El Ministerio Federal de Justicia de Alemania ha redactado una ley para brindar protección legal a los investigadores de seguridad que descubren e informan responsablemente vulnerabilidades de seguridad a los proveedores.
Cuando la investigación de seguridad se lleve a cabo dentro de los límites especificados, los responsables quedarán excluidos de responsabilidad penal y del riesgo de procesamiento.
"Quienes quieren cerrar las brechas de seguridad informática merecen reconocimiento, no una carta del fiscal", afirmó el Ministro Federal de Justicia, Dr. Marco Buschmann. "Con este proyecto de ley eliminaremos el riesgo de responsabilidad penal para las personas que asumen esta importante tarea", menciona el Ministro en el mismo comunicado.
Además, la enmienda propuesta a la ley penal introduce sanciones más estrictas para casos graves de espionaje e interceptación de datos, particularmente cuando el objetivo es infraestructura crítica.
Proteger a los investigadores de seguridad
El nuevo proyecto de ley modifica el artículo 202a del Código Penal (StGB) para proteger a los investigadores de seguridad informática, a las empresas y a los llamados "hackers" de las sanciones previstas en el derecho penal informático.
Esto aplica cuando sus acciones se realizan para detectar y cerrar una vulnerabilidad de seguridad, siempre y cuando no sean consideradas "no autorizadas".
Los criterios a cumplir para la investigación de seguridad son los siguientes:
- La acción debe realizarse con el objetivo de identificar una vulnerabilidad u otro riesgo de seguridad en un sistema informático.
- El investigador debe tener la intención de informar la vulnerabilidad de seguridad identificada a una entidad responsable capaz de abordar el problema, como el operador del sistema, el fabricante del software o la Oficina Federal de Seguridad de la Información (BSI).
- El acto de acceder al sistema debe ser necesario para identificar la vulnerabilidad. Esto garantiza que la exención solo se aplique en la medida necesaria para las pruebas de seguridad, sin acceso innecesario o excesivo.
- La misma exclusión de responsabilidad penal se aplica también a los delitos relacionados con la interceptación de datos (§ 202b StGB) y la modificación de datos (§ 303a StGB), siempre que las acciones correspondientes se consideren autorizadas.
Al mismo tiempo, el proyecto de ley introduce una pena que oscila entre tres meses y cinco años de prisión para los casos graves de espionaje e interceptación de datos maliciosos (§ 202a StGB).
En cuanto a lo que constituye un caso grave, el proyecto de ley menciona los siguientes casos:
- El delito produce daños económicos sustanciales.
- El acto fue motivado por un afán de lucro, realizado a escala comercial o como parte de una organización criminal.
- Casos que comprometan infraestructura crítica (como hospitales, proveedores de energía o redes de transporte) o afecten la seguridad de Alemania o uno de sus estados, incluidos ataques provenientes del extranjero.
Más detalles sobre el proyecto de ley y las enmiendas propuestas están disponibles aquí.
El Departamento de Justicia de EE.UU. anunció una revisión similar de la Ley de Abuso y Fraude Informático (CFAA) en mayo de 2022, introduciendo exclusiones de procesamiento para investigadores de seguridad de "buena fe".
Fuente: BC