.jpeg "Policía nacional y guardia civil: ¿unificación estructural o sistema dual inteligente contra el crimen?")
Durante años, las empresas afectadas por un ciberataque intentaron defenderse invocando la fuerza mayor del artículo 1105 del Código Civil. Hoy los tribunales son extremadamente restrictivos con esa interpretación. Un ciberataque ya no se considera un suceso imprevisible, sino un riesgo conocido y gestionable. La consecuencia jurídica es directa: la empresa atacada puede ser, además de víctima, responsable frente a sus clientes, sus socios contractuales y la Administración. Entender el mapa de responsabilidades es hoy un requisito básico para cualquier dirección jurídica, compliance officer o administrador societario. Y ese mapa está cambiando rápido por dos motivos: el endurecimiento regulatorio y la irrupción de la inteligencia artificial en ambos lados del tablero.
Las cuatro responsabilidades que se activan tras un ciberataque
Cuando una empresa sufre una brecha de seguridad, no se enfrenta a un único frente legal sino a cuatro vías de responsabilidad que pueden activarse simultáneamente.
La responsabilidad administrativa es la más inmediata. El RGPD obliga al responsable del tratamiento a notificar la brecha a la Agencia Española de Protección de Datos en un plazo máximo de setenta y dos horas desde que tiene conocimiento de ella, así como a comunicarla a los afectados cuando exista riesgo alto para sus derechos. El incumplimiento de estas obligaciones, junto con la falta de medidas técnicas y organizativas adecuadas, puede generar sanciones que alcanzan el cuatro por ciento de la facturación anual global.
La responsabilidad civil contractual se activa cuando los clientes o socios sufren un daño derivado del ataque y la empresa había asumido obligaciones de protección en sus contratos. Aquí entran los artículos 1101 y siguientes del Código Civil. La responsabilidad civil extracontractual, regulada en los artículos 1902 y 1089, alcanza a terceros perjudicados aunque no exista relación contractual previa, sobre la base del deber general de no causar daño actuando con la diligencia exigible.
Por último, la responsabilidad penal del administrador puede entrar en juego en supuestos de negligencia grave o cuando existan delitos relacionados con la falta de medidas de seguridad en el tratamiento de datos.
El estándar de diligencia se ha endurecido
La pregunta clave en cualquier procedimiento por ciberataque es si la empresa actuó con la diligencia debida. Y esa diligencia ya no se mide solo por la existencia genérica de medidas, sino por su adecuación al estado de la técnica.
La directiva NIS2 introduce obligaciones específicas para entidades esenciales e importantes, incluyendo gestión de riesgos, formación obligatoria a la dirección, cifrado, gestión de proveedores y reporte de incidentes en plazos breves. La incorporación de estas exigencias al ordenamiento español eleva el listón: lo que antes podía considerarse razonable hoy puede interpretarse como negligente.
Para los administradores, la consecuencia es relevante. La diligencia del ordenado empresario que exige el artículo 225 de la Ley de Sociedades de Capital incluye ya la supervisión activa del programa de ciberseguridad. No basta con delegar en el departamento técnico: la dirección debe poder demostrar que conoce los riesgos, ha aprobado políticas adecuadas y supervisa su cumplimiento.
Cómo la IA está cambiando este panorama
La inteligencia artificial ha alterado las reglas del juego en ambas direcciones. Por un lado, los atacantes utilizan IA generativa para crear campañas de phishing personalizadas, deepfakes de voz para suplantación de directivos y malware adaptativo que evade la detección clásica. La sofisticación media de los ataques ha subido, y con ella el listón de lo que se considera una defensa razonable.
Por otro, los equipos de seguridad incorporan modelos de IA para detección de anomalías, priorización de alertas y respuesta automatizada. Las organizaciones que no estén integrando estas capacidades en su defensa se exponen a un argumento incómodo en una eventual reclamación: que las medidas adoptadas no estaban a la altura del estado de la técnica.
Este desplazamiento técnico tiene impacto jurídico directo. La diligencia debida es un concepto vivo que se actualiza con la realidad del sector. Cuanto más extendido esté el uso defensivo de IA, más difícil será argumentar que su ausencia es razonable. Quien quiera profundizar en este desplazamiento puede consultar análisis especializados sobre cómo la IA está cambiando la ciberseguridad y los nuevos vectores que las empresas deben anticipar.
Cuatro acciones preventivas que blindan jurídicamente a la empresa
Frente a este escenario, hay cuatro líneas de acción que toda dirección jurídica debería supervisar. Primero, mantener un mapa actualizado de obligaciones aplicables (RGPD, NIS2, sectoriales) y documentar el cumplimiento. Segundo, formalizar contratos robustos con proveedores tecnológicos, incluyendo cláusulas de seguridad, auditoría e indemnización. Tercero, asegurar la trazabilidad de las decisiones de seguridad a nivel de consejo, lo que protege individualmente a los administradores. Y cuarto, contar con un protocolo de respuesta a incidentes que cumpla los plazos de notificación y permita acreditar la diligencia ante el supervisor y los tribunales.
La conclusión es clara: la responsabilidad legal por un ciberataque ya no se discute solo cuando ocurre el incidente. Se construye, o se erosiona, en cada decisión técnica, contractual y de gobierno corporativo que la empresa toma antes.