Obstaculización de sistema informático en Colombia: artículo 269B, pena y defensa
Una mañana la empresa amanece paralizada: la plataforma de ventas no carga, los correos rebotan y una pantalla exige un pago para «liberar» los equipos. O, sin ataque externo, el único técnico que conocía las claves las cambia tras una discusión y deja a la compañía sin acceso a su propio sistema. Las dos situaciones encajan en el mismo delito: la obstaculización ilegítima de sistema informático.
En Estudio Penal Abogados representamos a las empresas paralizadas por estos ataques y defendemos a quienes son señalados de causarlos. Aquí explicamos qué castiga el artículo 269B del Código Penal, su pena —de 4 a 8 años de prisión— y las claves de la defensa. Ofrecemos asesoría a empresas víctimas de estos ataques.
El origen del 269B: el «sabotaje informático» de Budapest
Detrás del artículo 269B hay un concepto acuñado en Europa hace décadas: el sabotaje informático. La Ley 1273 de 2009 lo trajo a Colombia desde el artículo 5 del Convenio de Budapest, que castiga la «interferencia en el sistema», es decir, obstaculizar gravemente su funcionamiento.
La adhesión de Colombia a ese convenio, sin embargo, fue posterior a la ley: se produjo con la Ley 1928 de 2018, casi una década después de que el país adoptara su modelo. Primero copiamos la fórmula; luego firmamos el tratado que la contenía.
¿Qué es el delito de obstaculización de sistema informático?
La obstaculización consiste en impedir u obstaculizar, sin estar facultado para ello, el funcionamiento o el acceso normal a un sistema informático, a sus datos o a una red de telecomunicaciones. El bien jurídico protegido es la disponibilidad: el derecho de la empresa y de los usuarios a que sus sistemas funcionen.
La ley distingue dos intensidades. Impedir supone dejar el sistema totalmente fuera de servicio, como cuando un ransomware cifra todos los archivos. Obstaculizar es afectarlo de forma parcial, ralentizarlo o bloquear una de sus funciones. En ambos casos se trata de un delito de resultado: no basta la intención, la conducta debe afectar realmente la operación del sistema.
Texto vigente del artículo 269B del Código Penal
Artículo 269B. Obstaculización ilegítima de sistema informático o red de telecomunicación. El que, sin estar facultado para ello, impida u obstaculice el funcionamiento o el acceso normal a un sistema informático, a los datos informáticos allí contenidos, o a una red de telecomunicaciones, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes, siempre que la conducta no constituya delito sancionado con pena mayor.
Ley 599 de 2000, art. 269B, adicionado por la Ley 1273 de 2009. Norma vigente.
El tipo penal es subsidiario: se aplica «siempre que la conducta no constituya delito sancionado con pena mayor». Si el bloqueo del sistema se acompaña de una extorsión —como en el ransomware que exige rescate— o de un daño irreversible a los datos, pueden entrar en juego otros delitos con penas más altas, en concurso o por subsunción.
¿Su empresa sufrió un ataque que la paralizó? Hable con un penalista →
¿Qué ha dicho la Corte Suprema sobre el artículo 269B?
Sobre este artículo la Sala de Casación Penal no registra una sentencia de fondo. Es el reflejo de una realidad más amplia: la producción jurisprudencial sobre los delitos informáticos ha sido entre nula y escasa. Por eso en Estudio Penal Abogados apoyamos su estudio en el tratado que les dio origen y en la jurisprudencia comparada, en especial la del Tribunal Supremo español, que aplica un tipo equivalente en su artículo 264 bis.
Glosario: 5 términos para entender el artículo 269B
- Ransomware: programa que cifra o bloquea los sistemas de la víctima y exige un pago para restablecer el acceso. Es hoy la forma más común de dejar una empresa fuera de servicio.
- Ataque DoS (denegación de servicio): saturación deliberada de un sistema con peticiones hasta que colapsa y deja de responder.
- Ataque DDoS (denegación de servicio distribuida): el mismo ataque, pero lanzado a la vez desde miles de equipos, lo que lo hace mucho más difícil de frenar.
- Botnet: red de computadores infectados y controlados de forma remota, que el atacante usa para lanzar ataques masivos sin que sus dueños lo sepan.
- Ataque DNS: manipulación del sistema que traduce los nombres de dominio, para desviar o interrumpir el acceso a un servicio.
Un caso real: el administrador que dejó a la empresa sin su sistema
La amenaza no siempre viene de fuera. Un caso resuelto por el Tribunal Supremo español lo muestra: el único administrador del sistema informático de una empresa —la persona que tenía todas las claves y contraseñas— dañó ese sistema tras un conflicto con la compañía, dejándola sin acceso a su propia operación.
En la STS 1021/2025, el Tribunal confirmó la condena por daños que obstaculizan el funcionamiento de un sistema informático (el artículo 264 bis español, gemelo del 269B), en concurso con coacciones, y fijó una indemnización que sumó el daño directo y el lucro cesante por el tiempo que la empresa estuvo paralizada. La lección para el mundo corporativo es incómoda: el riesgo mayor suele estar dentro, en manos de quien administra el sistema. El mismo patrón aparece cuando un empleado deja instalada una «bomba lógica» que, en una fecha programada, inutiliza cientos de equipos de la organización.
Hacia dónde va: la inteligencia artificial y el Convenio de Budapest
La obstaculización se está automatizando. La inteligencia artificial permite coordinar botnets y afinar ataques de denegación de servicio que aprenden a esquivar las defensas de la víctima. Por eso el Comité de la Convención de Budapest constituyó un Grupo de Trabajo sobre Inteligencia Artificial, encargado de elaborar entre 2025 y 2026 un estudio sobre el impacto de la IA en el cibercrimen y en la evidencia digital. De ese debate saldrán los criterios que, con el tiempo, orientarán también la aplicación del 269B en Colombia. Y para el investigado, defensa penal técnica en delitos informáticos.
¿Qué hacer si su empresa es paralizada o si lo investigan por el 269B?
Si su empresa es víctima, no pague ni manipule los equipos antes de asesorarse: la evidencia de un ataque —registros, muestras del código, trazas de red— es frágil y se pierde con facilidad. Preservarla con cadena de custodia es lo que permite identificar al responsable y sustentar la denuncia. Puede contáctenos aquí para actuar en las primeras horas, que son las decisivas.
Si es usted el investigado, la defensa se concentra en dos frentes: la gravedad de la afectación —¿el sistema quedó realmente inoperante o solo hubo una molestia menor?— y la licitud de la prueba digital que lo señala. Una evidencia obtenida sin las autorizaciones judiciales que exige el proceso puede quedar excluida. Antes de dar cualquier versión, programe una consulta con un especialista.
Evalúe su caso con un especialista en delitos informáticos →
Preguntas frecuentes sobre la obstaculización de sistema informático
¿Qué es la obstaculización de sistema informático?
Es el delito del artículo 269B del Código Penal que castiga impedir u obstaculizar, sin autorización, el funcionamiento o el acceso normal a un sistema informático, a sus datos o a una red de telecomunicaciones. Cubre ataques como el ransomware o la denegación de servicio.
¿Cuántos años de cárcel tiene la obstaculización de sistema informático?
La pena es de prisión de 48 a 96 meses, es decir, de 4 a 8 años, y multa de 100 a 1.000 salarios mínimos legales mensuales vigentes. Con una circunstancia de agravación del artículo 269H, la pena se aumenta de la mitad a las tres cuartas partes.
¿El ransomware es delito de obstaculización?
Sí, el bloqueo del sistema encaja en el artículo 269B. Pero como suele acompañarse de una exigencia de pago, puede concurrir con la extorsión, que tiene pena mayor. El artículo 269B es subsidiario: cede ante el delito más grave.
¿Se necesita que el sistema quede totalmente fuera de servicio?
No necesariamente. La ley distingue entre impedir el funcionamiento (dejarlo inoperante por completo) y obstaculizarlo (afectarlo de forma parcial). Ambas conductas son punibles, aunque la afectación debe ser real y no una simple molestia.
¿Quién puede cometer este delito?
Cualquier persona, tanto un atacante externo como alguien de la propia organización. En la práctica, buena parte de los casos corporativos provienen de administradores de sistemas o empleados con acceso privilegiado que actúan tras un conflicto.
¿En cuánto tiempo prescribe el delito del artículo 269B?
La acción penal por el artículo 269B prescribe en un tiempo igual al máximo de la pena, ocho años, sin que en ningún caso sea inferior a cinco (artículo 83 del Código Penal). Ese término se interrumpe con la formulación de la imputación y a partir de ahí corre de nuevo por la mitad, es decir, cuatro años, sin que pueda ser inferior a tres (artículo 292 del Código de Procedimiento Penal) ni superior a diez (artículo 86 del Código Penal).
Luis Andrés González Rivera
Abogado de la Universidad Externado de Colombia y Especialista en Derecho Procesal Penal de esta misma casa de estudios.
Como Socio Fundador de Estudio Penal, lidera la estrategia de defensa en los escenarios más críticos del proceso. Su trayectoria incluye su paso por la firma Jaime Granados Peña & Asociados, donde perfeccionó la técnica del litigio en casos de alto perfil nacional.
Su práctica se distingue por una visión integral del conflicto: interviene desde la fase de investigación hasta el juicio oral con un enfoque técnico riguroso. Se especializa en Manejo de Crisis Penales, asumiendo la representación cuando la libertad y el patrimonio están en juego.