Convención de Ginebra digital: Por qué el derecho internacional falla en el ciberespacio

4 Min. Lesezeit

Hospitales, redes eléctricas, suministro de agua – protegidos en la guerra física por las Convenciones de Ginebra. En el ciberespacio: Presa fácil. Mientras los estados expanden masivamente sus capacidades ofensivas en ciberseguridad, falta toda regla vinculante para el espacio de guerra digital. Por qué esto es más peligroso de lo que la mayoría de los políticos entienden.

Das Wichtigste in Kürze

Mehr als 40 Staaten betreiben offensive Cyberprogramme, darunter Angriffe auf zivile Infrastruktur.
Die Zuschreibung von Cyberangriffen dauert oft Monate, was klassische Abschreckung unmöglich macht.
Zivile Einrichtungen wie Krankenhäuser und Stromnetze werden gezielt angegriffen, ohne Konsequenzen.
Der Tallinn-Manual bietet juristische Regeln, ist aber nicht rechtsverbindlich und wird nicht angewandt.
Ein digitaler Genfer Konvent braucht klare rote Linien, Sanktionen und eine neutrale Zuschreibungsstelle.

En resumen

No existe un derecho internacional vinculante para el ciberespacio – solo normas no vinculantes de la ONU y el controvertido Manual de Tallin
Más de 40 estados operan programas cibernéticos ofensivos – incluidos ataques a la infraestructura civil de otros países
El problema de la atribución hace imposible la disuasión clásica: ¿Quién ha atacado? La prueba a menudo llega después de meses
La población civil no está protegida en la guerra cibernética – los hospitales y las centrales eléctricas se eligen conscientemente como objetivos

La brecha en el derecho internacional

En 1949, los estados del mundo acordaron las Convenciones de Ginebra: los ataques a civiles, hospitales y establecimientos humanitarios están prohibidos. Estas reglas se aplican en la guerra terrestre, en la guerra naval, en la guerra aérea. ¿En el ciberespacio? Teóricamente sí – en la práctica no.

El problema no es que el derecho internacional excluya los ciberataques. La mayoría de los juristas argumentan que las reglas existentes son aplicables. El problema es: nadie las cumple, nadie es castigado, y las reglas están escritas para un dominio que en 1949 no existía.

Cuando el grupo Sandworm de Rusia apagó la red eléctrica ucraniana en 2015 – en pleno invierno, 230.000 personas sin electricidad – eso fue, según cualquier medida razonable, un ataque a la infraestructura civil. ¿La reacción internacional? Los diplomáticos expresaron „preocupación“. Sin sanciones. Sin consecuencias.

Por qué falla la disuasión clásica

El problema de la atribución: En la guerra física está claro quién envió el tanque más allá de la frontera. En el ciberespacio, la atribución lleva meses, a veces años. Y aún así queda la posibilidad de negación plausible: „Fueron hackers patrióticos, no empleados estatales“. Rusia, China, Irán y Corea del Norte utilizan sistemáticamente esta zona gris.

Asimetría: Un pequeño país, técnicamente competente, puede causar un daño desproporcionado a una superpotencia en el ciberespacio. Corea del Norte – un país económicamente insignificante – ha obtenido más de 3.000 millones de dólares a través de ciberataques. Los equilibrios de poder clásicos no funcionan.

Riesgo de escalada: ¿Cuándo se convierte un ciberataque en un acto de guerra? ¿Cuando una red eléctrica falla? ¿Cuando un hospital es paralizado? ¿Cuando mueren personas? Este umbral no está definido – y su ambigüedad es peligrosa porque permite una escalada accidental.

El Manual de Tallin – teoría sin práctica

El Centro de Defensa Cibernética Cooperativa de la OTAN en Estonia ha realizado el intento más ambicioso de aplicar el derecho internacional al ciberespacio con el Manual de Tallin. El resultado: una obra académica de 600 páginas con 154 reglas. Importante para el debate jurídico – irrelevante para la realidad operativa.

Ningún estado ha ratificado el Manual de Tallin. Ningún tribunal lo aplica. Ningún atacante se siente obligado. Es un brillante experimento mental sin efecto práctico.

Lo que necesitaría una Convención de Ginebra digital

Líneas rojas: Los ataques a la infraestructura sanitaria, el suministro de agua potable y las redes eléctricas deben considerarse explícitamente como crímenes de guerra – independientemente de si existe un estado de guerra formal. Con consecuencias claras: sanciones, persecución penal, en su caso, respuestas cinéticas.

Mecanismo de atribución: Una instancia internacional independiente – comparable a la OPAQ para las armas químicas – que investigue y atribuya los ciberataques de manera neutral. Sin una atribución creíble no hay disuasión.

Armas prohibidas: Ciertas herramientas cibernéticas – malware wiper contra infraestructura civil, ataques a dispositivos médicos, manipulación de controles de presas – deben prohibirse categóricamente, de manera similar a las armas químicas y biológicas.

Conclusión: El mundo necesita reglas antes de que sea demasiado tarde

Las Convenciones de Ginebra surgieron después de los horrores de dos guerras mundiales. La Convención de Ginebra digital debería preceder – antes de que un ciberataque conduzca a una masacre. Las capacidades tecnológicas ya existen. Lo que falta es la voluntad política. Y con cada año sin reglas aumenta el riesgo de que la primera catástrofe cibernética sorprenda al mundo desprevenido.

Key Facts

Programas cibernéticos ofensivos: Al menos 40 estados operan capacidades cibernéticas ofensivas activas – solo 12 de ellos se han comprometido públicamente con normas para un comportamiento responsable.

Coste de la inacción: Los ciberataques a infraestructuras críticas causaron daños estimados en 45.000 millones de dólares en todo el mundo en 2024 – sin una sola consecuencia de derecho internacional.

Preguntas frecuentes

¿No es ya aplicable el derecho internacional existente en el ciberespacio?

Teóricamente: Sí. La mayoría de los estados reconocen que el derecho internacional existente es aplicable. Prácticamente: Las reglas son demasiado vagas, la aplicación no existe y la atribución es demasiado incierta para consecuencias legales vinculantes.

¿Aceptarían Rusia o China una Convención de Ginebra digital?

A corto plazo: Improbable. A largo plazo: La Convención sobre armas químicas también tardó décadas. El proceso comienza con estados „de ideas afines“ y se convierte en un estándar global a través de la fijación de normas, la presión económica y la experiencia de incidentes concretos.

¿Qué pueden hacer las empresas mientras no haya reglas?

Prepararse para ataques a sistemas críticos como si fueran inevitables. Segmentación OT, copias de seguridad fuera de línea, planes de respuesta a incidentes probados y redundancia para sistemas vitales. Quien espera la regulación espera demasiado.

Hier schreibt Tobias Massow für Sie

Mehr Artikel vom Autor Tobias Massow

Auch verfügbar in

Français