La ciberdelincuencia contra empresas está regulada en el Código Penal (arts. 197 y siguientes) y en la normativa de protección de datos (Reglamento (UE) 2016/679 y Ley Orgánica 3/2018). La respuesta de la empresa debe combinar medidas técnicas inmediatas, denuncia penal y, cuando haya afectación de datos personales, notificación a la Agencia Española de Protección de Datos (AEPD) en el plazo previsto por el Reglamento.
Qué es la ciberdelincuencia y cómo afecta a las empresas
La ciberdelincuencia engloba conductas como el acceso no autorizado a sistemas, la interceptación de comunicaciones, el uso de malware y el ransomware. Estos hechos pueden constituir delitos tipificados en el Código Penal (arts. 197 y ss.) y dar lugar a responsabilidad penal de sus autores y, en su caso, responsabilidad civil de terceros.
Además del componente penal, muchos incidentes implican un tratamiento de datos personales: en esos casos opera el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), con la obligación de notificar brechas a la AEPD sin dilación indebida y, cuando sea posible, en un plazo máximo de 72 horas desde que se tiene constancia.
Principales tipos de ciberataques y respuesta inicial
Los ataques más frecuentes contra empresas son el phishing, el ransomware, los DDoS, la inyección SQL y los ataques por fuerza bruta. Cada modalidad requiere acciones técnicas distintas: por ejemplo, ante un ransomware la prioridad es aislar sistemas y preservar logs para la investigación penal.
Como medida inmediata hay que preservar evidencias (registros de acceso, copias forenses de soportes y la secuencia de eventos) y documentar las actuaciones. Esta preservación es esencial para la denuncia penal y para las posteriores diligencias del Juzgado de Instrucción.
Impacto en pymes y obligaciones legales
Las PYMES pueden sufrir la paralización de operaciones, pérdida de datos y sanciones administrativas por incumplimiento del RGPD y la LOPDGDD. La AEPD es la autoridad competente para imponer sanciones por vulneraciones de protección de datos cuando el incidente afecta a datos personales.
Además de la vía administrativa, la comisión de delitos informáticos se persigue por la vía penal ante los Juzgados de Instrucción y, en su caso, ante los Juzgados de lo Penal o la Audiencia Provincial para la fase de juicio y apelación.
Pasos prácticos para denunciar y responder (lista ordenada)
- Contención inmediata: aislar equipos afectados y evitar modificaciones en los sistemas comprometidos.
- Preservación de pruebas: guardar registros (logs), tomar imágenes forenses y anotar la secuencia temporal. Estas pruebas sirven en la instrucción judicial.
- Denuncia penal: presentar denuncia ante la Policía Nacional o Guardia Civil para que el Juzgado de Instrucción abra diligencias.
- Notificación a la AEPD: si hay datos personales comprometidos, comunicar la brecha a la AEPD sin dilación indebida y, cuando sea posible, en un plazo de 72 horas (Art. 33 RGPD).
- Evaluación y reparación: contratar peritaje informático para determinar alcance y aplicar medidas correctoras y de continuidad.
Advertencia experta: si no se preservan las pruebas desde el primer momento o no se denuncia, se dificulta o imposibilita la instrucción penal y la posible recuperación de activos; además, la omisión de la notificación a la AEPD en el plazo de 72 horas puede dar lugar a sanciones administrativas.
Tabla comparativa: tipo de ataque, riesgo inmediato y órganos a notificar
| Tipo de ataque | Riesgo inmediato | Órgano a notificar |
|---|---|---|
| Ransomware | Paralización de operaciones | Policía/Guardia Civil + AEPD si hay datos personales |
| Phishing | Robo de credenciales | Policía + responsable interno de seguridad |
| DDoS | Interrupción de servicio | Proveedor de servicios y Policía (para ataques graves) |
| Inyección SQL | Exposición/alteración de bases de datos | Policía/Guardia Civil y AEPD si hay datos personales |
Particularidades si tu empresa está en Alcorcón
Alcorcón pertenece al ámbito territorial de la provincia de Madrid. Para la fase de investigación penal resultan competentes los Juzgados de Instrucción del partido judicial que comprende Alcorcón; para la fase de enjuiciamiento, intervendrán los Juzgados de lo Penal del mismo partido judicial y la Audiencia Provincial de Madrid para recursos.
Para asistencia jurídica especializada puedes recurrir al Ilustre Colegio de la Abogacía de Madrid (ICAM) que ofrece directorios de letrados. En incidentes con afectación de datos personales la autoridad nacional competente es la AEPD y la Fiscalía Provincial de Madrid actúa en la persecución penal en el ámbito provincial.
Si necesitas asesoramiento jurídico inmediato sobre la investigación penal o la notificación administrativa, considera la consulta con un abogado especializado en delitos informáticos: por ejemplo, en nuestro contenido sobre por qué necesitas un abogado especializado en cibercrimen se explican funciones concretas del letrado (Delitos informáticos: por qué necesitas un abogado especializado en cibercrimen).
Para orientación sobre cómo preparar y presentar denuncias y respuestas legales ante ataques informáticos consulta también nuestro artículo sobre respuestas legales y denuncias por ataques informáticos (Ataques informáticos: cómo te ayuda un abogado en respuestas legales y denuncias) y sobre defensa frente a acusaciones o denuncias relacionadas con piratería informática (Piratería informática: cómo te ayuda un abogado a denunciar o defenderte).
Si buscas un abogado especializado en tecnología y ciberseguridad para intervención inmediata, revisa nuestra guía práctica sobre este perfil profesional (Abogados de tecnologías y ciberseguridad), y si la cuestión afecta a la estructura societaria o a la continuidad del negocio, nuestra guía sobre pasos legales para crear y ordenar una empresa puede ser de utilidad (Pasos legales para crear una empresa: requisitos y asesoramiento legal).
Para ampliar información general visite el portal principal de asesor.legal (asesor.legal).
Fuentes: Código Penal (arts. 197 y siguientes), Reglamento (UE) 2016/679 (RGPD) — Art. 33 (notificación de brechas) — y Ley Orgánica 3/2018 (LOPDGDD); autoridades citadas: Agencia Española de Protección de Datos (AEPD) y Fiscalía Provincial de Madrid.
Preguntas frecuentes
Si mi empresa tiene el domicilio en Alcorcón, ¿dónde presento la denuncia penal por un ciberataque?
La denuncia penal puede presentarse en la comisaría local de la Policía Nacional o en la Guardia Civil que cubra tu zona; la investigación se remite al Juzgado de Instrucción del partido judicial que comprende Alcorcón para la apertura de diligencias.
¿Puedo solicitar medidas cautelares urgentes en los juzgados de Alcorcón para preservar datos y dispositivos?
Sí: junto con la denuncia penal se puede pedir al Juzgado de Instrucción la adopción de medidas cautelares (preservación de dispositivos, bloqueo de cuentas, etc.) para evitar la pérdida de pruebas; la solicitud debe ir acompañada, si es posible, de un informe pericial preliminar.
¿Dónde encuentro en Alcorcón abogados especializados en delitos informáticos y ciberseguridad?
Una vía es consultar el directorio del Ilustre Colegio de la Abogacía de Madrid (ICAM) para localizar abogados con especialidad en delitos informáticos y peritación tecnológica que trabajen en Alcorcón o en la provincia de Madrid.
Si hay datos personales afectados, ¿debo notificar también a la AEPD aunque la denuncia sea en Alcorcón?
Sí. La obligación de notificar una brecha de datos a la AEPD es de carácter nacional: la comunicación debe hacerse sin dilación indebida y, cuando sea posible, en un plazo de 72 horas desde que se tiene constancia del incidente (Art. 33 RGPD).
¿A quién puedo solicitar apoyo técnico inmediato en Alcorcón para contener un ataque?
Puedes contratar peritos informáticos especializados para contención y análisis forense; el abogado que lleve la denuncia puede coordinar la intervención del perito y presentar sus conclusiones al Juzgado de Instrucción de Alcorcón en las diligencias policiales.
Contenido generado con inteligencia artificial. Tiene carácter informativo general y no constituye asesoramiento jurídico. Para su caso concreto, consulte con un abogado colegiado. Última revisión: agosto de 2026.
