Source: http://molinamateos.com/content/art%C3%ADculos-jur%C3%ADdicos
Timestamp: 2018-02-21 15:05:31+00:00

Document:
Artículos jurídicos | Ciberseguridad y Derecho
Jurisprudencia de interés para la criptografía y el criptoanálisis
Normas sobre criptología
SUMARIO: 1. Protección penal de la seguridad de la información y las comunicaciones. 2. Los juristas ante la ciberseguridad. 3. Medidas de investigación tecnológica. 4. Nuevo Código Penal. 5. Modificación del Esquema Nacional de Seguridad.
5. MODIFICACIÓN DEL ESQUEMA NACIONAL DE SEGURIDAD
Abogado, socio de ENATIC
Exigencia de que las organizaciones que presten servicios de seguridad a las Administraciones cuenten con profesionales cualificados (art. 15.3).
Se eleva y concreta la exigencia de certificación funcional en la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones que vayan a ser empleadas por las Administraciones (art. 18).
Se amplía sustancialmente el contenido del artículo 24.2 al añadir a los procedimientos de gestión de incidentes de seguridad y las debilidades detectadas en los elementos del sistema de información.
Profundiza en los procedimientos de seguridad describiendo su cobertura al señalar que cubrirán los mecanismos de detección, criterios de clasificación, procedimientos de análisis y resolución, así como los cauces de comunicación a las partes interesadas y el registro de actuaciones. Señalando expresamente que, este registro, se empleará para la mejora continua de la seguridad del sistema.
Se amplía el contenido del artículo 27 dedicado al cumplimiento de requerimientos mínimos, mediante el añadido de dos nuevos apartados, el 4 y el 5.
Se cambia el título del artículo 29 y se amplía sustancialmente su contenido mediante la introducción de dos nuevos párrafos, señalados con los números 2 y 3.
Se da una mayor precisión y profundidad al informe del estado de la seguridad previsto en el artículo 35 del ENS, añadiendo un segundo párrafo. De tal forma que, a partir de ahora, el Comité Sectorial de Administración Electrónica recogerá la información relacionada con el estado de las principales variables de la seguridad en las AA.PP. Y, el CCN articulará los procedimientos necesarios para la recogida y consolidación de la información, así como la metodología para su tratamiento y explotación.
Se complementa la articulación de la respuesta a incidentes de seguridad del CCN-CERT añadiendo un segundo párrafo al artículo 36 mediante el que se establece que las Administraciones Públicas han de notificar al Centro Criptológico Nacional los incidentes que tengan un impacto significativo en la seguridad de la información y los servicios.
Introduce mayores precisiones el párrafo tercero del artículo 37 en el sentido de que el CCN-CERT podrá recabar informes de auditoría de los sistemas afectados, registros de auditoría, configuraciones y cualquier otra información que se considere relevante, así como los soportes informáticos que se estimen necesarios, sin perjuicio de lo dispuesto en lo dispuesto en la Ley de Protección de Datos y la eventual confidencialidad de datos institucionales u organizativos.
En la disposición adicional cuarta, se establece un listado de ocho instrucciones técnicas de seguridad con el mandato de desarrollarlas.
En el Anexo II se hace una serie de modificaciones técnicas tanto en la tabla inicial como en diversos apartados.
Y se modifica el anexo II, referido a la auditoría de seguridad, anexo III, Glosario, y el modelo de cláusula administrativa particular recogida en el anexo V.
4. NUEVO CÓDIGO PENAL
Exposición de motivos... XIII
"Se modifican los delitos relativos a la intromisión en la intimidad de los ciudadanos, con el fin de solucionar los problemas de falta de tipicidad de algunas conductas. El vigente artículo 197 contempla como delito, por un lado, el apoderamiento de cartas, papeles, mensajes de correo electrónico o cualesquiera otros documentos de naturaleza personal de la víctima y, por otro lado, la interceptación de cualquier tipo de comunicación de la víctima, sea cual fuere la naturaleza y la vía de dicha comunicación interceptada. Ambas conductas exigen la falta de consentimiento de la víctima.
Finalmente, en estos delitos se prevé la responsabilidad de las personas jurídicas."
...Ciento seis. Se modifica el artículo 197, que queda redactado como sigue:
Ciento siete. Se añade un nuevo artículo 197 bis, con la siguiente redacción:
2. El que mediante la utilización de artificios o instrumentos técnicos, y sin estar debidamente autorizado, intercepte transmisiones no públicas de datos informáticos que se produzcan desde, hacia o dentro de un sistema de información, incluidas las emisiones electromagnéticas de los mismos, será castigado con una pena de prisión de tres meses a dos años o multa de tres a doce meses.»
Ciento ocho. Se añade un nuevo artículo 197 ter, con la siguiente redacción:
Ciento nueve. Se añade un nuevo artículo 197 quater, con la siguiente redacción:
«Si los hechos descritos en este Capítulo se hubieran cometido en el seno de una organización o grupo criminal, se aplicarán respectivamente las penas superiores en grado.»
Ciento diez. Se añade un nuevo artículo 197 quinquies, con la siguiente redacción:
«Cuando de acuerdo con lo establecido en el artículo 31 bis una persona jurídica sea responsable de los delitos comprendidos en los artículos 197, 197 bis y 197 ter, se le impondrá la pena de multa de seis meses a dos años. Atendidas las reglas establecidas en el artículo 66 bis, los jueces y tribunales podrán asimismo imponer las penas recogidas en las letras b) a g) del apartado 7 del artículo 33.»
...Disposición final octava. Entrada en vigor.
3. MEDIDAS DE INVESTIGACIÓN TECNOLÓGICA (Proyecto de Ley de Enjuiciamiento Criminal aprobado por Consejo de Ministros de 13 de marzo de 2015)
2. LOS JURISTAS ANTE LA CIBERSEGURIDAD.
El reto de la seguridad de la información y las redes como desafíos del mundo del Derecho
El pasado día 5 de diciembre, el Consejo de Seguridad Nacional aprobó la Estrategia de Ciberseguridad Nacional (ECSN), adoptada al amparo y alineada con la Estrategia de Seguridad Nacional 2013.
En sus cinco capítulos, siete objetivos y ocho líneas de acción, este documento estratégico configura el marco de referencia de un modelo integrado basado en la implicación, coordinación y armonización de todos los actores y recursos del Estado, en la colaboración público-privada, en la participación de los ciudadanos y en la cooperación internacional. La ECSN crea una estructura orgánica que sea integra en el marco del Sistema de Seguridad Nacional, y servirá para articular la acción única del Estado conforme a unos principios compartidos por los actores concernidos y en un marco institucional adecuado.
Entre sus medidas concretas destina una (Capítulo 4, Línea de acción 4, último párrafo) para “Asegurar a los profesionales del Derecho el acceso a la información y a los recursos que les proporcionen el nivel necesario de conocimientos en el ámbito judicial para la mejor aplicación del marco legal y técnico asociado. En este sentido, es especialmente importante la cooperación con el Consejo General del Poder Judicial, la Abogacía del Estado, la Fiscalía General del Estado, la Fiscalía Coordinadora de la Criminalidad Informática y el Consejo General de la Abogacía Española”.
Todos los factores y dimensiones que integran el ciberespacio, entre ellas la dimensión jurídica, están condicionados al grado de armonía que alcance la ordenación de las relaciones que se dan de las partes entre sí y de estas con el todo.
El grado de excelencia del sistema ciberespacial y su eficacia vendrá determinado por el grado de cumplimiento de su ordenación.
Ante la necesidad de ordenación se podrán plantear los más diversos modos de llevarla a cabo, pero está fuera de la realidad ignorar el papel que históricamente han jugado el poder y el derecho como instrumentos de ordenación social y, por consiguiente, el protagonismo que ambos están llamados a ejercer –o están ya ejerciendo− en la ordenación del ciberespacio, en el que, en todo caso, se han de garantizar los derechos y libertades individuales.
El papel que juega el Derecho en cualquier sociedad ha sido puesto de manifiesto desde hace milenios y se encuentra certeramente sintetizado en el aforismo latino ubi societas ibi ius, cuya vigencia se constata en nuestros días, en los que la humanidad se encuentra inmersa en la articulación de la sociedad surgida con la llegada de la era digital.
La nueva era gira en torno al concepto de ciberespacio como un ámbito común de relaciones de todo tipo, realizadas a través de las tecnologías de la información y las comunicaciones, cuyas consecuencias se hacen sentir en todos los aspectos de la vida del ser humano y, por consiguiente, en su sociabilidad, intereses, derechos, libertades o seguridad, bien aisladamente considerado o como sujeto social y político, y en la de las organizaciones en las que se integra.
Las ventajas sin paliativos que supone el mundo digital para el progreso de la humanidad llevan implícito una serie de inconvenientes que, sometidos a la balanza de la Razón, esta se inclina decididamente a favor de las primeras, consolidadas como activos irrenunciables y, por ende, como bienes jurídicos dignos de protección, que perfilan, de este modo, en muchos casos a los inconvenientes provocados, como realidades acreedoras a la antijuridicidad por tener su base en conductas humanas dignas de reproche legal.
Esta confrontación inicialmente intelectual y posteriormente jurídica, alcanza una solución material a través de la seguridad de la información y de las redes, como medida para el logro de una protección real y efectiva de intereses, derechos y libertades, y única forma de armonizar Razón y Derecho que, per se, excluye medidas que para evitar los inconvenientes puedan poner en cuestión el mantenimiento operativo del sistema cibernético o sus infraestructuras y -a la vez- aquellas otras que puedan debilitar la garantía de los derechos y libertades fundamentales.
De todo ello se deriva que en un modelo civilizado de sociedad digital, el Derecho tiene un límite tecnológico y, la Tecnología tiene un límite jurídico, cuyo resultado es un punto crítico de equilibrio en el que se da la simbiosis de ambos mundos y al que nos atrevemos a calificar como bien superior de este nuevo ordenamiento combinado.
El punto crítico de equilibrio es el resultado del balanceo de los distintos intereses y derechos en juego, en los que interviene la dimensión racional, la jurídica, la tecnológica o la securitaria, y comienza a plasmarse en las iniciativas de ciberseguridad de incipiente florecimiento en los países más avanzados entre los que se encuentra España. De ellas se derivan acciones legislativas que trasladarán sus postulados estratégicos a los ordenamientos jurídicos como instrumentos de ordenación social, en cuya aplicación surgen las más variadas controversias. Se da la circunstancia que las inmensas posibilidades que brindan las tecnologías para hacer realidad este prodigio de la creación humana que es el ciberespacio, son las mismas que están al alcance de quienes con desprecio de la legalidad pretenden violentar intereses, derechos o libertades ajenos, en cuya defensa están profesionalmente comprometidos los hombres y mujeres de leyes.
Para que un ambiente de paz digital sea una realidad, ha de caminar al unísono tecnología, derecho y seguridad, y los más rezagados en esta carrera, hasta ahora, parecen ser los juristas que tienen ante sí la panoplia más completa de actuaciones de las diversas profesiones desde las que operan.
Lo cierto es que, los intereses, derechos y libertades de los ciudadanos y las organizaciones en las que se integran, son una parte muy vulnerable en la era digital que requiere de una acción especialmente decidida desde el Derecho para protegerlos, velando por la utilización de los medios que la tecnología ofrece, aplicados de acuerdo a su lex artis, para el logro de finalidades lícitas, y en caso contrario, mediante la exigencia de las correspondientes responsabilidades en todos los órdenes.
El conocimiento de la realidad digital se erige así en una exigencia ineludible para el jurista, derivada de que la nueva cibernética impregna intereses, derechos y libertades, de ciudadanos, justiciables y clientes.
La Estrategia de Ciberseguridad Nacional compromete decididamente a todo el mundo del Derecho, de forma que la seguridad cibernética es irrealizable sin su plena participación, similar a como no sería posible sin la participación de los tecnólogos. Pero a cada profesión jurídica le afecta de forma diferente y demanda de ella un compromiso distinto en la construcción de la sociedad digital.
Los “policy makers”, filósofos del Derecho e investigadores jurídicos tienen ante sí la magna tarea, tal vez la más importante, de comprender el fenómeno en su conjunto desde la altura intelectual en la que les sitúa su función, lo que les obliga a adentrarse en la tecnología y la ciencia, la sociología y la seguridad, así como en la filosofía que la sustentan, como forma de obtener un destilado válido subsumible en el Derecho, dentro del que ha de elaborar o adaptar en su caso, los principios jurídicos necesarios que acojan a la nueva realidad y propicie su entrada en el ordenamiento legal.
Los que ejerzan tareas como legisladores, o en apoyo a los mismos, tienen la especial responsabilidad de organizar la convivencia de dos mundos distantes, Tecnología y Derecho, que por mor de las circunstancias confluyen intensamente en la ciberseguridad y, además hacerlo sin renunciar al uso de las categorías jurídicas, logradas en un riguroso proceso de depuración constante, ofrecerlas a la Tecnología, que como realidad más joven las necesita y, a la vez, ser capaz de ver en ella un magnífico instrumento para lograr la eficacia del Derecho.
Los intérpretes y aplicadores del Derecho han de ser conscientes de la innovación normativa que se avecina en todos los órdenes jurisdiccionales, lo que requerirá un esfuerzo adicional para la plena comprensión de la dimensión digital como requisito para entender la nueva realidad social, y todo ello, con independencia de la posición concreta en la que se encuentren, como promotores de la defensa de la legalidad y del interés público protegido por la Ley; de la asistencia jurídica del Estado, Administraciones públicas y órganos constitucionales; la de entidades privadas, o sujetos particulares; la alta tarea de impartir Justicia mediante el dictado de resoluciones y sentencias; el ejercicio de la fe pública como cualificado “tercero de confianza” tan necesario en las relaciones electrónicas; la representación y procura, o de sus imprescindibles aportaciones como jurisconsultos.
Sin olvidar la docencia, como pilar básico para la formación de generaciones futuras y, en este caso, también presentes, de forma que les impida ser excluidas por la propia dinámica de la evolución del cambio de paradigma que supone la llegada del mundo digital, contribuyendo al desarrollo de la sensibilidad necesaria para detectar los problemas en un nuevo ámbito, y a mantener la línea de finura y rigor de las que el jurista español ha hecho gala a lo largo de la historia.
Pero además de sus respectivas funciones como hombres y mujeres de leyes, estos son también ciudadanos, empleados públicos, asalariados o profesionales independientes y, por tanto, sujetos pasivos de toda una revolución que les afecta en su quehacer cotidiano, en su vida, en la de las organizaciones a las que pertenecen y en su mundo de relación.
La llegada de la era digital es todo un reto lleno de posibilidades y oportunidades tanto para la Ciencia Jurídica como para los profesionales del Derecho.
De todos ellos, por su función, número y versatilidad de sus tareas, así como, por su contacto directo con el tejido social y productivo, habría que hacer una especial mención a los Abogados y sus organizaciones, que, en este nuevo escenario, están llamados a convertirse en paladines de un orden digital justo, equitativo y seguro, donde los derechos de sus patrocinados lejos de ser debilitados en un entorno tecnológico complejo, que para muchos se le antoja extraño, en el que abunda la controversia, salgan reforzados por la simbiosis de una inteligente y audaz utilización del Derecho, la Tecnología y el compromiso con la Sociedad.
1. PROTECCION PENAL DE LA SEGURIDAD DE LA INFORMACIÓN Y LAS COMUNICACIONES
I. La Ley Orgánica 5/2010, de 22 de junio, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, publicada en el B.O.E. el 23 de junio de 2010, que entró en vigor el día 23 de diciembre pasado, introduce modificaciones que afectan a la protección penal de la seguridad de la información y las comunicaciones.
A) Descubrimiento y revelación de secretos.
El artículo 197 del Código Penalintroduce un nuevo apartado 3, pasando los actuales apartados 3,4,5, y 6 a ser apartados 4,5,6 y 7, y se añade el apartado 8, de forma que queda redactado como sigue: “ 1. El que para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales o intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses. 2. Las mismas penas se impondrán al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado. Iguales penas se impondrán a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero.
Cuando de acuerdo con lo establecido en el artículo 31 bis, una persona jurídica sea responsable de los delitos comprendidos en este artículo, se le impondrá la pena de multa de seis meses a dos años. Atendidas las reglas establecidas en el artículo 66 bis, los jueces y tribunales podrán asimismo imponer las penas recogidas en las letras b) a g) del apartado 7 del artículo 33.
7. Si los hechos se realizan con fines lucrativos, se impondrán las penas respectivamente previstas en los apartados 1 al 4 de este artículo en su mitad superior. Si además afectan a datos de los mencionados en el apartado 6, la pena a imponer será la de prisión de cuatro a siete años.
Art. 197.3.
El hecho típico del injusto consiste en acceder sin autorización a datos o programas informáticos contenidos en un sistema, o parte del mismo, o mantenerse dentro del sistema contra la voluntad de quien tenga derecho a excluirlo, siempre que lo haga vulnerandolas medidas de seguridad establecidas para impedirlo.
Por consiguiente, para que se den los elementos del tipo, han de existir medidas de seguridad. Como quiera, que no se exige ningún nivel, entendemos que la mera existencia de cualquier medida de seguridad es suficiente. Solo no sería aplicable el tipo si no hubiese ninguna, lo que, en la práctica, no resulta fácil.
Art. 197.8
La modificación comentada, añade, además, un nuevo artículo, el 570 bis que, en su apartado 1, párrafo segundo, dice “A los efectos de este Código se entiende por organización criminal la agrupación formada por más de dos personas con carácter estable o por tiempo indefinido, que de manera concertada y coordinada se repartan diversas tareas o funciones con el fin de cometer delitos, así como de llevar a cabo la perpetración reiterada de faltas”.
Las características del mundo cibernético hacen que la organización criminal en este ámbito sea distinta, al menos, en lo que se refiere al carácter estable o tiempo indefinido, con lo que, lo dispuesto en este nuevo artículo será de una utilidad relativa en el ámbito del crimen organizado de naturaleza cibernética.
Consideramos más adecuada –y útil- para la lucha contra la delincuencia organizada cibernética, la redacción que da la Convención Contra la Delincuencia Organizada Transnacional de Naciones Unidas, para la que, por “grupo estructurado” se entenderá “un grupo que no está formado fortuitamente para la comisión inmediata de un delito, aunque no es necesario que haya asignado a sus miembros papeles determinados, tenga continuidad en su composición o una estructura desarrollada”.
Por cuanto se refiere a este artículo, tal vez convenga recordar lo dispuesto en el artículo 198 del mismo cuerpo legal –aunque no haya sido modificado- según el cual: “La autoridad o funcionario público que, fuera de los casos permitidos por la Ley, sin mediar causa legal por delito, y prevaliéndose de su cargo, realizare cualquiera de las conductas descritas en el artículo anterior, será castigado con las penas respectivamente previstas en el mismo, en su mitad superior y, además, con la de inhabilitación absoluta por tiempo de seis a doce años”.
Hemos de señalar que, en los apartados descritos, la conducta punible consiste en acceder a datos o permanecer en un ordenador sin autorización, siempre que para ello, se hayan vulnerado medidas de seguridad.
A nuestro entender, la vulneración de las medidas de seguridad debería ser en si mismo punible, con independencia de que se acceda o no a datos y se permanezca o no dentro del ordenador.
La pena será de seis meses a dos años.
Cuando sea una persona jurídica, la pena será de multa de seis meses a dos años y, la cuota diaria de la cuantía de la multa puede ir de 30 a 5.000 euros.
B) Llaves falsas.
El artículo 239 del Código Penal se modifica y queda redactado como sigue: “Se considerarán llaves falsas:
A los efectos del presente artículo, se considerarán llaves las tarjetas, magnéticas o perforadas, los mandos o instrumentos de apertura a distanciaycualquier otro instrumento tecnológico de eficacia similar”.
Aunque en un sistema de cifra electrónica, las claves tendrían cabida dentro del concepto de “instrumento” y así lo viene recogiendo la jurisprudencia, en los sistemas de cifra manual, esa interpretación sería más difícil, por lo que, consideramos que el precepto quedaría mucho más completo si expresamente atribuyera, de forma expresa, la condición de llave falsa a las “claves criptográficas y todos sus componentes, contraseñas, password, etc”, lo que tendría efecto, principalmente, en la función pedagógica del Derecho. De igual modo, tal vez habría que hacer referencia a la eliminación de la protección electromagnética o, en su caso, dar una redacción omnicomprensiva en la que tengan cabida todos los procedimientos de bloqueo y desbloqueo de los sistemas de protección.
C) Estafa informática.
El artículo 248 del Código Penal queda redactado como sigue: “1. Cometen estafa los que, con ánimo de lucro, utilizaren engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno.
2. También se consideran reo de estafa:
a) Los que con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro.
c) Los que utilizando tarjetas de crédito, débito, o cheques de viaje, o los datos obrantes en cualquiera de ellos, realicen operaciones de cualquier clase en perjuicio de su titular o de un tercero”.
El elemento central de la estafa informática está constituido por algunas de las tres conductas siguientes: la utilización dealguna manipulación informática o artificio semejante; fabricar, introducir, poseer o facilitar programas informáticos destinados a conseguir una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro, y la utilización de tarjetas de crédito, débito, o cheques de viaje, o los datos obrantes en cualquiera de ellospara realizar operaciones en perjuicio de un tercero.
La estafa realizada a través de alguno de estos medios es lo que se conoce como estafa informática, y viene a ser una novedad en el ordenamiento penal.
D) Daños.
El artículo 264 del Código Penal queda redactado así: “1. El que por cualquier medio, sin autorización y de manera grave borrase, dañase, deteriorase, alterase, suprimiese, o hiciese inaccesibles datos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido fuera grave, será castigado con la pena de prisión de seis meses a dos años.
3. Se impondrán las penas superiores en grado a las respectivamente señaladas en los dos apartados anteriores y, en todo caso, la pena de multa del tanto al décuplo del perjuicio ocasionado, cuando en las conductas descritas, concurra algunas de las siguientes circunstancias:
La modificación del artículo 264 del CP es de gran importancia desde el punto de vista que nos ocupa, en lo que se refiere a la seguridad de las tecnologías de la información.
1. La conducta típica del injusto del punto 1, consiste en borrar, dañar, deteriorar, o hacer inaccesibles datos, programas y documentos informáticos, utilizando cualquier medio y sin disponer de autorización.
Esta conducta está castigada con pena de prisión de seis meses a dos años.
2. La conducta típica del injusto del punto 2, consiste en introducir, transmitir, dañar, borrar, deteriorar, alterar, suprimir o hacer inaccesible datos informáticos, utilizando cualquier medio, y careciendo de autorización, cuyo resultado sea obstaculizar o interrumpir, de manera grave, el funcionamiento de un sistema informático ajeno.
Esta conducta está castigada con la pena de prisión de seis meses a tres años.
3. El punto 3, se refiere a un tipo cualificado, configurado por la realización de conductas a las que se refieren los apartados anteriores, cuando en ellas de ellas concurra alguna la circunstancia de que:
i. Se hubiera cometido en el marco de una organización criminal, entendida en el sentido del artículo 570, bis.
ii. Se hayan causado daños de especial gravedad o hayan afectado a los intereses generales.
La conducta típica, cualificada, a la que se refiere este punto está castigada con las penas superiores en grado a las señaladas, respectivamente, en los puntos 1 y 2 y, en todo caso, la de multa del tanto al décuplo del perjuicio ocasionado por las conductas típicas.
De acuerdo con lo previsto en el artículo 70 del CP, la pena superior en grado de la de seis meses a dos años del punto 1, es una pena de dos años y un día a tres años.
Y la pena superior en grado de la de seis meses a tres años, del punto 2, es una pena de tres años y un día a cuatro años y medio.
4. Cuando sea una persona jurídica la responsable de la comisión de los delitos indicados, se impondrán las siguiente penas:
a. Multa del doble al cuádruplo del perjuicio causado, si el delito cometido tiene prevista una pena de prisión de más de dos años.
b. Multa del doble al triple del perjuicio causado, en el resto de los casos.
II.Insuficiencia normativa.
Si bien es cierto que las modificaciones normativas introducidas en el Código Penal constituyen un importante avance por lo que se refiere a la protección penal de la seguridad de la información y las comunicaciones, que se viene a unir a otras modificaciones anteriores, no es menos cierto que la normativa penal española es insuficiente en este ámbito.
Hemos de resaltar la ausencia de proyección de las modificaciones experimentadas en ámbitos tan esenciales para la convivencia y, por consiguiente, tan necesitados de regulación penal como:
- Delitos contra la Administración pública (Título XIX, Libro II).
- Delitos contra la Administración de Justicia (Título XX, Libro II).
- Delitos contra la Constitución (Título XXI, Libro II).
- Delitos contra el orden público (Título XXII, Libro II).
- Delitos de traición y contra la paz o la independencia del Estado y relativos a la Defensa Nacional. (Libro XXIII, Libro II).
- Delitos contra la Comunidad Internacional (Título XXIV, Libro II).
- Faltas reguladas en el Libro III.
A tenor del uso generalizado de las tecnologías de la información y las comunicaciones en nuestra sociedad, en el Estado y en la Comunidad Internacional, y la necesidad que estas tecnologías tienen de seguridad, así como las amenazas y riesgos que comporta su utilización para la comisión de actos delictivos, consideramos necesario introducir su regulación penal en los ámbitos indicados, bien mediante tipos penales específicos, bien mediante la implantación de tipos penales cualificados, a través de una exhaustiva revisión de todos los delitos y faltas que integran los capítulos de los títulos indicados, y su adecuación a la nueva sociedad cibernética en la que estamos inmersos.
De igual modo, tal vez la regulación penal de tipos específicos no sea suficiente y, la nueva realidad, requiera introducir en el código penal, nuevos conceptos jurídicos –y su protección- (activo de información, seguridad cibernética, seguridad de la información y las comunicaciones, seguridad de la red, estructura nacional cibernética, estructura internacional cibernética, infraestructuras críticas, conductas contrarias a la seguridad cibernética, dimensión global de este fenómeno, guerra cibernética, terrorismo cibernético, acto cibernético de guerra, ataque cibernético, patrimonio tecnológico mundial, infraestructura mundial de tecnología, deber de información de ataques cibernéticos, paz digital, etc.)
III.La seguridad cibernética como bien jurídico protegido.
La necesidad de justificar y explicar ante la sociedad las razones de la intervención del Derecho penal, se articula en torno al concepto de “bien jurídico”, que se configura como legitimador del concepto de delito.
Siguiendo las teorías personalistas, el bien jurídico es un conjunto de intereses humanos dignos de protección.
La protección de las instituciones solo se justifica en tanto es condición de posibilidad de protección de la persona. El interés humano en el que consiste el bien jurídico, sería el valor que ha de tener protección preferente, de entre los concurrentes, en el caso de conflicto social.
Los bienes jurídicos individuales y los colectivos son distintas soluciones jurídicas a diferentes situaciones sociales, con unidad de fin de justificación y de criterios de aplicación.
El bien jurídico colectivo opera a modo de barrera de protección jurídica anticipada, a la lesión de bienes jurídicos individuales. Y no todos los bienes jurídicos colectivos sitúan su barrera de protección en el mismo momento, sino que existen unos que actúan más adelantados que otros.
La sectorización de la protección, supone la existencia de bienes jurídicos para determinados ámbitos de riesgo.
Además de los bienes jurídicos colectivos o supraindividuales, existen otras fórmulas de protección, mediante la construcción de tipos de peligro o delitos de peligro.
Como resultado de la coordinación de estos criterios surgen bienes jurídicos cada vez más alejados del bien jurídico básico, del que tendrán carácter subsidiario, pero con respecto al cual se comportarán de forma independiente y autónoma.[1]
El bien jurídico considerado como unidad funcional valía para la sociedad, regida constitucionalmente y, por tanto, valioso, también para los ciudadanos individualmente considerados, no es algo estático, sino que evoluciona según el desarrollo de la sociedad, proporcionando un “presupuesto para la vida en común próspera, de individuos libres en una sociedad estatal” (Roachim), requiere de una delimitación precisa, diferenciada de las ideas morales, que seleccione daños y amenazas que se pueden sufrir de forma real.
Las característica del Ciberespacio, hace que la seguridad cibernética juegue un papel central en su aplicación en el contexto de un Estado de Derecho, así como en el juego de relaciones internacionales, llegando a ser una constante, presente, de una u otra forma, en todos los intereses en juego del nuevo ámbito relacional cibernético.
Esta omnipresencia de las relaciones cibernéticas, en todos sus aspectos, técnicos, sociológicos, jurídicos, económicos y políticos, hace emerger al Ciberespacio –y las relaciones electrónicas que lo sustentan- como un nuevo valor, un nuevo bien jurídico digno de protección –barrera de protección jurídica anticipada- , de carácter universal, que deberá servir para configurar nuevos tipos penales, con independencia de los ya existentes y, entre los que destaca por su importancia para hacer viable el bien principal, la seguridad cibernética y el derecho al uso seguro de Internet.
La seguridad cibernética como garante de un estándar de seguridad colectiva en el ámbito relacional constituido por el Ciberespacio, es un área de confluencia de intereses de la más variada índole (públicos y privados, estatales, comerciales, industriales, individuales, sociales, militares, de inteligencia o policiales).
La seguridad cibernética es un bien jurídico que adquiere una dimensión institucional y supraindividual, cuyo objeto jurídico de protección inmediato es la seguridad colectiva, lo que no impide que determinados bienes jurídicos individuales constituyan un objeto inmediato de protección, en una situación valorativa en relación al bien supraindividual.
Los bienes jurídicos son unidades funcionales relativas, referidos al orden social del momento, y sus objetivos.
La seguridad cibernética es una entidad nueva de protección, referida a los procesos y funciones que ha de cumplir el sistema, para que estén aseguradas las bases y condiciones, esencialmente los bienes jurídicos individuales.
Frente a los medios de comisión cibernéticos, de gran potencia lesiva, la seguridad cibernética tiene entidad suficiente para recibir un tratamiento autónomo como bien jurídico penalmente relevante.
Como bien jurídico, junto a los intereses individuales protegidos, se puede percibir algo que transciende y que se podría definir como “el derecho que todos tienen para el desenvolvimiento normal de sus vidas en paz, sosiego, bienestar y tranquilidad” (STS de 9 de octubre de 1984) en el ámbito del Ciberespacio.[2]
Por todo ello, tal vez sería conveniente establecer en el Código Penal, un tipo específico, relativo a los delitos contra la seguridad cibernéticas, en el Título relativo a los delitos contra la seguridad colectiva, que conviviría con subtipos referidos a bienes jurídicos individualizados como la libertad de expresión, la privacidad, la intimidad, el secreto de las comunicaciones, la seguridad del Estado, la prevención y persecución del delito, o los datos de carácter personal, u otros.
IV. Derecho penal cibernético.
El alcance y profundidad de la regulación penal requerida a consecuencia de la impregnación cibernética en la vida de la Sociedad, del Estado y de los Individuos, permite vislumbrar que estamos ante el nacimiento del Derecho Penal Cibernético, como una gran especialidad dentro del Derecho Penal, a modo de cómo lo son: Extranjería, Medio Ambiente, Seguridad Vial, Menores, Vigilancia Penitenciaria, Delitos Económicos, etc.
El fenómeno cibernético requiere enfoques “micro” y “macro” y, articular su dimensión penal. Con las regulaciones penales introducidas –tanto las derivadas de la última reforma del CP, como las anteriores- contempla solo algunos aspectos puntuales, de una y otra dimensión, pero no responde a un enfoque integral del fenómeno y su repercusión penal.
Por ello, entendemos, el fenómeno cibernético debe ser abordado en toda su amplitud y dimensión y proyectarlo en su aspecto penal, lo que requiere un profundo estudio desde esta óptica y plasmar sus consecuencias en el texto del Código Penal.
[1] Paz M. de la Cuesta Aguado, “Norma primaria y bien jurídico: su incidencia en la configuración del injusto”.
[2] “Comentarios a la Parte Especial del Derecho Penal”, Gonzalo Quintero Olivares y otros, Editorial Aranzadi, Pamplona 1996.

References: artículo 24
 artículo 27
 artículo 29
 artículo 35
 artículo 36
 artículo 37
 artículo 197
 artículo 197
 artículo 197
 artículo 197
 artículo 197
 artículo 197
 artículo 31
 artículo 66
 artículo 33
 artículo 197
 artículo 31
 artículo 66
 artículo 33
 artículo 198
 artículo 239
 artículo 248
 artículo 264
 artículo 264
 artículo 570
 artículo 70