Portugal ha actualizado su ley nacional de ciberseguridad, con un cambio importante que afecta a los investigadores de seguridad. Este cambio permite que el hacking, o investigaciones de seguridad informática, no sea punible, siempre y cuando se cumplan ciertas condiciones. Vamos a explicarte en qué consiste y por qué puede ser útil para muchos, especialmente para aquellos que se dediquen a la ciberseguridad y quieran mejorar la protección de sus propios dispositivos.
En una publicación del 4 de diciembre de 2025, en el Diário da República (el “BOE portugués”), Portugal presentó el Decreto-Ley 125/2025. Lo han hecho para adaptarse a la Directiva (UE) 2022/2555, del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relacionada con la ciberseguridad común en toda la Unión Europea.
Portugal modifica su ley de ciberseguridad
Lo destacado en este Decreto-Ley de Portugal, como ha indicado el analista de ciberseguridad Daniel Cuthbert en su perfil de X (@dcuthbert), es el artículo 8-A a su anterior Ley 109/2009. Concretamente, han añadido lo siguiente: “Actos no punibles por interés público de ciberseguridad”. Se produce un cambio importante, a diferencia de la ley anterior y de lo que podemos ver en el resto de países, como es España.
Daniel Cuthbert@dcuthbertPortugal: not just a country of amazing Pasteis de Nata’s but now solid cyber laws too. They’ve amended their Cybercrime Law by adding Article 8-A to Law 109/2009.https://t.co/7CNpTe70vx
E daí?
05 de diciembre, 2025 • 09:47
5
0
El artículo, como te dejamos en la captura de pantalla siguiente, hace mención a diferentes actos que ahora no son punibles. Consideran que son útiles, y necesarios, para el bien común, par el interés público de ciberseguridad. Por tanto, muchas investigaciones de seguridad que antes sí eran punibles, ahora no lo son.
El punto 1.a de ese artículo dice que no será punible el acto en el que “La persona que actúe con la única intención de identificar la existencia de vulnerabilidades en sistemas de información, productos y servicios de tecnologías de la información y la comunicación, que no hayan sido creadas por dicha persona o por un tercero del que dependa, y con el propósito de, a través de su divulgación, contribuir a la seguridad del ciberespacio”.
Esto nos indica, claramente, que una persona que realice investigaciones en ciberseguridad, con el simple objetivo de detectar y publicar vulnerabilidades para el bien común, no va a recibir ninguna sanción. Eso sí, hay ciertas condiciones, como dicen en ese artículo, y es que, por ejemplo, esa persona no puede actuar con objetivos económicos, debe comunicar inmediatamente lo que ha realizado y las eventuales vulnerabilidades detectadas, solo debe realizar acciones necesarias y nunca deben atentar con el Reglamento (UE) 2016/679, del Parlamento y del Consejo, en relación con la protección de datos (RGPD).
Prácticas prohibidas
Esto abre la puerta a que muchos investigadores de seguridad, sin temor de terminar infringiendo la ley, puedan analizar y detectar posibles vulnerabilidades. Lógicamente, esto beneficia al bien común y permite que se corrijan cuanto antes los fallos que pueda explotar un tercero con el objetivo de robar información, contraseñas o tomar el control de un dispositivo.
No obstante, hay ciertas prácticas prohibidas, como menciona el artículo 8-A del Decreto-Ley 125/2025 de Protugal. Son las siguientes:
- Usar mecanismos de negación de servicios (DoS) o negación de servicios distribuida (DDoS).
- Ataques Phishing y similares.
- Ingeniería social, para engañar a otros.
- Robo de contraseñas o información sensible.
- Eliminación o alteración de datos informáticos.
- Infringir daños al sistema de información.
- Instalación y distribución de software malicioso.
Son, como ves, prácticas prohibidas lógicas que no pueden utilizar los investigadores de seguridad. No podrían poner en riesgo la seguridad o privacidad de terceros, ni obtener un beneficio económico o generar datos al sistema. Salvando estas limitaciones, sí que pueden realizar análisis y detectar posibles vulnerabilidades, sin que ello suponga un delito.
Esta ley es diferente a lo que tenemos en España. Nuestro país no contempla, a día de hoy, las excepciones que ahora sí hay en Portugal para la investigación de seguridad informática. Por tanto, el riesgo penal en España es elevado, en comparación con Portugal, tras este cambio.
En definitiva, teniendo en cuenta las limitaciones que menciona este Decreto-Ley, Portugal ahora permite la investigación de seguridad o hacking, siempre que el objetivo sea el bien común y ayudar a detectar vulnerabilidades. Aunque el término hacker suele tener connotaciones negativas, realmente puede hacer referencia a una persona que, simplemente, analiza redes o vulnerabilidades de seguridad, sin tener como objetivo lanzar ataques y afectar a terceros.