nueva página del texto (beta)
Español (pdf)
Artículo en XML
Referencias del artículo
Traducción automática
Enviar artículo por email
Citado por SciELO 
Similares en
SciELO 
Permalink
Sumario: I. Introducción. II. Las operaciones cibernéticas en el derecho internacional. III. La “ciberguerra” y el ius ad bellum. IV. Consideraciones finales. V. Bibliografía.
Cyberspace touches every aspect of our lives. The benefits are enormous, but these do not come without risk. Making cyberspace stable and secure can only be achieved through international cooperation, and the foundation of this cooperation must be international law and the principles of the UN Charter.
Secretario general de las Naciones Unidas - A/70/174
I. Introducción
La enorme expansión de las tecnologías de la información y del conocimiento ha provocado que la dependencia de ellas de una sociedad completamente interconectada (tanto en el ámbito de las estructuras civiles como en el de las estructuras de las fuerzas armadas) sea cada vez mayor.1 Como resultado de ello, la seguridad del ciberespacio2 se ha convertido en una preocupación principal de la comunidad internacional, ya que mientras más digitalizado sea un Estado mayor será su vulnerabilidad.
De este modo, la cuestión de la ciberseguridad es de fundamental trascendencia para los Estados debido a que se encuentra íntimamente ligada a la protección de sus intereses nacionales. Ello implica que paulatinamente los Estados otorgarán mayor valor al acceso y a la capacidad de explotar el ciberespacio y como consecuencia tendrán más interés en proteger las infraestructuras y las actividades cibernéticas de las que dependen.3
En este ámbito, uno de los aspectos4 que ha atraído la atención de los juristas es el de la aplicabilidad del ius ad bellum, es decir, el conjunto de normas que regulan la utilización de la fuerza en el contexto de las relaciones internacionales. Particularmente, porque tal como lo señalan Schmitt5 y Roscini,6 los ciberataques7 pueden ser concebidos como un fin en sí mismos8 o bien pueden formar parte de un maniobra militar de mayor escala dentro de un conflicto armado.9 Debiéndose señalar que lejos de reducirse estas operaciones cibernéticas10 se han ido incrementando año a año.11
A raíz de este paulatino incremento de las operaciones cibernéticas así como de la falta de consenso doctrinario acerca de la aplicabilidad de las normas existentes a estas situaciones, el Centro de Excelencia para la Ciberdefensa Cooperativa asociado a la Organización del Tratado del Atlántico Norte patrocinó un proyecto de investigación destinado a determinar las implicancias del ius ad bellum y del ius in bello en relación con los conflictos armados cibernéticos. Su resultado fue el Manual de Tallin sobre el Derecho Internacional Aplicable a los Conflictos Armados Cibernéticos (en adelante, el Manual de Tallin o Manual) que fue publicado en el año 2013.12 En este Manual, que no es vinculante para los Estados, se realiza un examen de lege lata del ordenamiento jurídico internacional relevante para la regulación de las operaciones cibernéticas; por lo cual, se constituye en un marco de análisis de esta clase de operaciones. Sin embargo, hay que reconocer que parte de la doctrina coincide en la necesidad de actualizar las normas jurídicas internacionales para adecuarlas a las particularidades del ciberespacio.13
Ahora bien, en el presente trabajo, de carácter exploratorio y que no pretende agotar la temática, se examinan cuáles son las particularidades del uso de la fuerza en el ámbito del ciberespacio. Para ello, en primer lugar, se analizan las características y desafíos que las operaciones cibernéticas presentan para el derecho internacional, señalándose algunos debates que tienen lugar en la actualidad en el ámbito de la comunidad internacional y que son relevantes para el tratamiento de la cuestión del uso de la fuerza en el ciberespacio, como ser la problemática de la atribución/responsabilidad y la cuestión de la soberanía/jurisdicción. En segundo término se aborda el asunto del uso de la fuerza a nivel general para luego y en tercer lugar examinar la materia del uso de la fuerza en el contexto específico del ciberespacio distinguiendo en esta evaluación la cuestión del uso de la fuerza y la legítima defensa.
II. Las operaciones cibernéticas en el derecho internacional
Dado el auge y la dependencia de los Estados en las computadoras, la posibilidad de utilizar herramientas informáticas como mecanismos de defensa y ataque en las relaciones interestatales se ha convertido en una de las alternativas más viables con las que cuentan los Estados. Ello se debe, en parte, a que las operaciones cibernéticas son relativamente accesibles para cualquier Estado, independientemente de su grado de desarrollo, ya que no requieren de grandes infraestructuras para ser llevadas a cabo.
Además de su relativo bajo costo, existen otras dos características que las hacen atractivas para la estrategia militar y, por ende, incrementan la asiduidad con las que son utilizadas: el anonimato y la versatilidad. El primero supone, en términos prácticos, la existencia de una dificultad real para rastrear en forma fehaciente la fuente donde se originó la ciberoperación. En tanto, el segundo permite la utilización de operaciones cibernéticas en una gran variedad de situaciones ya sea que involucren objetivos civiles o militares; ello porque por un lado, se reduce la posibilidad de provocar daños colaterales14 y por el otro, tienen la aptitud de que sus efectos sean potencialmente devastadores especialmente sobre estructuras críticas de los Estados.
Las operaciones cibernéticas ofensivas o defensivas pueden llevarse a cabo a través de dos mecanismos: los físicos, que permiten llevar adelante una ciberoperación, tales como computadoras, módems o cables, y por otro lado, lo que Raboin15 identifica como el componente cibernético, es decir, aquellos mecanismos que sólo funcionan en el ciberespacio tales como programas de computadoras o virus.
Ante estas circunstancias, el auge en la utilización de las operaciones cibernéticas presenta ciertas particularidades ya que es necesario determinar si el ordenamiento jurídico internacional tiene la capacidad de regular el recurso a nuevas tecnologías, especialmente cuando éstas son utilizadas como mecanismos de ataque o de defensa en el marco de las relaciones interestatales. Así, los debates estatales y académicos han centrado su atención en el hecho de precisar si la aparición de estas nuevas tecnologías justifica un tratamiento normativo diferenciado que suponga la elaboración de un conjunto de normas particulares y que se encuentre motivado en las diferencias con las tecnologías preexistentes.16 Un ejemplo interesante lo fue en su momento la aparición de las armas nucleares.17 Sin embargo, lo cierto es que el ciberespacio, por sus propias características, requiere la fijación de pautas normativas claras que permitan solucionar las problemáticas que se plantean. Particularmente, teniendo en cuenta que la utilización de herramientas cibernéticas para la realización de operaciones militares será cada día más habitual.18
1. Desafíos de las operaciones cibernéticas
Las operaciones militares cibernéticas plantean ciertos retos al derecho internacional, particularmente en dos aspectos: soberanía/jurisdicción, atribución/responsabilidad. El estudio de estos desafíos es necesario a los efectos de establecer ciertos lineamientos esenciales para responder los interrogantes que se plantean en el marco de la aplicación de las normas del uso de la fuerza.
A. Soberanía/jurisdicción
¿Qué es el ciberespacio y dónde se encuentra ubicado? Son dos preguntas que se encuentran íntimamente ligadas y que generan un interesante reto para el derecho internacional ya que existirá un sinfín de posibles soluciones tanto como Estados o doctrinarios hayan tratado de responder estas preguntas.
El ciberespacio se encuentra en todas y en ninguna parte al mismo tiempo; tal como lo señala Zekos, el ciberespacio es un espacio amorfo que no ocupa un determinado lugar físico o geográfico.19 La mayoría de las definiciones que circulan sobre el ciberespacio concuerdan en que el núcleo del ciberespacio está compuesto por las redes de hardware, software y datos interconectadas globalmente junto con la interacción humana con dichas redes.20 En este contexto, el interrogante que se plantea para el derecho internacional es cómo compatibilizar los conceptos tradicionales de soberanía con el ciberespacio.21
La soberanía, entendida como la falta de sometimiento del Estado a una autoridad o poder superior,22 constituye uno de los principios fundamentales del derecho internacional. Tan es así que la Carta de las Naciones Unidas dispone en su artículo 2(1) que “[l]a Organización está basada en el principio de igualdad soberana de todos sus Miembros”.
Este principio que implica una igualdad en el plano jurídico y no en términos de poder real, garantiza que todos los Estados ejerzan de manera plena y exclusiva sus competencias sobre su territorio. De este modo, se puede señalar que la soberanía se encuentra íntimamente ligada a la existencia de este espacio físico y es por ello que en el ámbito del ciberespacio su aplicación no es tan clara.
Las características propias de este espacio, particularmente su intangibilidad, hacen imposible su apropiación y como resultado de ello imposibilitan que un Estado ejerza soberanía en este ámbito.23 Sin embargo, a pesar de que el Estado no tiene soberanía sobre el ciberespacio per se, sí la tiene respecto de las infraestructuras cibernéticas24 y sobre cualquier actividad que esté relacionada con estas infraestructuras,25 ya que éstas se encuentran indubitablemente sobre su territorio.
De este modo, el Estado va a tener competencias sobre diversos ámbitos vinculados al ciberespacio. Así, por ejemplo, podrá restringir el acceso a Internet sin perjuicio de la normativa internacional convencional o consuetudinaria -v. g. las normas de derechos humanos o las telecomunicaciones-26 tanto para defenderse como para prevenir ataques cibernéticos.27
Otra competencia fundamental del Estado, derivada de su soberanía, se vincula con el ejercicio de jurisdicción sobre las actividades que tienen lugar en el ciberespacio, tales como la comisión de delitos cibernéticos. El ejercicio de jurisdicción sobre este tipo de actividades es especialmente relevante ya que permite determinar cuál es el Estado responsable y competente para perseguir y sancionar a los agresores cibernéticos.28
En este punto se presenta un interesante debate doctrinario ya que existen dos cuestiones que deben ser resueltas: por un lado, si los criterios tradicionales de atribución de jurisdicción territorial -v. g. apropiación, cesión, prescripción- son susceptibles de ser aplicados al ciberespacio y, por el otro lado, si los criterios de atribución de jurisdicción penal -subjetivo, territorial o universal- son susceptibles de ser aplicados a las actividades que se llevan a cabo en el ciberespacio. Sin embargo, las respuestas a estas cuestiones no son sencillas ya que van a depender de cómo entendamos el ciberespacio y las actividades que en él se desarrollan.29
B. Atribución/responsabilidad
La posibilidad de enmascarar el origen de una operación cibernética genera una de problemática de especial trascendencia ya que esta dificultad técnica de determinar quiénes son los autores de una ciberoperación afecta la atribución de responsabilidad del Estado. La determinación de qué hechos pueden ser atribuidos a un Estado es relevante en dos aspectos: primero, porque permite una adecuada respuesta del Estado que ha sido víctima de un ataque cibernético contra el responsable del ataque, y segundo, porque el derecho de legítima defensa depende de que el atacante pueda ser efectivamente identificado.30
En esta materia son de aplicación las normas del derecho consuetudinario que establecen el marco normativo de la responsabilidad internacional de los Estados por hechos ilícitos y que han sido recogidas en el Proyecto de Artículos sobre Responsabilidad Internacional de los Estados por Hechos Ilícitos31 (en adelante, proyecto de artículos) elaborado por la Comisión de Derecho Internacional en 2001. Siendo esta cuestión de particular importancia ya que en la era digital existen más posibilidades de que actores no estatales utilicen operaciones cibernéticas en contra de un Estado,32 haciéndose necesario por ende, determinar si dichas conductas pueden ser atribuidas a un Estado en particular.
En este marco la doctrina distingue dos tipos de actos por los que puede ser responsable un Estado. Por un lado, actos positivos o comisivos y, por otro lado, actos negativos u omisivos.33
Con respecto a los actos comisivos son dos las posibilidades: la primera tiene lugar cuando la operación cibernética es llevada adelante por un órgano del Estado, como, por ejemplo, un miembro que forme parte de un cuerpo o división cibernética de las fuerzas armadas de ese Estado o bien por un miembro de una empresa privada o una entidad paraestatal contratada por el Estado para llevar adelante actividades que impliquen el ejercicio de atribuciones de poder público. En ambos casos la cuestión no presenta demasiados problemas ya que ambas conductas serán atribuidas al Estado conforme lo establece el proyecto en sus artículos 4o.34 y 5o.35
La segunda posibilidad tiene lugar cuando una persona o grupo de personas son contratadas por el Estado a fin de que lleven adelante un ataque cibernético. En este caso nos encontraríamos, en principio, frente a conductas reguladas por el artículo 8o. del proyecto de artículos que dispone: “Se considerará hecho del Estado según el derecho internacional el comportamiento de una persona o de un grupo de personas si esa persona o ese grupo de personas actúa de hecho por instrucciones o bajo la dirección o el control de ese Estado al observar ese comportamiento”.
Ante esta situación es necesario preguntarse hasta qué grado se requiere que exista un control por parte del Estado para que le pueda ser atribuida la conducta de estos particulares. Dos son las respuestas posibles: el criterio del control efectivo desarrollado por la Corte Internacional de Justicia en el caso de las Actividades Militares y Paramilitares en y contra de Nicaragua (en adelante caso de las Actividades Militares o Paramilitares)36 o bien el criterio del control global desarrollado por el Tribunal Internacional para la Ex Yugoslavia en el asunto Tadic.37 A pesar de que no existe consenso en la doctrina acerca de cuál es el criterio que debe aplicarse en el contexto de las operaciones cibernéticas, sí existe un entendimiento de que es preferible el criterio del control efectivo porque de lo contrario el Estado sería responsable por un sinnúmero de actividades.38
Finalmente, otra de las situaciones posibles se da cuando el territorio de un Estado es utilizado por un individuo o grupo de personas para llevar adelante operaciones cibernéticas contra un tercer Estado sin que exista ninguna clase de envolvimiento por parte del Estado. En este caso, los actos de los particulares no pueden ser imputados al Estado, sin embargo, éste podrá ser igualmente responsable no ya por el ataque cibernético en sí mismo, sino por la violación de otra obligación internacional: la obligación de no permitir que el territorio sea utilizado para que se lleven a cabo actos contrarios a los derechos de otros Estados.39
En este sentido, la doctrina señala que los Estados tienen un deber de diligencia debida orientado a impedir que operaciones cibernéticas que afecten los derechos de otros Estados sean iniciadas en su territorio.40 Así, el Manual de Tallin dispone: “Un Estado no deberá permitir que la infraestructura cibernética localizada en su territorio o que se encuentra bajo control gubernamental exclusivo sea utilizada para llevar a cabo actos que ilegítimamente afecten los derechos de otros Estados”.41
Esta obligación se fundamenta en el principio de igualdad soberana de los Estados ya que todos éstos tienen el deber de respetar la soberanía de los demás Estados.42 Consecuentemente, los Estados tienen la obligación de adoptar todas las medidas pertinentes para evitar que los derechos de terceros Estados se vean afectados.
III. La “ciberguerra” y el ius ad bellum
Uno de los debates más interesantes que se plantea en relación con las operaciones cibernéticas se da en el marco de la aplicabilidad de las normas del ius ad bellum, es decir, el conjunto de normas que regulan el uso de la fuerza en las relaciones interestatales.
Este conjunto de normas tiene tanto fuente convencional como consuetudinaria. La fuente convencional por excelencia es el artículo 2o., apartado 4, de la Carta de las Naciones Unidas (en adelante la Carta) que dispone: “Los Miembros de la Organización, en sus relaciones internacionales, se abstendrán de recurrir a la amenaza o al uso de la fuerza contra la integridad territorial o la independencia política de cualquier Estado, o en cualquier otra forma incompatible con los Propósitos de las Naciones Unidas”.
Esta norma es considerada tanto por la doctrina como por la jurisprudencia, como la piedra angular de la Carta de las Naciones Unidas.43 Tal es su importancia que existe acuerdo acerca de que esta norma tiene la naturaleza de ius cogens.44
Además de estar recogida en normas convencionales, la prohibición de la amenaza y el uso de la fuerza se encuentran reguladas por normas consuetudinarias. En este aspecto, la Corte Internacional de Justicia (en adelante también la Corte) en el caso de las Actividades Militares y Paramilitares señaló: “Los principios relativos al uso de la fuerza incorporados en la Carta de las Naciones Unidas se corresponden, en lo esencial, con aquellos que se encuentran en el derecho internacional consuetudinario”.45
Con ello, la Corte reconoció la existencia de una norma que prohíbe la utilización de la amenaza y el uso de la fuerza en el derecho internacional consuetudinario que no necesariamente coincide de manera exacta con las provisiones de la Carta. Sin embargo, esto importa que en el derecho internacional contemporáneo la prohibición de la amenaza y el uso de la fuerza son absolutas sólo aceptando las excepciones previstas en la propia Carta: a) el derecho de legítima defensa -individual o colectivo- y b) las medidas coercitivas adoptadas por el Consejo de Seguridad de las Naciones Unidas al amparo del capítulo VII de la Carta.46
La legítima defensa, al igual que la prohibición de la amenaza y el uso de la fuerza, tiene una regulación convencional y consuetudinaria. La regulación convencional se encuentra en el artículo 51 de la Carta que dispone:
Ninguna disposición de esta Carta menoscabará el derecho inmanente de legítima defensa, individual o colectiva, en caso de ataque armado contra un Miembro de las Naciones Unidas, hasta tanto que el Consejo de Seguridad haya tomado las medidas necesarias para mantener la paz y la seguridad internacionales. Las medidas tomadas por los Miembros en ejercicio del derecho de legítima defensa serán comunicadas inmediatamente al Consejo de Seguridad, y no afectarán en manera alguna la autoridad y responsabilidad del Consejo conforme a la presente Carta para ejercer en cualquier momento la acción que estime necesaria con el fin de mantener o restablecer la paz y la seguridad internacionales.
La doctrina y la Corte entienden que esta norma es un reflejo del derecho internacional consuetudinario.47 En este sentido la Corte señaló:
...Este tratado [la Carta de las Naciones Unidas] se refiere a una norma internacional consuetudinaria preexistente; esta referencia al derecho consuetudinario se encuentra en el texto actual del artículo 51, que menciona el “derecho inmanente” (en el texto en Francés el “droit natural”) a la legítima defensa individual o colectiva al cual “ninguna disposición de esta Carta menoscabará” y que se aplica en el caso de la existencia de un ataque armado. Consecuentemente la Corte entiende que el artículo 51 de la Carta sólo tiene sentido sobre la base que existe un derecho a la legítima defensa “natural” o “inmanente”, y es difícil entender que la naturaleza de éste sea distinta de la consuetudinaria [...Tampoco] puede sostenerse que el artículo 51 es una disposición que “subsume o sobreviene” al derecho internacional consuetudinario. Sólo demuestra que en el campo en cuestión... el derecho internacional consuetudinario coexiste con el derecho convencional. Las áreas reguladas por las dos fuentes de derecho no se superponen exactamente, y las reglas no tienen el mismo contenido...48
La legítima defensa, por tanto, constituye un derecho que poseen los Estados de recurrir legalmente al uso de la fuerza en caso de ser objeto de un ataque armado.49 A estos efectos se requiere que la respuesta armada del Estado afectado sea inmediata, necesaria y proporcional al ataque sufrido.
Otro requisito para el ejercicio de la legítima defensa lo constituye la notificación inmediata al Consejo de Seguridad de las acciones que se han tomado. Sin embargo, cabe destacar que, tal como lo señalara la Corte en el caso de las Actividades Militares y Paramilitares,50 esta notificación no es obligatoria si se está actuando en el marco del derecho consuetudinario, ya que la notificación es una condición específica regulada por la Carta de las Naciones Unidas.
Por su parte, las medidas coercitivas adoptadas por el Consejo de Seguridad en ejercicio de sus atribuciones en el marco del capítulo VII de la Carta suponen la autorización de este órgano de Naciones Unidas a los efectos de que un Estado o un grupo de ellos utilice los medios necesarios, incluso la fuerza, a los fines de mantener o restablecer la paz y la seguridad internacionales, toda vez que con antelación se haya determinado la existencia de una amenaza a la paz, un quebrantamiento de la paz o un acto de agresión. Las medidas coercitivas consecuentemente son el resultado de un complejo sistema51 ideado por la Carta que tiene por objetivo que la Organización de las Naciones Unidas (en adelante ONU) pueda alcanzar su propósito principal: el mantenimiento de la paz y la seguridad internacionales.52
La interpretación de estas normas presenta algunas particularidades conn relación a qué fuerza se entiende prohibida y cuándo existe un ataque armado que dé lugar al ejercicio del derecho de legítima defensa. Evidentemente estas particularidades sumadas a las características propias de las operaciones cibernéticas darán lugar a un complejo panorama que requiere ser analizado.
1. Uso de la fuerza y ciberoperaciones
A. Uso de la fuerza
Establecer cuándo una operación cibernética viola la prohibición del uso de la fuerza contenida en el artículo 2o. apartado 4 de la Carta de Naciones Unidas supone un problema de interpretación. Ello debido a que en primer lugar es necesario determinar el alcance del término fuerza con el objeto de identificar cuál es la fuerza que se encuentra prohibida y en segundo lugar precisar cuándo una operación cibernética alcanza los estándares fijados por el derecho internacional53 para configurar una violación de este tipo.
El problema de la delimitación del alcance del término fuerza se vincula con la redacción del artículo 2 (4) de la Carta. Esta disposición señala que los Estados se abstendrán de recurrir la amenaza o al uso de la fuerza, sin embargo en ningún lugar de la Carta se define qué es el uso de la fuerza.
La doctrina mayoritaria entiende que el uso de la fuerza que está prohibido es el de la fuerza armada.54 En apoyo de esta interpretación se señala que en primer lugar, las demás disposiciones de la Carta utilizan la expresión “fuerza armada”, así lo hacen el Preámbulo, el artículo 41 y el artículo 46. En segundo lugar los trabajos preparatorios de la Carta, ya que una propuesta de la delegación de Brasil55 para incluir una referencia a las presiones económicas fue dejada de lado; y en tercer lugar, diversas disposiciones de la resolución 2625 (XXV) hacen referencia al uso de la fuerza armada.56 Consecuentemente, esta interpretación determina que cualquier tipo de coerción política o económica quedarán excluidas de la prohibición del uso de la fuerza, aunque podrán verse cubiertas por el principio de no intervención.57
Ahora bien, cabe preguntarse si las operaciones cibernéticas pueden ser consideradas como fuerza armada, y en su caso si se encuentran comprendidas por la prohibición del artículo 2 (4) de la Carta. A estos efectos, es necesario señalar que la Corte Internacional de Justicia en la Opinión Consultiva sobre Armas nucleares señaló que ninguna de las disposiciones de la Carta de las Naciones Unidas hace referencia a un tipo de arma específico y consecuentemente se aplican a cualquier uso de la fuerza58 independientemente del arma empleada. Ello implica que cualquier operación cibernética que sea considerada un uso de la fuerza armada quedará sujeta a la prohibición del artículo 2 (4) de la Carta.59 Así también ha sido recogido en la regla 10 del Manual de Tallin: “Una operación cibernética que constituya una amenaza o un uso de la fuerza contra la integridad territorial o la independencia política de cualquier Estado, o es en cualquier otra forma incompatible con los Propósitos de las Naciones Unidas es ilegal”.
Establecer en qué circunstancias una operación cibernética puede ser un uso de la fuerza no es sencillo, en primer lugar, porque la Carta no establece ningún criterio para definir cuándo un acto implica un uso de la fuerza;60 asimismo, la versatilidad y variabilidad que las operaciones cibernéticas presentan provocan que no se pueda dar una respuesta única acerca de si su uso implica o no una violación de la prohibición, particularmente porque sus efectos pueden abarcar un rango tan diverso como el de crear simples inconvenientes, o bien, provocar destrucción física o la muerte.
A estos efectos la doctrina ha elaborado diversos criterios con los cuales evaluar si una operación cibernética alcanza los estándares para ser considerada como un uso de la fuerza.61 Entre ellos se destacan: a) el criterio instrumental (instrumentality approach); b) el criterio basado en el objetivo (target-based approach); c) el criterio de las consecuencias (consequentiality approach). El primer criterio -instrumental- tendrá en cuenta los medios empleados en el acto (armados, económicos o políticos) más que sus consecuencias dañosas; de esta manera una operación cibernética normalmente no será considerada como una fuerza armada porque carece de las características típicas de coerción militar y los efectos físicos o cinéticos. Por su parte, el criterio basado en el objetivo (target-based approach) considerará que una operación cibernética constituye un uso de la fuerza en tanto y en cuanto afecte una infraestructura crítica de un Estado, aun cuando no hubiere destrucción o heridos significativos. Finalmente, el criterio de las consecuencias (consequentiality approach), analizará los efectos de una operación cibernética y entenderá que ésta ha alcanzado los parámetros para ser considerada un uso de la fuerza toda vez que sus consecuencias sean equivalentes a los de una operación militar tradicional. Es decir, toda vez que se cause destrucción de propiedad y muertes existirá un uso de la fuerza contrario a la prohibición del artículo 2 (4) de la Carta.
Dentro de este último criterio es posible ubicar el modelo de análisis que propone Michael N. Schmitt;62 este autor plantea que en los casos en los que no sea indubitable que una operación cibernética sea un uso de la fuerza será necesario examinar si las consecuencias previsibles de esta operación se asemejan a las de una operación militar tradicional. Para ello, se señalan una serie factores63 que deberán tenerse en cuenta: a) severidad,64b) inmediatez,65c) vinculación directa (directness),66d) intrusión (invasiveness),67e) medida de los efectos (measurability of effects),68f) carácter militar,69g) participación estatal,70h) presunta legalidad.71 Dichos factores no son exhaustivos y buscan brindar herramientas a los Estados que les permitan determinar si una operación cibernética ha alcanzado los parámetros para ser considerada un uso de la fuerza.
El criterio de las consecuencias junto con el criterio de Schmitt han sido adoptados por el Manual de Tallin en la regla 1172 a fin de definir cuándo existe un uso de la fuerza en el ámbito de las operaciones cibernéticas. Si bien el criterio de Schmitt no se encuentra explícitamente incluido en la regla 11, el Grupo de Expertos recomienda que sea utilizado a la hora de analizar aquellas operaciones que no pueden ser clasificadas de manera indubitable como un uso de la fuerza.73
B. Amenaza del uso de la fuerza
Cabe recordar que el artículo 2(4) de la Carta no sólo prohíbe el uso de la fuerza sino también la amenaza del uso de la fuerza. Tal como lo señala Roscini, puede entenderse que una amenaza del uso de la fuerza es una acción o una declaración que conlleva una promesa implícita o explícita de un uso futuro e ilegal de la fuerza armada en contra de uno o más Estados, cuya realización depende enteramente de la voluntad de quien la emite.74
En el ámbito de las operaciones cibernéticas se distinguen dos supuestos vinculados con la amenaza del uso de la fuerza: por un lado, cuando una operación cibernética es utilizada para comunicar una amenaza de uso de la fuerza ya sea cinética o cibernética, y por otro lado, cuando se realiza una amenaza por cualquier medio de llevar adelante una operación cibernética que califique como un uso de la fuerza. Ahora bien, para establecer si se trata de una amenaza contraria al artículo 2 (4), será necesario determinar si el uso de la fuerza amenazado es ilegal o no. Es decir, que la amenaza será legal si la acción amenazada es en sí misma legal.75
Así lo ha señalado la Corte Internacional de Justicia en la Opinión Consultiva sobre la Licitud de la Amenaza o el Uso de Armas Nucleares:76
...Si el uso previsto de la fuerza es en sí ilegítimo, la afirmación de estar dispuesto a recurrir a ella sería una amenaza prohibida en virtud del párrafo 4 del Artículo 2... Los conceptos de “amenaza” y “uso” de la fuerza con arreglo al párrafo 4 del Artículo 2 de la Carta van unidos en el sentido de que, si el mismo uso de la fuerza en ciertos casos es ilícito, cualquiera que sea la razón, la amenaza de recurrir a esa fuerza será igualmente ilícita. En resumidas cuentas, para que se considere legítimo, el anuncio por un Estado de que está dispuesto a recurrir a la fuerza debe referirse a un uso de la fuerza que esté de conformidad con la Carta...
En este sentido, la regla 12 del Manual de Tallin dispone que se considerará una amenaza de uso de la fuerza ilícita cuando la acción amenazada (una operación cibernética o la amenaza de una operación cibernética), si es llevada a cabo, sería un uso de la fuerza ilícito.77
2. Legítima defensa y operaciones cibernéticas
En el marco de las operaciones cibernéticas existe otra cuestión legal que debe ser considerada y es la relativa a la compatibilidad de las operaciones con el derecho de legítima defensa. Es decir, determinar cuándo los Estados podrán recurrir legalmente al uso de la fuerza para responder a una operación cibernética.
En este caso el concepto fundamental que debe ser analizado es el de “ataque armado”. La primera cuestión que ha de tenerse en cuenta es que este concepto no se encuentra definido en la Carta,78 por lo que en este ámbito coexisten las normas convencionales con las consuetudinarias. En segundo lugar, es necesario señalar que el concepto de uso de la fuerza difiere del de ataque armado; tal como lo señaló la Corte en el Caso de las Actividades Militares y Paramilitares es necesario distinguir las formas más graves del uso de la fuerza (aquellas que constituyen un ataque armado) de aquellas formas menos graves.79 Como resultado de ello, todo ataque armado será un uso de la fuerza contrario a la prohibición, mientras que no todo uso de la fuerza será un ataque armado. Ello a su vez implicará que no todo Estado que sea afectado por un uso de la fuerza ilegal tendrá derecho a ejercer el derecho a la legítima defensa.
Para distinguir las formas graves de las formas menos graves del uso de la fuerza la Corte utiliza el criterio de “escala y efectos”. Roscini, señala que la doctrina ha tratado de definir este criterio en los siguientes términos:
Un ataque armado es, “un acto o el comienzo de una serie de actos de fuerza armada de considerable magnitud e intensidad (escala) que tienen como consecuencia (efectos) la producción de una destrucción sustancial sobre elementos importantes del Estado atacado, como por ejemplo, la población, infraestructuras económicas y de seguridad, destrucción de aspectos de la autoridad gubernamental, esto es su independencia política, así como el daño a o la privación de su elemento físico, también denominado su territorio”.80
Como resultado de ello, y tal como lo recoge la regla 13 del Manual de Tallin,81 toda ciberoperación que suponga un ataque armado dará lugar al ejercicio del derecho de legítima defensa. La utilización de este criterio permite equiparar los efectos de una operación cibernética con los de una operación cinética. De este modo toda ciberoperación que produzca una destrucción significativa de elementos de trascendencia del Estado atacado puede dar lugar al ejercicio del derecho de legítima defensa.82
Si una operación militar convencional -v. g. bombardeos, ataques armados navales o aéreos- tiene como resultado la destrucción de bienes o la pérdida de vidas, entonces es calificada como un ataque armado. En el mismo sentido, cualquier operación cibernética que produzca lesiones o la muerte de una/s persona/s o que produzca daños o la destrucción de bienes satisfará el requisito de la escala y efectos y por ende será considerado un ataque armado.83
El ejercicio del derecho de legítima defensa puede ser individual o colectivo. La legítima defensa colectiva supone la ayuda que un Estado le brinda a otro a los efectos de repeler un ataque del cual este último ha sido víctima. A los efectos del ejercicio de este derecho se requiere que exista una solicitud por parte del Estado atacado a los fines de repeler el ataque; consecuentemente la ausencia de esta solicitud impide el ejercicio de la legítima defensa colectiva.
En este sentido la Corte ha dispuesto que los Estados no pueden ejercer el derecho de legítima defensa sólo sobre la base de su propio análisis de la situación. Es necesario que el Estado que ha sido víctima de un ataque armado declarare que ha sido atacado,84 y consecuentemente solicite la asistencia de otro/s Estado/s.85
En el contexto del ejercicio del derecho de legítima defensa en relación con operaciones cibernéticas existen una serie de cuestiones controversiales. Entre ellas se destacan: en primer término, la determinación de si un ataque a infraestructuras cibernéticas civiles puede ser considerado como un ataque armado que dé lugar al ejercicio del derecho de legítima defensa; en este caso, la doctrina entiende que si la infraestructura afectada por una operación cibernética es una infraestructura crítica el Estado entonces esa operación, en tanto alcance los estándares de escala y efectos, será considerada como un ataque armado y por lo tanto dará lugar al ejercicio del derecho de legítima defensa.86 En segundo término, la determinación de si aquellas operaciones que no causen un daño físico pero sí generen severas consecuencias no destructivas o dañosas pueden ser consideradas un ataque armado; en este caso existe consenso acerca de que las operaciones cibernéticas que no produzcan daños no pueden ser consideradas como ataques armados y consecuentemente en estos casos no podrá ejercerse el derecho de legítima defensa.87 Y, finalmente, si las ciberoperaciones llevadas a cabo por actores no estatales pueden dar lugar al ejercicio del derecho de legítima defensa; esta cuestión en la actualidad se rige por las normas de la responsabilidad de los Estados. Consecuentemente sólo aquellos casos en los que las actividades de los actores no estatales puedan ser atribuidas a un Estado particular88 será posible el ejercicio de legítima defensa.89
A. Requisitos para ejercicio del uso de la fuerza
El ejercicio del derecho de legítima defensa en el contexto de las operaciones cibernéticas también está sujeto a las condiciones de necesidad, proporcionalidad e inmediatez.90 El Manual de Tallin refleja estos requisitos en los siguientes términos:
Un uso de la fuerza que implique ciberoperaciones llevadas a cabo por un Estado en el ejercicio del derecho de legítima defensa debe ser necesario y proporcionado.91
Existe el derecho de usar la fuerza en legítima defensa si un ataque armado cibernético ocurre o es inminente. También está sujeto al requisito de la inmediatez.92
a. Necesidad
El requisito de necesidad hace referencia al hecho que el uso de la fuerza, aun de operaciones cibernéticas, sea necesario para repeler en forma satisfactoria un ataque que está teniendo lugar. Ello debido a que las medidas que no impliquen el uso de la fuerza han fallado o es muy probable que vayan a fallar.
Uno de los elementos centrales de este requisito es la atribución del ataque. Dinstein93 señala que el Estado que pretende invocar el derecho de legítima defensa debe determinar de manera inequívoca que un ataque armado fue lanzado por un Estado particular y no por otro. Sin embargo, como se señaló anteriormente, la identificación del agresor en el contexto cibernético no es sencilla.94
b. Proporcionalidad
La proporcionalidad busca determinar cuánta fuerza es necesaria a los efectos de responder a un ataque armado. Como señala Dinstein.95 Se trata de un estándar de razonabilidad en la respuesta a un uso de la fuerza por medio de la fuerza.
El requisito de la proporcionalidad limita la escala, el alcance, la duración y la intensidad de la respuesta necesaria para poner fin a un acto que dio lugar al ejercicio de la legítima defensa. Se debe señalar que no es necesario que la fuerza empleada en la defensa sea de la misma naturaleza que la empleada en el ataque armado. Ello implica que ante un ataque armado cibernético puede responderse tanto con operaciones cibernéticas como con operaciones cinéticas o convencionales.
c. Inmediatez
El requisito de la inmediatez permite distinguir entre los actos de defensa y las represalias; con ello se pone de manifiesto que el objetivo de la legítima defensa es repeler el ataque armado y no castigar al responsable del mismo. La inmediatez supone que no debe existir un lapso de tiempo excesivo entre el ataque armado y el ejercicio de la legítima defensa. Este requisito debe ser interpretado razonablemente, ya que entre otros elementos deben considerarse: la proximidad temporal entre el ataque y la respuesta, el periodo necesario para identificar al atacante, y el tiempo necesario para preparar la respuesta.
La flexibilidad en la interpretación de este requisito en el marco de las operaciones cibernéticas es esencial ya que muchas veces puede ocurrir que la existencia de un ataque armado no sea aparente durante un tiempo; o bien puede ocurrir que un ciberataque se componga de numerosas olas de operaciones cibernéticas y que el Estado víctima considere que se trata de una “campaña cibernética” y que consecuentemente el ejercicio de la legítima defensa no se agote con la finalización de cada ola de ciberoperaciones sino que se mantenga a lo largo de la campaña. También puede ocurrir que la identificación del agresor se demore dada la posibilidad de enmascarar las direcciones de IP.96
Cabe señalar que las discusiones que se presentan en torno a la posibilidad de utilizar la legítima defensa en forma preventiva es más marcada en el campo de las operaciones cibernéticas. Gran parte de los autores considera que dadas las características que tienen las ciberoperaciones es necesario prever la posibilidad de actuar en forma preventiva.97
IV. Consideraciones finales
El ciberespacio constituye un nuevo dominio sobre el que los Estados se están aventurando y explorando a pasos agigantados impulsados por el incesante avance tecnológico. La rapidez con la que cambian las tecnologías de la información provoca desafíos constantes que deben ser resueltos por la comunidad internacional a los fines de encontrar el mejor modo de regular este espacio.
Las problemáticas que se planteen en el contexto cibernético están lejos de encontrarse resueltas; sin embargo el ordenamiento jurídico internacional provee un punto de referencia y establece un marco normativo que de alguna manera brinda una solución -muchas veces transitoria- a los problemas que deben ser resueltos sin dilación, y que en numerosas ocasiones refleja las necesidades y los intereses de los Estados que promueven una regulación particular.
Existen algunas cuestiones primordiales a las que el derecho internacional debe brindar una respuesta: la temática de la soberanía y la jurisdicción son esenciales a la hora de determinar las competencias del Estado en la regulación del ciberespacio y de las actividades vinculadas a éste. En este contexto, en primer lugar será necesario determinar el régimen jurídico del ciberespacio -v. g. si se trata de un espacio susceptible de apropiación o si se establece un régimen jurídico particular-98 para poder determinar las competencias estatales tanto sobre el espacio en sí mismo considerado como respecto de las actividades que se llevan a cabo en él. De esto modo, será factible determinar la responsabilidad del Estado respecto del juzgamiento de las actividades delictivas que tienen lugar en el ciberespacio.
Asimismo, otro asunto de fundamental importancia está vinculado con el régimen de responsabilidad internacional del Estado. En este ámbito, determinar qué actos pueden ser atribuidos al Estado es indispensable ya que de esta atribución dependen cuestiones tales como las consecuencias de la responsabilidad internacional o el ejercicio del derecho de legítima defensa. Dadas las características de las operaciones cibernéticas es de particular importancia la determinación del valor que se les otorgará a aquellas ciberoperaciones llevadas a cabo por actores no estatales ya que la posibilidad de la ocurrencia de tales hechos es cada vez mayor.
En relación con el uso de la fuerza en el marco del ius ad bellum no caben dudas de que el régimen jurídico actual, compuesto por las normas convencionales -artículos 2 (4) y 51 de la Carta de las Naciones Unidas- y consuetudinarias, es capaz de proveer una respuesta satisfactoria, aunque transitoria, a los problemas que se plantean en torno a las ciberoperaciones. Sin embargo, también es indudable que será necesario adaptarlas a las nuevas realidades que se presenten y para ello será necesario un debate abierto entre todos los Estados.
