Bl0ckch41nnewsAlemania redacta una ley para PROTEGER a los investigadores que encuentren fallos de seguridad

El Ministerio Federal de Justicia de Alemania ha redactado una
ley para brindar protección legal a los investigadores de seguridad que
descubren e informan responsablemente vulnerabilidades de seguridad a los
proveedores.

Cuando la investigación de seguridad se lleve a cabo dentro de los límites
especificados, los responsables quedarán excluidos de responsabilidad penal y
del riesgo de procesamiento.

«Quienes quieren cerrar las brechas de seguridad informática merecen
reconocimiento, no una carta del fiscal», afirmó el Ministro Federal de Justicia, Dr. Marco Buschmann.
«Con este proyecto de ley eliminaremos el riesgo de responsabilidad penal
para las personas que asumen esta importante tarea», menciona el Ministro en el mismo comunicado.

Además, la enmienda propuesta a la ley penal introduce sanciones más estrictas
para casos graves de espionaje e interceptación de datos, particularmente
cuando el objetivo es infraestructura crítica.

Proteger a los investigadores de seguridad

El nuevo proyecto de ley modifica el artículo 202a del Código Penal (StGB)
para proteger a los investigadores de seguridad informática, a las empresas y
a los llamados «hackers» de las sanciones previstas en el derecho penal
informático.

Esto aplica cuando sus acciones se realizan para detectar y cerrar una
vulnerabilidad de seguridad, siempre y cuando no sean consideradas «no
autorizadas».

Los criterios a cumplir para la investigación de seguridad son los siguientes:

• La acción debe realizarse con el objetivo de identificar una vulnerabilidad
  u otro riesgo de seguridad en un sistema informático.
• El investigador debe tener la intención de informar la vulnerabilidad de
  seguridad identificada a una entidad responsable capaz de abordar el
  problema, como el operador del sistema, el fabricante del software o la
  Oficina Federal de Seguridad de la Información (BSI).
• El acto de acceder al sistema debe ser necesario para identificar la
  vulnerabilidad. Esto garantiza que la exención solo se aplique en la medida
  necesaria para las pruebas de seguridad, sin acceso innecesario o excesivo.
• La misma exclusión de responsabilidad penal se aplica también a los delitos
  relacionados con la interceptación de datos (§ 202b StGB) y la modificación
  de datos (§ 303a StGB), siempre que las acciones correspondientes se
  consideren autorizadas.

Al mismo tiempo, el proyecto de ley introduce una pena que oscila entre tres
meses y cinco años de prisión para los casos graves de espionaje e
interceptación de datos maliciosos (§ 202a StGB).

En cuanto a lo que constituye un caso grave, el proyecto de ley menciona los
siguientes casos:

• El delito produce daños económicos sustanciales.
• El acto fue motivado por un afán de lucro, realizado a escala comercial o
  como parte de una organización criminal.
• Casos que comprometan infraestructura crítica (como hospitales, proveedores
  de energía o redes de transporte) o afecten la seguridad de Alemania o uno
  de sus estados, incluidos ataques provenientes del extranjero.

Más detalles sobre el proyecto de ley y las enmiendas propuestas están
disponibles
aquí.

El Departamento de Justicia de EE.UU. anunció una revisión similar de la Ley
de Abuso y Fraude Informático (CFAA) en mayo de 2022, introduciendo
exclusiones de procesamiento
para investigadores de seguridad de «buena fe».

Fuente:
BC

Source link