L 218/8 Publicatieblad van de Europese Unie 14.8.2013 RICHTLIJN 2013/40/EU VAN HET EUROPEES PARLEMENT EN DE RAAD van 12 augustus 2013 over aanvallen op informatiesystemen en ter vervanging van Kaderbesluit 2005/222/JBZ van de HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE, Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 83, lid 1, Gezien het voorstel van de Europese Commissie, Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen, Gezien het advies van het Europees Economisch en Sociaal Comité (1), Handelend volgens de gewone wetgevingsprocedure (2), Overwegende hetgeen volgt: (1) Deze richtlijn heeft ten doel het strafrecht van de lid- staten inzake aanvallen op informatiesystemen onderling af te stemmen door minimumvoorschriften vast te stellen voor de definitie van strafbare feiten en de relevante sancties, en de samenwerking tussen de bevoegde auto- riteiten, waaronder de politie en andere gespecialiseerde rechtshandhavingsinstanties van de lidstaten, alsook de bevoegde gespecialiseerde agentschappen en organen van de Unie, zoals Eurojust, Europol en zijn Europees cybercriminaliteitscentrum, en het Europees Agentschap voor netwerk- en informatiebeveiliging (Enisa), te ver- beteren. Informatiesystemen zijn een essentieel onderdeel van de politieke, maatschappelijke en economische interactie in de Unie. De samenleving is sterk en in toenemende mate afhankelijk van dit soort systemen. De goede werking en de veiligheid van die systemen in de Unie is cruciaal voor de ontwikkeling van de interne markt en van een con- currerende en innovatieve economie. Het waarborgen van passende beschermingsniveaus voor informatiesystemen dient deel uit te maken van een effectief alomvattend kader van preventieve maatregelen, in combinatie met strafrechtelijke reacties op cybercriminaliteit. Aanvallen op informatiesystemen, in het bijzonder aan- vallen in het kader van de georganiseerde criminaliteit, vormen een groeiende bedreiging, zowel in de Unie als in de rest van de wereld, en de bezorgdheid over mogelijke terroristische of politiek gemotiveerde aanvallen op infor- matiesystemen die deel uitmaken van de vitale infrastruc- tuur van de lidstaten en van de Unie neemt toe. Dit brengt de totstandbrenging van een veiliger informatie- maatschappij en een ruimte van vrijheid, veiligheid en recht in gevaar en maakt derhalve een reactie op het niveau van de Unie en betere internationale samenwer- king en coördinatie noodzakelijk. (!) PB C 218 van 23.7.2011, blz. 130. (2) Standpunt van het Europees Parlement van 4 juli 2013 (nog niet bekendgemaakt in het Publicatieblad) en besluit van de Raad van 22 juli 2013. Raad Ontwrichting of vernietiging van een aantal vitale infra- structuren in de Unie zou aanzienlijke grensoverschrij- dende gevolgen hebben. Uit de behoefte aan een grotere mate van bescherming van de vitale infrastructuur in de Unie is gebleken dat de maatregelen tegen cyberaanvallen moeten worden aangevuld met zware strafrechtelijke straffen die in verhouding staan tot de ernst van deze aanvallen. Onder „vitale infrastructuur” kan worden ver- staan een voorziening, systeem of een deel daarvan op het grondgebied van een lidstaat dat van essentieel belang is voor bijvoorbeeld het behoud van vitale maatschappe- lijke functies, de gezondheid, de veiligheid, de beveiliging, de economische welvaart of het maatschappelijk welzijn, zoals energiecentrales, vervoersnetwerken of overheids- netwerken, en waarvan de verstoring of vernietiging in een lidstaat aanzienlijke gevolgen zou hebben doordat die functies ontregeld zouden raken. Er zijn aanwijzingen dat grootschalige aanvallen op de informatiesystemen die vaak van vitaal belang kunnen zijn voor staten of voor specifieke onderdelen van de publieke of particuliere sector steeds gevaarlijker en fre- quenter worden. Deze tendens gaat gepaard met de ont- wikkeling van steeds geavanceerder methoden, zoals het creëren en gebruiken van zogenaamde „botnets”, waarbij de strafbare handeling in verschillende fasen plaatsvindt en iedere fase afzonderlijk een ernstig risico voor open- bare belangen kan opleveren. De richtlijn is er onder meer op gericht strafrechtelijke straffen in te voeren voor de fase waar de „botnet” tot stand wordt gebracht, namelijk wanneer controle op afstand over een aanzien- lijk aantal computers tot stand wordt gebracht door deze door middel van gerichte cyberaanvallen te besmetten met kwaadaardige software. Als het eenmaal tot stand is gekomen, kan het netwerk van besmette computers, dat de „botnet” vormt, zonder medeweten van de gebrui- kers ervan worden ingezet om een grootschalige cyber- aanval uit te voeren, die gewoonlijk het vermogen heeft om ernstige schade te veroorzaken als bedoeld in deze richtlijn. De lidstaten kunnen bepalen wat overeenkom- stig hun nationaal recht en hun nationale praktijk onder ernstige schade wordt verstaan, zoals de ontregeling van systeemdiensten van groot openbaar nut, het veroor- zaken van aanzienlijke financiële schade of het verlies van persoonsgegevens of gevoelige informatie. Grootschalige cyberaanvallen kunnen ernstige economi- sche schade veroorzaken doordat informatiesystemen uit- vallen en de communicatie wordt onderbroken en door- dat er commercieel belangrijke vertrouwelijke of andere gegevens verloren gaan of worden gewijzigd. Er dient met name op te worden gelet dat innovatieve kleine en middelgrote ondernemingen bewuster worden gemaakt van bedreigingen en zwakke punten in verband met der- gelijke aanvallen, vanwege hun grotere afhankelijkheid van de goede werking en beschikbaarheid van informatie- systemen en hun vaak beperkte middelen voor informa- tiebeveiliging.