L 218/8 Službeni list Europske unije 14.8.2013. DIREKTIVA 2013/40/EU EUROPSKOG PARLAMENTA I VI)EĆA od 12. kolovoza 2013. o napadima na informacijske sustave i o zamjeni Okvirne odluke Vijeća 2005/222/PUP EUROPSKI PARLAMENT I VI]EĆE EUROPSKE UNIJE, uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 83. stavak 1., uzimajući u obzir prijedlog Europske komisije, nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima, uzimajući u obzir mišljenje Europskoga gospodarskog i soci- jalnog odbora (!), u skladu s redovnim zakonodavnim postupkom (7), budući da: (1) Ciljevi su ove Direktive približiti kazneno pravo država članica u području napada na informacijske sustave, utvr- đivanjem minimalnih pravila o definiranju kaznenih djela i odgovarajućih sankcija te poboljšati suradnju između nadležnih tijela, uključujući policiju i druge specijalizirane službe zadužene za izvršavanje zakona država članica, kao i nadležnih specijaliziranih agencija i tijela Unije kao što su Eurojust, Europol i njegov Europski centar za kibernetički kriminal te Europska agencija za sigurnost mreža i podataka (ENISA). Informacijski su  sustavi  ključni  element  političke, društvene i gospodarske interakcije u Uniji. Društvo sve više ovisi o takvim sustavima. Nesmetano djelovanje i sigurnost tih sustava u Uniji ključni su za razvoj unutar- njeg tržišta i konkurentnog i inovativnog gospodarstva. Osiguranje odgovarajuće razine zaštite informacijskih sustava trebalo bi biti sastavni dio učinkovitog sveobuh- vatnog okvira preventivnih mjera koje prate odgovore kaznenog prava na kibernetički kriminal. Napadi na informacijske sustave, a posebno napadi pove- zani s organiziranim kriminalom sve su veća prijetnja kako u Uniji tako i u svijetu te postoji sve veća zabrinu- tost zbog potencijalnih terorističkih ili politički motivi- ranih napada na informacijske sustave koji su dio ključne infrastrukture država članica i Unije. To predstavlja prijetnju ostvarenju sigurnijeg informacijskog društva i () SL C 218, 23.7.2011., str. 130. (*) Stajalište Europskog parlamenta od 4. srpnja 2013. (još nije objav- ljeno u Službenom listu) i odluka Vijeća od 22. srpnja 2013. područja slobode, sigurnosti i pravde te stoga zahtijeva odgovor na razini Unije te poboljšanu suradnju i koordi- naciju na međunarodnoj razini. U Uniji postoji određen broj ključnih infrastruktura čiji bi poremećaj u radu ili uništenje imalo značajan prekogra- nični učinak. Iz potrebe da se poveća sposobnost zaštite ključne infrastrukture u Uniji postalo je jasno da bi mjere protiv  kibernetičkih napada trebale biti dopunjene strogim kaznenopravnim sankcijama koje bi odražavale ozbiljnost takvih napada. Ključna infrastruktura mogla bi se protumačiti kao element, sustav ili njihov dio smješten u državi članici te je izvanredno važna za održavanje ključnih društvenih funkcija, zdravlja, zaštite, sigurnosti, gospodarske ili socijalne dobrobiti naroda, kao što su elektrane, prometne mreže ili državne mreže, te bi njihov poremećaj ili uništenje imalo značajan učinak u državi članici kao rezultat nemogućnosti održavanja tih funkcija. Postoje dokazi o tendenciji prema sve opasnijim i češćim napadima velikih razmjera na informacijske sustave, što često može imati ključnu važnost za države članice ili određene funkcije u javnom ili privatnom sektoru. Tu tendenciju prati razvoj sve sofisticiranijih metoda, kao što je stvaranje i uporaba takozvanih ,botneta", što uklju- čuje nekoliko faza kaznenog djela, pri čemu bi svaka faza mogla samostalno predstavljati ozbiljnu opasnost javnim interesima. Cilj je ove Direktive, među ostalim, uvesti kaznenopravne sankcije za stvaranje ,botneta", to jest za uspostavu kontrole na daljinu nad značajnim brojem računala tako što se zaraze zlonamjernim softverom putem ciljnih kibernetičkih napada. Nakon što je stvo- rena, zaražena mreža računala koja čine ,botnet" može biti aktivirana bez znanja korisnika računala kako bi se pokrenuo kibernetički napad velikih razmjera, što u pravilu može uzrokovati ozbiljnu štetu, kako je navedeno u ovoj Direktivi. Države članice mogu u skladu sa svojim nacionalnim pravom i praksom odrediti što predstavlja ozbiljnu štetu, kao što je prekid mrežnih usluga od velikog javnog značenja ili uzrokovanje velikih financij- skih troškova ili gubitak osobnih podataka ili osjetljivih informacija. Kibernetički napadi velikih razmjera mogu uzrokovati znatnu gospodarsku štetu zbog prekida rada informacij- skih sustava i komunikacija te zbog gubitka ili mijenjanja komercijalno važnih povjerljivih informacija ili drugih podataka. Trebalo bi se posebno potruditi da inovativna mala i srednja poduzeća budu bolje informirana o prijet- njama povezanima s takvim napadima i svojoj osjetlji- vosti na takve napade, s obzirom na to da sve više ovise o ispravnom funkcioniranju i dostupnosti informacijskih sustava, a resursi za informacijsku sigurnost često su ograničeni.