Leyes sobre delitos informáticos en Honduras

Honduras sí tipifica los delitos informáticos: el Código Penal vigente (Decreto 130-2017, Título XXII, "Seguridad de las redes y de los sistemas informáticos") sanciona el acceso no autorizado, los daños a datos y sistemas, el abuso de dispositivos y la suplantación de identidad, con penas de prisión de 6 meses a 3 años y multas de 100 a 400 días. También alcanza a las personas jurídicas. Lo que Honduras no tiene es una ley integral de ciberseguridad ni una ley general de protección de datos: el proyecto de 2018 nunca completó su trámite legislativo.

Esta guía explica, con artículos y penas verificados contra el texto oficial del Código Penal, qué conductas son delito en Honduras, qué pasó con el proyecto de ley integral, qué exige la ley a las empresas y por qué una prueba de penetración debidamente autorizada es la evidencia de diligencia que los jueces, clientes y socios comerciales buscan cuando ocurre un incidente.

Código Penal de Honduras: qué delitos informáticos existen y qué penas tienen

La regulación penal de la cibercriminalidad está concentrada en el Título XXII del Código Penal, aprobado mediante el Decreto 130-2017, publicado en La Gaceta y vigente desde 2020. Los delitos informáticos ocupan los artículos 398 a 405. A continuación, las figuras con su artículo y su pena exacta, tomada del texto oficial (disponible en el Tribunal Superior de Cuentas).

Acceso no autorizado a sistemas informáticos (artículo 398)

Es castigado con prisión de 6 a 18 meses o multa de 100 a 200 días quien, vulnerando las medidas de seguridad establecidas para impedirlo, accede sin autorización a todo o en parte de un sistema informático. La pena se aumenta en un tercio (1/3) si el sistema corresponde a estructuras o servicios esenciales para la comunidad.

Dos elementos son clave: la falta de autorización y la vulneración de medidas de seguridad. Sin ambos elementos, la conducta no encaja en este artículo. Por eso la línea entre una auditoría de seguridad legítima y un delito se traza en el papel: autorización expresa y por escrito del titular del sistema.

Daños a datos y sistemas informáticos (artículo 399)

Este artículo distingue dos conductas. Quien por cualquier medio y sin autorización introduce, borra, deteriora, altera, suprime o hace inaccesible de forma grave datos informáticos: prisión de 1 a 2 años o multa de 100 a 300 días. Quien sin autorización inutiliza total o parcialmente el funcionamiento de un sistema informático, impidiendo el acceso o imposibilitando alguno de sus servicios: prisión de 1 a 3 años o multa de 100 a 400 días.

Las penas se aumentan en un tercio cuando la conducta causa un grave daño económico o afecta estructuras o servicios esenciales para la comunidad.

Abuso de dispositivos (artículo 400)

La fabricación, importación, venta, facilitación o la obtención para su utilización de dispositivos, programas informáticos, contraseñas o códigos de acceso destinados o adaptados para cometer daños informáticos o acceso ilícito: prisión de 6 meses a 1 año o multa de 100 a 200 días. Es la figura que penaliza la creación y circulación de herramientas de intrusión, una de las piezas más relevantes del marco legal hondureño.

Suplantación de identidad (artículo 401)

Es castigado con prisión de 6 meses a 1 año o multa de 100 a 300 días quien con ánimo defraudatorio y a través de las tecnologías de la información y la comunicación suplanta la identidad de una persona natural o jurídica. Es la base penal para perseguir el fraude y la suplantación digital contra empresas y ciudadanos.

Agravantes específicas (artículo 402)

Las penas del Título XXII se aumentan en un tercio cuando el delito lo comete quien es responsable o encargado del sistema, o quien cuenta con autorización para acceder a los datos o sistemas informáticos, o cuando el culpable pertenece a un grupo delictivo organizado. El abuso de confianza y de la delincuencia organizada se castigan con mayor severidad.

Responsabilidad de las personas jurídicas (artículo 403)

Cuando una persona jurídica resulta responsable de alguno de estos delitos, se le impone suspensión de sus actividades específicas de 3 a 5 años y multa de 300 a 500 días. La empresa no es un escudo: también puede ser sancionada.

Jurisdicción sobre delitos cometidos a distancia (artículo 404)

Los órganos jurisdiccionales hondureños conocen de los delitos informáticos cuando se ejecutan en Honduras aunque se dirijan contra datos o sistemas informáticos situados fuera del país, o cuando se cometen contra datos o sistemas situados en Honduras aunque el culpable haya actuado desde fuera del territorio nacional. La geografía del atacante no lo protege: un ciberataque dirigido contra sistemas en Honduras es perseguible en Honduras.

La Ley Nacional de Ciberseguridad de 2018: qué pasó realmente

La Ley Nacional de Ciberseguridad y Medidas de Protección ante los Actos de Odio y Discriminación en Internet y Redes Sociales se debatió en el Congreso en 2018, llegando a segundo debate, pero nunca completó su trámite y permanece sin aprobar (Access Now; Agencia Ocote). Es un proyecto, no una ley vigente.

El proyecto combinaba dos materias distintas: la creación de un Comité Interinstitucional de Ciberseguridad encargado de desarrollar la Estrategia Nacional de Ciberseguridad, y medidas contra los actos de odio y discriminación en Internet. Esta segunda parte generó oposición: unas 30 organizaciones nacionales e internacionales manifestaron su rechazo, considerando que afectaba la libertad de expresión, al institucionalizar mecanismos de persecución de opiniones en espacios digitales. La consecuencia práctica es que Honduras sigue sin una ley integral de ciberseguridad.

Para el panorama completo del ecosistema —instituciones, estrategia y desafíos estructurales—, el artículo pilar es Ciberseguridad en Honduras.

Qué exige (y qué no exige) la ley a las empresas

La ausencia de una ley integral no significa ausencia de obligaciones ni de riesgo. La realidad legal-operativa para las empresas en Honduras es la siguiente:

Lo que la ley sí exige

• No cometer delitos informáticos a través de la empresa. El artículo 403 sanciona a la persona jurídica con suspensión de actividades y multa. La responsabilidad penal corporativa existe.
• Respetar las normas sectoriales aplicables. Sectores como la banca están sujetos a estándares y regulaciones de seguridad de la información exigidos por el ente supervisor y por las redes de pago internacionales, independientemente de la legislación local.
• Cumplir lo que exigen los contratos. Clientes corporativos, aseguradoras y socios internacionales exigen estándares de seguridad (ISO 27001, SOC 2 y similares) como condición comercial. Son obligaciones contractuales, no penales, pero su incumplimiento bloquea negocios.
• Aplicar la debida diligencia. En caso de un incidente, jueces y contrapartes evaluarán si la empresa adoptó las medidas razonables que estaban a su alcance. No hay un "piso mínimo" reglamentado, pero la omisión total de medidas es la peor posición posible.

Lo que la ley no exige (aún)

• No existe una obligación general de notificar brechas de datos a una autoridad específica.
• No hay una autoridad de protección de datos que imponga sanciones por malas prácticas de tratamiento de información personal.
• No hay estándares técnicos mínimos obligatorios para la seguridad de los sistemas de las empresas.

Esa brecha —ni regulación clara ni piso mínimo— es precisamente lo que convierte la diligencia voluntaria en ventaja competitiva: la empresa que puede demostrar sus medidas de seguridad documenta su responsabilidad, mientras la que no hace nada queda expuesta penal, contractual y reputacionalmente. Las normativas internacionales sobre ethical hacking explican qué marcos cubren parte de este vacío cuando la empresa presta servicios a clientes en otros países.

Por qué un pentest autorizado es evidencia de diligencia

El artículo 398 exige, para que exista delito, acceso sin autorización con vulneración de medidas de seguridad. Una prueba de penetración ejecutada con autorización expresa y por escrito del titular del sistema, con alcance definido y metodología documentada, se ubica deliberadamente al otro lado de esa línea: es la misma técnica, en el mismo contexto ético y autorizado que la ley presupone.

Además del efecto preventivo —identificar vulnerabilidades reales antes de que los delincuentes las exploten—, un pentest profesional genera evidencia documentada de diligencia: alcance acordado, hallazgos, niveles de severidad, remediaciones aplicadas y re-verificación. Cuando ocurre un incidente y alguien evalúa la conducta de la empresa —un juez, un cliente, una aseguradora o un socio bancario— ese expediente técnico demuestra que la organización adoptó medidas razonables y profesionales de seguridad.

La distinción entre un ataque criminal y una auditoría de seguridad no es técnica, es legal y procedimental: autorización, alcance, documentación y propósito. Nuestra guía de ethical hacking en Honduras detalla cómo se estructura un servicio profesional y qué debe contener un reporte de prueba de penetración para que sirva como respaldo.

Preguntas frecuentes sobre delitos informáticos en Honduras

¿Qué Código Penal está vigente en Honduras?

El Código Penal vigente es el aprobado mediante el Decreto 130-2017, publicado en La Gaceta y en vigor desde 2020. Los delitos informáticos están en el Título XXII ("Seguridad de las redes y de los sistemas informáticos"), artículos 398 a 405.

¿Cuál es la pena por acceder sin autorización a un sistema informático?

El artículo 398 establece prisión de 6 a 18 meses o multa de 100 a 200 días, con aumento de un tercio si el sistema corresponde a estructuras o servicios esenciales para la comunidad.

¿Honduras tiene una ley integral de ciberseguridad?

No. El proyecto de Ley Nacional de Ciberseguridad de 2018 se debatió en el Congreso y llegó a segundo debate, pero nunca completó su trámite y permanece sin aprobar. Honduras tampoco cuenta con una ley general de protección de datos.

¿Una empresa puede ser sancionada por delitos informáticos?

Sí. El artículo 403 establece que cuando una persona jurídica es responsable de un delito del Título XXII, se le impone suspensión de sus actividades específicas de 3 a 5 años y multa de 300 a 500 días.

¿Un hacker que ataca desde el extranjero puede ser juzgado en Honduras?

Sí. El artículo 404 otorga jurisdicción a los órganos jurisdiccionales hondureños cuando el delito se comete contra datos o sistemas situados en Honduras, aunque el culpable haya actuado desde fuera del territorio nacional.

¿Un pentest autorizado es legal?

Sí, cuando se ejecuta con autorización expresa del titular del sistema, con alcance definido y metodología documentada. El artículo 398 solo tipifica el acceso sin autorización, por lo que la autorización convierte la misma actividad técnica en una auditoría legítima de seguridad.

Evalúe la postura legal y técnica de su empresa

Conocer el Código Penal es el primer paso; demostrar diligencia es el segundo. Si su empresa opera en Honduras, un ethical hacking profesional identifica las vulnerabilidades de sus sistemas antes de que se conviertan en incidentes con consecuencias penales, contractuales y reputacionales —y le deja el expediente técnico que documenta su debida diligencia.

Solicite una evaluación inicial de seguridad →