Los ciberataques contra organismos públicos españoles se han intensificado en los últimos años, poniendo en jaque la continuidad de servicios esenciales y exponiendo vulnerabilidades críticas en la infraestructura digital del Estado. Desde ataques de denegación de servicio hasta sofisticados programas de ransomware, hackeos masivos y actuaciones de hackers organizados que cifran bases de datos completas, las Administraciones Públicas enfrentan una amenaza permanente que requiere respuestas jurídicas ágiles y eficaces.

Cuando un sabotaje informático, un hackeo o un ataque de hacking paraliza sistemas críticos —como la gestión tributaria municipal, el padrón, los servicios sanitarios locales o la tramitación administrativa electrónica—, especialmente en ayuntamientos y entidades locales, los responsables públicos deben actuar con inmediatez. En este contexto, el contrato de emergencia regulado en el artículo 120 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (LCSP) emerge como una herramienta jurídica fundamental que permite contratar sin seguir los procedimientos ordinarios de licitación.

Desde IN DIEM Abogados, asesoramos de forma recurrente a ayuntamientos y Administraciones Públicas en la gestión jurídica de incidentes de ciberseguridad, hackeos y ataques informáticos, analizando cuándo un ciberataque puede justificar legalmente un contrato de emergencia, qué requisitos deben cumplirse, qué riesgos conlleva su uso indebido y cómo documentar correctamente el expediente para superar la fiscalización posterior.

¿Qué se considera sabotaje informático en la Administración Pública?

El sabotaje informático constituye una forma específica de ciberataque dirigida a dañar, alterar o inutilizar sistemas informáticos de manera deliberada. A diferencia de otras amenazas digitales, el sabotaje busca causar un perjuicio directo a la operatividad de los sistemas, provocando la interrupción de servicios, la destrucción de datos o el bloqueo del acceso a recursos críticos.

En la práctica administrativa, estos supuestos suelen materializarse mediante hackeos ejecutados por hackers individuales o grupos organizados, que explotan vulnerabilidades técnicas para acceder ilícitamente a sistemas públicos. Aunque en el lenguaje común se utilicen términos como hackeo o hacking, desde el punto de vista jurídico solo aquellos ataques que causan un daño grave y deliberado a los sistemas pueden calificarse como sabotaje informático.

Jurídicamente, el Código Penal español tipifica estos actos en sus artículos 264 y siguientes, sancionando a quien «por cualquier medio, sin autorización y de manera grave, borre, dañe, deteriore, altere, suprima o haga inaccesibles datos, programas informáticos o documentos electrónicos ajenos». Cuando estos ataques afectan a infraestructuras críticas o servicios esenciales de las Administraciones Públicas, las penas se agravan considerablemente.

Es importante distinguir entre conceptos que, aunque relacionados, no son idénticos.

• Un ciberataque es cualquier acción maliciosa contra sistemas informáticos (phishing, malware, intrusiones no autorizadas).
• El sabotaje informático implica una intencionalidad específica de causar daño grave y desestabilizar operaciones.
• Por su parte, un incidente de seguridad puede incluir fallos técnicos, errores humanos o ataques de menor impacto que no necesariamente constituyen sabotaje.

No todo ciberataque es un sabotaje.

El Instituto Nacional de Ciberseguridad (INCIBE) y el Centro Criptológico Nacional – CERT Gubernamental (CCN-CERT) son los organismos oficiales que coordinan la respuesta ante estos incidentes en el sector público español, proporcionando alertas, análisis forenses y protocolos de actuación ante amenazas críticas.

Tipos de sabotaje informático, hackeos y ataques de hacking más frecuentes

• Ransomware: Cifrado de datos críticos con exigencia de rescate económico para su recuperación.
• Ataques de denegación de servicio (DDoS): Saturación de servidores que impide el acceso a sedes electrónicas y servicios públicos.
• Destrucción de bases de datos: Eliminación o corrupción de información administrativa y registros esenciales.
• Manipulación de datos sensibles: Alteración de información fiscal, sanitaria o administrativa con impacto directo en los ciudadanos.
• Accesos no autorizados a sistemas internos: Intrusiones en redes públicas para el robo de información confidencial o sabotaje operativo.
• Bloqueo de infraestructuras digitales críticas: Paralización de sistemas clave como gestión tributaria, justicia, sanidad o padrón municipal.

Impacto del sabotaje informático en los servicios públicos

Las consecuencias de un sabotaje informático en una Administración Pública van mucho más allá del ámbito técnico. La interrupción de sistemas puede impedir la prestación de servicios esenciales a la ciudadanía, afectando derechos fundamentales y generando un grave perjuicio social y económico.

Un ataque que bloquee los sistemas de un hospital compromete la seguridad de los pacientes. Un sabotaje en una administración tributaria puede paralizar la recaudación y la gestión de expedientes. La caída de plataformas judiciales retrasa procedimientos y vulnera el derecho a la tutela judicial efectiva.

Los riesgos para los datos personales son igualmente críticos. Las Administraciones custodian información sensible de millones de ciudadanos —datos de salud, información fiscal, antecedentes penales, datos de menores— cuya exposición o destrucción constituye una vulneración del Reglamento General de Protección de Datos y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales. La Agencia Española de Protección de Datos puede imponer sanciones millonarias por incumplimientos derivados de una inadecuada gestión de brechas de seguridad.

Ante este escenario, la Administración tiene la obligación de actuar con rapidez para restablecer los servicios, lo que justifica el uso de mecanismos excepcionales de contratación cuando concurren los requisitos legales.

Y es importante entender que, desde la perspectiva administrativa, los responsables del órgano afectado asumen una responsabilidad directa por la gestión de la crisis. La inacción o la respuesta inadecuada pueden generar responsabilidades patrimoniales frente a terceros perjudicados y, en casos graves, responsabilidades personales de los gestores públicos.

En el ámbito local, los ayuntamientos son especialmente vulnerables a este tipo de hackeos, al gestionar múltiples servicios esenciales con recursos técnicos limitados. La paralización de sedes electrónicas municipales, registros administrativos o sistemas de gestión económica puede afectar de forma directa a miles de ciudadanos, lo que refuerza la necesidad de una respuesta jurídica y técnica inmediata correctamente articulada.

El contrato de emergencia en la Ley de Contratos del Sector Público

El artículo 120 de la LCSP regula el contrato de emergencia como un procedimiento excepcional que permite contratar sin seguir los trámites ordinarios cuando sea necesario actuar de manera inmediata ante acontecimientos catastróficos, situaciones de grave peligro o necesidades que no admiten demora.

Este tipo de contrato permite adjudicar directamente obras, servicios o suministros sin licitación previa, sin publicidad y sin los plazos habituales. Su finalidad es garantizar una respuesta inmediata cuando la urgencia es incompatible con los procedimientos ordinarios de contratación.

No obstante, su uso está sujeto a límites muy claros. El contrato de emergencia solo puede cubrir lo estrictamente necesario para afrontar la situación crítica y durante el tiempo imprescindible. Además, aunque no haya licitación previa, el gasto queda sometido a fiscalización posterior por los órganos de control.

¿Cuándo un ciberataque puede justificar un contrato de emergencia?

No obstante, esta facultad extraordinaria está sujeta a límites estrictos. La contratación de emergencia solo puede emplearse para lo estrictamente necesario durante el tiempo imprescindible para resolver la situación urgente. La LCSP establece que estos contratos no pueden exceder de los cuatro meses, aunque pueden prorrogarse por otros cuatro en casos excepcionales debidamente justificados. Además, el precio debe ser razonable y acorde con el mercado, evitando el enriquecimiento injustificado del contratista por la situación de necesidad.

La transparencia y la rendición de cuentas quedan salvaguardadas mediante la obligación de comunicar inmediatamente la tramitación del expediente al órgano de control fiscal competente, que fiscalizará posteriormente la concurrencia de los requisitos legales y la adecuación del gasto. Esta fiscalización posterior constituye un control esencial sobre el uso de mecanismos excepcionales que suponen una quiebra temporal de los principios ordinarios de concurrencia y publicidad.

¿Puede un ciberataque justificar un contrato de emergencia?

Un sabotaje informático puede justificar legalmente un contrato de emergencia siempre que concurran tres requisitos esenciales de forma simultánea.

1. En primer lugar, debe existir una situación objetiva de emergencia, caracterizada por su gravedad, imprevisibilidad y capacidad para paralizar servicios públicos esenciales.
2. En segundo lugar, debe acreditarse que es imposible acudir a un procedimiento ordinario o incluso urgente sin que ello agrave el daño o retrase de forma inaceptable la recuperación del servicio. No todos los incidentes de seguridad permiten acudir a la emergencia; solo aquellos que exigen una actuación inmediata.
3. Por último, debe existir una relación directa entre el ataque sufrido y las prestaciones contratadas. Los servicios deben estar orientados a la contención del incidente, la recuperación de sistemas, el análisis forense o la restauración de la operatividad, no a mejoras estructurales que puedan licitarse posteriormente.

La Administración debe documentar de forma exhaustiva estas circunstancias, ya que la carga de la prueba recae sobre el órgano de contratación.

Diferencia fundamental entre urgencia y emergencia

Es fundamental distinguir entre urgencia y emergencia. La urgencia, regulada en el artículo 119 LCSP, permite acelerar plazos pero mantiene las garantías básicas del procedimiento de contratación. La emergencia, en cambio, habilita para prescindir de esos trámites ante situaciones excepcionales. Un incidente de seguridad que requiera actuación rápida pero que puede gestionarse mediante procedimiento urgente ordinario no justifica acudir al contrato de emergencia.

Riesgos legales del uso indebido del contrato de emergencia

La utilización incorrecta del procedimiento de emergencia conlleva graves consecuencias jurídicas tanto para la Administración como para los responsables que adoptan la decisión. Los órganos de control fiscal, especialmente el Tribunal de Cuentas y las intervenciones autonómicas y locales, examinan con especial rigor estos expedientes precisamente por su carácter excepcional.

• Declaración de nulidad del contrato

Si la fiscalización posterior determina que no concurrían los requisitos legales para acudir al procedimiento de emergencia, el contrato puede ser declarado nulo de pleno derecho por vulnerar normas imperativas.

Aunque esta nulidad no impide que el contratista perciba el importe correspondiente a las prestaciones ya ejecutadas —para evitar su enriquecimiento injusto—, sí provoca importantes problemas administrativos, jurídicos y reputacionales para la Administración.

• Responsabilidad del órgano de contratación

Los responsables públicos que tramiten de forma irregular un contrato de emergencia pueden incurrir en responsabilidad contable cuando su actuación cause un perjuicio económico al erario público.

El Tribunal de Cuentas puede exigir el reintegro de las cantidades indebidamente abonadas, junto con los intereses correspondientes.

En supuestos de negligencia grave o mala fe, incluso pueden derivarse responsabilidades penales, como delitos de malversación o prevaricación.

• Inhabilitaciones y consecuencias profesionales

La contratación irregular puede conllevar inhabilitaciones para ejercer cargos públicos, así como sanciones disciplinarias para los responsables implicados. Estas consecuencias afectan directamente a la carrera profesional de los gestores públicos.

• Obligación de indemnizar a terceros perjudicados

Si se acredita que la utilización indebida del procedimiento de emergencia impidió injustificadamente la concurrencia, la Administración puede verse obligada a indemnizar a terceros que hubieran resultado perjudicados.

• Impugnaciones por parte de empresas excluidas

Las empresas que no participaron en el contrato de emergencia no pueden impugnarlo si la emergencia estaba correctamente justificada.

No obstante, sí pueden hacerlo cuando logren demostrar que no existía una situación real de emergencia, abriendo la puerta a recursos y reclamaciones con importantes consecuencias jurídicas.

La importancia de documentar correctamente cada paso del expediente resulta crucial. El expediente debe contener informe técnico detallado sobre el incidente y su gravedad, dictamen jurídico sobre la procedencia del procedimiento de emergencia, acreditación de la imposibilidad de acudir a otros cauces, justificación de la elección del contratista, y documentación completa de todas las actuaciones realizadas. Esta documentación no solo cumple exigencias formales, sino que constituye la prueba esencial en caso de control posterior.

Oportunidades para empresas tecnológicas y proveedoras del sector público

Los contratos de emergencia derivados de ciberataques representan una oportunidad relevante para empresas especializadas en ciberseguridad, recuperación de sistemas y análisis forense digital. Sin embargo, estas oportunidades solo son sostenibles si se actúa con rigor, transparencia y precios ajustados a mercado.

Las Administraciones suelen recurrir en situaciones críticas a proveedores con experiencia acreditada y capacidad de respuesta inmediata. Por ello, la preparación previa, las certificaciones y el conocimiento del marco jurídico de la contratación pública resultan determinantes.

Servicios más demandados en emergencias por ciberataques

• Análisis forense digital para determinar el origen, alcance y autoría del ataque
• Recuperación inmediata de sistemas comprometidos mediante restauración de backups o reconstrucción de infraestructuras
• Implementación urgente de parches de seguridad y actualizaciones críticas
• Refuerzo temporal de la infraestructura mediante servicios cloud o servidores de respaldo
• Monitorización intensiva de sistemas durante el periodo crítico
• Asesoramiento técnico especializado para la toma de decisiones durante la gestión de la crisis

Para las empresas proveedoras resulta esencial comprender que la ausencia de licitación no implica ausencia de controles. Aunque el procedimiento de emergencia prescinda de la publicidad y la concurrencia, el contratista debe cumplir escrupulosamente con todas sus obligaciones contractuales, documentar exhaustivamente sus actuaciones y ajustar sus honorarios a criterios de mercado. Los precios abusivos o las prestaciones deficientes pueden derivar en reclamaciones patrimoniales e inhabilitaciones futuras para contratar con el sector público.

Importancia del asesoramiento jurídico especializado

El asesoramiento jurídico previo constituye una inversión estratégica tanto para las empresas como para las Administraciones. Los proveedores tecnológicos deben contar con asesoramiento especializado en contratación pública para estructurar adecuadamente sus ofertas, conocer sus derechos y obligaciones, y gestionar correctamente la documentación contractual. Este asesoramiento permite también identificar oportunidades legítimas de colaboración con el sector público más allá de las emergencias, mediante acuerdos marco, sistemas dinámicos de adquisición o procedimientos ordinarios que garantizan una relación contractual estable y predecible.

¿En qué puede ayudarte IN DIEM?

IN DIEM Abogados presta asesoramiento jurídico especializado a ayuntamientos y entidades del sector público en la gestión de incidentes de ciberseguridad, hackeos y sabotajes informáticos, acompañando a los órganos de contratación desde la fase inicial de la crisis hasta la correcta tramitación y defensa del expediente de contratación de emergencia.

La complejidad técnica y jurídica de los contratos de emergencia por ciberataques exige un asesoramiento altamente especializado que integre conocimientos profundos de contratación pública, derecho digital y ciberseguridad. Los despachos con experiencia en este ámbito pueden aportar valor tanto a las Administraciones contratantes como a las empresas proveedoras.

Servicios jurídicos para las Administraciones Públicas

Para las Administraciones Públicas, el asesoramiento jurídico preventivo resulta fundamental para diseñar protocolos de actuación ante incidentes críticos que permitan una respuesta ágil sin incurrir en irregularidades. Esto incluye la elaboración de planes de contingencia que identifiquen previamente qué servicios serían críticos ante un ciberataque, qué proveedores podrían actuar con rapidez y qué documentación debe prepararse para justificar la emergencia.

Durante la gestión de la crisis, el apoyo jurídico permite tramitar correctamente el expediente de emergencia, asegurando que concurren todos los requisitos legales, que la documentación justificativa es sólida y completa, y que las decisiones adoptadas resultan defendibles ante los órganos de control. Esta asistencia incluye la redacción de informes jurídicos, la revisión de propuestas técnicas, la negociación de condiciones contractuales y la supervisión del cumplimiento de obligaciones formales.

Servicios jurídicos para empresas proveedoras

La revisión posterior del expediente constituye otro servicio de alto valor. Un análisis jurídico independiente antes de la fiscalización oficial permite identificar debilidades documentales, subsanar deficiencias formales y preparar argumentos defensivos ante posibles objeciones. Esta revisión preventiva reduce significativamente los riesgos de cuestionamientos posteriores y facilita la superación de los controles fiscales.

Para las empresas tecnológicas y consultoras, el asesoramiento especializado permite comprender las exigencias específicas del sector público, adaptar sus modelos de negocio a las particularidades de la contratación administrativa y gestionar adecuadamente las relaciones contractuales con organismos públicos. Esto incluye el diseño de estrategias comerciales compatibles con la normativa de contratación, la preparación de ofertas técnico-jurídicas sólidas y la gestión de incidencias contractuales.

La experiencia acumulada en casos reales permite a estos despachos ofrecer un enfoque práctico basado en precedentes, resoluciones de órganos consultivos y doctrina administrativa consolidada. Este conocimiento aplicado resulta especialmente valioso en un ámbito donde la casuística es determinante y donde pequeños matices en la documentación o en el procedimiento pueden marcar la diferencia entre un expediente impecable y uno cuestionable.

Contacta con nosotros. Contacta con un asesoramiento especializado.

Si una Administración Pública, especialmente un ayuntamiento, se enfrenta a un ciberataque, hackeo o incidente grave de seguridad informática, o necesita asesoramiento jurídico especializado en contratación pública, contratos de emergencia y derecho digital, contar con apoyo legal experto resulta determinante para actuar con rapidez, seguridad jurídica y plena cobertura frente a los órganos de control.

En IN DIEM Abogados asesoramos a entidades locales y organismos públicos en la gestión jurídica de crisis tecnológicas, la correcta tramitación de contratos de emergencia conforme a la LCSP y la prevención de responsabilidades administrativas, contables o penales.
Contacta con nuestro despacho para analizar tu situación concreta y recibir un asesoramiento adaptado a las necesidades y particularidades de tu Administración.

Preguntas frecuentes (FAQs)

Cryptoveritas 360: nuestro partner tecnológico

Publicaciones sobre Criptos en nuestro blog

Abogados expertos en Criptomonedas: Málaga, Sevilla, Madrid, Las Palmas de Gran Canarias, Almería, Huelva, Marbella, Estepona,…

En IN DIEM Abogados y Cryptoveritas 360 prestamos nuestros servicios en todas nuestras sedes y oficinas en España, ofreciendo cobertura directa y personalizada en Madrid, Sevilla, Málaga, Marbella, Las Palmas de Gran Canarias, así como atención continua a través de nuestros canales digitales para clientes de todo el territorio nacional.

Nuestro equipo multidisciplinar asesora también a empresas internacionales —incluyendo Europa, Latinoamérica y Asia— que desean instalarse o expandirse en España bajo el marco regulatorio MiCA, ya sea mediante la obtención de la licencia CASP ante la CNMV o la constitución de sociedades y estructuras de cumplimiento adaptadas al mercado europeo.

Gracias a una metodología de trabajo híbrida (presencial y online), garantizamos el mismo nivel de calidad, confidencialidad y eficiencia tanto a clientes locales como extranjeros, acompañando cada proyecto desde la planificación inicial hasta la obtención efectiva de la autorización regulatoria.

Estamos a tu disposición para lo que necesites. Nos puedes localizar a través del Teléfono Abogados IN DIEM  (+34) 916 353 892. En casos de Urgencias nos tienes en el Teléfono Abogados Urgencia 24 Horas  IN DIEM:  (+34) 610 667 452.

¿Sabías que Abogados IN DIEM dispone de servicio online y servicio urgente?

Ofrecemos a nuestros clientes la posibilidad de ser asistido por videollamada o videoconferencia, así como también de forma telefónica, conforme la preferencia de nuestros clientes, de forma que a la asistencia es lo más personal, con absoluta inmediatez, sin necesidad de desplazamientos. Tal servicio se complementa con comunicación vía mail, lo que facilita el análisis y entrega de documentación.

Asi mismo, disponemos para nuestras empresas servicios urgentes y 24 horas, atendiendo operaciones de contratación nacionales e internacionales.

Para más información del Servicio de Asesoramiento Legal OnLine AQUÍ, el Servicio 24 horas y Urgentes, AQUÍ, y algunos reconocimientos te dejamos este enlace.

¿Algo más sobre Abogados IN DIEM? Te dejamos este breve video de presentación…

Nos encontrará en Sevilla, Madrid, Las Palmas de Gran Canaria, Málaga, Huelva, Punta Umbría, Tomares, Coria del Rio, Dos Hermanas, Mairena del Alcor, Estepona, Marbella, Mairena del Aljarafe… será un placer atenderle…!!