ES    ES ES 
ES    ES  COMISIÓN EUROPEA 
Bruselas, 30.9.2010 
SEC(2010) 1123 final 
  
DOCUMENTO DE TRABAJO DE LOS SERVICIOS DE LA COMISIÓN 
RESUMEN DE LA EVAL UACIÓN DE IMPACTO  
 
que acompaña a la 
 
Propuesta de 
 
 
DIRECTIVA DEL PARLAMENTO  EUROPEO Y DEL CONSEJO 
   
relativa a los ataques contra los sistemas de información, por la que se deroga la 
Decisión marco 2005/222/JAI del Consejo 
   
{COM(2010) 517 final} 
{SEC(2010) 1122 final}  
ES 2   ES RESUMEN DE LA EVALUACIÓN DE IMPACTO  
1. D EFINICIÓN DEL PROBLEMA  
El número de ataques contra los sistemas de información ha aumentado significativamente 
desde la adopción de la Deci sión marco relativa a los ata ques contra los sistemas de 
información (DM sobre ataques). Una de las princi pales empresas de seguridad de Internet ha 
comunicado que las amenazas a la información confidencial (frente a la información 
disponible públicamente) aumentaron consid erablemente en 2008, pasando de 624 267 a 
1 656 227 nuevas amenazas señaladas en 20081. Además, se ha observado un número de 
ataques de una gravedad y alcance antes de sconocidos, como los ocurridos en Estonia y 
Lituania en 2007 y 2008, respectivamente. En ma rzo de 2009, los sistemas informáticos de 
organizaciones privadas y gobiernos de 10 3 países fueron atacados por una red de 
ordenadores infectados que extrajeron doc umentos confidenciales y clasificados2. Para hacer 
esto se utilizaron botnets3, redes de ordenadores infect ados que pueden controlarse a 
distancia. Por último, el mundo está asisti endo actualmente a la propagación de un botnet 
llamado Conficker  (también conocido como Downup, Downup  y Kido ), que se ha extendido y 
actuado a una escala y con un alcance sin pr ecedentes desde noviembre de 2008, afectando a 
millones de ordenadores en todo el mundo4. 
En segundo lugar, la cooperación insuficiente en tre los Estados miembros y las autoridades 
judiciales y los servicios represivos de la UE hace difícil dar una respuesta eficaz y 
coordinada a estos ataques. Si bien el inform e sobre la aplicación de  la DM sobre ataques 
muestra que la mayoría de los Estados miem bros ha establecido puntos de contacto 
permanentes tal como exige el artículo 11 de dicha DM, persisten los problemas de capacidad 
de respuesta y reacción ante las so licitudes urgentes de cooperación5. 
La existencia de un punto de contacto no cons tituye una garantía de su funcionamiento 
adecuado. En sus comunicaciones a la Comisión, algunos Estados miembros indicaron que los 
puntos de de contacto se habían establecido pe ro no funcionaban 24 horas al día como exigía 
la DM sobre ataques. Esto si gnifica que no pueden responder a so licitudes urgentes fuera del 
horario de oficina. Con frecuencia, la cooperaci ón público-privada resulta obstaculizada por la 
                                                 
1 http://eval.symantec.com/mktginfo/enterprise/white_papers/b-
whitepaper_internet_security_threat_report_xiv_04-2009.en-us.pdf, p.10. 
2
 ww.theglobeandmail.com/servlet/story/RTGAM.20090328.wspy0328/BNStory/International/home?cid=al_gam_mostemail 
3 El término botnet se refiere a una red de ordenadores que ha n sido infectados por programas nocivos 
(virus informáticos). Esta red de ordenadores afectados ( zombies ) puede ser activada para realizar 
determinadas acciones como ataques a los si stemas de información (ciberataques). Los zombies pueden 
ser controlados – con frecuencia sin el conocimiento de los usuarios de los ordenadores afectados – por otro ordenador. El ordenador «controlador» también se conoce como el «centro de dirección y control». 
Las personas que controlan este cen tro incurren en una infracción penal, ya que utilizan los ordenadores 
afectados para lanzar ataques contra  los sistemas de información. Es muy difícil rastrear a los autores 
porque los ordenadores que forman el botnet y realizan el ataque pued en encontrarse en un lugar 
diferente del propio infractor. 
4 http://www.lemonde.fr/technologies /article/2009/03/31/virus-confi cker-catastrophe-ou-poisson-d-
abril_1174916_651865.html 
5 Informe de la Comisión al Consejo basado en el artículo 12 de la Decisión marco del Consejo, de 24 de 
febrero de 2005, relativa a los ataques contra los sistemas de información, COM (2008) 448 final. 
ES 3   ES escasa eficiencia de los puntos de contacto o su incapacidad para atender la s solicitudes de 
cooperación del sector privado. 
En tercer lugar, todavía no hay datos sufici entes sobre los ataques informáticos y el 
seguimiento policial y judicial de los mismos. No todos los Estados miembros recopilan datos 
sobre ataques informáticos. Los que lo hacen, u tilizan metodologías esta dísticas divergentes 
que no permiten realizar comparaciones.  
Entre las víctimas de los ataques a gran escala  contra los sistemas de  información figuran el 
público en general, compuesto por los usuarios de los sistemas de información, así como las 
administraciones centrales y locales, las or ganizaciones internacionales y las entidades 
privadas.  
Los ataques pueden lanzarse en los terceros pa íses contra objetivos situados en la UE y 
viceversa. 
2. S UBSIDIARIEDAD  
La delincuencia informática es un auténtico pr oblema internacional que difícilmente puede 
combatirse en un contexto meramente nacional. Generalmente, se admite que para prevenirlo 
y abordarlo se requieren acciones internacionale s y de la UE. La mayoría de los ataques va 
más allá de las fronteras de la UE. Los ataque s afectan a todos los Estados miembros y se ha 
demostrado que un porcentaje considerable conlleva actividades realizadas de un Estado miembro a otro. Con frecuencia, los sistem as de información están interconectados 
técnicamente y son interdependientes a través de las fronteras. Los e xpertos están de acuerdo 
en la necesidad de acciones internacionales y de la UE, y en que los Estados miembros no 
pueden por sí solos realizar el objetivo de  combatir eficazmente la delincuencia.  
Un planteamiento puramente nacional de la cibe rdelincuencia puede producir fragmentación e 
ineficiencia en Europa. Las diferencias en lo s planteamientos naciona les y la falta de una 
cooperación transfronteriza sistemática re duce considerablemente la eficacia de las 
contramedidas nacionales. Esto se debe en pa rte a las interconexiones  de los sistemas de 
información, ya que un bajo nivel de seguridad en un país pueden aumentar las vulnerabilidades en otros países. 
3. O
BJETIVOS  
3.1 Objetivos generales, específicos y operativos 
De conformidad con el artículo  67 del Tratado de Funcionamiento de la Unión Europea, el 
objetivo global de la acción de la  UE es combatir y perseguir la  delincuencia, organizada o de 
otro tipo, luchando contra los ciberataques a gran  escala contra los sistemas de información.  
A. Objetivo específico: procesar y conde nar a los delincuente s responsables de 
ataques a gran escala, mediante la apr oximación del Derecho penal en materia 
de ataques contra los sistemas de información  
B. Objetivo específico: mejorar la coopera ción transfronteriza entre los servicios 
represivos  
ES 4   ES C. Objetivo específico: establecer sistemas de control eficaces y la recogida de 
datos  
4. O PCIONES ESTRATÉGICAS  
4.1 Opción (1) Statu quo / no adoptar ning una medida en el ámbito de la UE 
Esta opción implica que la UE no emprenderá ninguna acción para luchar contra este tipo 
particular de delincuencia informática. Las acciones en curso deberán proseguir, 
especialmente los programas para reforzar la protección de las infraestructuras críticas de 
información y mejorar la cooperación público- privada contra la ciberdelincuencia.  
4.2 Opción (2) Desarrollo de un programa para aumentar los esfuerzos para 
combatir los ataques contra los sist emas de información con medidas no 
legislativas  
Las medidas no legislativas, además del programa de protección de infrae structuras críticas de 
información, se centrarían en la acción represiv a transfronteriza y en la cooperación público-
privada, y contribuiría n a coordinar la acción a escala de la UE. Una propuesta no legislativa 
podría incluir acciones como el reforzamiento de  la red de puntos de contacto operativos 
durante 24 horas/7 días exis tentes para las autoridades responsables de los servicios 
represivos; la creación de una red público-priv ada de la UE de puntos de contacto de los 
expertos en ciberdelincuencia y servicios repr esivos, y la elaboración de un acuerdo de nivel 
de servicios normalizado de la UE para la cooperación de los servicios represivos con los 
agentes del sector privado. 
4.3 Opción (3) Actualización selectiva de la  DM sobre ataques con el fin de abordar 
la amenaza específica de los ataques a gran escala contra los sistemas de 
información  
Esta opción implica la introducción de una norma tiva específica selectiva (es decir, limitada) 
contra los ataques a gran escala especialmente peligrosos contra los sistemas de información. Esta normativa selectiva regularía las medidas para intensificar la cooperación operativa 
transfronteriza contra los ata ques a los sistemas de inform ación y aumentar las sanciones 
mínimas ya previstas. Esta opción se presenta ría en forma de una ac tualización de la DM 
sobre ataques, completada con una serie de me didas no legislativas como la mejora de la 
preparación, la seguridad y la resiliencia de la  protección de las infraes tructuras críticas de 
información y el reforzamiento de los inst rumentos y procedimientos de cooperación 
transfronteriza entre servicios represivos, así como intercambio de las mejores prácticas. 
4.4 Opción (4) Introducción de una norm ativa global de la UE contra la 
ciberdelincuencia 
El reconocimiento de la necesidad de empre nder acciones rápidas contra el desarrollo de 
ataques sofisticados contra los sistemas de in formación plantea la cuestión de la conveniencia 
de introducir también una normativa de la UE más amplia sobre la ciberdelincu encia en 
general. Tal normativa no sólo abarcaría los at aques contra los sistemas de información, sino 
también cuestiones como la ciberdelincuencia fina nciera, los contenidos ilícitos en Internet, la 
recogida/almacenamiento/transferencia de pruebas electrónicas y unas normas de 
competencia más detalladas. Esta normativa de la UE se aplicaría paralelamente al Convenio 
del Consejo de Europa sobre la ciberdelin cuencia, que se completaría con las nuevas 
disposiciones consideradas necesarias en la UE.  
ES 5   ES 4.5 Opción (5) Actualización del Convenio del Consejo de Europa sobre la 
ciberdelincuencia 
Esta opción implicaría una renegociación sustanci al del actual Convenio que sería un proceso 
largo y no ajustado al marco temporal de la  acción que se propone en la evaluación de 
impacto. No parece existir una voluntad inte rnacional para renegoc iar el Convenio. La 
actualización del Convenio no puede considerarse, en consecuencia, una opción viable, por no 
ajustarse al marco temp oral de la acción.  
5. E VALUACIÓN DE IMPACTO  
Opciones Impacto 
económico Repercusiones 
sociales Impacto en los 
derechos 
fundamentales Impacto 
en los 
terceros países Pertinencia 
para los 
objetivos A, B, C Coherencia 
con el 
Derecho internacional 
Opción 1: statu 
quo / no adoptar 
ninguna medida en el ámbito de la UE 0 0 0 - 
0 0 
Opción 2: desarrollo 
de un programa para 
aumentar los 
esfuerzos para 
combatir los ataques 
contra los sistemas 
de información con 
medidas no 
legislativas -/+ ++ -/+  
++ A + 
B ++ 
C + -/+ 
Opción 3: 
actualización 
selectiva de la DM 
sobre ataques con el 
fin de abordar la 
amenaza de los 
ataques a gran escala 
contra los sistemas 
de información --/++ -/+++ -/++  
+++ A +++ 
B +++ 
C +++ ++ 
Opción 4: 
introducción de 
una normativa 
global de la UE contra la 
ciberdelincuencia ---/+++ +++ --/++  
++ A ++ 
B ++ 
C ++ -/++ 
Opción preferida 
(opciones 2 y 3): combinación de 
medidas no 
legislativas con una actualización 
selectiva de la DM 
sobre ataques --/+++ +++ -/++  
+++ A +++ 
B +++ C +++ ++ 
ES 6   ES 6. C UALIDADES DE LAS RESPECTIVAS OPCIONES ESTRATÉGICAS  
6.1 Opción (1) Statu quo  
Esta opción conduciría, inevitablemente, a una  situación más vulnerable de los agentes 
privados, los Estados miembros y la Unión en su conjunto para luchar contra la 
ciberdelincuencia, dada la naturaleza y el crec imiento de esta última. La coordinación europea 
sería necesaria incluso al nivel sostenido de las acciones existentes actualmente.  
6.2 Opción (2) Desarrollo de un programa para aumentar los esfuerzos para 
combatir los ataques contra los sist emas de información con medidas no 
legislativas  
Esta opción tiene todas las vent ajas y desventajas propias de un instrumento no vinculante. El 
aspecto positivo es la posibilida d de describir cada opción estr atégica de forma coherente con 
las mejores prácticas nacionales,  facilitando así la id entificación de las mejores medidas en 
términos de eficacia. 
No obstante, esta opción es menos efectiva en  cuanto a la realización de los objetivos. 
6.3 Opción (3) Actualización selectiva de la  DM sobre ataques con el fin de abordar 
la amenaza de ataques a gran escala contra los sistemas de información  
Esta opción ofrece una respuesta específica y oportuna a los problemas planteados. Aborda 
las cuestiones de Derecho penal fundamentales pa ra enjuiciar eficazmente a los autores de los 
delitos. También mejora la cooperación in ternacional al introducir un mecanismo de 
asistencia internacional inmediata en casos  de solicitudes urge ntes de cooperación, y 
promueve la cooperación con el sector priva do mediante medidas de acompañamiento como 
las reuniones de expertos. La opción también intr oduce una serie de circun stancias agravantes 
como el aspecto de gran escala de los ataque s, así como los ataques cometidos ocultando la 
identidad real del autor con perjuicio pa ra el legítimo titular de la identidad. 
Por último, para calibrar el alcance del problema , se introducen obligaciones de seguimiento 
6.4 Opción (4) Introducción de una norm ativa global de la UE contra la 
ciberdelincuencia 
Esta opción, al igual que la opción 3, tiene el valor añadido de establecer disposiciones 
obligatorias y, por lo tanto, es previsible un nivel más elevado de efectividad si llega a 
aplicarse plenamente. También se espera aprov echar al máximo el impacto positivo de los 
instrumentos legislativos y no legislativos en una serie más amplia de cuestiones relacionadas 
con la ciberdelincuencia distintas de los ata ques a gran escala. Además, aborda el marco 
jurídico del Derecho penal al mismo tiempo que  mejora la cooperación entre los servicios 
represivos a través de las fr onteras. Sin embargo, este plant eamiento holístico, en la fase 
actual, no concita el consenso de  los diversos participantes, a pesar de que su aplicación 
situaría la lucha contra la ci berdelincuencia en una fase más avanzada que el resto de las 
opciones. 
ES 7   ES 7. O PCIÓN ESTRATÉGICA PREFERIDA  
Tras el análisis del impacto económico, soci al, y de la repercusión en los derechos 
fundamentales, las opciones 2 y 3 ofrecen el mejor planteamiento del problema para alcanzar plenamente los objetivos fijados.  
Globalmente, la opción preferida sería una comb inación de las opciones estratégicas 2 y 3, 
por ser éstas complementarias y, en consecuenci a, responder mejor a los objetivos definidos, 
tanto en contenido como en cuando al calendario. 
8. S
EGUIMIENTO Y EVALUACIÓN  
Deberá publicarse un informe de aplicación en los dos años siguientes a la  entrada en vigor de 
la Directiva. Este informe tratará de la aplicación detallada de la Directiva por los Estados miembros.  
Por otra parte, se realizarán evaluaciones periódicas para evaluar cómo y en qué medida la 
Directiva ha contribuido a la realización de su s objetivos. La primera evaluación tendrá lugar 
en los cinco años siguientes a la entrada en vigor de la Directiva. La Comisión publicará cada 
cinco años informes de evaluación, que in cluirán información sobre la aplicación. La 
Comisión deberá examinar toda modificación posteri or o desarrollo posible de la Directiva, de 
conformidad con las conclusiones y recomendaciones de las evaluaciones.