Dictamen con objeto de analizar el tratamiento jurídico – penal de un ciberataque ransomware a una infraestructura hospitalaria con resultado de muerte

El sector sanitario, según los últimos «Informes de Amenazas y Tendencias» del Centro Criptológico Nacional (CCN en adelante) es vulnerable en parámetros de ciberseguridad, en especial en periodo epidemiológico, y es que en España, se ha registrado desde el año 2020 un total de ciento treinta mil incidencias de carácter grave, lo que supone un incremento del 24 % en un lapso temporal inferior a doce meses, lo que evidencia la gravedad del problema. Partiendo de esta realidad, el presente dictamen se emite para dar solución a la siguiente cuestión jurídica: determinar cuál sería el tratamiento en nuestro Derecho Penal de un ataque ransomware con resultado de muerte, de conformidad con la normativa vigente y atendiendo a los elementos que integran la teoría general del delito, con arreglo a la cual se pretenden abordar las siguientes cuestiones: UNO. – Determinar la posible trascendencia penal que tendría en nuestro ordenamiento jurídico un ciberataque como ocurrido en el Hospital Universitario de Düsseldorf de Alemania (UKD Universitätsklinikum Düsseldorf), el pasado 9 de septiembre del año 2020, siendo uno de los sabotajes informáticos sufridos por distintos hospitales de todo el mundo, y convirtiéndose en el primero de la historia que provocó el fallecimiento de un paciente a causa del colapso informático hospitalario. DOS. – Analizar la posible subsunción del ataque informático en los tipos penales de los artículos 197 y concordantes, así como 264 y siguientes del Código Penal. TRES. – Analizar el resultado de muerte que tuvo lugar tras el ciberataque y la posible relación causal con el mismo en pro calificar como homicidio el suceso, con especial consideración de las relaciones concursales que pueden existir con los tipos penales que protegen elementos informáticos (daños e intrusismo). CUATRO. – Concretar la viabilidad del ejercicio de acciones penales contra los responsables, tanto por el colapso hospitalario como por el resultado de muerte.CINCO. – Trazar la estrategia procesal como acusación particular. Todo ello con el fin de realizar un estudio jurídico-penal, de conformidad con el Derecho español, del primer ciberataque con resultado de muerte de la historia.