L 218/8 Den Europæiske Unions Tidende 14.8.2013 EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV 2013/40/EU af 12. august 2013 om angreb på informationssystemer og om erstatning af Rådets rammeafgørelse 2005/222/RIA EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR — under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 83, stk. 1, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg (]), efter den almindelige lovgivningsprocedure (?), og ud fra følgende betragtninger: (1) Dette direktivs formål er at tilnærme medlemsstaternes strafferet til hinanden med hensyn til angreb på infor- mationssystemer ved at fastsætte minimumsregler for definitionen af strafbare handlinger og de relevante sank- tioner og at forbedre samarbejdet mellem de kompetente myndigheder, herunder politiet og andre specialiserede retshåndhævende myndigheder i medlemsstaterne samt kompetente specialiserede EU-agenturer og -organer, som f.eks. Eurojust, Europol og dets europæiske center for bekæmpelse af it-kriminalitet og Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA). Informationssystemer er et centralt element i det politi- ske, sociale og økonomiske samspil i Unionen. Samfundet er dybt afhængigt af sådanne systemer og bliver det i stadig større udstrækning. Disse systemers funktionsdygtighed og sikkerhed i Unionen er en forudsætning for udviklingen af det indre marked og af en konkurrencedygtig og innovativ økonomi. Der bør sikres et passende beskyttelsesniveau for informations- systemer som led i en effektiv overordnet ramme for forebyggende foranstaltninger, der ledsager de strafferet- lige foranstaltninger over for it-kriminalitet. Angreb på informationssystemer, og især angreb som led i organiseret kriminalitet, er en voksende trussel såvel i Unionen som globalt, og der er i stigende grad bekym- ring for mulige terrorangreb eller politisk motiverede angreb på informationssystemer, der indgår i medlems- staternes og Unionens kritiske infrastruktur. Dette udgør en trussel mod etableringen af et sikrere informations- samfund og et område med frihed, sikkerhed og retfær- ()) EUT C 218 af 23.7.2011, s. 130. (?) Europa-Parlamentets holdning af 4.7.2013 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 22.7.2013. dighed og kræver derfor en reaktion på EU-niveau samt bedre samarbejde og koordination på internationalt niveau. Der findes adskillige kritiske infrastrukturer i Unionen, hvis afbrydelse eller ødelæggelse ville få betydelige konse- kvenser på tværs af grænserne. Det er blevet klart ud fra behovet for at øge Unionens evne til at beskytte kritisk infrastruktur, at foranstaltningerne mod it-angreb bør suppleres af strenge strafferetlige sanktioner, der afspejler disse angrebs alvorlige karakter. Kritisk infrastruktur kan forstås som aktiver, systemer eller dele deraf, der befinder sig i medlemsstaterne, og som er væsentlige for oprethol- delsen af vitale samfundsmæssige funktioner, menneskers sundhed, sikkerhed og økonomiske eller sociale velfærd, såsom kraftværker, transportnetværk og statslige netværk, og hvis afbrydelse eller ødelæggelse i væsentlig grad ville påvirke en medlemsstat som følge af, at disse funktioner ikke kan opretholdes. Der er tegn på en tendens til stadig farligere og gentagne omfattende angreb på informationssystemer, der ofte kan være kritiske for medlemsstaterne eller for enkelte funk- tioner i den offentlige eller private sektor. Denne tendens falder sammen med udviklingen af stadigt mere avance- rede metoder, feks. oprettelsen og anvendelsen af såkaldte botnet, der indebærer flere stadier af en strafbar handling, hvor hvert stadium i sig selv kan udgøre en alvorlig risiko for samfundets interesser. Dette direktiv sigter bl.a. mod at indføre strafferetlige sanktioner for oprettelse af botnet, dvs. den handling, som går ud på gennem målrettede it-angreb, at etablere fjernstyring af et betydeligt antal computere ved at inficere dem med skadelig software. Efter oprettelsen kan det inficerede netværk af computere, der udgør botnettet, aktiveres uden computerbrugerens vidende for at foretage et omfattende it-angreb, der som regel har kapacitet til at volde alvorlig skade, som omhandlet i dette direktiv. Medlemsstaterne bør kunne fastsætte, hvad der i henhold til deres nationale lovgivning og praksis udgør alvorlig skade, så som afbrydelse af systemtjenester med væsentlig betydning for offentligheden eller forårsagelse af store økonomiske omkostninger eller tab af person- oplysninger eller følsomme oplysninger. Omfattende it-angreb kan forvolde alvorlig økonomisk skade, såvel gennem afbrydelsen af informationssystemer og kommunikationsstrømme som gennem tabet eller forvanskningen af kommercielt vigtig fortrolig infor- mation eller andre data. Der bør lægges særlig vægt på at gøre innovative små og mellemstore virksomheder bevidste om trusler i forbindelse med sådanne angreb og deres sårbarhed overfor sådanne angreb som følge af deres øgede afhængighed af velfungerende og tilgænge- lige informationssystemer og ofte begrænsede midler til informationssikkerhed.