章版《信息安全承诺书》（模板由AIC提供）提交至圣斯皮里图斯省科技发展办公室（Oficina Provincial de Desarrollo Científico-Tecnológico），获取“试点单位备案回执”（Recibo de Registro Piloto）——这才是你在当地开展数据处理业务的实际准入凭证。

💡 关键要点清单：
① 不要花3万美元做ISO认证，先拿AIC试点备案；
② 所有文件必须用西班牙语+手写签名+红色印泥公章；
③ 公证处只对“签名真实性”做认证，不对内容合法性背书；
④ 若涉及跨境数据传输，需额外提交《数据出境风险说明》（AIC提供填空模板）。

📋 陷阱二：误以为“电子签名=法律效力”，忽视公证处对“数字行为”的线下锚定需求

古巴《第24/2021号电子交易法》虽承认电子签名，但实际执行中——所有与政府机关交互的ISMS相关文件（含员工保密协议、供应商数据处理协议、系统访问授权书），均须经公证处现场见证签署，并生成编号为“N°-SPS-XXXXX”的纸质公证书原件。

我上周刚帮一位朋友处理过类似情况：他在Zoom会议里和IT外包团队签了《远程运维安全协议》，双方都用了DocuSign电子签名。结果向圣斯皮里图斯税务局（Dirección Provincial de Impuestos）报备时被告知：“电子签名有效，但贵司未提供公证处出具的‘签署过程真实性确认书’（Certificación de Veracidad del Acto Firmado），无法进入后续审核流程。”

📌 真实路径建议：

  • 提前3个工作日预约圣斯皮里图斯公证处（Notaría Pública No. 1, Calle José Martí #102）；
  • 携带双方护照复印件、公司注册证（Registro Mercantil）、协议终稿打印件（至少3份）；
  • 现场签署时，需两名无利害关系见证人（可请当地律师或酒店前台经理协助）；
  • 公证书制作周期为5工作日，费用约45 CUP（约合1.8美元），支持现金支付。

💡 关键要点清单：
① 电子签约后，务必补办公证；
② 公证处不接受PDF打印件，必须是A4纸双面打印、无涂改；
③ 见证人须持古巴身份证（Carné de Identidad）；
④ 公证书编号是后续所有政府申报的唯一关联码。

🔌 陷阱三：高估电力稳定性，低估“断电日志”对ISMS审计的致命影响

圣斯皮里图斯省2026年第一季度平均每日停电时长为3小时27分钟（据古巴国家电网ENET报告）。这意味着：你花大价钱部署的入侵检测系统（IDS）、数据库审计模块、日志聚合平台，很可能在关键时段处于离线状态。

而AIC在试点评估中明确要求：“所有安全事件日志必须具备连续时间戳，中断超过15分钟需附《不可抗力说明》并加盖供电局（UNE）公章。”——但现实中，UNE在圣斯皮里图斯仅设1个服务点，且不提供“停电证明”标准化模板。

📌 真实路径建议：

  • 向UNE圣斯皮里图斯分局（Av. Antonio Maceo #35）申请《月度供电异常记录》（Reporte Mensual de Interrupciones），需提前7日书面申请；
  • 同步采购UPS不间断电源（推荐APC Smart-UPS 3000VA，符合古巴电压标准220V/60Hz），并保留购货发票+安装照片；
  • 在系统日志中嵌入本地NTP校时服务（推荐使用AIC提供的time.aic.cu服务器），避免断电重启后时间错乱。

💡 关键要点清单：
① UPS发票是唯一被AIC接受的“供电保障证明”；
② 日志中断超15分钟，必须在24小时内提交说明；
③ NTP校时失败记录本身即构成安全事件，需登记；
④ UNE不提供英文版文件，所有材料须译成西语并公证。

📚 陷阱四：照搬欧美培训模板，忽略古巴员工对“信息安全”的认知语境差异

很多创业者直接把英文版ISO 27001员工培训PPT翻译成西语就开讲。但问题在于：古巴职场中，“phishing”叫“correo trampa”，“brute force attack”被通俗称为“ataque con diccionario”，而“data breach”没有标准译法，基层员工普遍理解为“perdida de documentos”（文件丢失）。

更关键的是——圣斯皮里图斯省中小企业员工平均数字素养得分仅为42.7分（满分100，AIC 2025年抽样测试），远低于哈瓦那（61.3）和圣地亚哥（53.1）。他们能熟练操作WhatsApp，但对“cookie同意弹窗”“OAuth授权流程”几乎零概念。

📌 真实路径建议：

  • 使用AIC免费提供的《信息安全基础课件（SPS-Edition）》（含动画视频+互动测验）；
  • 培训必须包含3个本地化案例：
    　　▸ 如何识别伪装成“Ministerio de Salud Pública”的钓鱼邮件；
    　　▸ 用手机拍摄身份证上传系统时，如何遮盖出生日期字段；
    　　▸ 微信（WeChat）与Telegram在古巴的合规使用边界（仅限内部沟通，禁传客户数据）；
  • 每场培训后，发放AIC监制的《信息安全实践手册》（小册子，含二维码链接至语音讲解）。

💡 关键要点清单：
① 培训考核通过率须≥85%，否则需全员重训；
② 手册发放记录须公证存档；
③ 手机截图类教学材料，必须用古巴本地运营商（ETECSA）网络截图；
④ 禁止使用“GDPR”“CCPA”等缩写，统一说“欧洲/美国数据保护规则”。

🧩 陷阱五：把“合作项目光环”当“监管豁免权”，忽视跨部门协同盲区

最近越南与古巴在圣斯皮里图斯共建的“水稻数字化试验田”（见Soha.vn报道），确实提升了当地对数字技术的接受度。但一位参与该项目的中方技术顾问私下提醒我：“农业数据平台用了越南开发的加密模块，可当我们想把同一套模块复用到旅游预订系统时，被AIC卡住了——因为农业归MINAG（农业部）管，旅游归MINTUR（旅游部）管，两套审批链条完全不互通。”

📌 真实路径建议：

  • 若业务横跨多领域（如：用同一套CRM同时管理农场IoT设备+民宿预订），必须分别向对应部委提交《跨部门数据使用说明书》；
  • 每份说明书需附：
    　　▸ MINCOM（通信部）出具的《系统互联许可》；
    　　▸ 对应行业主管部门（如MINTUR）的《业务场景适配函》；
    　　▸ AIC签发的《基础信息安全备案号》；
  • 所有函件须在提交前，由圣斯皮里图斯省经济规划办公室（Oficina Provincial de Planificación Físico-Económica）做形式合规初审。

💡 关键要点清单：
① “一个系统、多场景”不等于“一次审批、全境通行”；
② MINCOM许可 ≠ AIC认可，二者不可互替；
③ 行业主管部门函件有效期通常仅90天；
④ 经济规划办公室初审不收费，但需预约（电话：+53 41 32 5555）。

❓ FAQ：你在圣斯皮里图斯建ISMS最常问的3个问题

Q1：没有古巴本地公司主体，能提前做ISMS准备吗？
✅ 可以，但路径有限：

  • 步骤1：以境外主体名义，向AIC申请《信息安全预评估咨询资格》（需提供公司注册证、经营范围说明、西语版ISMS框架草案）；
  • 步骤2：获得AIC邮件回执（非正式许可，仅作流程占位）；
  • 步骤3：同步启动圣斯皮里图斯公证处预约、UPS采购、员工培训课件本地化——这些动作不依赖公司注册，但能节省后期3–4周；
    ⚠️ 注意：预评估回执不可用于银行开户或税务登记，仅限内部筹备。

Q2：能否用中国云服务商（如阿里云国际版）托管全部数据？
✅ 技术可行，但合规需分三步走：

  • 路径1：向AIC提交《境外云服务使用说明》，列明服务器位置、加密方式、访问日志留存策略；
  • 路径2：与阿里云签署《数据处理补充协议》（需公证），明确其作为“数据处理者”责任；
  • 路径3：在圣斯皮里图斯指定一名自然人担任“本地联络人”，其住址、电话、身份证号须录入AIC系统；
    ❗ 重点：阿里云不提供古巴本地公证服务，联络人信息变更需48小时内邮件报备AIC。

Q3：ISMS备案被拒，常见原因有哪些？
根据AIC 2025年公开通报，TOP3原因依次为：
① 文件使用英语或中文撰写（占比61%）；
② 公证书未注明“用于信息安全备案”用途（占比23%）；
③ UPS发票未显示型号与电压参数（占比16%）；
🔧 应对要点：

  • 所有西语文档启用AIC官网提供的“术语对照表”（关键词如“cifrado”=加密、“registro de accesos”=访问日志）；
  • 公证书正文第二行必须手写添加：“Este documento se emite exclusivamente para el Registro de Sistema de Gestión de Seguridad de la Información ante la AIC”；
  • UPS发票商品描述栏务必含“Modelo: XXX, Voltaje: 220V~60Hz, Capacidad: XXX VA”。

✅ 结论：3条务实行动建议

  1. 别等公司注册完再动手：从今天起，下载AIC《试点指引》、预约公证处、买一台UPS——这三项不花钱或花小钱的动作，能帮你抢出4–6周真实进度；
  2. 把“西语能力”列为第一合规成本：与其雇翻译，不如让核心成员学30小时基础西语商务表达（推荐AIC免费课程“Seguridad Digital Básica”）；
  3. 接受“渐进式合规”：在圣斯皮里图斯，不存在“一步到位”的ISMS。你的目标不是立刻达到ISO标准，而是确保每一份交出去的文件，都带着公证处红章、本地时间戳、和一句写对的“gracias por su atención”。

🤝 和JingJing一起走得更稳些

我是JingJing，在律咖网做跨境信息编辑和内容策划，不是律师，但常年泡在各国政策原文、办事窗口录像、创业者吐槽群和本地律师的咖啡馆里。
我知道在圣斯皮里图斯办件事有多像解一道没有标准答案的谜题——但好消息是，我们已经和几位熟悉中部省份流程的古巴数字政策研究者建立了常规沟通。如果你正卡在某个环节，或者不确定某份文件该怎么措辞，欢迎加我微信 lvga2015（备注：古巴+圣斯皮里图斯+ISMS），我们可以一起查原文、听录音、甚至帮你模拟一次公证处对话。

也欢迎加入我们的「跨境创业坦诚局」交流群（每周三晚20:00语音圆桌）：这里没有成功学，只有刚踩过的坑、刚拿到的回执、刚确认的窗口开放时间。目前群内已有来自日本大阪、越南胡志明、西班牙巴塞罗那的37位同行，分享过21个真实备案案例。

🌱 小提醒：我们不做代办、不包过审、不卖模板。只分享信息，陪你理清思路——毕竟在古巴，耐心和清晰，比速度更珍贵。

🔸 越南助力古巴稻田数字化，迪亚斯-卡内尔称“这是繁荣”
🗞️ 来源: Soha.vn – 📅 2026-06-01
🔗 阅读原文

🔸 古巴首次启用GPS追踪海鸟，用于生态保护研究
🗞️ 来源: DanViet.vn – 📅 2026-06-01
🔗 阅读原文

🔸 墨西哥与乌拉圭捐赠奶粉抵达古巴，缓解严重物资短缺
(news source shows humanitarian context of infrastructure stress)
🗞️ 来源: Al Jazeera – 📅 2026-06-01
🔗 阅读原文

📌 免责声明

请知悉：律咖网（Lvga.com）是跨境创业公开信息与内容分享平台，不提供法律、税务、会计或合规服务。
本文内容基于公开资料，并由人工编辑与 AI 工具协助整理，仅供信息参考之用，不构成任何法律、投资、移民或商业决策建议。
政策可能随时间变化，请以官方渠道与当地持牌专业人士意见为准。
如内容有需要修订之处，欢迎随时与我联系。