¿Qué delitos define el Código Penal?
Intrusión informática según el artículo 138ab Sr.
El delito central es el delito de intrusión informática (computervredebreuk). El artículo 138ab Sr castiga a quien, de forma intencionada e ilícita, acceda a un sistema automatizado, total o parcialmente, mediante la vulneración de una medida de seguridad, una intervención técnica, señales falsas, una clave falsa o la suplantación de identidad. En la práctica, se requieren dos elementos: la intencionalidad y la ilicitud, es decir, la ausencia de un derecho derivado del consentimiento, un contrato o una ley. No es necesario causar daños: el delito se consuma con el acceso, y la pena máxima en este caso es de dos años de prisión. La pena aumenta cuanto más se produzcan los daños. Si el intruso copia o graba posteriormente datos del sistema, la pena máxima asciende a cuatro años. Se aplica la misma pena máxima cuando el acceso se obtiene a través de una red pública de telecomunicaciones y el infractor utiliza la capacidad de procesamiento del sistema o accede a otro sistema. Cuando el delito se comete en beneficio de una potencia extranjera, la pena máxima se incrementa en un tercio.Obstrucción de un sistema según el artículo 138b Sr
Los ataques de denegación de servicio están contemplados en el artículo 138b Sr, que penaliza la transmisión intencional e ilícita de datos a un sistema automatizado cuando esto obstruya el acceso al mismo o su uso. La pena máxima básica es de dos años. Esta se incrementa a tres años cuando se ve afectado un número considerable de sistemas o cuando el infractor pretendía obtener una ventaja ilícita, y a cinco años cuando el acto causa daños graves o está dirigido a un sistema que presta servicios a infraestructuras vitales. La intención terrorista eleva aún más la pena máxima.Intercepción en virtud de los artículos 139c a 139e Sr.
El artículo 139c Sr prohíbe la interceptación o grabación, por medios técnicos, de datos que no estén destinados a la persona interesada y que se procesen o transmitan a través de telecomunicaciones o un sistema automatizado. El plazo máximo es de dos años. El artículo contiene excepciones expresas: recepción de señales de radio sin esfuerzo especial, interceptación por parte del titular legítimo de la conexión, salvo que sea claramente abusiva, e interceptación realizada para el funcionamiento de una red, para una investigación criminal o en virtud de la Ley de Servicios de Inteligencia y Seguridad de 2017. El artículo 139d Sr trata sobre la preparación. Abarca la colocación de equipos de grabación con la intención de permitir la interceptación ilícita, así como la fabricación, adquisición, distribución o posesión de un dispositivo técnico diseñado principalmente para cometer un delito tipificado en los artículos 138ab, 138b o 139c Sr, o la posesión de contraseñas y códigos de acceso con esa misma intención. El plazo máximo es de dos años y se amplía a cuatro cuando la preparación se relaciona con las formas agravadas de intrusión informática. El artículo 139e Sr castiga entonces el manejo de los resultados: poseer un soporte de datos con datos interceptados ilegalmente, divulgar dichos datos o transmitirlos, con una pena máxima de seis meses.Datos perjudiciales según los artículos 350a a 350d Sr
Cuando el ataque destruye en lugar de leer, se aplica el Título XXVII. El artículo 350a Sr castiga la alteración, eliminación o inaccesibilidad intencional e ilícita de datos, con un máximo de dos años, y eleva el máximo a cuatro años por poner a disposición o distribuir datos destinados a causar daños en un sistema automatizado, que es la disposición utilizada para el malware y el ransomware. El artículo contiene una excepción expresa para una persona que actuó para limitar el daño que dichos datos causarían. El artículo 350b Sr es la variante negligente, con un máximo mucho menor, y se aplica cuando un daño grave resulta de una conducta descuidada. El artículo 350c Sr abarca la destrucción, el daño o la inhabilitación de un sistema automatizado o equipo de telecomunicaciones y, por lo tanto, la obstrucción del almacenamiento, procesamiento o transferencia de datos. El artículo 350d Sr refleja el artículo 139d Sr en el lado preparatorio: producir, obtener, vender o poseer herramientas o códigos de acceso destinados a permitir un delito según los artículos 350a o 350c Sr. La entrada no autorizada es punible en sí misma según el artículo 138ab Sr, independientemente de que se copien o no datos y de que se produzcan o no daños.Dónde se traza la línea entre la investigación en seguridad y la intrusión informática.
La legislación neerlandesa no contempla ninguna exención general para los hackers éticos. Probar los sistemas de terceros es lícito porque está autorizado, no porque exista una buena intención. La cuestión decisiva, según el artículo 138ab Sr, es si el acceso fue ilícito, y el consentimiento elimina este elemento solo en la medida en que lo abarca. Por lo tanto, una prueba de penetración requiere un encargo por escrito que identifique los sistemas y direcciones incluidos, el período de ejecución, las técnicas permitidas y excluidas, el destino de los datos encontrados y a quién se debe informar. Si los sistemas están alojados por un tercero, este también debe dar su consentimiento, ya que el cliente no puede autorizarlo en su nombre. Fuera de una prueba por encargo, el marco de actuación es la divulgación coordinada de vulnerabilidades. Muchas organizaciones neerlandesas publican una política que establece cómo se puede informar de una vulnerabilidad y qué medidas se comprometen a tomar a cambio, y la autoridad nacional de ciberseguridad ha publicado directrices sobre dichas políticas. Una política de este tipo no crea inmunidad: el enjuiciamiento sigue siendo legalmente posible, y el Ministerio Público (Openbaar Ministerie) evalúa si procede iniciarlo. En esa evaluación, los factores que tienen peso son si el descubridor actuó en interés público, si la intrusión no fue más allá de lo necesario para demostrar la vulnerabilidad, si se copiaron, publicaron o retuvieron datos, y si el informe se presentó de forma rápida y directa a la organización en cuestión. Un investigador que sobrepasa esos límites, o que impone condiciones al informe, pasa de la divulgación a los delitos descritos anteriormente. El mismo razonamiento se aplica a los empleados y exempleados. Los derechos de acceso finalizan cuando termina el puesto, y seguir utilizando una cuenta antigua o la contraseña de un compañero constituye un acceso mediante clave falsa en el sentido del artículo 138ab Sr, incluso cuando el sistema se utilizaba legalmente todos los días.
Fraude cometido por medios digitales
La mayoría de los casos digitales que llegan a la policía no son casos de piratería informática propiamente dicha, sino fraudes perpetrados mediante medios digitales, y se procesan conforme a las disposiciones habituales sobre fraude. El phishing, el fraude con facturas y las tiendas online fraudulentas se rigen por el artículo 326 Sr, que penaliza la obtención de bienes, servicios o deudas mediante un nombre falso, una falsa capacidad, astucia o una red de engaños. Cuando se utilizan datos personales identificativos de otra persona para inducir a error, el artículo 231b Sr tipifica un delito distinto. El blanqueo de capitales a través de cuentas o criptoactivos conlleva la aplicación de las disposiciones sobre blanqueo de capitales de los artículos 420bis a 420quater Sr, por lo que se procesa tanto a quienes prestan una cuenta bancaria como a quienes organizan el plan. La publicación de datos personales de otra persona con fines de intimidación constituye un delito distinto según el artículo 285d Sr, introducido a principios de 2024. La prueba de estos casos se basa principalmente en pruebas digitales: encabezados, registros, datos de IP, trazas de pago y la cronología de los hechos. Lo que eso significa en la práctica para una víctima que quiere ser creída se expone en nuestro artículo sobre fraude en línea y phishing.
Lo que la Ley de Ciberseguridad exige a las organizaciones
La Ley de Ciberseguridad neerlandesa (Cyberbeveiligingswet) está en vigor desde el 15 de agosto de 2026 e implementa la directiva europea NIS2. Funciona de manera diferente al Código Penal: no castiga a los atacantes, sino que impone obligaciones a las organizaciones atacadas. Las entidades que entran dentro de su ámbito de aplicación deben registrarse ante la autoridad nacional de ciberseguridad, adoptar las medidas técnicas y organizativas adecuadas para gestionar los riesgos para sus redes y sistemas de información, e informar sobre incidentes significativos, con una primera notificación en un plazo de 24 horas y un informe más completo en un plazo de 72 horas. La responsabilidad de las medidas recae en la dirección de la entidad, que también debe mantener sus conocimientos actualizados. Qué organizaciones están cubiertas y qué significa concretamente el deber de diligencia se detalla en nuestro artículo sobre NIS2 y la Ley neerlandesa de ciberseguridadEstas obligaciones se desarrollan paralelamente, y no en sustitución, de las obligaciones establecidas en el Reglamento General de Protección de Datos. Un incidente cibernético que involucre datos personales constituye una violación de datos personales, que debe notificarse a la Autoridad de Protección de Datos de los Países Bajos en un plazo de 72 horas, salvo que sea improbable que suponga un riesgo, y comunicarse a las personas afectadas cuando el riesgo para ellas sea elevado. Los dos regímenes de notificación tienen diferentes desencadenantes, destinatarios y plazos, y un incidente puede fácilmente activar ambos a la vez. El aspecto civil, incluyendo quién asume la pérdida cuando un proveedor o un prestador de servicios es el eslabón débil, se analiza en nuestro artículo sobre responsabilidad tras una violación de datos.
Facultades de investigación y cómo se desarrolla un caso
Desde que entró en vigor la tercera Ley de Delitos Informáticos en 2019, la policía cuenta con amplias facultades de investigación digital. En caso de delitos graves, los investigadores pueden acceder de forma remota a un sistema automatizado utilizado por un sospechoso y, una vez dentro, registrar datos o hacerlos inaccesibles. Esta facultad la ejerce el fiscal solo tras la autorización del juez de instrucción (rechter-commissaris), y su uso debe quedar registrado para que la defensa y el tribunal puedan revisarlo posteriormente. También se puede ordenar a un sospechoso que dé acceso a material cifrado en determinadas circunstancias, y se pueden incautar y examinar dispositivos. Dado que la conducta y sus efectos suelen producirse en países diferentes, la jurisdicción y la cooperación son tan importantes como el delito en sí. Los Países Bajos son parte del Convenio de Budapest del Consejo de Europa sobre la Ciberdelincuencia, utilizan la orden de investigación europea para la obtención de pruebas dentro de la Unión Europea y trabajan a través de Europol y su Centro Europeo de Ciberdelincuencia y mediante Eurojust cuando los procedimientos se llevan a cabo en varios Estados miembros a la vez, junto con la cooperación con INTERPOL Más allá de la Unión Europea. Para la persona investigada, las consecuencias prácticas son las habituales: el derecho a guardar silencio, el derecho a consultar y recibir asistencia legal antes y durante el interrogatorio, y un expediente que consta principalmente de material técnico que debe ser analizado en lugar de simplemente aceptado.Lo que puede hacer una víctima
Denuncie el incidente. Un informe policial (aangifte) es la base sobre la cual se puede abrir una investigación, y nuestra Guía para presentar una denuncia policial explica cómo se hace. Conserve la evidencia antes de reinstalar nada: archivos de registro, los sistemas afectados, encabezados de correo electrónico, referencias de pago y una cronología de lo que se observó y cuándo. Notifique al banco inmediatamente si se desviaron pagos, ya que una solicitud de recuperación rápida suele ser la única oportunidad de recuperar el dinero, e informe a la Autoridad de Protección de Datos si se vieron involucrados datos personales. Los procedimientos penales y la compensación son vías separadas que pueden combinarse. Una víctima puede unirse a los procedimientos penales como parte perjudicada y reclamar daños y perjuicios allí, lo cual es eficiente pero solo funciona para reclamaciones que no sobrecarguen indebidamente el caso penal. Las reclamaciones más grandes o controvertidas se presentan ante los tribunales civiles sobre la base de un acto ilícito según el artículo 6:162 del Código Civil, y se pueden utilizar procedimientos de medidas cautelares cuando el material debe retirarse rápidamente. Los pasos importantes en los primeros días después de un ataque se establecen en nuestro artículo para víctimas de ciberataques.Cómo Law & More ayuda
Law & More Asesoramos y representamos a clientes de ambas partes en estos casos: organizaciones que han sido atacadas y necesitan asegurar pruebas, cumplir con sus obligaciones de información y recuperar sus pérdidas, y personas o empresas sospechosas en una investigación penal por intrusión informática, daños a datos o fraude en línea. También revisamos las asignaciones de pruebas de penetración y las políticas de divulgación de vulnerabilidades antes de que comience el trabajo, momento en el que aún se puede eliminar la mayor parte del riesgo legal. abogados especializados en delitos cibernéticos Puede contactar con nosotros a través de los datos de contacto que aparecen en este sitio web.Leyes sobre ciberdelincuencia y piratería informática
¿Qué se considera ciberdelito según la legislación holandesa?
Se entiende por ciberdelincuencia cualquier actividad delictiva llevada a cabo a través de ordenadores, redes o internet, incluyendo el acceso no autorizado a sistemas informáticos, el robo de datos, el lanzamiento de ataques DDoS, el despliegue de ransomware y la comisión de fraudes en línea, todo ello detallado en el Código Penal.
¿Qué prohíbe exactamente la legislación holandesa sobre piratería informática?
Según el artículo 138ab del Código Penal, es ilegal acceder intencionadamente a sistemas informáticos, ya sea eludiendo las medidas de seguridad, utilizando credenciales falsas o explotando fallos de software.
¿Cuáles son las consecuencias empresariales de una filtración de datos en los Países Bajos?
Más allá de las pérdidas financieras inmediatas, las empresas suelen enfrentarse a costes adicionales para solucionar problemas, notificar a los clientes y gestionar los riesgos legales, además de una menor confianza del cliente, posibles daños a la reputación y posibles multas en virtud de leyes como el RGPD.
¿Se consideran los delitos cibernéticos como asuntos menores según la legislación neerlandesa?
No, estos delitos se toman muy en serio y se tratan como una actividad delictiva real con graves consecuencias legales, no como simples infracciones técnicas menores.
Cómo Law & More Podemos ayudarle con esto, como se explica en nuestra Abogado Penalista Desbobinador hidráulico de alta resistencia:Para bobinas de mayor peso o necesidades de automatización más elevadas, visite ladesbobinador hidráulico de alta resistencia.
