LSSI y hackeo de tu web: qué responsabilidades legales tienes ante una filtración

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Muchos empresarios asumen que, si les hackean, ellos son «la víctima» y ahí termina su responsabilidad. La realidad legal es más incómoda: cuando desde tu web se filtran datos o se sirve contenido malicioso, tienes obligaciones legales concretas bajo el RGPD y la LSSI, y su incumplimiento se sanciona con independencia de que el ataque no fuera culpa tuya. Este artículo forma parte de nuestra guía de SOC gestionado, monitorización 24/7 y cumplimiento y aclara qué se te exige realmente cuando tu sitio es comprometido.

Las dos capas normativas de una web hackeada: RGPD y LSSI

Ante un incidente que afecta a tu web, en España conviven dos marcos legales que responden a preguntas distintas.

El RGPD (y la LOPDGDD que lo desarrolla en España) se ocupa de los datos personales. Como responsable del tratamiento, estás obligado a aplicar «medidas técnicas y organizativas apropiadas» para proteger esos datos (el principio de responsabilidad proactiva) y, si se produce una brecha, a notificarla a la AEPD en plazo y, cuando el riesgo es alto, también a los afectados. Ese engranaje del plazo lo detallamos en Brecha de datos y RGPD: 72 horas para notificar a la AEPD.

La LSSI-CE (Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico) regula la actividad de tu web como servicio digital: la información que debes ofrecer, las comunicaciones comerciales y, muy relevante en un hackeo, el régimen de responsabilidad de los prestadores de servicios. Si tu web comprometida empieza a alojar o distribuir contenido ilícito —páginas de phishing, malware, spam, redirecciones a fraude—, la LSSI marca tus deberes de actuación desde el momento en que tienes conocimiento efectivo de ello.

El concepto clave: «conocimiento efectivo» y el deber de actuar

Aquí está el punto que más sorprende a las empresas. En el marco de la LSSI, el prestador de un servicio puede no ser responsable del contenido ilícito que aloja… hasta que tiene conocimiento efectivo de él. A partir de ese momento, nace el deber de actuar con diligencia para retirarlo o bloquear el acceso. Traducido a un hackeo: si te avisan de que tu web sirve phishing y no haces nada, tu posición jurídica se deteriora con cada hora que pasa. La pasividad convierte a la víctima en corresponsable.

Y esto conecta con el RGPD por el mismo hilo: la diligencia demostrable es, en la práctica, tu principal línea de defensa legal. No se te exige ser invulnerable —ninguna organización lo es—, se te exige haber actuado de forma razonable antes (medidas de seguridad) y después (detección y respuesta). Una empresa que puede demostrar que tenía monitorización, que detectó el incidente pronto y que reaccionó con un procedimiento ordenado está en una posición radicalmente distinta a la de una que no se enteró durante meses.

Qué significa «medidas apropiadas» en la práctica

Ni el RGPD ni la LSSI te dan una checklist cerrada; hablan de proporcionalidad y de estado del arte. Para traducir eso a decisiones concretas, el sector se apoya en marcos reconocidos internacionalmente. El NIST Cybersecurity Framework ofrece un lenguaje común (Identificar, Proteger, Detectar, Responder, Recuperar) que ayuda a justificar que tus medidas son razonables para tu tamaño y tu riesgo. Y para reducir el radio de un ataque, el modelo de Zero Trust (NIST SP 800-207) es una referencia cada vez más citada. Ninguno es de obligado cumplimiento legal en sí mismo, pero adoptarlos es la mejor manera de poder demostrar diligencia si algún día tienes que explicarte ante la AEPD o ante un cliente afectado.

En incidentes que hemos investigado, el detonante de la responsabilidad no fue el ataque en sí, sino la incapacidad de la empresa para saber qué había pasado, cuándo y con qué alcance. Sin logs, sin monitorización y sin análisis forense, no puedes ni notificar bien ni defender tu diligencia. Atendemos desde pymes hasta entornos exigentes —banca y comercios con datos de tarjeta—, donde a estas dos capas se suman obligaciones sectoriales (como los estándares de la industria de tarjetas de pago) que elevan aún más el listón.

Tu plan de mínimos para no quedar expuesto legalmente

• Medidas previas demostrables: MFA, mínimo privilegio, actualizaciones y copias de seguridad. Que se pueda probar que existían.
• Capacidad de detección: monitorización que te permita enterarte pronto, no cuando ya hay un cliente quejándose.
• Registro y evidencias: logs conservados que permitan reconstruir el incidente para notificar y para justificar tu actuación.
• Procedimiento de respuesta: saber a quién avisar (AEPD, afectados) y actuar sin dilación al tener conocimiento efectivo.
• Formación del equipo: el eslabón más débil sigue siendo humano; lo abordamos en Formación en ciberseguridad para tu equipo.

La conclusión práctica: un hackeo te convierte automáticamente en sujeto de obligaciones, no solo en víctima. La única forma de reducir esa exposición es poder demostrar que actuaste con diligencia antes, durante y después. Si quieres una evaluación de tu situación legal y técnica, escríbenos en contacto. Esto es orientación general, no asesoramiento jurídico personalizado: para tu caso concreto consulta con un profesional del derecho.