# Expediente 25362: Proyecto castiga con cárcel entrar sin permiso a sistemas informáticos - Página: https://elcenso.com/leyes/25362 - Tipo: Proyecto de ley (expediente legislativo) - Título oficial: LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA - Publicada: 2026-01-28 - La Gaceta: 18 - Fuente oficial: https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx ## En resumen El expediente 25362 propone agregar un artículo 231 bis al Código Penal para sancionar con prisión de seis meses a tres años a quien acceda sin autorización a un sistema informático. ## A quién le toca - Cualquier persona que acceda sin autorización a un sistema informático, base de datos o red - Quienes trabajan en sistemas de energía, acueductos, finanzas, salud, telecomunicaciones, transporte, seguridad pública o defensa nacional - Especialistas en ciberseguridad que detectan, analizan o reportan vulnerabilidades con autorización del titular ## A quién beneficia - Los especialistas en ciberseguridad quedan exceptuados de sanción si el titular del sistema los autorizó para evaluar o mejorar la seguridad - Los titulares de sistemas pueden autorizar expresamente labores de detección y reporte de vulnerabilidades ## Qué cambia - La pena base es de seis meses a tres años de prisión - La pena sube a tres a cinco años si la intrusión afecta servicios esenciales o críticos - El proyecto no exige que la persona altere, extraiga o use la información para ser sancionada - El texto no define qué significa una infraestructura tecnológica "protegida" ## Cláusulas a revisar - **No se define qué es una infraestructura "protegida"** (231 bis): El texto sanciona el acceso a una infraestructura tecnológica protegida, pero no explica qué características debe tener para considerarse protegida. Texto: "acceda de forma ilegítima a un sistema informático, base de datos, red o cualquier infraestructura tecnológica protegida" - **Excepción solo para técnicos autorizados por el titular** (231 bis): La excepción de sanción depende de que el titular del sistema autorice expresamente la labor. Sin esa autorización, la conducta sigue siendo sancionable. Texto: "El titular del sistema informático, base de datos o red haya otorgado autorización expresa para realizar dichas actividades" ## Explicación ### Qué propone El proyecto agrega un artículo 231 bis al Código Penal, Ley N.º 4573 del 4 de mayo de 1970 ([art. único](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). Ese artículo nuevo sancionaría con prisión de seis meses a tres años a quien acceda sin autorización a un sistema informático, base de datos, red o infraestructura tecnológica protegida ([art. 231 bis](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). La sanción aplicaría aunque la persona no altere, extraiga, elimine, modifique ni use la información del sistema ([art. 231 bis](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). El texto también cubre a quien "excediendo la que le fue otorgada" entre a esos sistemas. La pena sube a tres a cinco años de prisión cuando la intrusión afecte sistemas vinculados a servicios esenciales o críticos, públicos o privados ([art. 231 bis](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). El texto menciona infraestructuras del sector energético, acueductos, financiero, de salud, telecomunicaciones, transporte, seguridad pública o defensa nacional. El artículo incluye una excepción. No habría sanción si la intrusión busca detectar, analizar o reportar vulnerabilidades, y el titular del sistema dio autorización expresa ([art. 231 bis](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). Tampoco se sancionaría a técnicos autorizados directamente por el titular para evaluar o mejorar la seguridad informática. El proyecto regiría a partir de su publicación ([art. único](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). ### A quién le toca A cualquier persona que entre a un sistema informático, base de datos o red sin autorización o pasándose de la que tiene ([art. 231 bis](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). La pena base es de seis meses a tres años de prisión. A quienes trabajan en sistemas de servicios esenciales o críticos. Si la intrusión afecta esos sistemas, la pena va de tres a cinco años ([art. 231 bis](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). El texto nombra los sectores energético, acueductos, financiero, salud, telecomunicaciones, transporte, seguridad pública y defensa nacional. A los especialistas en ciberseguridad. El texto los exceptúa de sanción si el titular del sistema les dio autorización expresa o los autorizó directamente para evaluar o mejorar la seguridad ([art. 231 bis](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). ### En qué va el trámite El expediente 25362 entró a la corriente legislativa el 18 de diciembre de 2025 [\[1\]](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx). El 12 de enero de 2026 Servicios Parlamentarios recibió el proyecto y el Plenario lo asignó a comisión. El 29 de enero de 2026 el expediente se remitió a la comisión y el Área VII de Jurídicos lo recibió [\[1\]](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx). El 4 de febrero de 2026 ingresó al orden del día y al debate en comisión. El proyecto vence el 18 de diciembre de 2029 por el plazo cuatrienal [\[1\]](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx). Para ser ley necesita dos debates en días distintos no consecutivos, la aprobación de la Asamblea y la sanción del Poder Ejecutivo ([Constitución, art. 124](https://sinalevi.go.cr/ResultadosNormativa/Informacion?param1=871¶m2=147492¶m3=1)). ### Frente a la Constitución El Censo no encontró un choque directo entre el texto y los artículos de la Constitución en el dossier. El proyecto crea un delito y una pena, y el artículo 39 permite que a alguien se le imponga una pena por un delito sancionado por ley anterior ([Constitución, art. 39](https://sinalevi.go.cr/ResultadosNormativa/Informacion?param1=871¶m2=147492¶m3=1)). El artículo 41 garantiza que todos puedan encontrar reparación para daños en su persona, propiedad o intereses morales ([Constitución, art. 41](https://sinalevi.go.cr/ResultadosNormativa/Informacion?param1=871¶m2=147492¶m3=1)). El proyecto no toca ese derecho. Hay una duda sobre el alcance de la palabra "protegida". El texto sanciona el acceso ilegítimo a una infraestructura tecnológica protegida, pero no define qué significa protegida ([art. 231 bis](https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx)). Esa falta de definición podría generar discusión sobre qué sistemas quedan cubiertos. ### Qué puede hacer usted El proyecto está en comisión, así que lo primero es escribir o pedir audiencia a los diputados que la integran. La guía explica que cualquier ciudadano puede entrevistarse con los diputados y argumentar a favor o en contra del proyecto o de cambios ([guía, p. 29](https://surcosdigital.com/wp-content/uploads/2025/10/Herramientas-de-participacion-ciudadana.pdf#page=29)). Segundo, siga el expediente en el Sistema de Información Legislativa. La Oficina de Iniciativa Popular brinda información sobre el estado de tramitación de los proyectos y las órdenes del día ([guía, p. 27](https://surcosdigital.com/wp-content/uploads/2025/10/Herramientas-de-participacion-ciudadana.pdf#page=27)). Tercero, si quiere proponer cambios, sepa que las mociones de fondo las presentan los diputados en la comisión desde la publicación del proyecto y mientras no se hayan votado ([guía, p. 28](https://surcosdigital.com/wp-content/uploads/2025/10/Herramientas-de-participacion-ciudadana.pdf#page=28)). Usted puede llevar sus propuestas a los diputados para que las presenten. ### Lo que no sabemos El dossier no dice a qué comisión específica se asignó el expediente. El dossier no incluye el informe técnico del Departamento de Servicios Técnicos sobre este proyecto. El dossier no permite saber si el proyecto tiene dictamen de comisión. El dossier no incluye grabaciones de la Asamblea sobre este expediente. ## Frente a la Constitución El Censo no encontró un choque directo. Hay una duda sobre la falta de definición de "protegida" en el artículo 231 bis. ## Qué puede hacer usted - Entrevista con diputados de la comisión: Pida una cita con los diputados que integran la comisión y exponga sus argumentos de fondo sobre el proyecto o sobre cambios que propone. (https://surcosdigital.com/wp-content/uploads/2025/10/Herramientas-de-participacion-ciudadana.pdf#page=29) - Consulta del estado del expediente: Use la Oficina de Iniciativa Popular o el Sistema de Información Legislativa para ver el estado de tramitación, las órdenes del día y las actas de comisión. (https://surcosdigital.com/wp-content/uploads/2025/10/Herramientas-de-participacion-ciudadana.pdf#page=27) - Propuesta de mociones a través de diputados: Lleve sus propuestas de cambio a un diputado para que las presente como moción de fondo en la comisión. (https://surcosdigital.com/wp-content/uploads/2025/10/Herramientas-de-participacion-ciudadana.pdf#page=28) ## Lo que no sabemos - No se encontraron grabaciones de la Asamblea que mencionen este expediente. ## Fuentes 1. Expediente 25362: LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA. Asamblea Legislativa, Sistema de Información Legislativa, 2026-01-28. https://www.asamblea.go.cr/Centro_de_informacion/Consultas_SIL/SitePages/ConsultaProyectos.aspx 2. Constitución Política (texto vigente). SINALEVI, PGR, 2026-11-02. https://sinalevi.go.cr/ResultadosNormativa/Informacion?param1=871¶m2=147492¶m3=1 3. Herramientas de participación ciudadana en Costa Rica. CONAMAJ, 2025, 2025. https://surcosdigital.com/wp-content/uploads/2025/10/Herramientas-de-participacion-ciudadana.pdf ## Texto oficial completo ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA PROYECTO DE LEY LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA PODER EJECUTIVO EXPEDIENTE N. º 25.362 DEPARTAMENTO DE SERVICIOS PARLAMENTARIOS ÁREA DE PROCESOS LEGISLATIVOS PROYECTO DE LEY LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA Expediente N.º 25.362 ASAMBLEA LEGISLATIVA: En un mundo cada vez más digitalizado, donde la tecnología es el pilar fundamental del desarrollo económico, social y cultural, garantizar la seguridad de los entornos informáticos se ha convertido en una prioridad de los Estados. En este contexto, la regulación y sanción de la intrusión informática resulta crucial, dado que esta conducta suele ser el primer paso hacia ataques informáticos más complejos, con consecuencias devastadoras tanto para los individuos como para las organizaciones. El crecimiento exponencial del cibercrimen a nivel nacional y global, ha puesto en evidencia la vulnerabilidad de los sistemas informáticos, los cuales pueden ser objeto de intrusiones tanto a nivel doméstico, como provenientes de atacantes que operan en terceros países. Estas acciones maliciosas no solo comprometen la integridad, confidencialidad y disponibilidad de los sistemas, sino que también socavan la confianza en la infraestructura tecnológica, la cual es esencial para el desarrollo de una sociedad digital segura y resiliente. La importancia de sancionar las intrusiones informáticas radica en prevenir y disuadir estas conductas, fomentando ambientes cibernéticos seguros y libres de vulneraciones externas, no sometiendo al tipo penal en cuestión a elementos subjetivo distintos al dolo, tal y como ha ocurrida en el pasado con otros delitos informáticos, en donde no en pocas ocasiones su investigación por dicha mala práctica legislativa, resulta complejo, en este proyecto se ha considerado una redacción clara y directa, enfocado en la realidad actual y futura de este tipo de acciones cibernéticas malintencionadas, en donde atacantes sin necesariamente desear obtener algún tipo de beneficio o acto adicional, ingresan sin autorización o excediendo la que les fuera otorgada a sistemas o redes informáticas que de previo se encuentran debidamente protegidas. Al mismo tiempo, el marco normativo propuesto garantiza que los especialistas en ciberseguridad puedan realizar labores de detección y reporte de vulnerabilidades con la autorización correspondiente, promoviendo la mejora continua en la protección de sistemas críticos. En diversos países como España en el artículo 197 bis de su Código Penal, Argentina en el artículo 153 bis del Código Penal y Chile en el artículo 2 de la Ley 21.459, este tipo de conducta ya se encuentra debidamente regulado, con sanciones proporcionales y agravantes específicas para proteger infraestructuras críticas. Asimismo, el Ministerio Público, como autoridad central para el Convenio sobre la Ciberdelincuencia o Convenio de Budapest, debe destacar que al ser nuestro país un estado parte de dicho marco internacional, en éste se establece la necesidad de sancionar la intrusión informática como un paso esencial para abordar el fenómeno del cibercrimen de manera integral. Este convenio promueve la armonización de las legislaciones nacionales, facilitando la cooperación internacional en la investigación y persecución de estos delitos. Cuestión que así ocurre en el propio artículo 2 de dicho convenio y que fuera ratificado por nuestro país mediante Ley No 9452 del año 2017. Al cumplir con los compromisos adquiridos bajo el Convenio de Budapest, Costa Rica no solo fortalece su marco legal interno, sino que también se posiciona como un actor ágil y eficaz en la cooperación internacional frente a los desafíos del cibercrimen. Debe hacerse ver además, que el Convenio de Budapest, no es la única herramienta jurídica de carácter internacional que prevé la regulación de las intrusiones informáticas, por cuanto Costa Rica, participó activamente en la creación de una convención internacional de la Organización de las Naciones Unidas, que dio como resultado la aprobación por parte de la Asamblea General de las Naciones Unidad de la Convención de las Naciones Unidad contra la Ciberdelincuencia en donde en su artículo 7 justamente sanciona la delincuencia que se pretende incluir en este proyecto de ley a nuestro Código Penal. El Ministerio de Innovación, Ciencia, Tecnología y Telecomunicaciones, como ente rector en materia de tecnologías de información y comunicación, por medio de su Dirección Nacional de Ciberseguridad ha reportado una gran cantidad de intrusiones informáticas en el país, lo que evidencia la urgencia de legislar esta conducta. Los datos recopilados por esta institución revelan la magnitud del problema y el impacto que tiene en las instituciones públicas, privadas y en la ciudadanía en general. Los datos específicos proporcionados por el MICITT revelan la magnitud del problema de ciberseguridad en Costa Rica: En 2024 se registraron 118,224,168 bloqueos de amenazas (incluyendo malware, comandos y control, criptominería y phishing), así como 2,775 reportes de incidentes provenientes de diversas instituciones públicas y privadas. En el primer semestre de 2025, se han contabilizado 19,127,291 bloqueos de amenazas DNS, de los cuales la mayor proporción corresponde a actividades de criptominería con 9.3 millones y phishing con 5.3 millones. Durante este mismo periodo, las instituciones han reportado incidentes relacionados con seguridad informática, evidenciando un panorama de amenazas persistente que demanda mantener medidas de prevención y monitoreo continuo. Estos indicadores demuestran el alcance y la gravedad de las amenazas digitales que enfrentan el país y justifican la urgencia de fortalecer la legislación en torno a las intrusiones informáticas y la protección de infraestructuras críticas. Además, según el último reporte del Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT), se evidencia un avance en el seguimiento a las instituciones, que ahora ascienden a un total de 281. De estas, un 17.4% se encuentran en cumplimiento pleno de las medidas básicas de ciberseguridad y un 36.7% presentan un estado avanzado. No obstante, un 5.0% de las instituciones mantienen un nivel crítico, mientras que un 11.7% están en riesgo y un 11.4% en estado intermedio. Por otra parte, un 17.8% permanece en condición desconocida, lo que indica que aún existe un porcentaje significativo de instituciones con brechas en la implementación y monitoreo de sus controles de seguridad. Estos resultados reflejan la urgencia de fortalecer la protección digital nacional y la necesidad de incorporar sanciones más severas en la legislación sobre intrusiones informáticas, especialmente para los sistemas e infraestructuras críticas. Además, esta propuesta enfatiza la necesidad de sancionar con mayor severidad las intrusiones que afecten sistemas críticos o infraestructuras críticas en donde no solo el marco de acción de éstas es sensible, sino que sus sistemas y datos también comparten dicha característica, éstos pueden ser definidos como aquellos cuya alteración, interrupción o destrucción podría comprometer la seguridad, el bienestar o la estabilidad del país. Ejemplos de estos sistemas incluyen los sectores energéticos, acueductos, financiero, de salud, telecomunicaciones, transporte, seguridad pública y defensa nacional. La protección de estas infraestructuras es vital, no solo por su importancia estratégica, sino también por el impacto directo que tienen en la vida cotidiana de la población. En conclusión, la regulación del delito de intrusión informática representa un paso esencial para garantizar la seguridad digital en Costa Rica, cumplir con los compromisos internacionales adquiridos, y fortalecer la capacidad del país para prevenir, investigar y sancionar el cibercrimen en todas sus formas. Esta propuesta responde a una necesidad urgente de proteger los sistemas informáticos frente a conductas maliciosas, mientras se fomenta un entorno que permita el trabajo legítimo de especialistas en ciberseguridad. **LA ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA** **DECRETA:** LEY PARA REGULAR EL DELITO DE INTRUSIÓN INFORMÁTICA ### ARTÍCULO ÚNICO- Adiciónese un artículo 231 bis al Código Penal, Ley N°. 4573 el 4 de mayo de 1970, el texto es el siguiente: ### Artículo 231 bis. Intrusión Informática. Será sancionado con pena de prisión de seis meses a tres años quien, sin autorización o excediendo la que le fue otorgada, acceda de forma ilegítima a un sistema informático, base de datos, red o cualquier infraestructura tecnológica protegida, independientemente de si altera, extrae, elimina, modifica o utiliza la información contenida en dicho sistema. La pena será de tres a cinco años de prisión cuando la intrusión afecte sistemas informáticos, bases de datos o redes vinculados a servicios esenciales o críticos, tanto públicos como privados, tales como infraestructuras del sector energético, acueductos, financiero, de salud, telecomunicaciones, transporte, seguridad pública o defensa nacional. No será sancionable la conducta cuando la intrusión tenga como propósito la detección, análisis, o reporte de vulnerabilidades, siempre que: a) El titular del sistema informático, base de datos o red haya otorgado autorización expresa para realizar dichas actividades; o b) Se trate de técnicos autorizados directamente por el titular del sistema para ejecutar labores de evaluación o mejora en materia de seguridad informática.” Rige a partir de su publicación RODRIGO CHAVES ROBLES Paula Bogantes Zamora Ministerio De Ciencia, Innovación, Tecnología Y Telecomunicaciones NOTA: Este proyecto cumplió el trámite de revisión de forma en el Departamento de Servicios Parlamentarios. (Fecha de subido al SIL: 20-01-2026). Fuente: El Censo (https://elcenso.com/leyes/25362). Resumen en lenguaje sencillo; ante cualquier diferencia, vale el texto oficial.