Tecnología 4 min read 2h ago

Hackers éticos reclaman reforma legal

La Gesellschaft für Informatik ha publicado un libro blanco que exige al Gobierno alemán reformar los artículos 202a-202c del Código Penal, que criminalizan herramientas usadas en
El documento propone que la intención de causar daño sea un requisito explícito del delito y que quien notifique vulnerabilidades de forma responsable quede exento de
La GI señala a Polonia, Bélgica y Portugal como modelos de marcos legales que ya protegen el hacking ético, y urge actuar antes de que entre en vigor el Cyber Resilience Act

Quien descubra una vulnerabilidad en sistemas informáticos alemanes y la comunique responsablemente al fabricante o a las autoridades competentes puede terminar sentado frente a un juez. Ese es el escenario que describe la Gesellschaft für Informatik (GI), la principal asociación de profesionales de la informática en Alemania, en un documento de posición —un libro blanco— elaborado junto con socios del sector industrial, la investigación en ciberseguridad y organizaciones no gubernamentales de política digital, y en el que se reclama una reforma urgente del derecho penal informático del país.

Diecisiete años de ambigüedad jurídica

Desde su introducción en 2007, los denominados Hackerparagrafen —los artículos 202a a 202c del Código Penal alemán (StGB)— han generado una controversia persistente. El artículo 202c es el más cuestionado: tipifica como delito la mera provisión y uso de herramientas que, según el libro blanco, resultan imprescindibles para cualquier análisis de seguridad serio. La ley, según el análisis de la GI, no distingue con suficiente claridad entre la intención criminal de causar daño y el trabajo legítimo de los denominados white-hat hackers, cuya labor contribuye a proteger infraestructuras digitales críticas.

Un caso citado en el documento ilustra las consecuencias prácticas: la condena relacionada con el software Modern Solutions, en la que un investigador que detectó y notificó una brecha de seguridad acabó procesado penalmente. Este tipo de precedentes, sostiene la GI, genera un efecto disuasorio que lleva a que alertas de seguridad valiosas queden sin tramitar o deban canalizarse a través de intermediarios anónimos para evitar represalias legales.

Ad Unit · 728×90 / Responsive

Las propuestas del libro blanco

La GI y sus coautores advierten de que una intervención puntual en el código penal no bastaría. La reforma, proponen, debe ser integral. En primer lugar, se requeriría que la intención específica de causar un perjuicio figure expresamente como elemento constitutivo del delito, de manera que quien notifique una vulnerabilidad de forma ordenada quede amparado frente a acciones penales. En paralelo, el documento demanda que ámbitos adyacentes —el derecho de autor, la legislación sobre secretos comerciales y la normativa de protección de datos— sean adaptados para que prácticas habituales en la investigación de seguridad, como la descompilación de código o el análisis de conexiones inalámbricas sin cifrar, dejen de considerarse infracciones legales.

El libro blanco señala que países vecinos como Polonia, Bélgica y Portugal ya han articulado marcos jurídicos que permiten el hacking ético sin obstaculizar la persecución de la ciberdelincuencia, y los presenta como modelos de referencia para el legislador alemán. El contexto global de amenazas persistentes impulsadas por inteligencia artificial refuerza, según la GI, la urgencia de contar con investigadores de seguridad activos y protegidos jurídicamente.

Cultura de notificación y reconocimiento institucional

Más allá de las reformas legislativas, la asociación impulsa el desarrollo de una cultura de notificación que transforme la relación entre investigadores y organizaciones. En lugar de responder a los hallazgos de vulnerabilidades con denuncias penales, empresas y organismos públicos deberían concebir ese trabajo como un servicio de seguridad gratuito. Para ello, el libro blanco recomienda la adopción generalizada de procesos estandarizados, como la publicación del archivo security.txt y la implantación de procedimientos de Coordinated Vulnerability Disclosure (CVD). Iniciativas como los programas de reconocimiento público gestionados por el Bundesamt für Sicherheit in der Informationstechnik (BSI) o los programas estatales de bug bounty contribuirían, según la GI, a elevar el prestigio social de los expertos en seguridad.

La asociación insta a la Bundesregierung a actuar con celeridad, en particular ante la inminente entrada en vigor de nuevas regulaciones europeas como el Cyber Resilience Act (CRA), y a inaugurar un proceso de reforma con participación de todos los actores implicados, tal como quedó comprometido en el acuerdo de coalición gubernamental.

##Ciberseguridad ##HackersÉticos ##ReformaLegal

Ad Unit · 300×250 / Responsive