EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV 2013/40/EU
af 12. august 2013
om angreb på informationssystemer og om erstatning af Rådets rammeafgørelse 2005/222/RIA
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 83, stk. 1,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg (1),
efter den almindelige lovgivningsprocedure (2), og
ud fra følgende betragtninger:
(1)
Dette direktivs formål er at tilnærme medlemsstaternes strafferet til hinanden med hensyn til angreb på informationssystemer ved at fastsætte minimumsregler for definitionen af strafbare handlinger og de relevante sanktioner og at forbedre samarbejdet mellem de kompetente myndigheder, herunder politiet og andre specialiserede retshåndhævende myndigheder i medlemsstaterne samt kompetente specialiserede EU-agenturer og -organer, som f.eks. Eurojust, Europol og dets europæiske center for bekæmpelse af it-kriminalitet og Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA).
(2)
Informationssystemer er et centralt element i det politiske, sociale og økonomiske samspil i Unionen. Samfundet er dybt afhængigt af sådanne systemer og bliver det i stadig større udstrækning. Disse systemers funktionsdygtighed og sikkerhed i Unionen er en forudsætning for udviklingen af det indre marked og af en konkurrencedygtig og innovativ økonomi. Der bør sikres et passende beskyttelsesniveau for informationssystemer som led i en effektiv overordnet ramme for forebyggende foranstaltninger, der ledsager de strafferetlige foranstaltninger over for it-kriminalitet.
(3)
Angreb på informationssystemer, og især angreb som led i organiseret kriminalitet, er en voksende trussel såvel i Unionen som globalt, og der er i stigende grad bekymring for mulige terrorangreb eller politisk motiverede angreb på informationssystemer, der indgår i medlemsstaternes og Unionens kritiske infrastruktur. Dette udgør en trussel mod etableringen af et sikrere informationssamfund og et område med frihed, sikkerhed og retfærdighed og kræver derfor en reaktion på EU-niveau samt bedre samarbejde og koordination på internationalt niveau.
(4)
Der findes adskillige kritiske infrastrukturer i Unionen, hvis afbrydelse eller ødelæggelse ville få betydelige konsekvenser på tværs af grænserne. Det er blevet klart ud fra behovet for at øge Unionens evne til at beskytte kritisk infrastruktur, at foranstaltningerne mod it-angreb bør suppleres af strenge strafferetlige sanktioner, der afspejler disse angrebs alvorlige karakter. Kritisk infrastruktur kan forstås som aktiver, systemer eller dele deraf, der befinder sig i medlemsstaterne, og som er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner, menneskers sundhed, sikkerhed og økonomiske eller sociale velfærd, såsom kraftværker, transportnetværk og statslige netværk, og hvis afbrydelse eller ødelæggelse i væsentlig grad ville påvirke en medlemsstat som følge af, at disse funktioner ikke kan opretholdes.
(5)
Der er tegn på en tendens til stadig farligere og gentagne omfattende angreb på informationssystemer, der ofte kan være kritiske for medlemsstaterne eller for enkelte funktioner i den offentlige eller private sektor. Denne tendens falder sammen med udviklingen af stadigt mere avancerede metoder, f.eks. oprettelsen og anvendelsen af såkaldte botnet, der indebærer flere stadier af en strafbar handling, hvor hvert stadium i sig selv kan udgøre en alvorlig risiko for samfundets interesser. Dette direktiv sigter bl.a. mod at indføre strafferetlige sanktioner for oprettelse af botnet, dvs. den handling, som går ud på gennem målrettede it-angreb, at etablere fjernstyring af et betydeligt antal computere ved at inficere dem med skadelig software. Efter oprettelsen kan det inficerede netværk af computere, der udgør botnettet, aktiveres uden computerbrugerens vidende for at foretage et omfattende it-angreb, der som regel har kapacitet til at volde alvorlig skade, som omhandlet i dette direktiv. Medlemsstaterne bør kunne fastsætte, hvad der i henhold til deres nationale lovgivning og praksis udgør alvorlig skade, så som afbrydelse af systemtjenester med væsentlig betydning for offentligheden eller forårsagelse af store økonomiske omkostninger eller tab af personoplysninger eller følsomme oplysninger.
(6)
Omfattende it-angreb kan forvolde alvorlig økonomisk skade, såvel gennem afbrydelsen af informationssystemer og kommunikationsstrømme som gennem tabet eller forvanskningen af kommercielt vigtig fortrolig information eller andre data. Der bør lægges særlig vægt på at gøre innovative små og mellemstore virksomheder bevidste om trusler i forbindelse med sådanne angreb og deres sårbarhed overfor sådanne angreb som følge af deres øgede afhængighed af velfungerende og tilgængelige informationssystemer og ofte begrænsede midler til informationssikkerhed.
(7)
Fælles definitioner på dette område er vigtige for at sikre en ensartet tilgang i medlemsstaterne til anvendelsen af dette direktiv.
(8)
Der er behov for at nå frem til en fælles tilgang til gerningsindholdet af strafbare handlinger ved at indføre fælles definitioner af strafbare handlinger med hensyn til ulovlig adgang til informationssystemer, ulovligt indgreb i informationssystemer, ulovligt indgreb i data og ulovlig opfangning.
(9)
Opfangning omfatter, men er ikke nødvendigvis begrænset til, aflytning, overvågning eller kontrol af kommunikationens indhold og fremskaffelse af dataindholdet enten direkte via adgang til og brug af informationssystemerne, eller indirekte via anvendelse af elektronisk aflytning eller aflytningsudstyr ved hjælp af tekniske hjælpemidler.
(10)
Medlemsstaterne bør fastsætte sanktioner for angreb på informationssystemer. Disse sanktioner bør være effektive, stå i et rimeligt forhold til de strafbare handlingers grovhed og have afskrækkende virkning og bør omfatte fængsels- og/eller bødestraf.
(11)
Dette direktiv fastsætter strafferetlige sanktioner i det mindste i grovere tilfælde. Medlemsstaterne kan beslutte, hvilke tilfælde der ikke er grove i henhold til deres nationale lovgivning og praksis. Et tilfælde kan betragtes som mindre groft, f.eks. når den skade og/eller den fare for offentlige eller private interesser, der forårsages af den strafbare handling, såsom på et computersystems eller computerdatas integritet eller på en persons integritet, rettigheder og andre interesser, er ubetydelig eller af en sådan karakter, at der ikke er behov for at pålægge en strafferetlig sanktion inden for straffelovgivningens rammer eller pålægge strafferetligt ansvar.
(12)
Identifikation og indberetning af de trusler og risici, som it-angreb indebærer, og informationssystemers dermed forbundne sårbarhed er et vigtigt element i en effektiv forebyggelse af og reaktion på it-angreb og for forbedringen af informationssystemers sikkerhed. Incitamenter til at indberette sikkerhedsmangler kunne bidrage hertil. Medlemsstaterne bør bestræbe sig på at skabe muligheder for lovligt at afsløre sikkerhedsmangler og indberette dem.
(13)
Det er hensigtsmæssigt at fastsætte strengere sanktioner, når det er en kriminel organisation som defineret i Rådets rammeafgørelse 2008/841/RIA af 24. oktober 2008 om bekæmpelse af organiseret kriminalitet (3), der har begået angrebet på informationssystemet, når it-angrebet er meget omfattende og dermed berører et betydeligt antal informationssystemer, herunder når angrebet har til formål at oprette et botnet, eller når et it-angreb volder alvorlig skade, herunder når det udføres ved hjælp af et botnet. Det er også hensigtsmæssigt at fastsætte strengere sanktioner, når der foretages et angreb på kritisk infrastruktur i medlemsstaterne eller Unionen.
(14)
Indførelse af effektive foranstaltninger til bekæmpelse af identitetstyveri og andre identitetsrelaterede strafbare handlinger udgør et andet vigtigt element i en integreret strategi mod it-kriminalitet. Behov for EU-tiltag over for denne type kriminel adfærd kunne også overvejes i forbindelse med vurderingen af nødvendigheden af et omfattende horisontalt EU-instrument.
(15)
Rådet anførte i sine konklusioner fra samlingen den 27.-28. november 2008, at der burde udvikles en ny strategi sammen med medlemsstaterne og Kommissionen, hvori der skulle tages hensyn til indholdet af Europarådets konvention om it-kriminalitet af 2001. Konventionen udgør den retlige referenceramme for bekæmpelse af it-kriminalitet, herunder angreb på informationssystemer. Dette direktiv bygger på konventionen. Det bør betragtes som en prioritet, at medlemsstaterne hurtigst muligt fuldfører konventionens ratifikationsproces.
(16)
Under hensyn til de forskellige måder, hvorpå angreb kan foretages, og på grund af den hurtige udvikling i hardware og software, nævner dette direktiv værktøjer, som kan bruges til at begå de strafbare handlinger, der er opført i dette direktiv. Sådanne værktøjer kunne omfatte skadelig software, herunder værktøjer, der gør det muligt at oprette botnet, som bruges til at begå it-angreb. Selv om et sådant værktøj er egnet eller særligt egnet til at begå en af de i dette direktiv omhandlede strafbare handlinger, kan det være fremstillet til et lovligt formål. Drevet af behovet for at undgå kriminalisering i tilfælde, hvor sådanne værktøjer fremstilles og markedsføres til lovlige formål, såsom at teste pålideligheden af informationsteknologiprodukter eller informationssystemers sikkerhed, skal der foruden kravet om et generelt forsæt også foreligge et specifikt forsæt til, at anvende disse værktøjer til at begå en eller flere af de strafbare handlinger, der er fastlagt i dette direktiv.
(17)
Dette direktiv pålægger ikke strafferetligt ansvar, når de objektive kriterier for de strafbare handlinger, der er fastlagt i dette direktiv, er opfyldt, men handlingerne begås uden forsæt til at begå en strafbar handling, f.eks. når en person ikke ved, at der ikke har været givet tilladelse til adgang eller når en tilladt intervention har til formål at afprøve eller sikre informationssystemer, f.eks. når en virksomhed eller en leverandør udpeger en person til at afprøve styrken af sine sikkerhedssystemer. I forbindelse med dette direktiv bør kontraktlige forpligtelser eller aftaler om at begrænse adgang til informationssystemer ved hjælp af en brugerpolitik eller brugerbetingelser samt arbejdskonflikter vedrørende adgangen til og anvendelse af en arbejdsgivers informationssystemer til private formål ikke medføre et strafferetligt ansvar, når det under sådanne omstændigheder antages, at der ikke var givet tilladelse til adgang og dette udgør det eneste grundlag for straffesagen. Dette direktiv berører ikke retten til adgang til oplysninger, som fastsat i den nationale ret og EU-retten, men må samtidig heller ikke tjene som en begrundelse for ulovlig eller vilkårlig adgang til oplysninger.
(18)
Forskellige omstændigheder kan lette it-angreb, som f.eks. når gerningsmanden inden for rammerne af sit arbejde har adgang til sikkerhedssystemer, der indgår i de berørte informationssystemer. Der bør i den nationale ret tages passende hensyn til sådanne omstændigheder i forbindelse med en straffesag.
(19)
Medlemsstaterne bør i deres nationale ret fastsætte skærpende omstændigheder i overensstemmelse med de regler, som deres retssystem fastlægger med hensyn til skærpende omstændigheder. De bør sikre, at dommerne kan tage hensyn til disse skærpende omstændigheder, når de dømmer lovovertrædere. Det påhviler dommeren at vurdere disse omstændigheder sammen med de andre faktiske forhold i den pågældende sag.
(20)
Dette direktiv regulerer ikke betingelser for udøvelse af straffemyndighed med hensyn til nogen af de i direktivet omhandlede strafbare handlinger, herunder en anmeldelse foretaget af ofret på gerningsstedet, en angivelse fra den stat, hvor den strafbare handling blev begået, eller en manglende retsforfølgelse af gerningsmanden på gerningsstedet.
(21)
Inden for rammerne af dette direktiv er stater og offentlige organer fortsat fuldt ud forpligtet til at sikre respekten for menneskerettighederne og de grundlæggende frihedsrettigheder i overensstemmelse med gældende internationale forpligtelser.
(22)
Dette direktiv øger vigtigheden af netværk, såsom G8 eller Europarådets netværk af kontaktpunkter, der står til disposition døgnet rundt på alle ugens dage. Disse kontaktpunkter bør kunne yde effektiv bistand og derved f.eks. lette udvekslingen af tilgængelige relevante oplysninger og adgangen til teknisk rådgivning eller tilvejebringelsen af juridiske oplysninger med henblik på efterforskning eller procedurer vedrørende strafbare handlinger i forbindelse med informationssystemer og relaterede data, der involverer den anmodende medlemsstat. For at sikre netværkenes funktionsdygtighed bør hvert kontaktpunkt have kapacitet til hurtigt at kommunikere med en anden medlemsstats kontaktpunkt med støtte bl.a. fra uddannet og udrustet personale. På grund af den hastighed, hvormed der kan foretages omfattende it-angreb, bør medlemsstaterne være i stand til straks at reagere på hastende anmodninger fra netværket af kontaktpunkter. I sådanne tilfælde kan det være formålstjenligt at lade anmodningen om oplysninger ledsage af telefonisk kontakt for at sikre, at anmodningen behandles hurtigt af den anmodede medlemsstat, og at der gives en tilbagemelding inden for otte timer.
(23)
Samarbejde mellem offentlige myndigheder på den ene side og den private sektor og civilsamfundet på den anden side er af stor betydning for forebyggelsen og bekæmpelsen af angreb på informationssystemer. Det er nødvendigt at fremme og forbedre samarbejdet mellem tjenesteleverandører, producenter, retshåndhævende myndigheder og retslige myndigheder, samtidig med at retsstatsprincippet respekteres fuldt ud. Dette samarbejde kan omfatte tjenesteudbyderes bistand i forbindelse med bevarelse af eventuelle beviser, tilvejebringelse af elementer, som kan bruges til at identificere gerningsmænd og, som en sidste udvej, hel eller delvis lukning i overensstemmelse med national ret og praksis, af informationssystemer og funktioner, der er blevet inficerede eller anvendt til ulovlige formål. Medlemsstaterne bør også overveje at etablere samarbejds- og partnerskabsnetværk med tjenesteleverandører og producenter til udveksling af oplysninger om strafbare handlinger, der er omfattet af dette direktivs anvendelsesområde.
(24)
Der er et behov for at indsamle sammenlignelige data om de strafbare handlinger, der er fastsat i dette direktiv. Relevante data bør stilles til rådighed for de kompetente specialiserede EU-agenturer og -organer såsom Europol og ENISA i overensstemmelse med deres opgaver og informationsbehov for at få et mere fuldstændigt billede af problemet med it-kriminalitet og net- og informationssikkerhed på EU-plan og dermed bidrage til at finde mere effektive løsninger på problemet. Medlemsstaterne bør fremsende oplysninger om gerningsmændenes modus operandi til Europol og dets europæiske center for bekæmpelse af it-kriminalitet med henblik på at foretage trusselsvurderinger og strategiske analyser af it-kriminalitet i overensstemmelse med Rådets afgørelse 2009/371/RIA af 6. april 2009 om oprettelse af Den Europæiske Politienhed (Europol) (4). Fremsendelse af oplysninger kan fremme en bedre forståelse af aktuelle og fremtidige trusler og derved bidrage til mere relevant og målrettet beslutningstagning om bekæmpelse og forebyggelse af angreb på informationssystemer.
(25)
Kommissionen bør forelægge en rapport om anvendelsen af dette direktiv og fremsætte nødvendige forslag til retsakter som kunne føre til en udvidelse af dets anvendelsesområde under hensyntagen til udviklingen inden for it-kriminalitet. Sådanne udviklinger kan omfatte teknologiske fremskridt, f.eks. sådanne som muliggør en mere effektiv håndhævelse med hensyn til angreb på informationssystemer, letter forebyggelsen af angreb eller mindsker virkningerne heraf. Med henblik herpå bør Kommissionen tage hensyn til tilgængelige analyser og rapporter udarbejdet af relevante aktører, navnlig Europol og ENISA.
(26)
For at bekæmpe it-kriminalitet effektivt er det nødvendigt at øge informationssystemernes modstandsdygtighed ved at træffe relevante foranstaltninger til at beskytte dem mere effektivt mod it-angreb. Medlemsstaterne bør træffe de nødvendige foranstaltninger til at beskytte deres kritiske infrastruktur mod it-angreb og bør betragte beskyttelsen af deres informationssystemer og de relaterede data som et led heri. At sikre at juridiske personer sørger for et passende niveau af beskyttelse og sikkerhed for informationssystemer, f.eks. i forbindelse med adgang til offentligt tilgængelige elektroniske kommunikationstjenester i overensstemmelse med eksisterende EU-lovgivning om privatlivets fred og elektronisk kommunikation og databeskyttelse, er et centralt led i en omfattende tilgang til effektiv bekæmpelse af it-kriminalitet. Der bør leveres et passende niveau af beskyttelse mod rimeligt identificerbare trusler og sårbarheder i overensstemmelse med den nyeste udvikling i specifikke sektorer og specifikke databehandlingssituationer. Omkostninger og byrder i forbindelse med denne beskyttelse bør stå i forhold til den eventuelle skade, som et it-angreb ville påføre de berørte personer. Medlemsstaterne tilskyndes til i national ret at træffe relevante foranstaltninger om ansvarspådragelse i tilfælde, hvor en juridisk person åbenlyst har forsømt at tilvejebringe et passende beskyttelsesniveau mod it-angreb.
(27)
Betydelige mangler i og forskelle mellem medlemsstaternes lovgivning og strafferetlige procedurer om angreb på informationssystemer kan hæmme bekæmpelsen af organiseret kriminalitet og terrorisme og kan vanskeliggøre et effektivt samarbejde mellem politi og retsvæsen på dette område. Den omstændighed, at moderne informationssystemer går på tværs af landene og landegrænserne, betyder, at angreb på sådanne systemer har en grænseoverskridende dimension, hvilket understreger det presserende behov for yderligere initiativer med henblik på en indbyrdes tilnærmelse af strafferetten på området. Koordineringen af retsforfølgningen i forbindelse med tilfælde af angreb på informationssystemer bør desuden lettes ved passende gennemførelse og anvendelse af Rådets rammeafgørelse 2009/948/RIA af 30. november 2009 om forebyggelse og bilæggelse af konflikter om udøvelse af jurisdiktion i straffesager (5). Medlemsstaterne bør i samarbejde med Unionen ligeledes bestræbe sig på at forbedre det internationale samarbejde om informationssystemers, computernetværks og edb-datas sikkerhed. I alle internationale aftaler, der omhandler dataudveksling, bør der tages behørigt hensyn til dataoverførsels- og datalagringssikkerhed.
(28)
Forbedret samarbejde mellem de kompetente retshåndhævende myndigheder og retslige myndigheder i Unionen er afgørende for en effektiv bekæmpelse af it-kriminalitet. I den forbindelse bør der tilskyndes til en øget indsats for passende uddannelse af de relevante myndigheder for at øge forståelsen af it-kriminalitet og dens følger og fremme samarbejde og udveksling af bedste praksis, f.eks. via de kompetente specialiserede EU-agenturer og -organer. Denne uddannelse bør bl.a. sigte mod at øge opmærksomheden om de forskellige nationale retssystemer, eventuelle juridiske og tekniske udfordringer ved strafferetlige efterforskninger og fordelingen af beføjelser mellem de relevante nationale myndigheder.
(29)
Dette direktiv respekter menneskerettighederne og de grundlæggende frihedsrettigheder og overholder de principper, som især er anerkendt i Den Europæiske Unions charter om grundlæggende rettigheder og den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, herunder beskyttelsen af personoplysninger, retten til privatlivets fred, ytrings- og informationsfrihed, retten til en retfærdig rettergang, uskyldsformodningen og retten til et forsvar samt legalitetsprincippet og princippet om proportionalitet mellem strafbar handling og straf. Dette direktiv tilsigter især at sikre, at disse rettigheder og principper respekteres fuldt ud, og skal gennemføres i overensstemmelse hermed.
(30)
Beskyttelsen af personoplysninger er, i henhold til artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde og artikel 8 i chartret om grundlæggede rettigheder, en grundlæggende rettighed. Derfor bør enhver behandling af personoplysninger i forbindelse med gennemførelsen af dette direktiv fuldt ud overholde relevant EU-ret om databeskyttelse.
(31)
I medfør af artikel 3 i protokollen om Det Forenede Kongeriges og Irlands stilling for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, har disse medlemsstater meddelt, at de ønsker at deltage i vedtagelsen og anvendelsen af dette direktiv.
(32)
I medfør af artikel 1 og 2 i protokollen om Danmarks stilling, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, deltager Danmark ikke i vedtagelsen af dette direktiv, som ikke er bindende for og ikke finder anvendelse i Danmark.
(33)
Målene for dette direktiv, nemlig at underkaste angreb på informationssystemer i alle medlemsstaterne strafferetlige sanktioner, der er effektive, står i et rimeligt forhold til de strafbare handlingers grovhed og har afskrækkende virkning, og at forbedre og fremme samarbejdet mellem retslige og andre kompetente myndigheder, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne og kan derfor på grund af deres omfang eller virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål.
(34)
Dette direktiv sigter mod at ændre og udvide bestemmelserne i Rådets rammeafgørelse 2005/222/RIA af 24. februar 2005 om angreb på informationssystemer (6). Eftersom de ændringer, der skal foretages, er væsentlige, både hvad angår antal og karakter, bør rammeafgørelse 2005/222/RIA af hensyn til klarheden erstattes i sin helhed i forhold til de medlemsstater, der deltager i vedtagelsen af dette direktiv -
VEDTAGET DETTE DIREKTIV:
Artikel 1
Genstand
Dette direktiv fastsætter minimumsregler vedrørende definitionen af strafbare handlinger og sanktioner i forbindelse med angreb på informationssystemer. Det sigter endvidere mod at lette forebyggelsen af sådanne strafbare handlinger og forbedre samarbejdet mellem retslige og andre kompetente myndigheder.
Artikel 2
Definitioner
I dette direktiv forstås ved:
a) »informationssystem«: enhed eller gruppe af indbyrdes forbundne eller beslægtede enheder, hvoraf en eller flere ved hjælp af et program, som automatisk behandler edb-data, samt edb-data, som lagres, behandles, fremfindes eller overføres af denne enhed eller gruppe af enheder i forbindelse med dens eller deres drift, brug, beskyttelse og vedligeholdelse
b) »edb-data«: enhver form for gengivelse af fakta, informationer eller begreber i et format, der egner sig til behandling i et informationssystem, herunder et program, som kan anvendes til at få et informationssystem til at udføre en funktion
c) »juridisk person«: en enhed, der har status som juridisk person i henhold til den lovgivning, der finder anvendelse, med undtagelse af stater eller offentlige organer, der udøver deres statsmyndighed, eller offentlige internationale organisationer
d) »uretmæssig«: adfærd som omhandlet i dette direktiv, herunder adgang, indgreb eller opfangning, som ejeren eller en anden rettighedsindehaver af systemet eller en del af det ikke har givet tilladelse til, eller som ikke er tilladt i henhold til national lovgivning.
Artikel 3
Ulovlig adgang til informationssystemer
Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at det er strafbart forsætligt at skaffe sig uretmæssig adgang til et informationssystem eller en del heraf, når den strafbare handling er begået ved brud på en sikkerhedsforanstaltning, i det mindste i grovere tilfælde.
Artikel 4
Ulovligt indgreb i informationssystemer
Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at det er strafbart forsætligt og uretmæssigt at forårsage en alvorlig hindring eller afbrydelse af et informationssystems drift ved at indlæse edb-data, overføre, beskadige, slette, forvanske, ændre eller tilbageholde sådanne data eller at gøre sådanne data utilgængelige, i det mindste i grovere tilfælde.
Artikel 5
Ulovligt indgreb i data
Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at det er strafbart forsætligt og uretmæssigt at slette, beskadige, forvanske, ændre eller tilbageholde edb-data i et informationssystem eller at gøre sådanne data utilgængelige, i det mindste i grovere tilfælde.
Artikel 6
Ulovlig opfangning
Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at det er strafbart forsætligt og uretmæssigt ved hjælp af tekniske hjælpemidler at opfange ikke-offentlige overførsler af edb-data til, fra eller inden for et informationssystem, herunder elektromagnetisk udsending fra et informationssystem, der indeholder disse edb-data, i det mindste i grovere tilfælde.
Artikel 7
Værktøjer, der anvendes til at begå strafbare handlinger
Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at det er strafbart bevidst at fremstille, sælge, erhverve med henblik på brug, importere, distribuere eller på anden måde stille et af følgende værktøjer til rådighed uretmæssigt og med forsæt til, at det anvendes til at begå en af de strafbare handlinger i artikel 3-6, i det mindste i grovere tilfælde:
a)
et edb-program, der hovedsagelig er beregnet eller tilpasset til at begå en af de strafbare handlinger i artikel 3-6
b)
edb-password, adgangskoder eller tilsvarende data, hvorved der kan opnås adgang til et helt informationssystem eller en del heraf.
Artikel 8
Anstiftelse, medvirken og tilskyndelse samt forsøg
1. Medlemsstaterne sikrer, at det er strafbart at anstifte eller medvirke og tilskynde til at begå en strafbar handling som omhandlet i artikel 3-7.
2. Medlemsstaterne sikrer, at det er strafbart at forsøge at begå en strafbar handling som omhandlet i artikel 4 og 5.
Artikel 9
Sanktioner
1. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at de strafbare handlinger i artikel 3-8 kan straffes med strafferetlige sanktioner, der er effektive, står i et rimeligt forhold til den strafbare handlings grovhed og har afskrækkende virkning.
2. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at de strafbare handlinger i artikel 3-7 kan straffes med fængsel med en maksimumstraf på mindst to år, i det mindste i grovere tilfælde.
3. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at de strafbare handlinger i artikel 4 og 5, kan straffes med fængsel med en maksimumsstraf på mindst tre år, når de begås forsætligt, og når et betydeligt antal informationssystemer er blevet berørt gennem anvendelsen af et af værktøjerne i artikel 7, der hovedsagelig er udarbejdet eller tilpasset til dette formål.
4. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at de strafbare handlinger i artikel 4 og 5 kan straffes med fængsel med en maksimumsstraf på mindst fem år, når:
a)
de er begået inden for rammerne af en kriminel organisation som defineret i rammeafgørelse 2008/841/RIA uanset den deri fastsatte straf
b)
de forvolder alvorlig skade, eller
c)
de er begået mod et kritisk infrastruktur-informationssystem.
5. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at når de strafbare handlinger i artikel 4 og 5 begås ved at misbruge en anden persons personoplysninger med det formål at vinde tredjemands tillid og derved skade den, som identiteten egentlig tilhører, kan det, i overensstemmelse med national ret, betragtes som skærpende omstændigheder, medmindre disse omstændigheder allerede er omfattet af en anden handling, der er strafbar i henhold til national ret.
Artikel 10
Juridiske personers ansvar
1. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at juridiske personer kan drages til ansvar for de i artikel 3-8 omhandlede strafbare handlinger, som for at skaffe dem vinding begås af en person, der handler enten individuelt eller som medlem af et organ under den juridiske person, og som har en ledende stilling inden for den juridiske person baseret på et af følgende forhold:
a)
en beføjelse til at repræsentere den juridiske person
b)
en bemyndigelse til at træffe beslutninger på den juridiske persons vegne
c)
en bemyndigelse til at udøve intern kontrol inden for den juridiske person.
2. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at den juridiske person kan drages til ansvar, hvis manglende tilsyn eller kontrol fra en af de i stk. 1 omhandlede personers side har gjort det muligt for en person, der er underlagt den juridiske persons myndighed, at begå nogen af de i artikel 3-8 omhandlede strafbare handlinger med henblik på at skaffe den juridiske person vinding.
3. Juridiske personers ansvar i henhold til stk. 1 og 2 udelukker ikke strafferetlig retsforfølgning af fysiske personer, der begår eller anstifter eller medvirker til nogen af de i artikel 3-8 omhandlede strafbare handlinger.
Artikel 11
Sanktioner over for juridiske personer
1. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at juridiske personer, der kendes ansvarlige i henhold til artikel 10, stk. 1, kan straffes med sanktioner, der er effektive, står i et rimeligt forhold til handlingens grovhed og har afskrækkende virkning, som omfatter strafferetlige og andre bøder og som kan omfatte andre sanktioner såsom:
a)
udelukkelse fra offentlige ydelser eller tilskud
b)
midlertidigt eller varigt forbud mod at udøve erhvervsvirksomhed
c)
anbringelse under retsligt tilsyn
d)
tvangsopløsning efter retskendelse
e)
midlertidig eller permanent lukning af forretningssteder, der er blevet brugt til at begå den strafbare handling.
2. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at juridiske personer, der kendes ansvarlige i henhold til artikel 10, stk. 2, kan straffes med sanktioner eller andre foranstaltninger, der er effektive, står i et rimeligt forhold til handlingens grovhed og har afskrækkende virkning.
Artikel 12
Straffemyndighed
1. Hver medlemsstat fastlægger sin straffemyndighed med hensyn til de i artikel 3-8 omhandlede strafbare handlinger, når den strafbare handling er begået:
a)
helt eller delvis på dens område, eller
b)
af en af dens statsborgere, i det mindste i de tilfælde, hvor handlingen er en strafbar handling dér, hvor den blev begået.
2. Når en medlemsstat fastlægger sin straffemyndighed i overensstemmelse med stk. 1, litra a), sikrer den sig, at dens straffemyndighed omfatter tilfælde, hvor:
a)
gerningsmanden begår den strafbare handling, mens vedkommende fysisk befinder sig på dens område, uanset om den strafbare handling er rettet mod et informationssystem på dens område, eller
b)
den strafbare handling begås mod et informationssystem på dens område, uanset om gerningsmanden på gerningstidspunktet fysisk befinder sig på dens område.
3. En medlemsstat underretter Kommissionen, hvis den beslutter at fastlægge straffemyndighed med hensyn til en af de i artikel 3-8 omhandlede strafbare handlinger, som er begået uden for dens område, herunder når:
a)
gerningsmanden har sit sædvanlige opholdssted på dens område, eller
b)
den strafbare handling er begået til fordel for en juridisk person, som har sit hjemsted på dens område.
Artikel 13
Udveksling af oplysninger
1. Med henblik på udveksling af oplysninger om de i artikel 3-8 omhandlede strafbare handlinger, sikrer medlemsstaterne, at de har et funktionsdygtigt nationalt kontaktpunkt, og at de gør brug af det bestående netværk af kontaktpunkter, der står til disposition døgnet rundt på alle ugens dage. Medlemsstaterne sikrer endvidere, at der findes procedurer, så den kompetente myndighed i forbindelse med hasteanmodninger om hjælp inden for otte timer fra modtagelsen kan angive som minimum, om anmodningen vil blive imødekommet, samt på hvilken måde og på hvilket tidspunkt dette forventes at ske.
2. Medlemsstaterne underretter Kommissionen om deres udpegede kontaktpunkt, som omhandlet i stk. 1. Kommissionen videresender oplysningerne til de øvrige medlemsstater og kompetente specialiserede EU-agenturer og -organer.
3. Medlemsstaterne træffer de nødvendige foranstaltninger til at sikre, at der stilles passende anmeldelseskanaler til rådighed med henblik på at lette anmeldelse uden unødige forsinkelser til de kompetente nationale myndigheder om de i artikel 3-6 omhandlede strafbare handlinger.
Artikel 14
Overvågning og statistik
1. Medlemsstaterne sikrer, at der findes et system til registrering, fremstilling og fremlæggelse af statistiske oplysninger om de i artikel 3-7 omhandlede strafbare handlinger.
2. De statistiske oplysninger i stk. 1 skal mindst omfatte de eksisterende oplysninger om det antal strafbare handlinger, der henvises til i artikel 3-7, som er registreret i medlemsstaterne, og det antal personer, der er blevet retsforfulgt og dømt for de i artikel 3-7 omhandlede strafbare handlinger.
3. Medlemsstaterne fremsender de oplysninger, der er indsamlet i henhold til denne artikel, til Kommissionen. Kommissionen sikrer, at der offentliggøres en konsolideret oversigt over disse statistiske rapporter, og at denne fremsendes til de kompetente specialiserede EU-agenturer og -organer.
Artikel 15
Erstatning af rammeafgørelse 2005/222/RIA
Rammeafgørelse 2005/222/RIA erstattes hermed i forhold til de medlemsstater, der deltager i vedtagelsen af dette direktiv, uden at det berører medlemsstaternes forpligtelser for så vidt angår fristerne for gennemførelse af rammeafgørelsen i national ret.
I forhold til de medlemsstater, der deltager i vedtagelsen af dette direktiv, gælder henvisninger til rammeafgørelse 2005/222/RIA som henvisninger til dette direktiv.
Artikel 16
Gennemførelse
1. Medlemsstaterne sætter de nødvendige love og administrative bestemmelser i kraft for at efterkomme dette direktiv senest 4. september 2015.
2. Medlemsstaterne meddeler Kommissionen teksten til de love og bestemmelser, som gennemfører de forpligtelser, der pålægges dem i medfør af dette direktiv, i deres nationale lovgivning.
3. Disse love og bestemmelser skal ved vedtagelsen indeholde en henvisning til dette direktiv eller skal ved offentliggørelsen ledsages af en sådan henvisning. De nærmere regler for henvisningen fastsættes af medlemsstaterne.
Artikel 17
Rapportering
Kommissionen forelægger senest den 4. september 2017 en rapport for Europa-Parlamentet og Rådet med en vurdering af, i hvilket omfang medlemsstaterne har truffet de nødvendige foranstaltninger til at efterkomme dette direktiv, om nødvendigt ledsaget af lovgivningsmæssige forslag. Kommissionen tager også hensyn til den tekniske og lovgivningsmæssige udvikling inden for it-kriminalitet, navnlig med hensyn til dette direktivs anvendelsesområde.
Artikel 18
Ikrafttræden
Dette direktiv træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
Artikel 19
Adressater
Dette direktiv er rettet til medlemsstaterne i overensstemmelse med traktaterne.
Udfærdiget i Bruxelles, den 12. august 2013.
DIRETTIVA 2013/40/UE DEL PARLAMENTO EUROPEO E DEL CONSIGLIO
del 12 agosto 2013
relativa agli attacchi contro i sistemi di informazione e che sostituisce la decisione quadro 2005/222/GAI del Consiglio
IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 83, paragrafo 1,
vista la proposta della Commissione europea,
previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,
visto il parere del Comitato economico e sociale europeo (1),
deliberando secondo la procedura legislativa ordinaria (2),
considerando quanto segue:
(1)
Gli obiettivi della presente direttiva sono ravvicinare il diritto penale degli Stati membri nel settore degli attacchi contro i sistemi di informazione, stabilendo norme minime relative alla definizione dei reati e delle sanzioni rilevanti, e migliorare la cooperazione fra le autorità competenti, compresi la polizia e gli altri servizi specializzati degli Stati membri incaricati dell’applicazione della legge, nonché le competenti agenzie e gli organismi specializzati dell’Unione, come Eurojust, Europol e il suo Centro europeo per la criminalità informatica, e l’Agenzia europea per la sicurezza delle reti e dell’informazione (ENISA).
(2)
I sistemi di informazione sono un elemento chiave dell’interazione politica, sociale ed economica nell’Unione. La società è fortemente e sempre più dipendente da tali sistemi. Il buon funzionamento e la sicurezza di questi sistemi nell’Unione sono fondamentali per lo sviluppo del mercato interno e di un’economia competitiva e innovativa. La garanzia di un adeguato livello di protezione dei sistemi di informazione dovrebbe rientrare in un efficace quadro globale di misure di prevenzione a corredo delle risposte alla criminalità informatica nell’ambito del diritto penale.
(3)
Gli attacchi ai danni dei sistemi di informazione, in particolare gli attacchi connessi alla criminalità organizzata, sono una minaccia crescente a livello di Unione e mondiale, e la preoccupazione per la possibilità di attacchi terroristici o di matrice politica contro sistemi di informazione che fanno parte dell’infrastruttura critica degli Stati membri e dell’Unione è in aumento. Ciò costituisce una minaccia per la creazione di una società dell’informazione più sicura e di uno spazio di libertà, sicurezza e giustizia, e richiede pertanto una risposta a livello di Unione, nonché un migliore coordinamento e una migliore cooperazione a livello internazionale.
(4)
Vi sono nell’Unione infrastrutture critiche la cui distruzione o il cui danneggiamento avrebbe un significativo impatto transfrontaliero. Dalla necessità di rafforzare la capacità di protezione delle infrastrutture critiche nell’Unione risulta evidente che le misure contro gli attacchi informatici dovrebbero essere integrate con sanzioni penali rigorose che rispecchino la gravità di tali attacchi. Per infrastrutture critiche si potrebbe intendere un elemento, un sistema o parte di questo ubicato negli Stati membri che è essenziale per il mantenimento delle funzioni vitali della società, della salute, della sicurezza e del benessere economico o sociale delle persone, come gli impianti energetici, le reti di trasporto o le reti governative, e il cui danneggiamento o la cui distruzione avrebbe un impatto significativo in uno Stato membro a causa dell’impossibilità di mantenere tali funzioni.
(5)
Si registra chiaramente una tendenza a perpetrare attacchi su larga scala sempre più pericolosi e ricorrenti contro sistemi di informazione che possono spesso essere critici per gli Stati membri o per particolari funzioni del settore pubblico o privato. Questa tendenza va di pari passo con lo sviluppo di metodi sempre più sofisticati, quali la creazione e l’uso delle cosiddette «botnet», che implica un reato costituito da più stadi, in cui ciascuno stadio singolarmente potrebbe mettere seriamente a rischio i pubblici interessi. La presente direttiva mira, tra l’altro, a introdurre sanzioni penali per la creazione delle «botnet», ossia per l’azione con cui si stabilisce il controllo a distanza di un numero rilevante di computer infettandoli con software maligni per mezzo di attacchi informatici mirati. Una volta creata, la rete infettata di computer che costituiscono la «botnet» può essere attivata a insaputa degli utenti per lanciare un attacco informatico su larga scala, che, solitamente, è in grado di causare danni gravi, ai sensi della presente direttiva. Gli Stati membri possono stabilire cosa costituisce danno grave ai sensi del loro diritto e della loro prassi nazionali, come ad esempio le perturbazioni dei servizi di sistema di rilevante interesse pubblico o la creazione di costi finanziari esorbitanti o la perdita di dati personali o di informazioni sensibili.
(6)
Gli attacchi informatici su larga scala possono causare notevoli danni economici sia attraverso l’interruzione dei sistemi di informazione e delle comunicazioni sia attraverso la perdita o l’alterazione di informazioni riservate commercialmente importanti o di altri dati. Si dovrebbe prestare particolare attenzione alla sensibilizzazione delle piccole e medie imprese innovative con riguardo alle minacce relative a tali attacchi e alla loro vulnerabilità agli stessi, in conseguenza della loro crescente dipendenza dal corretto funzionamento e dalla disponibilità dei sistemi di informazione, e della disponibilità, spesso limitata, di risorse da dedicare alla sicurezza delle informazioni.
(7)
Per garantire un approccio coerente degli Stati membri nell’applicazione della presente direttiva è importante disporre, in questo settore, di definizioni comuni.
(8)
È necessario giungere a un approccio comune nei confronti degli elementi costitutivi dei reati mediante l’introduzione dei reati comuni di accesso illecito a sistemi di informazione, di interferenza illecita relativamente ai sistemi, di interferenza illecita relativamente ai dati e di intercettazione illecita.
(9)
L’intercettazione comprende, ma non si limita necessariamente a, l’ascolto, il monitoraggio o la sorveglianza del contenuto di comunicazioni e il rilevamento del contenuto dei dati direttamente, mediante l’accesso e l’utilizzo dei sistemi di informazione, o indirettamente, mediante l’uso di dispositivi elettronici di intercettazione elettromagnetica o di intercettazione sulla linea tramite strumenti tecnici.
(10)
Gli Stati membri dovrebbero prevedere sanzioni per gli attacchi ai danni di sistemi di informazione. Tali sanzioni dovrebbero essere effettive, proporzionate e dissuasive e comprendere pene detentive e/o pecuniarie.
(11)
La presente direttiva prevede sanzioni penali almeno nei casi che non siano di minore gravità. Gli Stati membri possono stabilire cosa costituisce un caso di minore gravità ai sensi del loro diritto e della loro prassi nazionali. Un caso può essere considerato di minore gravità, ad esempio, qualora il danno causato dal reato e/o il rischio per gli interessi pubblici o privati, ad esempio per l’integrità di un sistema di informazione o per dati informatici, o per l’integrità, i diritti o altri interessi di una persona, sia insignificante o di natura tale da non rendere necessario imporre una sanzione penale entro i limiti di legge o stabilire una responsabilità penale.
(12)
L’individuazione e la comunicazione di minacce e rischi posti dagli attacchi informatici, nonché la relativa vulnerabilità dei sistemi di informazione, costituiscono un elemento rilevante per un’efficace prevenzione e risposta agli attacchi informatici e del miglioramento della sicurezza dei sistemi di informazione. La previsione di incentivi per la segnalazione di lacune in materia di sicurezza potrebbe contribuire a tal fine. È opportuno che gli Stati membri si adoperino per rendere possibili l’individuazione legale e la segnalazione delle lacune in materia di sicurezza.
(13)
È opportuno prevedere sanzioni più severe quando un attacco contro un sistema di informazione è perpetrato da un’organizzazione criminale quale definita nella decisione quadro 2008/841/GAI del Consiglio, del 24 ottobre 2008, relativa alla lotta contro la criminalità organizzata (3), quando un attacco informatico è condotto su larga scala, in tal modo colpendo un numero significativo di sistemi di informazione, anche quando è diretto alla creazione di una «botnet», o quando un attacco informatico causa danni gravi, anche nel caso in cui sia perpetrato attraverso una «botnet». È altresì opportuno prevedere sanzioni più severe quando un attacco è condotto contro un’infrastruttura critica degli Stati membri o dell’Unione.
(14)
Altro elemento importante di un approccio intergrato alla criminalità informatica è l’istituzione di efficaci misure contro il furto d’identità e altri reati connessi all’identità. L’eventuale bisogno di un’azione dell’Unione contro tale tipo di comportamento criminale potrebbe anche essere considerato nel contesto di una valutazione della necessità di uno strumento orizzontale e globale dell’Unione.
(15)
Nelle conclusioni del 27-28 novembre 2008, il Consiglio ha indicato che dovrebbe essere elaborata una nuova strategia con gli Stati membri e la Commissione, tenendo conto del contenuto della Convenzione del 2001 del Consiglio d’Europa sulla criminalità informatica. Tale Convenzione è il quadro giuridico di riferimento per la lotta contro la criminalità informatica, compresi gli attacchi contro i sistemi di informazione. La presente direttiva si basa su tale Convenzione. Il completamento del processo di ratifica di tale Convenzione il prima possibile da parte di tutti gli Stati membri dovrebbe essere considerata una priorità.
(16)
Tenuto conto delle varie modalità con cui possono essere effettuati gli attacchi e della rapida evoluzione degli hardware e dei software, la presente direttiva fa riferimento a strumenti che possono essere utilizzati per commettere i reati in essa previsti. Tali strumenti potrebbero includere software maligni, fra cui quelli capaci di creare botnet, usati per perpetrare attacchi informatici. Anche se un tale strumento è idoneo o particolarmente idoneo a commettere i reati previsti nella presente direttiva, è possibile che sia stato prodotto per fini legittimi. Data la necessità di evitare una criminalizzazione di tali strumenti, quando essi siano prodotti e commercializzati per fini legittimi, come la verifica dell’affidabilità dei prodotti di tecnologia dell’informazione o la sicurezza dei sistemi di informazione, oltre al requisito dell’intenzione generale, deve essere soddisfatto anche il requisito dell’intenzione diretta di utilizzare tali strumenti per commettere uno o più reati previsti nella presente direttiva.
(17)
La presente direttiva non prevede responsabilità penale qualora siano soddisfatti i criteri oggettivi dei reati previsti nella presente direttiva, ma gli atti siano compiuti senza dolo, ad esempio qualora una persona non sappia che l’accesso non è autorizzato o nel caso di incarichi di collaudo o di protezione di sistemi di informazione, ad esempio qualora una persona sia incaricata da un’impresa o da un venditore di verificare la resistenza del loro sistema di sicurezza. Nel contesto della presente direttiva, per gli obblighi o gli accordi contrattuali intesi a limitare l’accesso ai sistemi di informazione tramite norme d’uso o condizioni del servizio, nonché per controversie lavorative riguardo all’accesso e all’uso di sistemi di informazione di un datore di lavoro per scopi privati, non dovrebbe essere prevista responsabilità penale, quando l’accesso in tali circostanze sia ritenuto non autorizzato e, pertanto, costituisca l’unico presupposto per l’esercizio dell’azione penale. La presente direttiva non pregiudica il diritto di accesso alle informazioni, quale stabilito nel diritto nazionale e dell’Unione, ma al contempo non può costituire una giustificazione per l’accesso illecito o arbitrario alle informazioni.
(18)
Gli attacchi informatici potrebbero essere agevolati da svariate circostanze, come nel caso in cui l’autore del reato nell’ambito dell’esercizio della sua attività lavorativa abbia accesso ai sistemi di sicurezza connessi ai sistemi di informazione colpiti. È opportuno che, nel contesto del diritto nazionale, tali circostanze siano tenute in considerazione durante i procedimenti penali, ove opportuno.
(19)
Gli Stati membri dovrebbero prevedere nel loro diritto nazionale circostanze aggravanti in conformità delle norme applicabili stabilite nei rispettivi ordinamenti giuridici in materia di circostanze aggravanti. Essi dovrebbero garantire che tali circostanze aggravanti possano essere tenute in conto dai giudici allorché giudicano gli autori di reati. La valutazione di tali circostanze, assieme agli altri elementi fattuali della singola fattispecie, resta discrezione del giudice.
(20)
La presente direttiva non disciplina le condizioni per l’esercizio della competenza giurisdizionale su uno dei reati da essa contemplati, quali una querela della vittima nel luogo in cui il reato è stato commesso o una segnalazione dello Stato in cui è stato commesso, o il fatto che l’autore del reato non sia stato perseguito nel luogo in cui è stato commesso il reato.
(21)
Nel contesto della presente direttiva gli Stati e gli organismi pubblici sono del tutto vincolati a garantire il rispetto dei diritti dell’uomo e delle libertà fondamentali, conformemente ai vigenti obblighi internazionali.
(22)
La presente direttiva rafforza l’importanza delle reti, come la rete di punti di contatto del G8 o quella del Consiglio d’Europa, disponibili ventiquattr’ore su ventiquattro e sette giorni su sette. Tali punti di contatto dovrebbero poter prestare un’efficace assistenza, ad esempio agevolando lo scambio di pertinenti informazioni disponibili e la fornitura di consulenza tecnica o di informazioni giuridiche ai fini delle indagini o dei procedimenti relativi a reati connessi a sistemi di informazione e dati a essi associati che coinvolgono lo Stato membro richiedente. Per assicurare il buon funzionamento delle reti, ciascun punto di contatto dovrebbe essere in grado di comunicare con la massima urgenza con il punto di contatto di un altro Stato membro avvalendosi, tra l’altro, del supporto di personale addestrato e attrezzato. Data la rapidità con cui possono essere lanciati gli attacchi informatici su larga scala, gli Stati membri dovrebbero essere in grado di rispondere prontamente alle richieste urgenti provenienti da questa rete di punti di contatto. In casi siffatti può essere opportuno che la richiesta di informazioni, per garantirne la rapida evasione da parte dello Stato membro richiesto, sia accompagnata da un contatto telefonico e che i riscontri siano forniti entro otto ore.
(23)
La cooperazione tra le autorità pubbliche da un lato, e il settore privato e la società civile dall’altro, è di grande importanza per prevenire e combattere gli attacchi contro i sistemi di informazione. È necessario promuovere e migliorare la cooperazione tra fornitori di servizi, produttori, organismi preposti all’applicazione della legge e autorità giudiziarie, nel pieno rispetto dello stato di diritto. Tale cooperazione potrebbe includere, ad esempio, l’assistenza da parte dei fornitori di servizi al fine di conservare possibili prove, fornire elementi che aiutino a identificare gli autori dei reati e, in ultima istanza, disattivare totalmente o parzialmente, conformemente al diritto e alla prassi nazionali, i sistemi di informazione o le funzioni che siano stati compromessi o utilizzati a fini illegali. Gli Stati membri dovrebbero altresì prendere in considerazione la creazione di reti di cooperazione e di partenariato con fornitori di servizi e produttori per lo scambio di informazioni relativamente ai reati che rientrano nell’ambito di applicazione della presente direttiva.
(24)
È necessario raccogliere dati comparabili sui reati previsti nella presente direttiva. I dati pertinenti dovrebbero essere messi a disposizione delle agenzie e degli organismi specializzati dell’Unione, come Europol ed ENISA, in linea con le loro funzioni e necessità di informazione, per ottenere un quadro più completo del problema della criminalità informatica e della sicurezza delle reti e dell’informazione a livello di Unione e contribuire così alla formulazione di una risposta più efficace. Gli Stati membri dovrebbero trasmettere informazioni sul modus operandi degli autori dei reati a Europol e al suo Centro europeo per la lotta alla criminalità informatica ai fini dell’effettuazione di valutazioni delle minacce e di analisi strategiche in merito alla criminalità informatica conformemente alla decisione 2009/371/GAI del Consiglio, del 6 aprile 2009, che istituisce l’Ufficio europeo di Polizia (Europol) (4). La comunicazione di informazioni può agevolare una migliore comprensione delle minacce attuali e future, contribuendo così a una più idonea e mirata formulazione di decisioni sulla lotta e la prevenzione degli attacchi contro i sistemi di informazione.
(25)
La Commissione dovrebbe presentare una relazione sull’applicazione della presente direttiva e formulare eventuali proposte legislative necessarie che potrebbero portare ad un ampliamento del suo ambito di applicazione, tenendo conto dell’evoluzione nell’ambito della criminalità informatica. Tale evoluzione potrebbe comprendere gli sviluppi tecnologici, ad esempio quelli che consentono un’applicazione più efficace della legge nel settore degli attacchi contro i sistemi di informazione o che facilitano la prevenzione di tali attacchi o la riduzione al minimo del loro impatto. A tal fine, la Commissione dovrebbe tenere conto delle analisi e delle relazioni disponibili, realizzate da attori pertinenti e, in particolare, da Europol e dall’ENISA.
(26)
Al fine di combattere efficacemente la criminalità informatica, è necessario aumentare la resilienza dei sistemi di informazione, adottando le misure adeguate per proteggerli in modo più efficace contro gli attacchi informatici. Gli Stati membri dovrebbero adottare le misure necessarie per proteggere le loro infrastrutture critiche dagli attacchi informatici e in tale ambito dovrebbero prendere in considerazione la protezione dei loro sistemi di informazione e dei dati associati. Costituisce parte essenziale di un approccio globale a una lotta efficace contro la criminalità informatica assicurare un adeguato livello di protezione e di sicurezza dei sistemi di informazione a opera di persone giuridiche, ad esempio in relazione ai servizi di comunicazione elettronica di pubblico accesso, conformemente alla vigente legislazione dell’Unione in materia di vita privata e comunicazioni elettroniche e protezione dei dati. Dovrebbero essere forniti livelli di protezione adeguati contro le minacce e le vulnerabilità ragionevolmente individuabili in maniera corrispondente allo stato dell’arte degli specifici settori e alle specifiche situazioni di trattamento dei dati. Il costo e l’onere di tale protezione dovrebbero essere commisurati al danno potenziale procurato da un attacco informatico ai soggetti interessati. Gli Stati membri sono incoraggiati a prevedere, nell’ambito del loro diritto nazionale, pertinenti misure per l’attribuzione di responsabilità per i casi un cui una persona giuridica non abbia manifestamente fornito un adeguato livello di protezione contro gli attacchi informatici.
(27)
Le rilevanti lacune e le notevoli differenze nel diritto e nelle procedure penali degli Stati membri nel settore degli attacchi contro i sistemi di informazione possono ostacolare la lotta contro la criminalità organizzata e il terrorismo e possono complicare un’efficace cooperazione di polizia e giudiziaria in questo settore. Il carattere transnazionale e senza frontiere dei moderni sistemi di informazione fa sì che gli attacchi contro tali sistemi abbiano una dimensione transfrontaliera, e rende evidente la necessità urgente di adottare azioni ulteriori per il ravvicinamento del diritto penale in questo settore. L’attuazione e l’applicazione adeguate della decisione quadro 2009/948/GAI del Consiglio, del 30 novembre 2009, sulla prevenzione e la risoluzione dei conflitti relativi all’esercizio della giurisdizione nei procedimenti penali (5), dovrebbero inoltre agevolare il coordinamento dell’azione penale nei casi di attacchi contro i sistemi di informazione. Gli Stati membri, in collaborazione con l’Unione, dovrebbero altresì cercare di migliorare la cooperazione internazionale relativamente alla sicurezza dei sistemi di informazione, delle reti informatiche e dei dati informatici. Qualsiasi accordo internazionale riguardante lo scambio di dati dovrebbe tenere debito conto della sicurezza del trasferimento e dello stoccaggio dei dati.
(28)
Una migliore cooperazione tra competenti organismi preposti all’applicazione della legge e autorità giudiziarie in tutta l’Unione è essenziale ai fini di una lotta efficace contro la criminalità informatica. In tale contesto, si dovrebbe incoraggiare l’intensificazione degli sforzi, intesi a fornire una formazione adeguata alle pertinenti autorità, al fine di aumentare la comprensione della criminalità informatica e del suo impatto e promuovere la cooperazione e lo scambio di migliori pratiche, ad esempio attraverso le competenti agenzie e organismi specializzati dell’Unione. Tale formazione dovrebbe mirare, tra l’altro, ad aumentare il grado di conoscenza dei diversi ordinamenti giuridici nazionali, delle possibili sfide giuridiche e tecniche da affrontare nelle indagini penali e della ripartizione delle competenze tra le competenti autorità nazionali.
(29)
La presente direttiva rispetta i diritti umani e le libertà fondamentali e osserva i principi riconosciuti, in particolare, dalla Carta dei diritti fondamentali dell’Unione europea e dalla convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, inclusi la protezione dei dati personali, il diritto alla riservatezza, la libertà di espressione e d’informazione, il diritto a un processo equo, la presunzione di innocenza e i diritti della difesa così come i principi della legalità e della proporzionalità dei reati e delle pene. In particolare, la presente direttiva è volta a garantire il pieno rispetto di tali diritti e principi e deve essere attuata di conseguenza.
(30)
La protezione dei dati personali costituisce un diritto fondamentale conformemente all’articolo 16, paragrafo 1, TFUE e all’articolo 8 della Carta dei diritti fondamentali. Pertanto, qualsiasi trattamento di dati personali nell’ambito dell’attuazione della presente direttiva dovrebbe avvenire nel pieno rispetto del pertinente diritto dell’Unione in materia di protezione dei dati.
(31)
A norma dell’articolo 3 del protocollo sulla posizione del Regno Unito e dell’Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, detti Stati membri hanno notificato che desiderano partecipare all’adozione e all’applicazione della presente direttiva.
(32)
A norma degli articoli 1 e 2 del protocollo sulla posizione della Danimarca, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, la Danimarca non partecipa all’adozione della presente direttiva, non è da essa vincolata né è soggetta alla sua applicazione.
(33)
Poiché gli obiettivi della presente direttiva, segnatamente assoggettare gli attacchi ai danni di sistemi di informazione in tutti gli Stati membri a sanzioni penali effettive, proporzionate e dissuasive, e migliorare e incoraggiare la cooperazione giudiziaria, non possono essere conseguiti in misura sufficiente dagli Stati membri, e possono dunque, a motivo della loro portata o dei loro effetti, essere conseguiti meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea. La presente direttiva si limita a quanto è necessario per conseguire tali obiettivi in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.
(34)
La presente direttiva mira a modificare e ampliare le disposizioni della decisione quadro 2005/222/GAI del Consiglio, del 24 febbraio 2005, relativa agli attacchi contro i sistemi di informazione (6). Poiché le modifiche da apportare sono sostanziali per numero e natura, a fini di chiarezza, è opportuno che la decisione quadro 2005/222/GAI sia integralmente sostituita per gli Stati membri che partecipano all’adozione della presente direttiva,
HANNO ADOTTATO LA PRESENTE DIRETTIVA:
Articolo 1
Oggetto
La presente direttiva stabilisce norme minime per la definizione dei reati e delle sanzioni nel settore degli attacchi contro i sistemi di informazione. Essa mira inoltre a facilitare la prevenzione di tali reati e a migliorare la cooperazione tra autorità giudiziarie e altre autorità competenti.
Articolo 2
Definizioni
Ai fini della presente direttiva s’intende per:
a) «sistema di informazione»: un’apparecchiatura o gruppo di apparecchiature interconnesse o collegate, uno o più dei quali svolge un trattamento automatico di dati informatici secondo un programma, nonché i dati informatici immagazzinati da tale apparecchiatura o gruppo di apparecchiature, trattati, estratti o trasmessi dagli stessi ai fini della loro gestione, uso, protezione e manutenzione;
b) «dati informatici»: una rappresentazione di fatti, informazioni o concetti in una forma che può essere trattata in un sistema di informazione, compreso un programma atto a far svolgere una funzione a un sistema di informazione;
c) «persona giuridica»: un’entità che ha lo status di persona giuridica in forza del diritto applicabile; la definizione non include gli Stati o gli organismi pubblici che agiscono nell’esercizio dell’autorità statale o le organizzazioni pubbliche internazionali;
d) «senza diritto»: una condotta di cui alla presente direttiva, ivi inclusi l’accesso, l’interferenza o l’intercettazione, che non è autorizzata da parte del proprietario o da un altro titolare di diritti sul sistema o su una sua parte, ovvero non consentiti a norma del diritto nazionale.
Articolo 3
Accesso illecito a sistemi di informazione
Gli Stati membri adottano le misure necessarie per garantire che, se intenzionale, l’accesso senza diritto a un sistema di informazione o a una parte dello stesso, sia punibile come reato qualora sia commesso in violazione di una misura di sicurezza, almeno per i casi che non sono di minore gravità.
Articolo 4
Interferenza illecita relativamente ai sistemi
Gli Stati membri adottano le misure necessarie a garantire che l’atto di ostacolare gravemente o interrompere il funzionamento di un sistema di informazione mediante l’immissione di dati informatici, la trasmissione, il danneggiamento, la cancellazione, il deterioramento, l’alterazione o la soppressione di tali dati o rendendo tali dati inaccessibili, compiuto intenzionalmente e senza diritto, sia punito come reato almeno per i casi che non sono di minore gravità.
Articolo 5
Interferenza illecita relativamente ai dati
Gli Stati membri adottano le misure necessarie a garantire che l’atto di cancellare, danneggiare, deteriorare, alterare, sopprimere dati informatici in un sistema di informazione, o di rendere tali dati inaccessibili, compiuto intenzionalmente e senza diritto, sia punibile come reato, almeno per i casi che non sono di minore gravità.
Articolo 6
Intercettazione illecita
Gli Stati membri adottano le misure necessarie affinché l’intercettazione, tramite strumenti tecnici, di trasmissioni non pubbliche di dati informatici verso, da o all’interno di un sistema di informazione, incluse le emissioni elettromagnetiche da un sistema di informazione che trasmette tali dati informatici, compiuta intenzionalmente e senza diritto, sia punibile come reato, almeno per i casi che non sono di minore gravità.
Articolo 7
Strumenti utilizzati per commettere i reati
Gli Stati membri adottano le misure necessarie affinché la fabbricazione, la vendita, l’approvvigionamento per l’uso, l’importazione, la distribuzione o la messa a disposizione in altro modo intenzionali di uno dei seguenti strumenti, compiuti senza diritto e con l’intenzione di utilizzarli al fine di commettere uno dei reati di cui agli articoli da 3 a 6, siano punibili come reato, almeno per i casi che non sono di minore gravità:
a)
un programma per computer, destinato o modificato principalmente al fine di commettere uno dei reati di cui agli articoli da 3 a 6;
b)
una password di un computer, un codice d’accesso, o dati simili che permettono di accedere in tutto o in parte a un sistema di informazione.
Articolo 8
Istigazione, favoreggiamento, concorso e tentativo
1. Gli Stati membri garantiscono che l’istigazione o il favoreggiamento e il concorso nella commissione di un reato di cui agli articoli da 3 a 7 siano punibili come reato.
2. Gli Stati membri garantiscono che il tentativo di commettere un reato di cui agli articoli 4 e 5 sia punibile come reato.
Articolo 9
Sanzioni
1. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli da 3 a 8 siano punibili con sanzioni effettive, proporzionate e dissuasive.
2. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli da 3 a 7 siano punibili con una pena detentiva massima non inferiore a due anni, almeno per i casi che non sono di minore gravità.
3. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli 4 e 5, se commessi intenzionalmente, siano punibili con una pena detentiva massima non inferiore a tre anni, se un numero significativo di sistemi di informazione è stato colpito avvalendosi di uno degli strumenti di cui all’articolo 7, destinato o modificato principalmente a tal fine.
4. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli 4 e 5 siano punibili con una pena detentiva massima non inferiore a cinque anni, qualora:
a)
siano commessi nell’ambito di un’organizzazione criminale quale definita nella decisione quadro 2008/841/GAI, indipendentemente dalla sanzione ivi prevista;
b)
causino danni gravi; o
c)
siano commessi ai danni di un sistema di informazione di un’infrastruttura critica.
5. Gli Stati membri adottano le misure necessarie ad assicurare che, qualora i reati di cui agli articoli 4 e 5 siano commessi abusando dei dati personali di un’altra persona allo scopo di guadagnare la fiducia di terzi, in tal modo arrecando un danno al legittimo proprietario dell’identità, ciò possa, conformemente al diritto nazionale, essere considerato una circostanza aggravante, purché tale circostanza non sia già contemplata da un altro reato punibile a norma del diritto nazionale.
Articolo 10
Responsabilità delle persone giuridiche
1. Gli Stati membri adottano le misure necessarie ad assicurare che le persone giuridiche possano essere ritenute responsabili dei reati di cui agli articoli da 3 a 8, commessi a loro vantaggio da qualsiasi persona, che agisca a titolo individuale o in quanto membro di un organismo della persona giuridica, e che detenga una posizione dominante in seno alla persona giuridica basata:
a)
sul potere di rappresentanza della persona giuridica;
b)
sul potere di prendere decisioni per conto della persona giuridica;
c)
sul potere di esercitare il controllo in seno alla persona giuridica.
2. Gli Stati membri adottano le misure necessarie ad assicurare che le persone giuridiche possano essere ritenute responsabili qualora la mancata sorveglianza o il mancato controllo da parte di una persona di cui al paragrafo 1 abbia permesso la commissione, da parte di una persona sotto la sua autorità, di uno dei reati di cui agli articoli da 3 a 8 a vantaggio di tale persona giuridica.
3. La responsabilità delle persone giuridiche a norma dei paragrafi 1 e 2 non esclude l’avvio di procedimenti penali contro le persone fisiche che siano autori o istigatori o abbiano concorso in uno dei reati di cui agli articoli da 3 a 8.
Articolo 11
Sanzioni applicabili alle persone giuridiche
1. Gli Stati membri adottano le misure necessarie ad assicurare che una persona giuridica ritenuta responsabile a norma dell’articolo 10, paragrafo 1, sia punibile con sanzioni effettive, proporzionate e dissuasive, che comprendano sanzioni pecuniarie penali o non penali e che possano comprendere altre sanzioni, quali:
a)
l’esclusione dal godimento di un beneficio o aiuto pubblico;
b)
l’interdizione temporanea o permanente dall’esercizio di attività commerciali;
c)
l’assoggettamento a sorveglianza giudiziaria;
d)
provvedimenti giudiziari di scioglimento;
e)
la chiusura temporanea o permanente degli stabilimenti che sono stati usati per commettere il reato.
2. Gli Stati membri adottano le misure necessarie ad assicurare che una persona giuridica ritenuta responsabile a norma dell’articolo 10, paragrafo 2, sia punibile con sanzioni o altre misure effettive, proporzionate e dissuasive.
Articolo 12
Competenza giurisdizionale
1. Gli Stati membri stabiliscono la propria competenza giurisdizionale relativamente ai reati di cui agli articoli da 3 a 8 quando il reato sia stato commesso:
a)
in tutto o in parte sul loro territorio; o
b)
da un loro cittadino, quanto meno nei casi in cui l’atto costituisce un reato nel luogo in cui è stato commesso.
2. Nello stabilire la propria competenza giurisdizionale conformemente al paragrafo 1, lettera a), uno Stato membro assicura di avere competenza giurisdizionale qualora:
a)
l’autore abbia commesso il reato mentre era fisicamente presente nel suo territorio, indipendentemente dal fatto che il reato sia stato o meno commesso contro un sistema di informazione nel suo territorio; o
b)
il reato sia stato commesso contro un sistema di informazione nel suo territorio, indipendentemente dal fatto che l’autore del reato fosse o meno fisicamente presente nel suo territorio al momento della commissione del reato.
3. Uno Stato membro informa la Commissione ove decida di stabilire la competenza giurisdizionale per un reato di cui agli articoli da 3 a 8 commesso al di fuori del suo territorio, anche qualora:
a)
l’autore del reato risieda abitualmente nel suo territorio; o
b)
il reato sia commesso a vantaggio di una persona giuridica che ha sede nel suo territorio.
Articolo 13
Scambio di informazioni
1. Per lo scambio di informazioni relative ai reati di cui agli articoli da 3 a 8, gli Stati membri garantiscono di predisporre un punto di contatto operativo nazionale e di utilizzare la rete esistente di punti di contatto operativi disponibili ventiquattr’ore su ventiquattro e sette giorni su sette. Gli Stati membri garantiscono inoltre di predisporre procedure tali da consentire all’autorità competente, in caso di richieste urgenti di assistenza, di indicare, entro otto ore dalla richiesta, almeno se la richiesta sarà soddisfatta e la forma e il tempo stimato per tale risposta.
2. Gli Stati membri informano la Commissione in merito al proprio punto di contatto di cui al paragrafo 1. La Commissione trasmette tali informazioni agli altri Stati membri e alle competenti agenzie e organismi specializzati dell’Unione.
3. Gli Stati membri adottano le misure necessarie ad assicurare che siano disponibili idonei canali di comunicazione per agevolare le comunicazioni alle autorità nazionali competenti sui reati di cui all’articolo da 3 a 6 senza indebito ritardo.
Articolo 14
Monitoraggio e statistiche
1. Gli Stati membri provvedono a predisporre un sistema di registrazione, produzione e fornitura di dati statistici sui reati di cui agli articoli da 3 a 7.
2. I dati statistici di cui al paragrafo 1 riguardano come minimo i dati esistenti sul numero dei reati di cui agli articoli da 3 a 7 registrati dagli Stati membri e il numero di persone che sono state oggetto di un procedimento giudiziario e che sono state condannate per i reati di cui agli articoli da 3 a 7.
3. Gli Stati membri trasmettono alla Commissione i dati raccolti a norma del presente articolo. La Commissione provvede alla pubblicazione di una revisione consolidata delle relazioni statistiche e a trasmetterla alle competenti agenzie e organismi specializzati dell’Unione.
Articolo 15
Sostituzione della decisione quadro 2005/222/GAI
La decisione quadro 2005/222/GAI è sostituita in relazione agli Stati membri che partecipano all’adozione della presente direttiva, fatti salvi gli obblighi degli Stati membri relativi al termine per il recepimento della decisione quadro nel diritto nazionale.
In relazione agli Stati membri che partecipano all’adozione della presente direttiva, i riferimenti alla decisione quadro 2005/222/GAI si intendono fatti alla presente direttiva.
Articolo 16
Recepimento
1. Gli Stati membri mettono in vigore le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva entro il 4 settembre 2015.
2. Gli Stati membri comunicano alla Commissione il testo delle disposizioni che recepiscono nei rispettivi diritti nazionali gli obblighi imposti dalla presente direttiva.
3. Le disposizioni adottate dagli Stati membri contengono un riferimento alla presente direttiva o sono corredate di tale riferimento all’atto della pubblicazione ufficiale. Le modalità del riferimento sono stabilite dagli Stati membri.
Articolo 17
Relazione
Entro il 4 settembre 2017 la Commissione presenta al Parlamento europeo e al Consiglio una relazione che valuta in quale misura gli Stati membri abbiano adottato le misure necessarie per conformarsi alla presente direttiva, corredata, se del caso, di proposte legislative. La Commissione tiene altresì conto degli sviluppi tecnici e giuridici in materia di criminalità informatica, con particolare riguardo all’ambito di applicazione della presente direttiva.
Articolo 18
Entrata in vigore
La presente direttiva entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.
Articolo 19
Destinatari
Gli Stati membri sono destinatari della presente direttiva conformemente ai trattati.
Fatto a Bruxelles, il 12 agosto 2013