El Ministerio Federal de Justicia de Alemania ha presentado un proyecto de ley con el objetivo de brindar protección legal a los investigadores de seguridad que descubren e informan responsablemente vulnerabilidades en sistemas informáticos. La iniciativa busca excluir de responsabilidad penal a quienes realicen estas acciones dentro de los límites establecidos.
Exención de responsabilidad penal
Según el proyecto, las personas que llevan a cabo investigaciones de seguridad con fines legítimos, como identificar y reportar vulnerabilidades, no serán sancionadas penalmente. El Ministro Federal de Justicia, Dr. Marco Buschmann, destacó en un comunicado que quienes buscan cerrar brechas de seguridad merecen reconocimiento, no una carta del fiscal.
El proyecto modifica el artículo 202a del Código Penal (StGB) para proteger a los investigadores de seguridad informática, así como a las empresas y a los llamados «hackers», siempre que sus acciones se realicen con intención de detectar y reportar vulnerabilidades.
Condiciones para la investigación de seguridad
Para que una acción sea considerada legal, debe cumplir ciertos criterios. Entre ellos:
- La acción debe realizarse con el objetivo de identificar una vulnerabilidad u otro riesgo de seguridad en un sistema informático.
- El investigador debe tener la intención de informar la vulnerabilidad a una entidad responsable, como el operador del sistema, el fabricante del software o la Oficina Federal de Seguridad de la Información (BSI).
- El acceso al sistema debe ser necesario para identificar la vulnerabilidad. Esto garantiza que la exención solo se aplique en la medida necesaria para las pruebas de seguridad.
- La misma exclusión de responsabilidad penal se aplica a los delitos relacionados con la interceptación de datos (§ 202b StGB) y la modificación de datos (§ 303a StGB), siempre que las acciones correspondientes se consideren autorizadas.
Sanciones para actos graves de espionaje e interceptación de datos
El proyecto introduce una pena que oscila entre tres meses y cinco años de prisión para los casos graves de espionaje e interceptación de datos maliciosos (§ 202a StGB). Los casos considerados graves incluyen:
- El delito produce daños económicos sustanciales.
- El acto fue motivado por un afán de lucro, realizado a escala comercial o como parte de una organización criminal.
- Casos que comprometan infraestructura crítica, como hospitales, proveedores de energía o redes de transporte, o afecten la seguridad de Alemania o uno de sus estados, incluidos ataques provenientes del extranjero.
Más detalles sobre el proyecto de ley y las enmiendas propuestas están disponibles aquí.
El Departamento de Justicia de EE.UU. anunció una revisión similar de la Ley de Abuso y Fraude Informático (CFAA) en mayo de 2022, introduciendo exclusiones de procesamiento para investigadores de seguridad de «buena fe».