Tal y como se mencionó en el apartado anterior, los Delitos Informáticos no están tipificados como tal en España. El Código Penal los castiga de manera directa o indirecta (sin mencionar el concepto de Delito Informático), mientras que el Convenio de Bucarest define el concepto de Delito Informático y clasifica a estos en 4 bloques.
Código Penal: Ley Orgánica 10/1995 de 23 de Noviembre modificada por la Ley Orgánica 5/2010 de 22 de Junio. La Ley Orgánica 1/2015, de 30 de Marzo realizó una amplísima reforma de la Ley Orgánica 10/1995, viéndose afectados un gran nº de artículos del Código Penal cuya tipificación ha cambiado (por adición, eliminación y/o modificación de arts. y apartados de los mismos). Tipifica (de forma directa o indirecta) la mayoría de lo que consideramos delitos informáticos.
Convenio de Ciberdelincuencia de Budapest (2001): Es un tratado auspiciado por el Consejo de Europa y ratificado por un gran número de países de todo el mundo, incluida España (lo ratificó en 2010) y lo incorporó al Código Penal en la modificación que del mismo se llevó a cabo en ese año.
Surge como consecuencia del desarrollo y utilización cada vez mayor de las Tecnologías de la Información y la Comunicación, así como de la necesidad de aplicar una política penal común, encaminada a proteger a la sociedad frente a la ciberdelincuencia, adoptando la legislación adecuada y manteniendo una política de cooperación internacional.
El Convenio clasifica los delitos informáticos en varios grupos, definiendo los tipos penales que han de considerarse para cada uno ellos. Luego, cada país debe adaptarlo a su legislación penal. Posteriormente, en el año 2003, se firmó el Protocolo Adicional al Convenio de Ciberdelincuencia para penalizar los actos de índole racista y xenófoba cometidos por medio de sistemas informáticos. Definió cuatro grandes grupos de delitos:
Delitos contra la confidencialidad, la integridad y la disponibilidad de los datos y sistemas informáticos. Hace referencia al acceso ilícito a sistemas informáticos, la interceptación ilícita de datos informáticos, e interferencia en el funcionamiento de un sistema informático y abuso de dispositivos que faciliten la comisión de los anteriores delitos.
Delitos informáticos. Incluye la falsificación informática mediante la introducción, alteración, borrado o supresión de datos informáticos y el fraude informático mediante la introducción, alteración o borrado de datos informáticos, o la interferencia en sistemas informáticos.
Delitos relacionados con el contenido. Por ejemplo, la producción, oferta, difusión, transmisión, adquisición o tenencia, en sistemas o soportes informáticos, de contenidos de pornografía infantil.
Delitos relacionados con infracciones de la propiedad intelectual y derechos afines.
Adapta la legislación a las formas de delincuencia ligadas al uso de las nuevas tecnologías (Capítulos IV a VII del Título VIII del Libro II, artículos 588 bis, ter, etc.):
Interceptación de comunicaciones telefónica y telemáticas.
Captación y grabación de comunicaciones mediante el uso de dispositivos electrónicos.
Uso de dispositivos técnicos de seguimiento, localización y captación de la imagen.
Registro de dispositivos de almacenamiento masivo de información.
Registros remotos sobre equipos informáticos.
Para asegurar la autenticidad e integridad de los soportes puestos a disposición del juez, se impone la utilización de un sistema.
Aparece la figura del agente encubierto informático en algunos apartados del art. 282 bis.
Establece obligaciones para los operadores de servicios esenciales (art. 5) en sectores como el energético, transporte, servicios sanitarios, banca y suministro de agua. Las autoridades nacionales deberán identificar a las compañías clave.
Algunos proveedores de servicios digitales –comercio en línea, motores de búsqueda y servicios en la nube- también tendrán que adoptar medidas para garantizar la seguridad de su
infraestructura y deberán informar en caso de incidentes destacados a las autoridades.
Se estable un grupo de cooperación para intercambiar información y asistir a los países miembros en el
desarrollo de sus herramientas de Ciberseguridad. Cada Estado miembro tendrá que adoptar una
estrategia en la materia.
Cada país deberá crear una red de equipos de respuesta ante incidentes de seguridad informática para gestionar riesgos y fallos, discutir cuestiones de seguridad transfronteriza y desarrollar respuestas
coordinadas..