Proyecto castiga con cárcel entrar sin permiso a sistemas informáticos
El expediente 25362 propone agregar un artículo 231 bis al Código Penal para sancionar con prisión de seis meses a tres años a quien acceda sin autorización a un sistema informático.
Título oficial LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA
Atención: El proyecto crea penas de prisión de hasta cinco años y no define qué significa una infraestructura tecnológica "protegida", lo que deja abierto el alcance del delito.
La letra pequeña
Encontramos 2 artículos que no calzan con lo que el título de la ley promete. Cada uno viene con la frase exacta de la ley, para que usted juzgue.
El permiso está escrito en palabras tan amplias que casi no tiene límite.
A quién le sirve: Cualquier persona que use sistemas informáticos
El texto sanciona el acceso a una infraestructura tecnológica protegida, pero no explica qué características debe tener para considerarse protegida.
acceda de forma ilegítima a un sistema informático, base de datos, red o cualquier infraestructura tecnológica protegida
231 bis, texto oficial
Esto lo encontró un programa que leyó el texto completo de la ley y lo comparó con su título. No es una acusación ni una opinión legal. Lea la cita y el texto original y saque su propia conclusión.
A quién le toca
- Cualquier persona que acceda sin autorización a un sistema informático, base de datos o red
- Quienes trabajan en sistemas de energía, acueductos, finanzas, salud, telecomunicaciones, transporte, seguridad pública o defensa nacional
- Especialistas en ciberseguridad que detectan, analizan o reportan vulnerabilidades con autorización del titular
A quién beneficia
- Los especialistas en ciberseguridad quedan exceptuados de sanción si el titular del sistema los autorizó para evaluar o mejorar la seguridad
- Los titulares de sistemas pueden autorizar expresamente labores de detección y reporte de vulnerabilidades
Qué cambia
- La pena base es de seis meses a tres años de prisión
- La pena sube a tres a cinco años si la intrusión afecta servicios esenciales o críticos
- El proyecto no exige que la persona altere, extraiga o use la información para ser sancionada
- El texto no define qué significa una infraestructura tecnológica "protegida"
La explicación completa
Qué propone
El proyecto agrega un artículo 231 bis al Código Penal, Ley N.º 4573 del 4 de mayo de 1970 (art. único). Ese artículo nuevo sancionaría con prisión de seis meses a tres años a quien acceda sin autorización a un sistema informático, base de datos, red o infraestructura tecnológica protegida (art. 231 bis).
La sanción aplicaría aunque la persona no altere, extraiga, elimine, modifique ni use la información del sistema (art. 231 bis). El texto también cubre a quien "excediendo la que le fue otorgada" entre a esos sistemas.
La pena sube a tres a cinco años de prisión cuando la intrusión afecte sistemas vinculados a servicios esenciales o críticos, públicos o privados (art. 231 bis). El texto menciona infraestructuras del sector energético, acueductos, financiero, de salud, telecomunicaciones, transporte, seguridad pública o defensa nacional.
El artículo incluye una excepción. No habría sanción si la intrusión busca detectar, analizar o reportar vulnerabilidades, y el titular del sistema dio autorización expresa (art. 231 bis). Tampoco se sancionaría a técnicos autorizados directamente por el titular para evaluar o mejorar la seguridad informática.
El proyecto regiría a partir de su publicación (art. único).
A quién le toca
A cualquier persona que entre a un sistema informático, base de datos o red sin autorización o pasándose de la que tiene (art. 231 bis). La pena base es de seis meses a tres años de prisión.
A quienes trabajan en sistemas de servicios esenciales o críticos. Si la intrusión afecta esos sistemas, la pena va de tres a cinco años (art. 231 bis). El texto nombra los sectores energético, acueductos, financiero, salud, telecomunicaciones, transporte, seguridad pública y defensa nacional.
A los especialistas en ciberseguridad. El texto los exceptúa de sanción si el titular del sistema les dio autorización expresa o los autorizó directamente para evaluar o mejorar la seguridad (art. 231 bis).
En qué va el trámite
El expediente 25362 entró a la corriente legislativa el 18 de diciembre de 2025 1. El 12 de enero de 2026 Servicios Parlamentarios recibió el proyecto y el Plenario lo asignó a comisión.
El 29 de enero de 2026 el expediente se remitió a la comisión y el Área VII de Jurídicos lo recibió 1. El 4 de febrero de 2026 ingresó al orden del día y al debate en comisión.
El proyecto vence el 18 de diciembre de 2029 por el plazo cuatrienal 1. Para ser ley necesita dos debates en días distintos no consecutivos, la aprobación de la Asamblea y la sanción del Poder Ejecutivo Constitución, art. 124.
Frente a la Constitución
El Censo no encontró un choque directo entre el texto y los artículos de la Constitución en el dossier. El proyecto crea un delito y una pena, y el artículo 39 permite que a alguien se le imponga una pena por un delito sancionado por ley anterior Constitución, art. 39.
El artículo 41 garantiza que todos puedan encontrar reparación para daños en su persona, propiedad o intereses morales Constitución, art. 41. El proyecto no toca ese derecho.
Hay una duda sobre el alcance de la palabra "protegida". El texto sanciona el acceso ilegítimo a una infraestructura tecnológica protegida, pero no define qué significa protegida (art. 231 bis). Esa falta de definición podría generar discusión sobre qué sistemas quedan cubiertos.
Qué puede hacer usted
El proyecto está en comisión, así que lo primero es escribir o pedir audiencia a los diputados que la integran. La guía explica que cualquier ciudadano puede entrevistarse con los diputados y argumentar a favor o en contra del proyecto o de cambios guía, p. 29.
Segundo, siga el expediente en el Sistema de Información Legislativa. La Oficina de Iniciativa Popular brinda información sobre el estado de tramitación de los proyectos y las órdenes del día guía, p. 27.
Tercero, si quiere proponer cambios, sepa que las mociones de fondo las presentan los diputados en la comisión desde la publicación del proyecto y mientras no se hayan votado guía, p. 28. Usted puede llevar sus propuestas a los diputados para que las presenten.
Lo que no sabemos
El dossier no dice a qué comisión específica se asignó el expediente.
El dossier no incluye el informe técnico del Departamento de Servicios Técnicos sobre este proyecto.
El dossier no permite saber si el proyecto tiene dictamen de comisión.
El dossier no incluye grabaciones de la Asamblea sobre este expediente.
La Constitución y esta ley, lado a ladoHay dudas
El Censo no encontró un choque directo. Hay una duda sobre la falta de definición de "protegida" en el artículo 231 bis.
Constitución, art. 39"A nadie se hará sufrir pena sino por delito, cuasidelito o falta, sancionados por ley anterior y en virtud de sentencia firme dictada por autoridad competente, previa oportunidad concedida al indiciado para ejercitar su defensa y mediante la necesaria demostración de culpabilidad."
Esta ley, art. 231 bis"Será sancionado con pena de prisión de seis meses a tres años quien, sin autorización o excediendo la que le fue otorgada, acceda de forma ilegítima a un sistema informático, base de datos, red o cualquier infraestructura tecnológica protegida, independientemente de si altera, extrae, elimina, modifica o utiliza la información contenida en dicho sistema."
Sin choque aparente El proyecto crea un delito nuevo con su pena. El artículo 39 pide que la pena esté en una ley anterior al hecho, y eso se cumple si el proyecto se aprueba y publica antes de que ocurra la conducta.
Constitución, art. 41"Ocurriendo a las leyes, todos han de encontrar reparación para las injurias o daños que hayan recibido en su persona, propiedad o intereses morales."
Esta ley, art. 231 bis"La pena será de tres a cinco años de prisión cuando la intrusión afecte sistemas informáticos, bases de datos o redes vinculados a servicios esenciales o críticos, tanto públicos como privados, tales como infraestructuras del sector energético, acueductos, financiero, de salud, telecomunicaciones, transporte, seguridad pública o defensa nacional."
Sin choque aparente El proyecto no cierra la vía para que alguien afectado pida reparación. La pena penal no sustituye la reparación civil que garantiza el artículo 41.
Constitución, art. 24"Se garantiza el derecho a la intimidad, a la libertad y al secreto de las comunicaciones."
Esta ley, art. 231 bis"No será sancionable la conducta cuando la intrusión tenga como propósito la detección, análisis, o reporte de vulnerabilidades, siempre que: a) El titular del sistema informático, base de datos o red haya otorgado autorización expresa para realizar dichas actividades; o b) Se trate de técnicos autorizados directamente por el titular del sistema para ejecutar labores de evaluación o mejora en materia de seguridad informática."
Hay dudas La excepción del proyecto se apoya en la autorización del titular del sistema. Eso calza con el derecho a la intimidad, porque el titular decide quién puede entrar. Queda la duda de qué pasa si el titular no es la persona dueña de la información.
Esto es una lectura comparada, no un fallo. Solo la Sala Constitucional puede declarar una ley inconstitucional.
Fuentes
- Expediente 25362: LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA
- Constitución Política (texto vigente)
- Herramientas de participación ciudadana en Costa Rica
Límites de esta investigación
- No se encontraron grabaciones de la Asamblea que mencionen este expediente.
Investigado y verificado automáticamente el 2026-11-04. Cada cita textual se comprobó contra su fuente antes de publicar.
Texto oficial completo
Así lo publica la Asamblea Legislativa. Compárelo con el resumen de arriba: si algo no calza, créale al texto oficial.
Leer el texto completo
ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA
PROYECTO DE LEY
LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA
PODER EJECUTIVO
EXPEDIENTE N. º 25.362
DEPARTAMENTO DE SERVICIOS PARLAMENTARIOS ÁREA DE PROCESOS LEGISLATIVOS
PROYECTO DE LEY
LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA
Expediente N.º 25.362
ASAMBLEA LEGISLATIVA:
En un mundo cada vez más digitalizado, donde la tecnología es el pilar fundamental del desarrollo económico, social y cultural, garantizar la seguridad de los entornos informáticos se ha convertido en una prioridad de los Estados. En este contexto, la regulación y sanción de la intrusión informática resulta crucial, dado que esta conducta suele ser el primer paso hacia ataques informáticos más complejos, con consecuencias devastadoras tanto para los individuos como para las organizaciones.
El crecimiento exponencial del cibercrimen a nivel nacional y global, ha puesto en evidencia la vulnerabilidad de los sistemas informáticos, los cuales pueden ser objeto de intrusiones tanto a nivel doméstico, como provenientes de atacantes que operan en terceros países. Estas acciones maliciosas no solo comprometen la integridad, confidencialidad y disponibilidad de los sistemas, sino que también socavan la confianza en la infraestructura tecnológica, la cual es esencial para el desarrollo de una sociedad digital segura y resiliente.
La importancia de sancionar las intrusiones informáticas radica en prevenir y disuadir estas conductas, fomentando ambientes cibernéticos seguros y libres de vulneraciones externas, no sometiendo al tipo penal en cuestión a elementos subjetivo distintos al dolo, tal y como ha ocurrida en el pasado con otros delitos informáticos, en donde no en pocas ocasiones su investigación por dicha mala práctica legislativa, resulta complejo, en este proyecto se ha considerado una redacción clara y directa, enfocado en la realidad actual y futura de este tipo de acciones cibernéticas malintencionadas, en donde atacantes sin necesariamente desear obtener algún tipo de beneficio o acto adicional, ingresan sin autorización o excediendo la que les fuera otorgada a sistemas o redes informáticas que de previo se encuentran debidamente protegidas. Al mismo tiempo, el marco normativo propuesto garantiza que los especialistas en ciberseguridad puedan realizar labores de detección y reporte de vulnerabilidades con la autorización correspondiente, promoviendo la mejora continua en la protección de sistemas críticos.
En diversos países como España en el artículo 197 bis de su Código Penal, Argentina en el artículo 153 bis del Código Penal y Chile en el artículo 2 de la Ley 21.459, este tipo de conducta ya se encuentra debidamente regulado, con sanciones proporcionales y agravantes específicas para proteger infraestructuras críticas. Asimismo, el Ministerio Público, como autoridad central para el Convenio sobre la Ciberdelincuencia o Convenio de Budapest, debe destacar que al ser nuestro país un estado parte de dicho marco internacional, en éste se establece la necesidad de sancionar la intrusión informática como un paso esencial para abordar el fenómeno del cibercrimen de manera integral. Este convenio promueve la armonización de las legislaciones nacionales, facilitando la cooperación internacional en la investigación y persecución de estos delitos. Cuestión que así ocurre en el propio artículo 2 de dicho convenio y que fuera ratificado por nuestro país mediante Ley No 9452 del año 2017.
Al cumplir con los compromisos adquiridos bajo el Convenio de Budapest, Costa Rica no solo fortalece su marco legal interno, sino que también se posiciona como un actor ágil y eficaz en la cooperación internacional frente a los desafíos del cibercrimen.
Debe hacerse ver además, que el Convenio de Budapest, no es la única herramienta jurídica de carácter internacional que prevé la regulación de las intrusiones informáticas, por cuanto Costa Rica, participó activamente en la creación de una convención internacional de la Organización de las Naciones Unidas, que dio como resultado la aprobación por parte de la Asamblea General de las Naciones Unidad de la Convención de las Naciones Unidad contra la Ciberdelincuencia en donde en su artículo 7 justamente sanciona la delincuencia que se pretende incluir en este proyecto de ley a nuestro Código Penal.
El Ministerio de Innovación, Ciencia, Tecnología y Telecomunicaciones, como ente rector en materia de tecnologías de información y comunicación, por medio de su Dirección Nacional de Ciberseguridad ha reportado una gran cantidad de intrusiones informáticas en el país, lo que evidencia la urgencia de legislar esta conducta. Los datos recopilados por esta institución revelan la magnitud del problema y el impacto que tiene en las instituciones públicas, privadas y en la ciudadanía en general.
Los datos específicos proporcionados por el MICITT revelan la magnitud del problema de ciberseguridad en Costa Rica:
En 2024 se registraron 118,224,168 bloqueos de amenazas (incluyendo malware, comandos y control, criptominería y phishing), así como 2,775 reportes de incidentes provenientes de diversas instituciones públicas y privadas.
En el primer semestre de 2025, se han contabilizado 19,127,291 bloqueos de amenazas DNS, de los cuales la mayor proporción corresponde a actividades de criptominería con 9.3 millones y phishing con 5.3 millones. Durante este mismo periodo, las instituciones han reportado incidentes relacionados con seguridad informática, evidenciando un panorama de amenazas persistente que demanda mantener medidas de prevención y monitoreo continuo.
Estos indicadores demuestran el alcance y la gravedad de las amenazas digitales que enfrentan el país y justifican la urgencia de fortalecer la legislación en torno a las intrusiones informáticas y la protección de infraestructuras críticas. Además, según el último reporte del Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT), se evidencia un avance en el seguimiento a las instituciones, que ahora ascienden a un total de 281. De estas, un 17.4% se encuentran en cumplimiento pleno de las medidas básicas de ciberseguridad y un 36.7% presentan un estado avanzado. No obstante, un 5.0% de las instituciones mantienen un nivel crítico, mientras que un 11.7% están en riesgo y un 11.4% en estado intermedio. Por otra parte, un 17.8% permanece en condición desconocida, lo que indica que aún existe un porcentaje significativo de instituciones con brechas en la implementación y monitoreo de sus controles de seguridad.
Estos resultados reflejan la urgencia de fortalecer la protección digital nacional y la necesidad de incorporar sanciones más severas en la legislación sobre intrusiones informáticas, especialmente para los sistemas e infraestructuras críticas.
Además, esta propuesta enfatiza la necesidad de sancionar con mayor severidad las intrusiones que afecten sistemas críticos o infraestructuras críticas en donde no solo el marco de acción de éstas es sensible, sino que sus sistemas y datos también comparten dicha característica, éstos pueden ser definidos como aquellos cuya alteración, interrupción o destrucción podría comprometer la seguridad, el bienestar o la estabilidad del país. Ejemplos de estos sistemas incluyen los sectores energéticos, acueductos, financiero, de salud, telecomunicaciones, transporte, seguridad pública y defensa nacional. La protección de estas infraestructuras es vital, no solo por su importancia estratégica, sino también por el impacto directo que tienen en la vida cotidiana de la población.
En conclusión, la regulación del delito de intrusión informática representa un paso esencial para garantizar la seguridad digital en Costa Rica, cumplir con los compromisos internacionales adquiridos, y fortalecer la capacidad del país para prevenir, investigar y sancionar el cibercrimen en todas sus formas. Esta propuesta responde a una necesidad urgente de proteger los sistemas informáticos frente a conductas maliciosas, mientras se fomenta un entorno que permita el trabajo legítimo de especialistas en ciberseguridad.
LA ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA DECRETA:
LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA
ARTÍCULO ÚNICO- Adiciónese un artículo 231 bis al Código Penal, Ley N°. 4573 el 4 de mayo de 1970, el texto es el siguiente:
Artículo 231 bis. Intrusión Informática.
Será sancionado con pena de prisión de seis meses a tres años quien, sin autorización o excediendo la que le fue otorgada, acceda de forma ilegítima a un sistema informático, base de datos, red o cualquier infraestructura tecnológica protegida, independientemente de si altera, extrae, elimina, modifica o utiliza la información contenida en dicho sistema.
La pena será de tres a cinco años de prisión cuando la intrusión afecte sistemas informáticos, bases de datos o redes vinculados a servicios esenciales o críticos, tanto públicos como privados, tales como infraestructuras del sector energético, acueductos, financiero, de salud, telecomunicaciones, transporte, seguridad pública o defensa nacional.
No será sancionable la conducta cuando la intrusión tenga como propósito la detección, análisis, o reporte de vulnerabilidades, siempre que:
a) El titular del sistema informático, base de datos o red haya otorgado autorización expresa para realizar dichas actividades; o
b) Se trate de técnicos autorizados directamente por el titular del sistema para ejecutar labores de evaluación o mejora en materia de seguridad informática.”
Rige a partir de su publicación
RODRIGO CHAVES ROBLES
Paula Bogantes Zamora Ministerio De Ciencia, Innovación, Tecnología Y Telecomunicaciones
NOTA: Este proyecto cumplió el trámite de revisión de forma en el Departamento de Servicios Parlamentarios. (Fecha de subido al SIL: 20-01-2026).