El Código Penal, en su redacción actual, hace una novedosa y única referencia a las infraestructuras críticas en el artículo 264.4, donde las define como «un elemento, sistema o parte de este que sea esencial para el mantenimiento de funciones vitales de la sociedad, la salud, la seguridad, la protección y el bienestar económico y social de la población cuya perturbación o destrucción tendría un impacto significativo al no poder mantener sus funciones»
Por lo tanto, la definición que se deberá tomar en consideración a efectos penales, no coincide plenamente con la prevista en la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas, que las define como «infraestructuras estratégicas cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales»
El artículo 264.4 citado, tipifica los daños informáticos y castiga con la pena de prisión de seis meses a tres años, al que por cualquier medio, sin autorización y de manera grave borrase, dañase, deteriorase, alterase, suprimiese o hiciese inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido fuera grave. La pena se agrava, entre otras circunstancias, en el caso que los hechos afectaran a los sistemas informáticos de una infraestructura crítica o se hubiera creado una situación de peligro grave para la seguridad del Estado, de la Unión Europea o de un Estado Miembro de la Unión Europea. En este caso , se impondrá una pena de prisión de dos a cinco años y multa del tanto al décuplo del perjuicio ocasionado.
Estas penas se imponen, en su mitad superior, cuando los hechos se hubieran cometido mediante la utilización ilícita de datos personales de otra persona para facilitarse el acceso al sistema informático o para ganarse la confianza de un tercero.
Artículo 264 bis hace una referencia al artículo anterior, citado, y establece que será castigado con la pena de prisión de seis meses a tres años el que, sin estar autorizado y de manera grave, obstaculizara o interrumpiera el funcionamiento de un sistema informático ajeno: a) realizando alguna de las conductas a que se refiere el artículo anterior; b)introduciendo o transmitiendo datos; o c) destruyendo, dañando, inutilizando, eliminando o sustituyendo un sistema informático, telemático o de almacenamiento de información electrónica. Si los hechos hubieran perjudicado de forma relevante la actividad normal de una empresa, negocio o de una Administración pública, se impondrá la pena en su mitad superior, pudiéndose alcanzar la pena superior en grado. Estas penas se imponen agravadas (pena de prisión de tres a ocho años y multa del triplo al décuplo del perjuicio ocasionado), cuando en los hechos a que se refiere el apartado anterior hubiera concurrido alguna de las circunstancias del apartado 2 del artículo anterior, por lo tanto, entre ellas, que afecte a los sistemad una infraestructura crítica.
Estas penas se impondrán, en sus respectivos casos, en su mitad superior, cuando los hechos se hubieran cometido mediante la utilización ilícita de datos personales de otra persona para facilitarse el acceso al sistema informático o para ganarse la confianza de un tercero.
Artículo 264 ter. regula la conducta de quien sin estar debidamente autorizado, produzca, adquiera para su uso, importe o, de cualquier modo, facilite a terceros, con la intención de facilitar la comisión de alguno de los delitos a que se refieren los dos artículos anteriores: a) un programa informático, concebido o adaptado principalmente para cometer alguno de los delitos a que se refieren los dos artículos anteriores; o b) una contraseña de ordenador, un código de acceso o datos similares que permitan acceder a la totalidad o a una parte de un sistema de información. En este caso la pena es de prisión de seis meses a dos años o multa de tres a dieciocho meses
Planificación de la seguridad en entornos de ocio 