Artículo 264 CP: Daños Informáticos · Sabotaje, Ransomware y Penas (2026)

El artículo 264 del Código Penal castiga los daños informáticos: borrar, dañar, deteriorar, alterar, suprimir o hacer inaccesibles datos, programas informáticos o documentos electrónicos ajenos, sin autorización y de manera grave. Junto a él, los artículos 264 bis, 264 ter y 264 quater completan el bloque del sabotaje informático: la obstaculización de sistemas, las herramientas de ataque y la responsabilidad penal de la empresa. Como abogados penalistas especialistas en ciberdelitos, explicamos qué castiga exactamente cada precepto, con qué penas y dónde están los márgenes de defensa.

Qué Dice el Art. 264 CP: el Tipo Básico

El art. 264.1 CP castiga con prisión de 6 meses a 3 años a quien, por cualquier medio, sin autorización y de manera grave, borre, dañe, deteriore, altere, suprima o haga inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido fuera grave.

Del texto legal se extraen los elementos esenciales del tipo:

• Objeto material: datos, programas y documentos electrónicos ajenos. Lo protegido es la integridad de la información; la destrucción física de un ordenador o de un servidor ajeno se castiga por el delito de daños común del art. 263 CP.
• Falta de autorización: quien actúa con permiso del titular del sistema —por ejemplo, en una auditoría de seguridad contratada— queda fuera del tipo.
• Doble exigencia de gravedad: la conducta debe ser grave y el resultado producido también. A diferencia del delito de daños común, aquí no existe el umbral de los 400€ que delimita el delito leve: los incidentes que no alcanzan esa doble gravedad son atípicos.

El apartado 3 añade una agravación transversal: las penas se imponen en su mitad superior cuando los hechos se cometen mediante la utilización ilícita de datos personales de otra persona para facilitarse el acceso al sistema informático o para ganarse la confianza de un tercero.

Los Agravantes del Art. 264.2 CP

La pena salta a prisión de 2 a 5 años y multa del tanto al décuplo del perjuicio ocasionado cuando concurre alguna de estas cinco circunstancias:

1. Cometerse en el marco de una organización criminal.
2. Haber ocasionado daños de especial gravedad o afectado a un número elevado de sistemas informáticos: es el agravante característico de las campañas masivas de malware.
3. Perjudicar gravemente el funcionamiento de servicios públicos esenciales o la provisión de bienes de primera necesidad.
4. Afectar al sistema informático de una infraestructura crítica o crear una situación de peligro grave para la seguridad del Estado, de la Unión Europea o de un Estado miembro.
5. Haberse cometido utilizando alguno de los medios del art. 264 ter: programas concebidos para el ataque, contraseñas o códigos de acceso ajenos.

Si los hechos resultan de extrema gravedad, puede imponerse además la pena superior en grado.

Art. 264 bis CP: Obstaculizar o Interrumpir un Sistema

El art. 264 bis CP no protege los datos en sí, sino el funcionamiento del sistema. Castiga con prisión de 6 meses a 3 años a quien, sin estar autorizado y de manera grave, obstaculice o interrumpa el funcionamiento de un sistema informático ajeno de tres formas: realizando las conductas del art. 264, introduciendo o transmitiendo datos —el encaje natural de los ataques de denegación de servicio— o destruyendo, dañando, inutilizando, eliminando o sustituyendo el propio sistema informático, telemático o de almacenamiento.

El precepto prevé dos escalones agravados:

• Si los hechos perjudican de forma relevante la actividad normal de una empresa, negocio o Administración pública, la pena se impone en su mitad superior, pudiendo alcanzarse la superior en grado.
• Si concurre alguna de las circunstancias del art. 264.2, la pena es de prisión de 3 a 8 años y multa del triplo al décuplo del perjuicio.

También aquí se aplica la mitad superior cuando se utilizan ilícitamente datos personales de otra persona para acceder al sistema o ganarse la confianza de un tercero.

Art. 264 ter CP: Programas, Contraseñas y Herramientas de Ataque

El art. 264 ter CP adelanta la barrera penal a los actos preparatorios. Castiga con prisión de 6 meses a 2 años o multa de 3 a 18 meses a quien, sin estar debidamente autorizado, produzca, adquiera para su uso, importe o facilite a terceros, con la intención de facilitar la comisión de los delitos de los arts. 264 y 264 bis:

• Un programa informático concebido o adaptado principalmente para cometer esos delitos.
• Una contraseña de ordenador, un código de acceso o datos similares que permitan acceder a la totalidad o a una parte de un sistema de información.

La clave defensiva está en el elemento subjetivo: el tipo exige la intención específica de facilitar un delito de daños o sabotaje. Las herramientas de doble uso —escáneres de vulnerabilidades, suites de pentesting— empleadas en ciberseguridad profesional y con autorización quedan fuera del precepto. La frontera con el acceso ilícito a sistemas del art. 197 bis CP también importa: acceder sin dañar es un delito distinto, con pena distinta.

Art. 264 quater CP: Responsabilidad de la Empresa

Los delitos de daños y sabotaje informático generan responsabilidad penal de la persona jurídica conforme al art. 31 bis CP. El art. 264 quater fija las penas:

• Multa de 2 a 5 años, o del quíntuplo a doce veces el valor del perjuicio causado si resulta una cantidad superior, cuando el delito cometido tenga prevista pena de prisión de más de 3 años.
• Multa de 1 a 3 años, o del triple a ocho veces el valor del perjuicio si resulta superior, en el resto de los casos.

Los jueces pueden imponer además, conforme al art. 66 bis, las penas de las letras b) a g) del art. 33.7 CP: suspensión de actividades, clausura de locales o inhabilitación para obtener subvenciones, entre otras. Un modelo de compliance penal eficaz, implantado antes del delito, puede eximir a la empresa o atenuar su responsabilidad.

Ransomware: Daños Informáticos más Extorsión

El ransomware es el ejemplo de manual de concurrencia de delitos. Al cifrar los archivos de la víctima, el atacante los hace inaccesibles —conducta del art. 264— y habitualmente obstaculiza o paraliza el sistema completo (art. 264 bis). Y al exigir un rescate para restaurarlos comete además una extorsión del art. 243 CP: obligar a otro, con intimidación y ánimo de lucro, a realizar un acto en perjuicio de su patrimonio, castigada con prisión de 1 a 5 años.

El catálogo puede crecer: el acceso ilícito previo al sistema (art. 197 bis CP), la agravación por uso ilícito de datos personales de otra persona (arts. 264.3 y 264 bis.3) y, si además se exfiltra información con la amenaza de publicarla, los delitos de descubrimiento y revelación de secretos del art. 197 CP. Defendemos tanto a empresas y particulares víctimas de estos ataques como a personas investigadas por ellos: toda la información, en nuestra página sobre defensa penal en casos de ransomware.

Si ha sufrido un ataque, actúe con método: no pague sin asesorarse, preserve los sistemas afectados y las evidencias y denuncie. Le explicamos los pasos en nuestra guía legal si le han hackeado.

Estrategias de Defensa

1. Falta de gravedad: el doble filtro del art. 264.1 —conducta grave y resultado grave— deja fuera del tipo los incidentes menores; discutir la entidad real del daño es la primera línea de defensa.
2. Existencia de autorización: administradores de sistemas, empleados con credenciales o proveedores tecnológicos operan a menudo en zonas grises de permisos; si había autorización, no hay delito del art. 264.
3. Autoría y prueba técnica: una dirección IP no identifica por sí sola a una persona. La defensa debe auditar la pericial informática, la cadena de custodia de los registros y la forma en que se obtuvo la evidencia digital.
4. Ausencia de dolo: el art. 264 no prevé modalidad imprudente; un borrado accidental o un fallo negligente de mantenimiento no constituye delito de daños informáticos.
5. Cuantificación del perjuicio: el importe condiciona la multa proporcional y la apreciación de los agravantes; una pericial contradictoria puede reducir sensiblemente la pena.
6. Reparación del daño: indemnizar o contribuir a restaurar los sistemas activa la atenuante del art. 21.5 CP y mejora la posición ante una eventual conformidad.