RICHTLINIE 2013/40/EU DES EUROPÄISCHEN PARLAMENTS UND DES RATES
vom 12. August 2013
über Angriffe auf Informationssysteme und zur Ersetzung des Rahmenbeschlusses 2005/222/JI des Rates
DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 83 Absatz 1,
auf Vorschlag der Europäischen Kommission,
nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente,
nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses (1),
gemäß dem ordentlichen Gesetzgebungsverfahren (2),
in Erwägung nachstehender Gründe:
(1)
Die Ziele dieser Richtlinie sind die Angleichung des Strafrechts der Mitgliedstaaten im Bereich Angriffe auf Informationssysteme, indem Mindestvorschriften zur Festlegung von Straftaten und einschlägigen Strafen festgelegt werden, sowie die Verbesserung der Zusammenarbeit zwischen den zuständigen Behörden einschließlich der Polizei und anderer spezialisierter Strafverfolgungsbehörden der Mitgliedstaaten sowie der zuständigen Agenturen und Einrichtungen der Union wie Eurojust, Europol und dessen Europäisches Zentrum zur Bekämpfung der Cyberkriminalität und der Europäischen Agentur für Netz- und Informationssicherheit (ENISA).
(2)
Informationssysteme sind für die politische, gesellschaftliche und wirtschaftliche Interaktion in der Union unverzichtbar. Die Gesellschaft ist in hohem und zunehmendem Maße von solchen Systemen abhängig. Das reibungslose Funktionieren und die Sicherheit dieser Systeme in der Union sind entscheidend für die Entwicklung des Binnenmarktes und für die Entwicklung einer wettbewerbsfähigen und innovativen Wirtschaft. Zu einem wirksamen Gesamtrahmen mit Vorbeugemaßnahmen zur Flankierung der strafrechtlichen Reaktionen auf Cyberkriminalität sollte auch die Gewährleistung eines angemessenen Schutzniveaus bei Informationssystemen gehören.
(3)
Angriffe auf Informationssysteme und insbesondere mit organisierter Kriminalität im Zusammenhang stehende Angriffe sind sowohl in der Union als auch weltweit eine zunehmende Bedrohung, und es wächst die Besorgnis über mögliche Terroranschläge oder politisch motivierte Angriffe auf Informationssysteme, die Teil der kritischen Infrastruktur der Mitgliedstaaten und der Union sind. Hierdurch wird das Ziel einer sichereren Informationsgesellschaft und eines Raums der Freiheit, der Sicherheit und des Rechts gefährdet, so dass Gegenmaßnahmen auf Ebene der Union sowie eine bessere Zusammenarbeit und Koordinierung auf internationaler Ebene erforderlich sind.
(4)
Es gibt in der Union eine Reihe kritischer Infrastrukturen, deren Störung oder Zerstörung erhebliche grenzüberschreitende Auswirkungen hätte. Da die Fähigkeit zum Schutz kritischer Infrastrukturen in der Union verbessert werden muss, sollten die Abwehrmaßnahmen gegen Cyberangriffe durch strenge Strafen, die der Schwere derartiger Angriffe Rechnung tragen, ergänzt werden. Als kritische Infrastrukturen könnten in Mitgliedstaaten befindliche Anlagen, Systeme oder deren Teile angesehen werden, die von wesentlicher Bedeutung für die Aufrechterhaltung grundlegender gesellschaftlicher Funktionen, der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind, wie etwa Kraftwerke, Verkehrsnetze oder staatliche Netze, und deren Störung oder Zerstörung erhebliche Auswirkungen auf einen Mitgliedstaat hätte, da diese Funktionen nicht aufrechterhalten werden könnten.
(5)
Es besteht eine Tendenz zu immer gefährlicheren und häufigeren Großangriffen auf Informationssysteme, die für den Mitgliedstaat oder für bestimmte Funktionen im öffentlichen oder privaten Sektor oft unverzichtbar sein können. Diese Tendenz geht einher mit der Entwicklung immer ausgefeilterer Methoden, wie etwa der Schaffung und Verwendung von sogenannten Botnetzen, bei denen die kriminelle Handlung in verschiedenen Stufen erfolgt, wobei jede Stufe für sich eine ernsthafte Gefahr für die öffentlichen Interessen darstellen könnte. Diese Richtlinie zielt unter anderem darauf ab, Strafen hinsichtlich der Schaffung der Botnetze einzuführen, nämlich für die Einrichtung einer ferngesteuerten Kontrolle über eine bedeutende Anzahl von Computern, indem diese durch gezielte Cyberangriffe mit Schadsoftware infiziert werden. Sobald es eingerichtet ist, kann das infizierte Netz von Computern, die das Botnetz bilden, ohne Wissen der Computerbenutzer aktiviert werden, um einen breit angelegten Cyberangriff zu starten, der in der Regel erheblichen Schaden anrichten kann, wie er in dieser Richtlinie beschrieben wird. Die Mitgliedstaaten können festlegen, was gemäß ihrem nationalen Recht und ihrer nationalen Praxis als erheblicher Schaden gilt; dazu können die Störung von Systemdiensten von erheblicher öffentlicher Bedeutung oder die Verursachung größerer finanzieller Kosten oder der Verlust personenbezogener Daten oder vertraulicher Informationen gehören.
(6)
Cybergroßangriffe können durch die Störung des Betriebs der Informationssysteme und der Kommunikation wie auch durch Verlust oder Veränderung vertraulicher Informationen oder anderer Daten, die von wirtschaftlicher Bedeutung sind, erheblichen wirtschaftlichen Schaden verursachen. Besonderes Augenmerk sollte darauf gerichtet werden, innovative kleine und mittlere Unternehmen für die Bedrohungen durch solche Angriffe und ihre Verwundbarkeit durch solche Angriffe zu sensibilisieren, da sie immer stärker vom ordnungsgemäßen Funktionieren und der Verfügbarkeit von Informationssystemen abhängig sind und oft nur begrenzte Mittel in die Informationssicherheit investieren können.
(7)
Für eine einheitliche Strategie in den Mitgliedstaaten bei der Anwendung dieser Richtlinie sind gemeinsame Definitionen in diesem Bereich wichtig.
(8)
Es sollten gemeinsame Straftatbestände für den rechtswidrigen Zugang zu Informationssystemen, den rechtswidrigen Systemeingriff, den rechtswidrigen Eingriff in Daten und das rechtswidrige Abfangen von Daten festgelegt werden, wozu es einer Einigung über die Tatbestandsmerkmale bedarf.
(9)
Das Abfangen umfasst unter anderem das Abhören, die Überwachung und die Kontrolle des Inhalts von Kommunikationen sowie das Ausforschen des Inhalts von Daten entweder direkt durch den Zugang zum Informationssystem und seine Benutzung oder indirekt durch die Benutzung elektronischer Abhör- oder Mithörvorrichtungen mit technischen Hilfsmitteln.
(10)
Mitgliedstaaten sollten Strafen für Angriffe auf Informationssysteme vorsehen. Diese Strafen sollten wirksam, verhältnismäßig und abschreckend sein und sollten Freiheitsstrafen und/oder Geldstrafen umfassen.
(11)
Diese Richtlinie sieht zumindest dann Strafen vor, wenn kein leichter Fall vorliegt. Die Mitgliedstaaten können festlegen, was gemäß ihrem einzelstaatlichen Recht und ihrer einzelstaatlichen Praxis als leichter Fall gilt. Ein Fall kann beispielsweise als leicht eingestuft werden, wenn der durch die Straftat verursachte Schaden und/oder die Gefahr für öffentliche oder private Interessen, wie etwa die Integrität eines Computersystems oder von Computerdaten oder die Integrität, die Rechte oder andere Interessen einer Person geringfügig oder so geartet ist, dass die Verhängung einer Strafe innerhalb der gesetzlichen Grenzen oder die Begründung einer strafrechtlichen Verantwortung nicht erforderlich ist.
(12)
Die Identifizierung und Meldung der mit Cyberangriffen verbundenen Bedrohungen und Gefahren sowie der entsprechenden Verwundbarkeit von Informationssystemen sind maßgeblich für eine wirksame Vorbeugung gegen Cyberangriffe und eine wirksame Reaktion auf diese Angriffe sowie für die Verbesserung der Sicherheit von Informationssystemen. Die Schaffung von Anreizen für die Meldung von Sicherheitslücken könnte hierzu beitragen. Die Mitgliedstaaten sollten sich darum bemühen, die legale Aufdeckung und Meldung von Sicherheitslücken zu ermöglichen.
(13)
Schwerere Strafen sollten vorgesehen werden bei Angriffen auf ein Informationssystem, die von einer kriminellen Vereinigung im Sinne des Rahmenbeschlusses 2008/841/JI des Rates vom 24. Oktober 2008 zur Bekämpfung der organisierten Kriminalität (3) verübt werden, oder bei groß angelegten Cyberangriffen, bei denen eine beträchtliche Anzahl von Informationssystemen beeinträchtigt wird einschließlich in Fällen, in denen der Angriff dazu dient, ein Botnetz zu schaffen, oder bei denen schwere Schäden verursacht werden, einschließlich in Fällen, in denen der Angriff mittels eines Botnetzes durchgeführt wird. Es ist ferner angemessen, schwerere Strafen vorzusehen, wenn ein Angriff gegen eine kritische Infrastruktur der Mitgliedstaaten oder der Union gerichtet ist.
(14)
Die Einführung wirksamer Maßnahmen gegen Identitätsdiebstahl und andere identitätsbezogene Straftaten bildet eine weitere wichtige Komponente eines integrierten Ansatzes gegen die Cyberkriminalität. Das Erfordernis von Maßnahmen der Union gegen diese Art kriminellen Verhaltens könnte auch im Rahmen der Bewertung der Frage geprüft werden, ob es eines umfassenden horizontalen Instruments der Union bedarf.
(15)
In den Schlussfolgerungen des Rates vom 27. und 28. November 2008 wurde die Ausarbeitung einer neuen Strategie in Zusammenarbeit mit den Mitgliedstaaten und der Kommission angekündigt, in die auch das Übereinkommen des Europarats über Computerkriminalität aus dem Jahr 2001 einfließen soll. Dieses Übereinkommen ist der rechtliche Bezugsrahmen für die Bekämpfung der Cyberkriminalität und damit auch der Angriffe auf Informationssysteme. Die vorliegende Richtlinie baut auf dem Übereinkommen auf. Eine möglichst baldige Ratifizierung dieses Übereinkommens durch alle Mitgliedstaaten sollte als Priorität betrachtet werden.
(16)
Angesichts der unterschiedlichen Art und Weise, wie Cyberangriffe ausgeführt werden können, und der raschen Entwicklung bei der Hard- und Software bezieht sich diese Richtlinie auf „Instrumente“, die zur Begehung der in dieser Richtlinie vorgesehenen Straftaten verwendet werden können. Bei solchen Instrumenten kann es sich beispielsweise um Schadsoftware einschließlich jener handeln, mit der Botnetze geschaffen werden können, die für Cyberangriffe verwendet werden. Auch wenn ein Instrument für die Durchführung der in dieser Richtlinie aufgeführten Straftaten geeignet oder besonders geeignet ist, so ist es doch möglich, dass es für rechtmäßige Zwecke hergestellt worden ist. Da eine Kriminalisierung in den Fällen vermieden werden muss, in denen diese Instrumente für rechtmäßige Zwecke - wie beispielsweise Prüfung der Zuverlässigkeit von Produkten der Informationstechnologie oder der Sicherheit von Informationssystemen - hergestellt und in Verkehr gebracht worden sind, muss neben dem allgemeinen Vorsatz der direkte Vorsatz gegeben sein, diese Instrumente für das Begehen von in der Richtlinie vorgesehenen Straftaten zu verwenden.
(17)
Mit dieser Richtlinie wird keine strafrechtliche Verantwortung in Fällen begründet, in denen die objektiven Tatbestandsmerkmale der in dieser Richtlinie vorgesehenen Straftaten zwar gegeben sind, die Taten aber ohne strafrechtlichen Vorsatz begangen werden, wie etwa in den Fällen, in denen eine Person nicht weiß, dass sie keine Zugangsbefugnis hatte, beispielsweise bei in Auftrag gegebenen Tests von Informationssystemen oder bei deren Schutz, wenn beispielsweise eine Person von einem Unternehmen oder Verkäufer beauftragt wird, die Stärke des Sicherheitssystems eines Informationssystems zu testen. Im Rahmen dieser Richtlinie sollten vertragliche Verpflichtungen oder Vereinbarungen zur Beschränkung des Zugangs zu Informationssystemen durch Benutzerverwaltungsrichtlinien oder Dienstleistungsbedingungen sowie arbeitsrechtliche Streitigkeiten in Bezug auf den Zugang zu Informationssystemen eines Arbeitgebers und deren Nutzung für private Zwecke keine strafrechtliche Haftung begründen, wenn ein Zugang unter diesen Umständen als unberechtigter Zugang gelten und damit die einzige Grundlage für die Strafverfolgung bilden würde. Diese Richtlinie berührt nicht das im nationalen Recht und im Recht der Union verankerte Recht auf den Zugang zu Informationen, dient aber auch nicht als Rechtfertigung eines rechtswidrigen oder eigenmächtigen Zugangs.
(18)
Cyberangriffe könnten durch verschiedene Umstände erleichtert werden, so etwa, wenn der Täter im Rahmen seines Beschäftigungsverhältnisses über einen Zugang zu in den betroffenen Informationssystemen vorhandenen Sicherheitssystemen verfügt. Im Rahmen des nationalen Rechts sollten solche Umstände in Strafverfahren angemessen berücksichtigt werden.
(19)
Die Mitgliedstaaten sollten in ihren innerstaatlichen Rechtsvorschriften eine Regelung für erschwerende Umstände - im Einklang mit den in ihrem Rechtssystem geltenden einschlägigen Bestimmungen - vorsehen. Sie sollten sicherstellen, dass die Richter diese bei der Verurteilung von Straftätern berücksichtigen können. Es liegt im Ermessen des Richters, diese Umstände zusammen mit den übrigen Sachumständen des jeweiligen Falles zu bewerten.
(20)
Diese Richtlinie enthält keine Bestimmungen über die Voraussetzungen dafür, dass die Gerichtsbarkeit über die in dieser Richtlinie genannten Straftaten ausgeübt werden kann, wie etwa eine am Tatort erstattete Anzeige des Opfers, eine Anzeige des Staates, in dem sich der Tatort befindet, oder die Tatsache, dass der Täter am Tatort nicht verfolgt wurde.
(21)
Im Rahmen dieser Richtlinie sind Staaten und öffentliche Stellen nach wie vor in vollem Umfang dazu verpflichtet, die Achtung der Menschenrechte und Grundfreiheiten im Einklang mit den bestehenden internationalen Verpflichtungen zu gewährleisten.
(22)
Diese Richtlinie stärkt die Rolle von Netzwerken wie des G8-Netzes oder des Netzes der Kontaktstellen des Europarats, die an sieben Wochentagen 24 Stunden täglich für den Informationsaustausch zur Verfügung stehen. Diese Kontaktstellen sollten in der Lage sein, wirksame Hilfe zu leisten und damit beispielsweise den Austausch verfügbarer einschlägiger Informationen und die Bereitstellung technischer Beratung oder rechtlicher Informationen für Ermittlungen und Verfahren wegen Straftaten im Zusammenhang mit Informationssystemen und dazugehörigen Daten, die den ersuchenden Mitgliedstaat betreffen, zu erleichtern. Um den reibungslosen Betrieb der Netze sicherzustellen, sollte jede Kontaktstelle in der Lage sein, beschleunigt - unter anderem mithilfe geschulten und entsprechend ausgerüsteten Personals - mit der Kontaktstelle eines anderen Mitgliedstaats Kontakt aufzunehmen. Angesichts der Schnelligkeit, mit der Cyber-Großangriffe ausgeführt werden können, sollten die Mitgliedstaaten in der Lage sein, umgehend auf dringende Ersuchen dieser Kontaktstellen um Unterstützung zu reagieren. In diesen Fällen kann es zweckmäßig sein, dass neben dem Informationsersuchen auch telefonisch Kontakt aufgenommen wird, um dafür zu sorgen, dass der ersuchte Mitgliedstaat das Ersuchen zügig bearbeitet und dass innerhalb von acht Stunden eine Rückmeldung erfolgt.
(23)
Um Angriffe auf Informationssysteme zu verhindern und zu bekämpfen, ist die Zusammenarbeit zwischen Behörden einerseits und der Privatwirtschaft und Zivilgesellschaft andererseits sehr wichtig. Die Zusammenarbeit zwischen Diensteanbietern, Herstellern sowie Strafverfolgungsstellen und Justizbehörden muss gefördert und verbessert werden, wobei jedoch die Rechtsstaatlichkeit uneingeschränkt zu achten ist. Eine solche Zusammenarbeit könnte die Unterstützung von Diensteanbietern bei der Sicherstellung potenzieller Beweismittel, bei der Bereitstellung von Anhaltspunkten zur Ermittlung von Tätern und - als letztes Mittel - bei der vollständigen oder teilweisen Abschaltung von beeinträchtigten oder für unrechtmäßige Zwecke verwendeten Informationssystemen oder Funktionen nach Maßgabe des nationalen Rechts und der nationalen Gepflogenheiten umfassen. Die Mitgliedstaaten sollten ferner in Betracht ziehen, für den Informationsaustausch in Bezug auf die in den Anwendungsbereich dieser Richtlinie fallenden Straftaten Netze für die Zusammenarbeit und Partnerschaft mit Diensteanbietern und Herstellern einzurichten.
(24)
Es ist erforderlich, vergleichbare Daten in Bezug auf die in dieser Richtlinie vorgesehenen Straftaten zu erheben. Die betreffenden Daten sollten den zuständigen spezialisierten Agenturen und Einrichtungen der Union wie Europol und der ENISA im Einklang mit ihren Aufgaben und ihrem Informationsbedarf zur Verfügung gestellt werden, damit ein umfassenderes Bild des Problems der Cyberkriminalität und der Netz- und Informationssicherheit auf Unionsebene gewonnen und somit ein Beitrag zur Ausarbeitung wirksamerer Abhilfemaßnahmen geleistet werden kann. Die Mitgliedstaaten sollten Europol und dessen Europäischem Zentrum zur Bekämpfung der Cyberkriminalität Informationen über die Vorgehensweisen der Täter zur Verfügung stellen, damit die Bewertungen der Bedrohungslage und strategischen Analysen zur Cyberkriminalität gemäß dem Beschluss 2009/371/JI des Rates vom 6. April 2009 zur Errichtung des Europäischen Polizeiamts (Europol) (4) durchgeführt werden können. Die Bereitstellung von Informationen kann ein besseres Verständnis gegenwärtiger und zukünftiger Bedrohungen erleichtern und damit zu einer angemesseneren und zielorientierten Beschlussfassung über Bekämpfung und Verhütung von Angriffen auf Informationssysteme beitragen.
(25)
Die Kommission sollte einen Bericht über die Anwendung der Richtlinie vorlegen und erforderliche Gesetzgebungsvorschläge unterbreiten, die unter Berücksichtigung der Entwicklungen in Bezug auf die Cyberkriminalität zu einer Erweiterung des Anwendungsbereichs dieser Richtlinie führen könnten. Solche künftigen Entwicklungen könnten technologische Entwicklungen umfassen, die beispielsweise eine wirksamere Strafverfolgung bei Angriffen auf Informationssysteme ermöglichen oder der Verhütung solcher Angriffe oder der Minimierung ihrer Auswirkungen dienen. Zu diesem Zweck sollte die Kommission die verfügbaren Analysen und Berichte berücksichtigen, die von den einschlägigen Akteuren und insbesondere von Europol und ENISA ausgearbeitet worden sind.
(26)
Um die Cyberkriminalität wirksam zu bekämpfen, ist es erforderlich, die Widerstandsfähigkeit von Informationssystemen dadurch zu erhöhen, dass geeignete Maßnahmen ergriffen werden, um sie wirksamer gegen Cyberangriffe zu schützen. Die Mitgliedstaaten sollten die erforderlichen Maßnahmen treffen, um die Informationssysteme, die Teil ihrer kritischen Infrastruktur sind, vor Cyberangriffen zu schützen, und in diesem Rahmen auch prüfen, wie ihre Informationssysteme und die dazugehörigen Daten zu schützen sind. Eine wesentliche Komponente eines umfassenden Konzepts zur wirksamen Bekämpfung der Cyberkriminalität besteht darin, dass ein angemessenes Schutz- und Sicherheitsniveau bei Informationssystemen durch juristische Personen - beispielsweise in Verbindung mit der Bereitstellung öffentlich zugänglicher Kommunikationsdienste im Einklang mit den bestehenden Unionsvorschriften über den Schutz der Privatsphäre und elektronische Kommunikation sowie Datenschutz - gewährleistet wird. Gegen Bedrohungen und Schwachstellen, die ohne übermäßigen Aufwand erkennbar sind, sollten ein angemessenes Schutzniveau gemäß dem neuesten Stand der Technik für spezifische Branchen und spezifische Situationen der Datenverarbeitung geboten werden. Die Kosten und der Aufwand eines solchen Schutzes sollten in einem angemessenen Verhältnis zu dem Schaden stehen, der bei einem Cyberangriff für die Betroffenen zu erwarten wäre. Die Mitgliedstaaten werden ermutigt, für die einschlägigen Maßnahmen zur Begründung einer Haftung im Rahmen ihres nationalen Rechts in den Fällen zu sorgen, in denen eine juristische Person eindeutig kein ausreichendes Niveau des Schutzes vor Cyberangriffen gewährleistet hat.
(27)
Größere Abweichungen und Diskrepanzen zwischen den Rechtsvorschriften und Strafverfahren der Mitgliedstaaten im Bereich von Angriffen auf Informationssysteme können die Bekämpfung der organisierten Kriminalität und des Terrorismus behindern und unter Umständen eine wirksame polizeiliche und justizielle Zusammenarbeit bei der Abwehr von Angriffen auf Informationssysteme erschweren. Der länder- und grenzübergreifende Charakter moderner Informationssysteme bedeutet, dass auch Angriffe auf solche Systeme eine grenzüberschreitende Dimension annehmen, was den dringenden Bedarf an weiteren Maßnahmen zur Angleichung des Strafrechts in diesem Bereich unterstreicht. Die Koordinierung der Strafverfolgung bei Angriffen auf Informationssysteme sollte mithilfe einer angemessenen Umsetzung und Anwendung des Rahmenbeschlusses 2009/948/JI des Rates vom 30. November 2009 zur Vermeidung und Beilegung von Kompetenzkonflikten in Strafverfahren (5) erleichtert werden. Die Mitgliedstaaten sollten sich in Zusammenarbeit mit der Union ferner um die Verbesserung der internationalen Zusammenarbeit in Bezug auf die Sicherheit von Informationssystemen, Computernetzen und Computerdaten bemühen. Der Sicherheit der Datenübertragung und -speicherung sollte bei allen internationalen Übereinkünften, bei denen der Austausch von Daten eine Rolle spielt, angemessen Rechnung getragen werden.
(28)
Eine verbesserte Zusammenarbeit zwischen den zuständigen Strafverfolgungsstellen und Justizbehörden in der gesamten Union ist für die wirksame Bekämpfung der Cyberkriminalität von wesentlicher Bedeutung. In diesem Zusammenhang sollte die Intensivierung der Bemühungen um eine angemessene Schulung der einschlägigen Behörden im Hinblick auf ein besseres Verständnis der Cyberkriminalität und ihrer Auswirkungen und die Verstärkung der Zusammenarbeit und des Austauschs bewährter Verfahren beispielsweise über die zuständigen spezialisierten Agenturen und Einrichtungen der Union gefördert werden. Mit der betreffenden Schulung sollte unter anderem angestrebt werden, eine verstärkte Sensibilisierung hinsichtlich der unterschiedlichen nationalen Rechtssysteme, der möglichen rechtlichen und technischen Probleme bei strafrechtlichen Ermittlungen und der Aufteilung der Zuständigkeiten zwischen den einschlägigen nationalen Behörden zu bewirken.
(29)
Diese Richtlinie achtet die Menschenrechte und Grundfreiheiten und wahrt die Grundsätze, die insbesondere mit der Charta der Grundrechte der Europäischen Union und der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten anerkannt wurden, namentlich der Schutz personenbezogener Daten, das Recht auf Schutz der Privatsphäre, die Meinungs- und Informationsfreiheit, das Recht auf ein faires Verfahren, die Unschuldsvermutung und die Gewährleistung der Verteidigungsrechte sowie das Gesetzlichkeits- und Verhältnismäßigkeitsprinzip in Bezug auf Straftaten und Strafen. Diese Richtlinie, mit der die uneingeschränkte Wahrung dieser Rechte und Grundsätze gewährleistet werden soll, ist entsprechend umzusetzen.
(30)
Der Schutz personenbezogener Daten ist ein Grundrecht gemäß Artikel 16 Absatz 1 AEUV und Artikel 8 der Charta der Grundrechte der Europäischen Union. Daher sollte jede Verarbeitung von Daten im Rahmen der Umsetzung dieser Richtlinie uneingeschränkt dem einschlägigen Unionsrecht über Datenschutz entsprechen.
(31)
Gemäß Artikel 3 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position des Vereinigten Königreichs und Irlands hinsichtlich des Raums der Freiheit, der Sicherheit und des Rechts haben diese Mitgliedstaaten mitgeteilt, dass sie sich an der Annahme und Anwendung dieser Richtlinie beteiligen möchten.
(32)
Nach den Artikeln 1 und 2 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position Dänemarks beteiligt sich Dänemark nicht an der Annahme dieser Richtlinie und ist weder durch diese Richtlinie gebunden noch zu ihrer Anwendung verpflichtet.
(33)
Da die Ziele dieser Richtlinie, nämlich Angriffe auf Informationssysteme in allen Mitgliedstaaten mit wirksamen, verhältnismäßigen und abschreckenden Strafen zu ahnden und die justizielle Zusammenarbeit zu verbessern und zu fördern, auf Ebene der Mitgliedstaaten nicht ausreichend verwirklicht werden können, und daher aufgrund ihres Ausmaßes oder ihrer Wirkung besser auf Unionsebene zu verwirklichen sind, kann die Union im Einklang mit dem in Artikel 5 des Vertrags über die Europäische Union niedergelegten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Richtlinie nicht über das für die Erreichung dieser Ziele erforderliche Maß hinaus.
(34)
Mit dieser Richtlinie sollen die Bestimmungen des Rahmenbeschlusses 2005/222/JI des Rates vom 24. Februar 2005 über Angriffe auf Informationssysteme (6) geändert und ausgeweitet werden. Da die vorzunehmenden Änderungen sowohl bezüglich der Zahl als auch hinsichtlich des Inhalts erheblich sind, sollte der Rahmenbeschluss 2005/222/JI aus Gründen der Klarheit für die sich an der Annahme dieser Richtlinie beteiligenden Mitgliedstaaten vollständig ersetzt werden -
HABEN FOLGENDE RICHTLINIE ERLASSEN:
Artikel 1
Gegenstand
Mit dieser Richtlinie werden Mindestvorschriften zur Festlegung von Straftaten und Strafen bei Angriffen auf Informationssysteme festgelegt. Diese Richtlinie soll überdies die Verhinderung derartiger Straftaten erleichtern und die Zusammenarbeit zwischen Justizbehörden und anderen zuständigen Behörden verbessern.
Artikel 2
Begriffsbestimmungen
Im Sinne dieser Richtlinie bezeichnet der Ausdruck
a)
„Informationssystem“ eine Vorrichtung oder eine Gruppe miteinander verbundener oder zusammenhängender Vorrichtungen, die einzeln oder zu mehreren auf der Grundlage eines Programms die automatische Verarbeitung von Computerdaten durchführen, sowie die von ihr oder ihnen zum Zwecke des Betriebs, der Nutzung, des Schutzes und der Pflege gespeicherten, verarbeiteten, abgerufenen oder übertragenen Computerdaten;
b)
„Computerdaten“ jede Darstellung von Tatsachen, Informationen oder Konzepten in einer für die Verarbeitung in einem Informationssystem geeigneten Form, einschließlich eines Programms, das die Ausführung einer Funktion durch ein Informationssystem auslösen kann;
c)
„juristische Person“ jedes Rechtssubjekt, das den Status der juristischen Person nach dem anwendbaren Recht besitzt, mit Ausnahme von Staaten oder anderen Körperschaften des öffentlichen Rechts in der Ausübung hoheitlicher Rechte und von öffentlich-rechtlichen internationalen Organisationen;
d)
„unbefugt“ ein in dieser Richtlinie genanntes Verhalten, einschließlich Zugang, Eingriff oder Abfangen, das vom Eigentümer oder einem anderen Rechtsinhaber des Systems oder eines Teils des Systems nicht gestattet wurde oder das nach den einzelstaatlichen Rechtsvorschriften nicht zulässig ist.
Artikel 3
Rechtswidriger Zugang zu Informationssystemen
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass der vorsätzliche unbefugte Zugang zu einem Informationssystem als Ganzem oder zu einem Teil davon, wenn dieser Zugang durch eine Verletzung von Sicherheitsmaßnahmen erfolgt, zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt.
Artikel 4
Rechtswidriger Systemeingriff
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass die vorsätzliche und unbefugte schwere Behinderung oder Störung des Betriebs eines Informationssystems durch Eingeben von Computerdaten, durch Übermitteln, Beschädigen, Löschen, Beeinträchtigen, Verändern und Unterdrücken von Computerdaten und durch Unzugänglichmachen von Computerdaten zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt.
Artikel 5
Rechtswidriger Eingriff in Daten
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass das vorsätzliche und unbefugte Löschen, Beschädigen, Beeinträchtigen, Verändern, Unterdrücken von Computerdaten eines Informationssystems und das Unzugänglichmachen solcher Daten zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt.
Artikel 6
Rechtswidriges Abfangen von Daten
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass das vorsätzliche und unbefugte, mit technischen Hilfsmitteln bewirkte Abfangen nichtöffentlicher Computerdatenübermittlungen an ein Informationssystem, aus einem Informationssystem oder innerhalb eines Informationssystems einschließlich elektromagnetischer Abstrahlungen aus einem Informationssystem, das Träger solcher Computerdaten ist, zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt.
Artikel 7
Tatwerkzeuge
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass das vorsätzliche und unbefugte Herstellen, Verkaufen, Beschaffen zwecks Gebrauchs, Einführen, Verbreiten oder anderweitige Verfügbarmachen folgender Instrumente, das mit der Absicht erfolgt, eine Straftat im Sinne der Artikel 3 bis 6 zu begehen, zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt:
a)
eines Computerprogramms, das in erster Linie dafür ausgelegt oder hergerichtet worden ist, eine Straftat im Sinne der Artikel 3 bis 6 zu begehen;
b)
eines Computerpassworts, eines Zugangscodes oder ähnlicher Daten, die den Zugang zu einem Informationssystem als Ganzem oder zu einem Teil davon ermöglichen.
Artikel 8
Anstiftung, Beihilfe und Versuch
(1) Die Mitgliedstaaten stellen sicher, dass die Anstiftung oder Beihilfe zur Begehung einer Straftat im Sinne der Artikel 3 bis 7 unter Strafe gestellt wird.
(2) Die Mitgliedstaaten stellen sicher, dass der Versuch der Begehung einer Straftat im Sinne der Artikel 4 und 5 unter Strafe gestellt wird.
Artikel 9
Strafen
(1) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass die Straftaten im Sinne der Artikel 3 bis 8 mit wirksamen, angemessenen und abschreckenden Strafen geahndet werden.
(2) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass Straftaten im Sinne der Artikel 3 bis 7 zumindest dann mit Freiheitsstrafen im Höchstmaß von mindestens zwei Jahren geahndet werden, wenn kein leichter Fall vorliegt.
(3) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass die Straftaten im Sinne der Artikel 4 und 5 mit Freiheitsstrafen im Höchstmaß von mindestens drei Jahren geahndet werden, wenn sie vorsätzlich begangen werden und eine beträchtliche Anzahl von Informationssystemen unter Verwendung eines in Artikel 7 genannten Instruments, das in erster Linie dafür ausgerichtet oder hergerichtet wurde, beeinträchtigt wird.
(4) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass Straftaten im Sinne der Artikel 4 und 5 mit Freiheitsstrafen im Höchstmaß von mindestens fünf Jahren geahndet werden, wenn
a)
sie im Rahmen einer kriminellen Vereinigung im Sinne des Rahmenbeschlusses 2008/841/JI ungeachtet der dort genannten Strafen begangen wurden;
b)
sie einen schweren Schaden verursachen oder
c)
sie gegen ein Informationssystem einer kritischen Infrastruktur verübt wurden.
(5) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass der Missbrauch der personenbezogenen Daten einer anderen Person mit dem Ziel, das Vertrauen eines Dritten zu gewinnen, wodurch dem rechtmäßigen Identitätseigentümer ein Schaden zugefügt wird, im Einklang mit dem nationalen Recht als erschwerender Umstand bei der Begehung von Straftaten nach den Artikeln 4 und 5 eingestuft werden kann, soweit der betreffende Umstand nicht bereits eine andere Straftat im Sinne des nationalen Rechts darstellt.
Artikel 10
Verantwortlichkeit juristischer Personen
(1) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass eine juristische Person für eine Straftat im Sinne der Artikel 3 bis 8 verantwortlich gemacht werden kann, die zu ihren Gunsten von einer Person begangen wurde, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt hat und die eine Führungsposition innerhalb der juristischen Person innehat, aufgrund
a)
einer Befugnis zur Vertretung der juristischen Person,
b)
einer Befugnis, Entscheidungen im Namen der juristischen Person zu treffen oder
c)
einer Kontrollbefugnis innerhalb der juristischen Person.
(2) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass eine juristische Person verantwortlich gemacht werden kann, wenn mangelnde Überwachung oder Kontrolle seitens einer in Absatz 1 genannten Person die Begehung einer Straftat nach den Artikeln 3 bis 8 zugunsten der juristischen Person durch eine ihr unterstellte Person ermöglicht hat.
(3) Die Verantwortlichkeit der juristischen Personen nach den Absätzen 1 und 2 schließt die strafrechtliche Verfolgung natürlicher Personen als Täter, Anstifter oder Gehilfen bei einer Straftat im Sinne der Artikel 3 bis 8 nicht aus.
Artikel 11
Sanktionen gegen juristische Personen
(1) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass gegen eine im Sinne von Artikel 10 Absatz 1 verantwortliche juristische Person wirksame, verhältnismäßige und abschreckende Sanktionen verhängt werden können, zu denen Geldstrafen oder Geldbußen gehören und zu denen andere Sanktionen gehören können wie etwa:
a)
Ausschluss von öffentlichen Zuwendungen oder Hilfen,
b)
vorübergehendes oder ständiges Verbot der Ausübung einer Handelstätigkeit,
c)
richterliche Aufsicht,
d)
richterlich angeordnete Eröffnung des Liquidationsverfahrens oder
e)
vorübergehende oder endgültige Schließung von Einrichtungen, die zur Begehung der Straftat genutzt wurden.
(2) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass gegen eine im Sinne von Artikel 10 Absatz 2 verantwortliche juristische Person wirksame, angemessene und abschreckende Sanktionen oder andere Maßnahmen verhängt werden können.
Artikel 12
Gerichtliche Zuständigkeit
(1) Jeder Mitgliedstaat begründet seine Zuständigkeit für die in den Artikeln 3 bis 8 genannten Straftaten, wenn diese
a)
ganz oder teilweise in seinem Hoheitsgebiet oder
b)
von einem seiner Staatsangehörigen begangen wurden, zumindest in den Fällen, in denen die Tat an dem Ort, an dem sie begangen wurde, eine Straftat darstellt.
(2) Bei der Begründung seiner Zuständigkeit gemäß Absatz 1 Buchstabe a stellt jeder Mitgliedstaat sicher, dass sich seine Zuständigkeit auch auf Fälle erstreckt, in denen
a)
sich der Täter bei der Begehung der Straftat physisch in seinem Hoheitsgebiet aufhält, unabhängig davon, ob sich die Straftat gegen ein Informationssystem innerhalb oder außerhalb seines Hoheitsgebiets richtet, oder
b)
sich die Straftat gegen ein Informationssystem in seinem Hoheitsgebiet richtet, unabhängig davon, ob sich der Täter bei der Begehung der Straftat physisch im Hoheitsgebiet dieses Mitgliedstaats aufhält.
(3) Ein Mitgliedstaat unterrichtet die Kommission über seine Entscheidung, eine gerichtliche Zuständigkeit für Straftaten nach den Artikeln 3 bis 8, die außerhalb seines Hoheitsgebiets begangen wurden, zu begründen, einschließlich in Fällen, in denen
a)
der gewöhnliche Aufenthalt des Straftäters in seinem Hoheitsgebiet liegt oder
b)
die Straftat zugunsten einer in seinem Hoheitsgebiet niedergelassenen juristischen Person begangen wird.
Artikel 13
Informationsaustausch
(1) Zum Zweck des Informationsaustauschs über Straftaten nach den Artikeln 3 bis 8 stellen die Mitgliedstaaten sicher, dass sie über eine operative nationale Kontaktstelle verfügen, und das bestehende Netz der operativen Kontaktstellen, die an sieben Wochentagen 24 Stunden täglich zur Verfügung stehen, nutzen. Die Mitgliedstaaten sorgen ferner dafür, dass Verfahren vorhanden sind, mit denen die zuständige Behörde bei dringenden Ersuchen um Unterstützung binnen höchstens acht Stunden nach Eingang des Ersuchens zumindest mitteilen können, ob das Ersuchen beantwortet wird und in welcher Form und wann dies voraussichtlich erfolgen wird.
(2) Die Mitgliedstaaten teilen der Kommission ihre in Absatz 1 genannte Kontaktstelle mit. Die Kommission leitet diese Informationen an die anderen Mitgliedstaaten und die spezialisierten Agenturen und Einrichtungen der Union weiter.
(3) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass geeignete Meldekanäle zur Verfügung stehen, damit die Meldung der in den Artikeln 3 bis 6 aufgeführten Straftaten an die zuständigen nationalen Behörden unverzüglich erfolgen kann.
Artikel 14
Kontrolle und Statistiken
(1) Die Mitgliedstaaten sorgen dafür, dass ein System für die Aufzeichnung, Erstellung und Bereitstellung statistischer Daten zu den Straftaten im Sinne der Artikel 3 bis 7 bereitsteht.
(2) Die statistischen Daten gemäß Absatz 1 umfassen zumindest die vorhandenen Daten über die Anzahl der in den Mitgliedstaaten erfassten Straftaten im Sinne der Artikel 3 bis 7 und die Anzahl der Personen, die wegen einer Straftat im Sinne der Artikel 3 bis 7 verfolgt und verurteilt worden sind.
(3) Die Mitgliedstaaten übermitteln der Kommission die nach Maßgabe dieses Artikels erfassten Daten. Die Kommission sorgt dafür, dass eine konsolidierte Zusammenfassung dieser statistischen Berichte veröffentlicht und den spezialisierten Agenturen und Einrichtungen der Union zugeleitet wird.
Artikel 15
Ersetzung des Rahmenbeschlusses 2005/222/JI
Der Rahmenbeschluss 2005/222/JI wird in Bezug auf die Mitgliedstaaten ersetzt, die sich an der Annahme dieser Richtlinie beteiligen, unbeschadet der Pflichten der Mitgliedstaaten im Zusammenhang mit den Fristen für die Umsetzung des Rahmenbeschlusses in innerstaatliches Recht.
In Bezug auf die Mitgliedstaaten, die sich an der Annahme dieser Richtlinie beteiligen, gelten Verweise auf den Rahmenbeschluss 2005/222/JI als Verweise auf die vorliegende Richtlinie.
Artikel 16
Umsetzung
(1) Die Mitgliedstaaten setzen die erforderlichen Rechts- und Verwaltungsvorschriften in Kraft, um dieser Richtlinie bis zum 4. September 2015 nachzukommen.
(2) Die Mitgliedstaaten übermitteln der Kommission den Wortlaut der innerstaatlichen Maßnahmen zur Umsetzung ihrer Verpflichtungen aus dieser Richtlinie.
(3) Bei Erlass dieser Vorschriften nehmen die Mitgliedstaaten in den Vorschriften selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten dieser Bezugnahme.
Artikel 17
Berichterstattung
Die Kommission legt dem Europäischen Parlament und dem Rat bis zum 4. September 2017 einen Bericht darüber vor, inwieweit die Mitgliedstaaten die zur Einhaltung dieser Richtlinie erforderlichen Maßnahmen ergriffen haben, und unterbreitet erforderlichenfalls Gesetzgebungsvorschläge. Die Kommission berücksichtigt auch die technischen und rechtlichen Entwicklungen im Bereich der Cyberkriminalität, insbesondere hinsichtlich des Anwendungsbereichs dieser Richtlinie.
Artikel 18
Inkrafttreten
Diese Richtlinie tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Artikel 19
Adressaten
Diese Richtlinie ist gemäß den Verträgen an die Mitgliedstaaten gerichtet.
Geschehen zu Brüssel am 12. August 2013.
DIRETTIVA 2013/40/UE TAL-PARLAMENT EWROPEW U TAL-KUNSILL
tat-12 ta’ Awwissu 2013
dwar attakki kontra s-sistemi tal-informazzjoni u li tissostitwixxi d-Deċiżjoni Qafas tal-Kunsill 2005/222/ĠAI
IL-PARLAMENT EWROPEW U L-KUNSILL TAL-UNJONI EWROPEA,
Wara li kkunsidraw it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, u b’mod partikolari l-Artikolu 83(1) tiegħu,
Wara li kkunsidraw il-proposta mill-Kummissjoni Ewropea,
Wara li l-abbozz tal-att leġislattiv intbagħat lill-parlamenti nazzjonali,
Wara li kkunsidraw l-opinjoni tal-Kumitat Ekonomiku u Soċjali Ewropew (1),
Filwaqt li jaġixxu skont il-proċedura leġislattiva ordinarja (2),
Billi:
(1)
L-għanijiet ta’ din id-Direttiva huma t-tqarrib tal-liġi kriminali tal-Istati Membri fil-qasam tal-attakki kontra s-sistemi tal-informazzjoni, billi jiġu stabbiliti regoli minimi dwar id-definizzjoni ta’ reati kriminali u s-sanzjonijiet rilevanti, u t-titjib fil-kooperazzjoni bejn l-awtoritajiet kompetenti, inklużi l-pulizija u servizzi speċjalizzati oħrajn tal-infurzar tal-liġi tal-Istati Membri, kif ukoll l-aġenziji speċjalizzati kompetenti u korpi tal-Unjoni, bħall-Eurojust, l-Europol u ċ-Ċentru Ewropew kontra ċ-Ċiberkriminalità tiegħu, u l-Aġenzija Ewropea dwar is-Sigurtà tan-Networks u l-Informazzjoni (ENISA).
(2)
Is-sistemi tal-informazzjoni huma element ewlieni tal-interazzjoni politika, soċjali u ekonomika fl-Unjoni. Id-dipendenza tas-soċjetà fuq dawn is-sistemi hija kbira u qiegħda dejjem tiżdied. L-operazzjoni bla xkiel u s-sigurtà ta’ dawk is-sistemi fl-Unjoni huma kruċjali għall-iżvilupp tas-suq intern u ta’ ekonomija kompetittiva u innovattiva. L-iżgurar ta’ livell adegwat ta’ protezzjoni tas-sistemi tal-informazzjoni għandu jifforma parti minn qafas komprensiv effettiv ta’ miżuri ta’ prevenzjoni li jakkumpanjaw ir-risponsi tal-liġi kriminali għaċ-ċiberkriminalità.
(3)
L-attakki kontra s-sistemi tal-informazzjoni, u, partikolarment l-attakki marbutin mal-kriminalità organizzata, jirrappreżentaw minaċċa li qed tikber kemm fl-Unjoni kif ukoll globalment, u qed jiżdied it-tħassib dwar il-potenzjal ta’ attakki terroristiċi jew li huma mmotivati mill-politika kontra s-sistemi tal-informazzjoni li jagħmlu parti mill-infrastruttura kritika tal-Istati Membri u tal-Unjoni. Dan jikkostitwixxi theddida għall-kisba ta’ soċjetà tal-informazzjoni aktar sikura u ta’ qasam tal-libertà, is-sigurtà, u l-ġustizzja, u għalhekk jinħtieġ rispons fil-livell tal-Unjoni u kooperazzjoni u koordinazzjoni mtejbin fil-livell internazzjonali.
(4)
Hemm ċertu numru ta’ infrastrutturi kritiċi fl-Unjoni, li l-interruzzjoni jew id-distruzzjoni tagħhom ikollhom impatt transkonfinali sinifikanti. Sar evidenti, mill-ħtieġa li tiżdied il-kapaċità ta’ protezzjoni tal-infrastruttura kritika fl-Unjoni, li l-miżuri kontra l-attakki ċibernetiċi għandhom jiġu kkomplimentati minn pieni kriminali stretti li jirriflettu l-gravità ta’ tali attakki. L-infrastruttura kritika tista’ tinftiehem bħala assi, sistema jew parti minnha li tkun tinsab fi Stati Membri li tkun essenzjali pereżempju għaż-żamma ta’ funzjonijiet vitali li jappartjenu lis-soċjetà, lis-saħħa, is-sikurezza, il-benesseri ekonomiku jew soċjali ta’ poplu, bħal impjanti tal-enerġija, netwerks tat-trasport jew netwerks tal-gvern u li l-isfrattu jew il-qerda tagħhom iħallu impatt sinifikattiv fi Stat Membru bħala riżultat tan-nuqqas taż-żamma ta’ dawk il-funzjonijiet.
(5)
Hemm evidenza ta’ tendenza għal attakki fuq skala kbira li qed isiru aktar perikolużi u rikorrenti kontra s-sistemi tal-informazzjoni li spiss jistgħu jkunu kritiċi għall-Istati Membri jew għall-funzjonijiet partikolari fis-settur pubbliku jew privat. Din it-tendenza hi akkumpanjata bl-iżvilupp ta’ metodi dejjem aktar sofistikati, bħall-ħolqien u l-użu tal-hekk imsejħa “botnets”, li jinvolvi diversi stadji tal-att kriminali, fejn kull stadju waħdu jista’ jippreżenta riskju serju għall-interess pubbliku. Din id-Direttiva għandha l-għan, inter alia, li tintroduċi pieni kriminali għall-istadju meta jinħoloq il-“botnet”, jiġifieri l-att li jistabbilixxi kontroll mill-bogħod fuq għadd sostanzjali ta’ kompjuters billi jiġu infettati b’software malizzjuż permezz ta’ attakk ċibernetiku mmirat. Fi stadju aktar tard, il-kompjuters infettati li jikkostitwixxu l-“botnet” jistgħu, mingħajr ma jindunaw l-utenti tal-kompjuters, jiġu attivati biex jagħmlu attakk ċibernetiku fuq skala kbira, li normalment ikollhom il-kapaċità jikkawżaw dannu serju, kif hemm imsemmi f’din id-Direttiva. L-Istati Membri għandhom ikunu jistgħu jiddeterminaw x’jikkostitwixxi dannu serju f’konformità mal-liġi u l-prattika nazzjonali tagħhom, bħal interruzzjonijiet f’sistemi ta’ servizzi ta’ importanza pubblika sostanzjali, jew xi spiża finanzjarja kbira jew telf ta’ data personal jew informazzjoni sensittiva.
(6)
L-attakki ċibernetiċi fuq skala kbira jistgħu jikkawżaw ħsara ekonomika sostanzjali kemm permezz ta’ interruzzjoni ta’ sistemi tal-informazzjoni u tal-komunikazzjoni kif ukoll permezz ta’ telf jew alterazzjoni ta’ informazzjoni kunfidenzjali importanti għall-kummerċ jew data oħra. Għandha tingħata attenzjoni partikolari biex jiżdied l-għarfien ta’ intrapriżi żgħar u medji innovattivi dwar theddid minn attakki bħal dawn u vulnerabbilta’tagħhom għall-attakki bħal dawn,, minħabba d-dipendenza akbar tagħhom mill-funzjonament korrett u d-disponibbiltà tas-sistemi tal-informazzjoni u spiss mir-riżorsi limitati għas-sigurtà tal-informazzjoni.
(7)
Id-definizzjonijiet komuni f’dan il-qasam huma importanti sabiex jiġi żgurat approċċ konsistenti fl-Istati Membri għall-applikazzjoni ta’ din id-Direttiva.
(8)
Tinħass il-ħtieġa li jinkiseb approċċ komuni għall-elementi kostitwenti ta’ reati kriminali billi jiġu introdotti r-reati komuni ta’ aċċess illegali f’sistema tal-informazzjoni, l-interferenza illegali fis-sistema, l-interferenza illegali fid-data, u l-interċettazzjoni illegali.
(9)
L-interċettazzjoni tinkludi, iżda mhijiex neċessarjament limitata għas-smigħ, il-monitoraġġ jew is-sorveljanza tal-kontenut ta’ komunikazzjonijiet u l-akkwist tal-kontenut ta’ data jew direttament, permezz tal-aċċess għal u l-użu ta’ sistema ta’ informazzjoni, jew indirettament permezz tal-użu ta’ tagħmir elettroniku ta’ smigħ bil-moħbi jew ta’ tapping b’mezzi tekniċi.
(10)
L-Istati Membri għandhom jistabbilixxu pieni fir-rigward tal-attakki kontra s-sistemi tal-informazzjoni. Dawk il-pieni għandhom ikunu effettivi, proporzjonati u dissważivi u għandhom jinkludu sentenzi ta’ priġunerija u/jew multi.
(11)
Id-Direttiva tipprevedi pieni kriminali għall-inqas f’każijiet li mhumiex minuri. L-Istati Membri għandhom ikunu jistgħu jiddeterminaw x’jikkostitwixxi każ minuri skont id-dritt u l-prattika nazzjonali tagħhom. Każ jista’ jitqies minuri, pereżempju, meta l-ħsara kkawżata mir-reat u/jew ir-riskju li jinvolvi għall-interessi pubbliċi jew privati, bħall-integrità ta’ sistema tal-kompjuter jew ta’ data tal-kompjuter, jew l-integrità, id-drittijiet jew l-interessi l-oħrajn ta’ persuna, ikun insinifikanti jew ikun ta’ tali natura, li l-impożizzjoni ta’ piena kriminali fl-ambitu tal-limitu speċifiku legali jew l-impożizzjoni ta’ responsabbiltà kriminali mhux meħtieġa.
(12)
L-identifikazzjoni u r-rappurtar ta’ theddid u riskji ppreżentati minn attakki ċibernetiċi u l-vulnerabbiltà relatata tas-sistemi ta’ informazzjoni huma element pertinenti ta’ prevenzjoni effettiva ta’, u reazzjoni għal, attakki ċibernetiċi u tat-titjib tas-sistemi ta’ sigurtà tal-informazzjoni. Għal dak l-għan jista’ jiżdied l-għoti ta’ inċentivi għar-rappurtar ta’ distakki fis-sigurtà. L-Istati Membri għandhom jistinkaw biex jipprovdu possibbiltajiet sabiex il-lakuni fis-sigurtà jiġu skoperti u rappurtati legalment.
(13)
Huwa xieraq li jkunu previsti pieni aktar severi fejn attakk kontra sistema tal-informazzjoni jsir minn organizzazzjoni kriminali, kif iddefinita fid-Deċiżjoni Kwadru tal-Kunsill 2008/841/ĠAI tal-24 ta’ Ottubru 2008 dwar il-ġlieda kontra l-kriminalità organizzata (3) jew meta l-attakk isir fuq skala kbira, u b’hekk jaffettwa għadd sostanzjali ta’ sistemi tal-informazzjoni, inkluż meta l-attakk isir bl-intenzjoni li jinħoloq “botnet”, jew fejn attakk ċibernetiku jikkawża dannu serju inkluż fejn dan isir permezz ta’ “botnet”. Huwa wkoll xieraq li jkunu previsti pieni aktar severi meta jsir attakk kontra infrastruttura kritika tal-Istati Membri jew tal-Unjoni.
(14)
L-istabbiliment ta’ miżuri effettivi kontra s-serq tal-identità u reati oħrajn relatati mal-identità jikkostitwixxi element importanti ieħor ta’ approċċ integrat kontra ċ-ċiberkriminalità. Kwalunkwe ħtieġa għal azzjoni tal-Unjoni dwar dan it-tip ta’ mġiba kriminali tista’ titqies ukoll fil-kuntest tal-evalwar tal-ħtieġa għal strument tal-Unjoni orizzontali u komprensiv.
(15)
Il-Konklużjonijiet tal-Kunsill tas-27 sat-28 ta’ Novembru 2008 indikaw li għandha tiġi żviluppata strateġija ġdida flimkien mal-Istati Membri u l-Kummissjoni, waqt li jiġi kkunsidrat il-kontenut tal-Konvenzjoni tal-Kunsill tal-Ewropa dwar iċ-Ċiberkriminalità tal-2001. Dik il-Konvenzjoni hija l-qafas legali ta’ referenza għall-ġlieda kontra ċ-ċiberkriminalità, inklużi l-attakki kontra s-sistemi tal-informazzjoni. Din id-Direttiva hija msejsa fuq dik il-Konvenzjoni. Għalhekk l-ikkompletar tal-proċess ta’ ratifika tal-Konvenzjoni mill-Istati Membri malajr kemm jista’ jkun għandu jitqies bħala prijorità.
(16)
Minħabba l-modi differenti kif jistgħu jsiru l-attakki, u minħabba l-iżviluppi mgħaġġla fil-qasam tal-hardware u s-software, din id-Direttiva tirriferi għal ‘għodod’ li jistgħu jintużaw biex isiru r-reati stabbiliti f’din id-Direttiva. Dawn l-għodod jirriferu għal, pereżempju, software malizzjuż, li jinkludi dak li kapaċi joħloq botnets, użat biex isiru attakki ċibernetiċi. Anke fejn tali għodda tkun adatta jew partikolarment adatta biex isir wieħed mir-reati stabbiliti f’din id-Direttiva, huwa possibbli li kien ġie prodott għal skop leġittimu. Minħabba l-ħtieġa li tkun evitata l-kriminalizzazzjoni fejn dawn l-għodod jiġu prodotti u jitqiegħdu fis-suq għal finijiet leġittimi, bħall-ittestjar tal-affidabbiltà tal-prodotti tat-teknoloġija tal-informazzjoni jew is-sigurtà ta’ sistemi ta’ informazzjoni, barra mir-rekwiżit tal-intenzjoni ġenerali, għandu jkun wkoll sodisfatt rekwiżit tal-intenzjoni diretta li dawk l-għodod jintużaw biex isir wieħed jew iżjed mir-reati stabbiliti f’din id-Direttiva.
(17)
Din id-Direttiva mhijiex maħsuba biex timponi reponsabbiltà kriminali fejn ikunu sodisfatti l-kriterji oġġettivi tar-reati stabbiliti f’din id-Direttiva iżda l-atti jitwettqu mingħajr intenzjoni kriminali, pereżempju meta persuna ma tkunx taf li l-aċċess ma kienx awtorizzat jew fil-każ tal-ittestjar jew il-protezzjoni obbligatorja ta’ sistema tal-informazzjoni, pereżempju fejn persuna tiġi assenjata minn kumpannija jew bejjiegħ biex tittestja l-qawwa tas-sistema ta’ sigurtà tagħha. Fil-kuntest ta’ din id-Direttiva, l-obbligi jew il-ftehimiet kuntrattwali biex jirrestrinġu l-aċċess għal sistemi tal-informazzjoni permezz tal-politika dwar l-utenti jew it-termini tas-servizz, kif ukoll tilwim industrijali fir-rigward tal-aċċess għal u l-użu ta’ sistemi tal-informazzjoni ta’ min iħaddem għal finijiet privati, m’għandhomx jinvolvu r-responsabbiltà kriminali, fejn l-aċċess taħt dawn iċ-ċirkostanzi jitqies mhux awtorizzat u għalhekk jikkostitwixxi l-bażi unika għal proċedimenti kriminali. Din id-Direttiva hija mingħajr preġudizzju għad-dritt legalment garantit ta’ aċċess għall-informazzjoni kif stabbilit fil-liġi nazzjonali u tal-Unjoni, waqt li fl-istess ħin hija ma tistax isservi bħala ġustifikazzjoni għall-aċċess illegali jew arbitrarju għall-informazzjoni.
(18)
L-attakki ċibernetiċi jistgħu jiġu ffaċilitati permezz ta’ diversi ċirkostanzi, bħal meta l-awtur tar-reat jkollu aċċess għas-sistemi ta’ sigurtà inerenti fis-sistemi tal-informazzjoni affettwati fl-ambitu tal-impjieg tiegħu. Fil-kuntest tal-liġi nazzjonali, tali ċirkostanzi għandhom jitqiesu kif xieraq fil-kors ta’ proċedimenti kriminali.
(19)
L-Istati Membri għandhom jipprevedu ċirkostanzi aggravanti fil-liġi nazzjonali tagħhom f’konformità mar-regoli applikabbli stabbiliti mis-sistemi legali tagħhom dwar ċirkostanzi aggravanti. Huma għandhom jiżguraw li dawk iċ-ċirkostanzi aggravanti jkunu disponibbli biex l-imħallfin jikkunsidrawhom meta jkunu qed jissentenzjaw lit-trasgressuri. Jibqa’ fid-diskrezzjoni tal-imħallef li jivvaluta dawn iċ-ċirkostanzi flimkien mal-elementi fattwali l-oħrajn tal-każ partikolari.
(20)
Din id-Direttiva ma tirregolax il-kondizzjonijiet li taħthom hija eżerċitabbli l-ġurisdizzjoni fuq kwalunkwe wieħed mir-reati msemmija fiha, bħal rapport mill-vittma fil-post fejn sar ir-reat, jew denunzja mill-Istat tal-post fejn sar ir-reat, jew il-fatt li l-awtur tar-reat ma ġiex imħarrek fil-post fejn sar ir-reat.
(21)
Fil-kuntest ta’ din id-Direttiva, l-Istati u l-korpi pubbliċi jibqgħu marbutin għalkollox biex jiggarantixxu r-rispett għad-drittijiet tal-bniedem u d-drittijiet fundamentali, skont l-obbligi internazzjonali eżistenti.
(22)
Din id-Direttiva ssaħħaħ l-importanza tan-netwerks, bħan-netwerk tal-punti ta’ kuntatt tal-G8 jew tal-Kunsill tal-Ewropa disponibbli fuq bażi ta’ 24 siegħa kuljum, sebat ijiem fil-ġimgħa. Dawk il-punti ta’ kuntatt għandhom ikunu jistgħu jipprovdu assistenza effettiva, b’hekk jiffaċilitaw pereżempju l-iskambju ta’ informazzjoni rilevanti disponibbli jew l-għoti ta’ parir tekniku jew informazzjoni legali għall-fini tal-investigazzjonijiet jew tal-proċedimenti li jikkonċernaw ir-reati kriminali relatati mas-sistemi tal-informazzjoni u d-data assoċjata li jinvolvu l-Istat Membru rikjedenti. Sabiex tkun żgurata l-operazzjoni bla xkiel tan-netwerks, kull punt ta’ kuntatt għandu jkollu l-kapaċità li jkollu komunikazzjonijiet mal-punt ta’ kuntatt ta’ Stat Membru ieħor b’mod rapidu appoġġat, inter alia, minn persunal imħarreġ u attrezzat. Fid-dawl tal-veloċità li biha jistgħu jsiru l-attakki ċibernetiċi fuq skala kbira, l-Istati Membri għandhom ikunu kapaċi jirreaġixxu minnufih għat-talbiet urġenti minn din in-netwerk ta’ punti ta’ kuntatt. F’każijiet bħal dawn, jista’ jkun konvenjenti li t-talba għal informazzjoni tkun akkumpanjata minn numru tat-telefon, sabiex ikun żgurat li t-talba tiġi pproċessata malajr mill-Istat Membru rikjest u li l-feedback jingħata fi tmien sigħat.
(23)
Il-kooperazzjoni bejn l-awtoritajiet pubbliċi, fuq naħa, u s-settur privat u s-soċjetà ċivili, fuq in-naħa l-oħra, hija ta’ importanza kbira ħafna għall-prevenzjoni u l-ġlieda kontra attakki kontra s-sistemi tal-informazzjoni. Jeħtieġ li titrawwem u tittejjeb il-kooperazzjoni bejn il-fornituri tas-servizzi, il-produtturi, il-korpi tal-infurzar tal-liġi u l-awtoritajiet ġudizzjarji, filwaqt li jiġi rrispettat bis-sħiħ l-istat tad-dritt. Tali kooperazzjoni tista’ tinkludi appoġġ mill-fornituri tas-servizzi fl-għajnuna għall-preservazzjoni ta’ evidenza potenzjali, biex jiġu pprovduti elementi biex jgħinu fl-identifikazzjoni tal-atturi tar-reati u, bħala l-aħħar rimedju, l-għeluq, kompletament jew parzjalment, skont il-liġi nazzjonali, inkluża l-liġi u l-prattika nazzjonali, tas-sistemi tal-informazzjoni jew funzjonijiet li ġew kompromessi jew użati għal finijiet illegali. L-Istati Membri għandhom iqisu wkoll l-istabbiliment ta’ netwerks ta’ kooperazzjoni u ta’ sħubija ma’ fornituri ta’ servizzi u produtturi għall-iskambju ta’ informazzjoni fir-rigward tar-reati fil-kamp ta’ applikazzjoni ta’ din id-Direttiva.
(24)
Hemm il-ħtieġa li tinġabar data komparabbli dwar ir-reati msemmijin f’din id-Direttiva. Id-data rilevanti għandha ssir disponibbli għall-aġenti speċjalizzati kompetenti tal-Unjoni u korpi, bħall-Europol u l-ENISA, f’konformità mal-kompiti u l-ħtiġijiet tal-informazzjoni tagħhom, sabiex tinkiseb stampa aktar kompluta tal-problema taċ-ċiberkriminalità u tas-sigurtà tan-netwerks u tal-informazzjoni fil-livell tal-Unjoni u b’hekk tikkontribwixxi għall-formulazzjoni ta’ reazzjonijiet aktar effettivi. L-Istati Membri għandhom jibagħtu informazzjoni dwar il-modus operandi tal-awturi tar-reat lill-Europol u ċ-Ċentru Ewropew kontra ċ-Ċiberkriminalità tiegħu għall-finijiet ta’ stimi tat-theddid u analiżi strateġiċi taċ-ċiberkriminalità b’konformità ma d-Deċiżjoni tal-Kunsill 2009/371/ĠAI tas-6 ta’ April 2009 li jistabbilixxi l-Uffiċċju Ewropew tal-Pulizija (Europol) (4). L-għoti ta’ informazzjoni jista’ jiffaċilita fehim aħjar tat-theddid preżent u futur u b’hekk jikkontribwixxi għal teħid tad-deċiżjonijiet aktar adatt u mmirat biex jiġu miġġielda u evitati l-attakki kontra s-sistemi tal-informazzjoni.
(25)
Il-Kummissjoni għandha tippreżenta rapport dwar l-applikazzjoni ta’ din id-Direttiva u biex issir kwalunkwe proposta leġislattiva meħtieġa li tista’ twassal għat-twessigħ tal-kamp ta’ applikazzjoni ta’ din id-Direttiva b’kont meħud tal-iżviluppi fil-qasam taċ-ċiberkriminalità. Dawn l-iżviluppi jistgħu jinkludu kwalunkwe żvilupp teknoloġiku pereżempju dawk li jippermetti infurzar aktar effettiv fil-qasam tal-attakki kontra sistemi tal-informazzjoni jew li jiffaċilita l-prevenzjoni jew il-mitigazzjoni ta’ tali attakki. Għal dak il-għan l-Kummissjoni għandha tieħu kont tal-analiżi u r-rapporti disponibbli prodotti mill-atturi rilevanti u, b’mod partikolari, l-Europol u l-ENISA.
(26)
Sabiex iċ-ċiberkriminalità tiġi miġġielda b’mod effettiv, jeħtieġ li s-sistemi tal-informazzjoni jsiru iktar b’saħħithom, billi jittieħdu l-miżuri adatti biex jiġu protetti b’mod aktar effettiv mill-attakki Ċibernetiċi. L-Istati Membri għandhom jieħdu miżuri meħtieġa biex jipproteġu l-infrastrutturi kritiċi mill-attakki ċibernetiċi, li bħala parti minnhom għandhom iqisu l-protezzjoni tas-sistemi tal-informazzjoni tagħhom u d-data assoċjata. L-iżgurar ta’ livell adegwat ta’ protezzjoni u sigurtà tas-sistemi tal-informazzjoni minn persuni ġuridiċi, pereżempju b’rabta mal-forniment ta’ servizzi ta’ komunikazzjoni elettronika pubblikament disponibbli f’konformità mal-leġislazzjoni tal-Unjoni eżistenti dwar il-privatezza u l-komunikazzjoni elettronika u l-protezzjoni tad-data, jifforma parti essenzjali minn approċċ komprensiv biex iċ-ċiberkriminalità tiġi miġġielda b’mod effettiv. Għandhom jiġu provvduti livelli adatti ta’ protezzjoni mit-theddid u l-vulnerabbiltajiet li jistgħu jiġu identifikati b’mod raġonevoli f’konformità mal-ogħla żvilupp tekniku għas-setturi speċifiċi u s-sitwazzjonijiet speċifiċi tal-ipproċessar tad-data. L-ispejjeż u l-piżijiet ta’ tali protezzjoni għandhom ikunu proporzjonali għad-dannu li attakk ċibernetiku x’aktarx jikkawża lil dawk affettwati. L-Istati Membri huma inkoraġġuti jipprevedu miżuri rilevanti li jattribwixxu responsabbiltajiet fil-kuntest tal-liġi nazzjonali tagħhom f’każijiet fejn ikun ċar li persuna ġuridika ma tkunx pprovdiet livell adatt ta’ protezzjoni mill-attaki ċibernetiċi.
(27)
Xi lakuni u differenzi sinifikanti fil-liġijiet tal-Istati Membri u l-proċeduri kriminali fil-qasam tal-attakki kontra s-sistemi tal-informazzjoni jistgħu jkunu ta’ tfixkil fil-ġlieda kontra l-kriminalità organizzata u t-terroriżmu, u jistgħu jikkumplikaw il-kooperazzjoni effettiva tal-pulizija u dik ġudizzjarja f’dan il-qasam. In-natura transnazzjonali u ta’ mingħajr fruntieri tas-sistemi moderni tal-informazzjoni timplika li l-attakki kontra dawn is-sistemi għandhom dimensjoni transkonfinali, u għalhekk tenfasizza l-ħtieġa urġenti għal aktar azzjoni biex issir l-approssimazzjoni tal-liġijiet kriminali f’dan il-qasam. Barra minn dan, il-koordinazzjoni tal-prosekuzzjoni ta’ każijiet ta’ attakki kontra s-sistemi tal-informazzjoni għandhom jiġu ffaċilitati bl-implimentazzjoni u l-applikazzjoni adegwati tad-Deċiżjoni Qafas tal-Kunsill 2009/948/ĠAI tat-30 ta’ Novembru 2009 dwar il-prevenzjoni u r-riżoluzzjoni ta’ kunflitt ta’ ġurisidizzjoni fi proċedimenti kriminali (5). L-Istati Membri f’kooperazzjoni mal-Unjoni Ewropea għandhom jipprovaw ukoll itejbu l-kooperazzjoni internazzjonali relatata mas-sigurtà tas-sistemi tal-informazzjoni, in-netwerks tal-kompjuter u d-data tal-kompjuter. Għandha tingħata l-konsiderazzjoni dovuta lis-sigurtà tat-trasferiment u l-ħżin tad-data fi kwalunkwe ftehim internazzjonali li jinvolvi l-iskambju tad-data.
(28)
Il-kooperazzjoni mtejba bejn il-korpi kompetenti tal-infurzar tal-liġi u l-awtoritajiet ġudizzjarji madwar l-Unjoni hija essenzjali sabiex iċ-ċiberkriminalità tiġi miġġielda b’mod effettiv. F’dan il-kuntest għandu jiġi inkoraġġut l-intensifikar tal-isforzi biex jiġi pprovdut taħriġ adegwat lill-awtoritajiet rilevanti sabiex jiżdied il-ftehim taċ-ċiberkriminalità u l-impatt tagħha, u biex jitrawmu l-kooperazzjoni u l-iskambju tal-aħjar prattika, pereżempju permezz tal-aġenziji u korpi tal-Unjoni speċjalizzati kompetenti. Tali taħriġ għandu fost l-oħrajn ikollu l-għan li jżid l-għarfien dwar is-sistemi legali nazzjonali differenti, l-isfidi legali u tekniċi possibbli ta’ investigazzjonijiet kriminali, u d-distribuzzjoni tal-kompetenzi bejn l-awtoritajiet nazzjonali rilevanti.
(29)
Din id-Direttiva tipprevedi r-rispett tad-drittijiet tal-bniedem u l-libertajiet fundamentali u tosserva l-prinċipji rrikonoxxuti b’mod partikolari mill-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea u l-Konvenzjoni Ewropea għall-Protezzjoni tad-Drittijiet tal-Bniedem u l-Libertajiet Fundamentali, inkluża l-protezzjoni tad-data personali, id-dritt għall-privatezza, il-libertà tal-espressjoni u l-informazzjoni, id-dritt għal proċess imparzjali, il-preżunzjoni tal-innoċenza u d-dritt tad-difiża, kif ukoll il-prinċipji ta’ legalità u proporzjonalità ta’ reati kriminali u ta’ pieni. B’mod partikolari, din id-Direttiva għandha l-għan li tiggarantixxi rispett sħiħ għal dawn id-drittijiet u l-prinċipji u għandha tiġi implimentata kif meħtieġ.
(30)
Il-protezzjoni tad-data personali hija dritt fundamentali taħt l-Artikolu 16(1) tat-TFUE u l-Artikolu 8 tal-Karta dwar id-Drittijiet Fundamentali. Għalhekk, kwalunkwe proċessar ta’ data personali fil-kuntest tal-implimentazzjoni ta’ din id-Direttiva għandu jikkonforma bis-sħiħ mal-leġislazzjoni tal-Unjoni rilevanti dwar il-protezzjoni tad-data
(31)
F’konformità mal-Artikolu 3 tal-Protokoll dwar il-pożizzjoni tar-Renju Unit u l-Irlanda fir-rigward tal-Ispazju ta’ Libertà, Sigurtà u Ġustizzja, anness mat-Trattat dwar l-Unjoni Ewropea u mat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, dawk l-Istati Membri nnotifikaw ix-xewqa tagħhom li jieħdu sehem fl-adozzjoni u fl-applikazzjoni ta’ din id-Direttiva.
(32)
F’konformità mal-Artikoli 1 u 2 tal-Protokoll dwar il-pożizzjoni tad-Danimarka, anness mat-Trattat dwar l-Unjoni Ewropea u mat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, id-Danimarka mhijiex qed tieħu sehem fl-adozzjoni ta’ din id-Direttiva u mhijiex marbuta biha jew soġġetta għall-applikazzjoni tagħha.
(33)
Ladarba l-għanijiet tad-Direttiva, b’ mod partikolari fir-rigward tal-attakki kontra s-sistemi tal-informazzjoni jiġu imposti fl-Istati Membri kollha pieni kriminali effettivi, proporzjonati u dissważivi u li tittejjeb u tiġi promossal-kooperazzjoni bejn awtoritajiet ġudizzjarji u awtoritajiet oħra kompetenti, ma jistgħux jinkisbu b’mod suffiċjenti mill-Istati Membri, u għalhekk, minħabba l-iskala jew l-effetti tagħhom, jistgħu jinkisbu aħjar fil-livell tal-Unjoni, l-Unjoni tista’ tadotta miżuri f’konformità mal-prinċipju tas-sussidjarjetà kif stabbilit fl-Artikolu 5 tat-Trattat tal-Unjoni Ewropea. F’konformità mal-prinċipju tal-proporzjonalità kif stabbilit f’dak l-Artikolu, din id-Direttiva ma tmurx lil hinn minn dak li huwa meħtieġ sabiex jinkisbu dawk l-għanijiet.
(34)
Din id-Direttiva għandha l-għan li temenda u tespandi d-dispożizzjonijiet tad-Deċiżjoni Qafas tal-Kunsill 2005/222/ĠAI tal-24 ta’ Frar 2005 dwar attakki kontra s-sistemi tal-informazzjoni (6). Billi l-emendi li jridu jsiru huma ta’ għadd u natura sostanzjali, id-Deċiżjoni Qafas 2005/222/ĠAI għandha, fl-interessi taċ-ċarezza, tiġi sostitwita fl-intier tagħha fir-rigward tal-Istati Membri li jipparteċipaw fl-adozzjoni ta’ din id-Direttiva,
ADOTTAW DIN ID-DIRETTIVA:
Artikolu 1
Suġġett
Din id-Direttiva tistabbilixxi r-regoli minimi fir-rigward tad-definizzjoni ta’ reati kriminali u sanzjonijiet fil-qasam tal-attakki kontra s-sistemi tal-informazzjoni. Għandha wkoll l-għan li tiffaċilita l-prevenzjoni ta’ reati bħal dawn u li ttejjeb il-kooperazzjoni bejn l-awtoritajiet ġudizzjarji u awtoritajiet kompetenti oħra.
Artikolu 2
Definizzjonijiet
Għall-finijiet ta’ din id-Direttiva, għandhom japplikaw id-definizzjonijiet li ġejjin:
(a)
“sistema tal-informazzjoni” tfisser tagħmir jew grupp ta’ tagħmir interkonness jew relatat, li minnhom, wieħed jew aktar, skont programm, jipproċessaw awtomatikament data tal-kompjuter, kif ukoll data tal-kompjuter maħżuna, ipproċessata, irkuprata jew trasmessa b’dak it-tagħmir jew grupp ta’ tagħmir għall-finijiet tal-operazzjoni, użu, protezzjoni u manutenzjoni tiegħu jew tagħhom;
(b)
“data tal-kompjuter” tfisser ir-rappreżentazzjoni ta’ fatti, informazzjoni jew kunċetti f’forma adatta għall-ipproċessar f’sistema tal-informazzjoni, inkluż programm adatt biex iġiegħel sistema tal-informazzjoni twettaq funzjoni;
(c)
“persuna ġuridika” tfisser entità li jkollha l-istatus ta’ persuna ġuridika taħt il-liġi applikabbli, iżda ma tinkludix Stati jew korpi pubbliċi li jaġixxu fl-eżerċizzju ta’ awtorità Statali, jew organizzazzjonijiet internazzjonali pubbliċi;
(d)
“mingħajr dritt” tfisser aġir imsemmi f’din id-Direttiva, li jinkludi aċċess, interferenza jew interċettazzjoni, li ma jkunux awtorizzati mis-sid jew minn detentur ieħor tad-dritt tas-sistema jew ta’ parti minnha, jew li ma jkunux permessi taħt il-liġi nazzjonali.
Artikolu 3
Aċċess illegali għal sistemi ta’ informazzjoni
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiġi żgurat li, meta jsir intenzjonalment, l-aċċess mingħajr dritt għat-totalità jew għal kwalunkwe parti minn sistema tal-informazzjoni ikun punibbli bħala reat kriminali fejn isir permezz tal-ksur ta’ miżura tas-sigurtà, għall-inqas għal każijiet li mhumiex minuri.
Artikolu 4
Interferenza illegali f’sistema
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li t-tfixkil serju jew l-interruzzjoni tal-funzjonament ta’ sistema tal-informazzjoni bl-inseriment ta’ data tal-kompjuter, bit-trasmissjoni, ħsara, tħassir, deterjorament, alterazzjoni jew soppressjoni ta’ tali data, jew billi wieħed jirrendi tali data inaċċessibbli, intenzjonalment u mingħajr dritt, ikunu punibbli bħala reati kriminali, għall-inqas għal każijiet li mhumiex minuri.
Artikolu 5
Interferenza illegali fid-data
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li t-tħassir, il-ħsara, id-deterjorazzjoni,l-alterazzjoni, is-soppressjoni ta’ data tal-kompjuter fuq sistema tal-informazzjoni,jew ir-rendiment ta’tali data inaċċessibbli, intenzjonalment u mingħajr dritt, ikunu punibbli bħala reati kriminali meta jsiru, mill-anqas fejn il-każ mhuwiex minuri.
Artikolu 6
Interċettazzjoni illegali
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li l-interċettazzjoni, b’mezzi tekniċi, ta’ trasmissjonijiet mhux pubbliċi ta’ data tal-kompjuter għal, minn jew fis-sistema tal-informazzjoni, li jinkludu emissjonijiet elettromanjetiċi minn sistema tal-informazzjoni li ġġorr tali data tal-kompjuter, intenzjonalment u mingħajr dritt, hija punibbli bħala reat kriminali, għall-inqas għal każijiet li mhumiex minuri.
Artikolu 7
Għodod użati biex isiru reati
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li l-produzzjoni intenzjonali, bejgħ, akkwist għall-użu, importazzjoni, distribuzzjoni jew li b’xi mod ieħor wieħed jagħmel disponibbli, ta’ waħda mill-għodod li ġejjin, mingħajr dritt u bl-intenzjoni li tintuża biex isir kwalunkwe reat imsemmi fl-Artikoli 3 sa 6, huma punibbli bħala reati kriminali, għall-inqas għal każijiet li mhumiex minuri:
(a)
programm tal-kompjuter, imfassal jew adattat primarjament għall-iskop li jsir kwalunkwe reat msemmi fl-Artikoli 3 sa 6;
(b)
password tal-kompjuter, kodiċi għall-aċċess, jew data simili li biha wieħed ikun jista’ jaċċedi għal sistema tal-informazzjoni jew għal kwalunkwe parti minnha.
Artikolu 8
L-inċitament, l-għajnuna u assistenza u t-tentattiv
1. L-Istati Membri għandhom jiżguraw li l-inċitament, l-għajnuna u l-assistenza biex isir reat imsemmi fl-Artikoli 3 sa 7 jkunu punibbli bħala reat kriminali.
2. L-Istati Membri għandhom jiżguraw li t-tentattiv biex isir reat imsemmi fl-Artikoli 4 u 5 jkun punibbli bħala reat kriminali.
Artikolu 9
Pieni
1. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li r-reati msemmija fl-Artikoli 3 sa 8 jkunu punibbli b’pieni kriminali effettivi, proporzjonati u dissważivi.
2. L-Istati Membri għandhom jieħdu l-passi meħtieġa biex jiżguraw li r-reati msemmijin fl-Artikoli 3 sa 7 jkunu punibbli b’ terminu ta’ priġuneria massimu ta’ mill-inqas sentejn, għall-inqas għal każijiet li mhumiex minuri.
3. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li r-reati msemmija fl-Artikoli 4 u 5, meta mwettqa intenzjonalment, ikunu punibbli b’terminu ta’ priġuneria massimu ta’ mill-inqas tliet snin fejn ikunu ġew affettwati għadd sostanzjali ta’ sistemi tal-informazzjoni permezz tal-użu ta’ għodda, imsemmija fl-Artikolu 7, imfassla jew adattata primarjament għal dak l-iskop..
4. L-Istati Membri għandhom jieħdu l-passi meħtieġa biex jiżguraw li r-reati msemmijin fl-Artikoli 4 sa 5 jkunu punibbli b’ terminu ta’ priġuneria massimu ta’ mill-inqas ħames snin fejn:
(a)
isiru fil-qafas ta’ organizzazzjoni kriminali, kif definita fid-Deċiżjoni Qafas 2008/841/ĠAI, irrispettivament tal-livell ta’ pieni prevista, jew
(b)
jikkawżaw dannu serju, jew
(c)
isiru kontra sistema ta’ informazzjoni li tifforma parti minn infrastruttura kritika.
5. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li meta r-reati msemmijin fl-Artikoli 4 u 5 jsiru bl-użu skorrett tad-data personali ta’ persuna oħra, bl-għan li tinkiseb il-fiduċja ta’ parti terza, u b’hekk jiġi kkaġunat dannu għall-identità tas-sid leġittimu, dan jista’, skont id-dispożizzjonijiet rilevanti tal-liġi nazzjonali, jitqies bħala ċirkostanzi aggravanti, sakemm dawk iċ-ċirkostanzi ma jkunux diġà koperti minn reat ieħor, punibbli taħt il-liġi nazzjonali.
Artikolu 10
Responsabbiltà tal-persuni ġuridiċi
1. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li l-persuni ġuridiċi jistgħu jinżammu responsabbli għar-reati msemmija fl-Artikoli 3 sa 8, li jkunu saru għall-benefiċċju tagħhom minn kwalunkwe persuna, li taġixxi jew waħedha jew bħala parti mill-korp tal-persuna ġuridika, li għandha pożizzjoni ta’ tmexxija fi ħdan il-persuna ġuridika, fuq il-bażi ta’ waħda minn dawn li ġejjin:
(a)
is-setgħa ta’ rappreżentanza tal-persuna ġuridika;
(b)
awtorità li tieħu deċiżjonijiet f’isem il-persuna ġuridika;
(c)
awtorità li teżerċita kontroll fi ħdan il-persuna ġuridika.
2. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li persuni ġuridiċi jistgħu jinstabu responsabbli fejn in-nuqqas ta’ sorveljanza jew kontroll minn xi persuna msemmija fil-paragrafu 1 tkun ippermettiet, minn persuna taħt l-awtorità tagħha, xi wieħed mir-reati msemmija fl-Artikoli 3 sa 8 għall-benefiċċju ta’ dik il-persuna ġuridika.
3. Ir-responsabbiltà tal-persuni ġuridiċi taħt il-paragrafi 1 u 2 m’għandhiex teskludi l-proċedimenti kriminali kontra l-persuni fiżiċi li jagħmlu, jinċitaw, jew li jkunu kompliċi f’xi wieħed mir-reati msemmija fl-Artikoli 3 sa 8.
Artikolu 11
Sanzjonijiet kontra persuni ġuridiċi
1. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li persuna ġuridika miżmuma responsabbli taħt l-Artikolu 10(1) tkun punibbli b’sanzjonijiet effettivi, proporzjonati u dissważivi, li għandhom jinkludu multi kriminali jew mhux kriminali u li jistgħu jinkludu sanzjonijiet oħra, bħal:
(a)
l-esklużjoni mid-dritt għal benefiċċji pubbliċi jew għajnuna pubblika;
(b)
l-iskwalifika temporanja jew permanenti mill-prattika ta’ attivitajiet kummerċjali;
(c)
it-tqegħid taħt is-sorveljanza tal-qorti;
(d)
l-istralċ ġudizzjarju;
(e)
l-għeluq temporanju jew permanenti ta’ stabbilimenti li setgħu ntużaw biex isir ir-reat.
2. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li persuna ġuridika miżmuma responsabbli taħt l-Artikolu 10(2) tkun punibbli b’pieni effettivi, proporzjonati u dissważivi jew miżuri oħra.
Artikolu 12
Ġurisdizzjoni
1. L-Istati Membri għandhom jistabbilixxu l-ġurisdizzjoni tagħhom fir-rigward tar-reati msemmija fl-Artikoli 3 sa 8 fejn ir-reat ikun sar:
(a)
interament jew parzjalment ġewwa t-territorju tagħhom; jew
(b)
minn wieħed miċ-ċittadini tagħhom, għall-inqas f’każijiet fejn l-att huwa reat kriminali fil-post fejn ikun sar.
2. Meta jistabbilixxi l-ġurisdizzjoni f’konformità mal-punt (a) tal-paragrafu 1, Stat Membru għandu jiżgura li għandu ġurisdizzjoni fejn:
(a)
it-trasgressur jagħmel ir-reat meta jkun fiżikament preżenti fit-territorju tiegħu, kemm jekk ir-reat ikun kontra sistema tal-informazzjoni fit-territorju tiegħu kif ukoll jekk le; jew
(b)
ir-reat ikun kontra sistema tal-informazzjoni fit-territorju tiegħu, kemm jekk it-trasgressur jagħmel ir-reat meta jkun fiżikament preżenti fit-territorju tiegħu kif ukoll jekk le.
3. Stat Membru għandu jinforma lill-Kummissjoni fejn jiddeċiedi li jistabbilixxi ġurisdizzjoni ulterjuri dwar reat imsemmi fl-Artikoli 3 sa 8 li sar barra mit-territorju tiegħu, inkluż fejn:
(a)
ir-residenza abitwali tat-trasgressur tinsab fit-territorju tiegħu; jew
(b)
ir-reat ikun sar għall-benefiċċju ta’ persuna ġuridika stabbilita fit-territorju.
Artikolu 13
Skambju ta’ informazzjoni
1. Għall-finijiet tal-iskambju ta’ informazzjoni dwar ir-reati msemmija fl-Artikoli 3 sa 8, l-Istati Membri għandhom jiżguraw li jkollhom punt ta’ kuntatt nazzjonali operattiv u jagħmlu użu min-netwerk eżistenti ta’ punti ta’ kuntatt operattivi li jkunu disponibbli 24 siegħa kuljum u sebat ijiem fil-ġimgħa. L-Istati Membri għandhom jiżguraw ukoll li jkollhom proċeduri fis-seħħ sabiex meta jkun hemm talbiet urġenti għall-għajnuna, l-awtorita’ kompetenti tindika f’massimu ta’ tmien sigħat mir-riċezzjon, għall-inqas jekk hux ser ikun hemm tweġiba għat-talba, kif ukoll il-forma u ż-żmien stmat għal tali tweġiba.
2. L-Istati Membri għandhom jinfurmaw lill-Kummissjoni bil-punt ta’ kuntatt mill-paragrafu 1. Il-Kummissjoni għandha tibgħat dik l-informazzjoni lill-Istati Membri l-oħrajn u lill-aġenziji u korpi tal-Unjoni speċjalizzati kompetenti.
3. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li jkunu disponibbli kanali adegwati ta’ rappurtar sabiex ikun iffaċilitat ir-rappurtar tar-reati msemmijin fl-Artikoli 3 sa 6 lill-awtoritajiet nazzjonali kompetenti mingħajr dewmien bla bżonn.
Artikolu 14
Monitoraġġ u statistika
1. L-Istati Membri għandhom jiżguraw li tkun stabbilita sistema għar-reġistrazzjoni, il-produzzjoni u l-għoti ta’ data statistika dwar ir-reati msemmija fl-Artikoli 3 sa 7.
2. Id-data statistika msemmija fil-paragrafu 1 għandha, bħala minimu, tkopri data eżistenti dwar l-għadd ta’ reati msemmijin fl-Artikoli 3 sa 7 rreġistrati mill-Istati Membri, u l-għadd ta’ persuni, imħarrka u li nstabu ħatja fir-rigward tar-reati msemmijin fl-Artikoli 3 sa 7.
3. L-Istati Membri għandhom jibagħtu d-data miġbura taħt dan l-Artikolu lill-Kummissjoni. Il-Kummissjoni għandha tiżgura li tiġi ppubblikata reviżjoni konsolidata tar-rapporti statistiċi u li din tiġi ppreżentata lill-aġenziji u korpi tal-Unjoni speċjalizzati kompetenti.
Artikolu 15
Sostituzzjoni tad-Deċiżjoni Qafas 2005/222/ĠAI
Id-Deċizjoni Qafas 2005/222/ĠAI hija b’dan sostitwita fir-rigward tal-Istati Membri li jipparteċipaw fl-adozzjoni ta’ din id-Direttiva, mingħajr preġudizzju għall-obbligi tal-Istati Membri relatati mal-limitu ta’ żmien għat-traspożizzjoni tad-Deċizjoni Qafas fil-liġi nazzjonali.
Fir-rigward tal-Istati Membri li jipparteċipaw fl-adozzjoni ta’ din id-Direttiva, ir-referenzi għad-Deċiżjoni Qafas 2005/222/ĠAI għandhom jiġu interpretati bħala referenzi għal din id-Direttiva.
Artikolu 16
Traspożizzjoni
1. L-Istati Membri għandhom idaħħlu fis-seħħ il-liġijiet, ir-regolamenti u d-dispożizzjonijiet amministrattivi meħtieġa sabiex jikkonformaw ma’ din id-Direttiva sal-4 ta’ Settembru 2015.
2. L-Istati Membri għandhom jittrasmettu lill-Kummissjoni t-test tal-miżuri li jittrasponu fil-liġijiet nazzjonali tagħhom l-obbligi imposti fuqhom taħt din id-Direttiva.
3. Meta l-Istati Membri jadottaw dawk il-miżuri, dawn għandhom jinkludu referenza għal din id-Direttiva jew għandhom ikunu akkumpanjati b’tali referenza fl-okkażjoni tal-pubblikazzjoni uffiċjali tagħhom. Il-metodi kif issir tali referenza għandhom jigu stabbiliti mill-Istati Membri.
Artikolu 17
Rappurtar
Il-Kummisjoni għandha, sal-4 ta’ Settembru 2017, tippreżenta rapport lill-Parlament Ewropew u lill-Kunsill, li jivvaluta kemm l-Istati Membri ħadu l-miżuri meħtieġa sabiex jikkonformaw ma’ din id-Direttiva, akkumpanjat, jekk meħtieġ, bi proposti leġislattivi. Il-Kummissjoni għandha wkoll tqis l-iżviluppi tekniċi u legali fil-qasam taċ-ċiberkriminalità, partikolarment fir-rigward tal-kamp ta’ applikazzjoni ta’ din id-Direttiva.
Artikolu 18
Dħul fis-seħħ
Din id-Direttiva għandha tidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tagħha f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea.
Artikolu 19
Indirizzati
Din id-Direttiva hija indirizzata lill-Istati Membri f’konformità mat-Trattati.
Magħmul fi Brussell, it-12 ta’ Awwissu 2013.