SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY 2013/40/EU
ze dne 12. srpna 2013
o útocích na informační systémy a nahrazení rámcového rozhodnutí Rady 2005/222/SVV
EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 83 odst. 1 této smlouvy,
s ohledem na návrh Evropské komise,
po postoupení návrhu legislativního aktu vnitrostátním parlamentům,
s ohledem na stanovisko Evropského hospodářského a sociálního výboru (1),
v souladu s řádným legislativním postupem (2),
vzhledem k těmto důvodům:
(1)
Cílem této směrnice je sblížit ustanovení trestního práva členských států v oblasti útoků na informační systémy prostřednictvím stanovení minimálních pravidel týkajících se definice trestných činů a příslušných sankcí a zlepšit spolupráci mezi příslušnými orgány, včetně policie a dalších specializovaných donucovacích orgánů členských států, jakož i mezi příslušnými specializovanými agenturami a institucemi Unie, jako je Eurojust, Europol a jeho Evropské centrum pro boj proti kyberkriminalitě a Evropská agentura pro bezpečností sítí a informací (ENISA).
(2)
Informační systémy jsou klíčovým prvkem politické, sociální a hospodářské interakce v Unii. Společnost je na takových systémech značně závislá a tato závislost se neustále zvyšuje. Hladké fungování a bezpečnost těchto systémů v Unii jsou nezbytné pro rozvoj vnitřního trhu a konkurenceschopného a inovativního hospodářství. Zajištění odpovídajících úrovní ochrany informačních systémů by mělo být součástí účinného komplexního rámce preventivních opatření doprovázejících kroky v oblasti trestního práva podnikané v reakci na kybernetickou kriminalitu.
(3)
Útoky na informační systémy, zejména útoky spojené s organizovanou trestnou činností, představují rostoucí hrozbu jak v Unii, tak i v celosvětovém měřítku, a zvyšuje se obava z potenciálních teroristických anebo politicky motivovaných útoků na informační systémy, které jsou součástí kritické infrastruktury členských států a Unie. Tato skutečnost ohrožuje vytváření bezpečnější informační společnosti a oblasti svobody, bezpečnosti a práva, a proto je třeba na ni reagovat na úrovni Unie a dosáhnout intenzivnější spolupráce a koordinace na mezinárodní úrovni.
(4)
V Unii existuje řada kritických infrastruktur, jejichž narušení nebo zničení by mělo závažné přeshraniční dopady. Z nutnosti zvýšit schopnost ochrany kritické infrastruktury v Unii je zřejmé, že opatření pro boj proti kybernetickým útokům by měla být doprovázena přísnými trestními sankcemi odpovídajícími závažnosti takových útoků. Kritickou infrastrukturou můžeme rozumět prostředky, systémy a jejich části nacházející se v členském státě, které jsou zásadní pro zachování nejdůležitějších společenských funkcí, zdraví, bezpečnosti, zabezpečení nebo dobrých hospodářských či sociálních podmínek obyvatel, jako jsou elektrárny, dopravní sítě nebo vládní sítě, a jejichž narušení nebo zničení by mělo pro členský stát závažný dopad v důsledku selhání těchto funkcí.
(5)
Existují důkazy o směřování k čím dál tím nebezpečnějším a opakovaným rozsáhlým útokům na informačním systémy, které mají často kritický význam pro členské státy nebo pro konkrétní funkce ve veřejném nebo soukromém sektoru. Tuto tendenci doprovází rozvoj čím dál tím vyspělejších metod, jako je vytváření a používání tzv. „botnetů“, což se vyznačuje několika stádii trestného činu, kdy by každé samotné stádium mohlo představovat vážné nebezpečí pro veřejné zájmy. Tato směrnice usiluje mimo jiné o zavedení trestních sankcí za vytváření „botnetů“, tedy skutku, kdy na základě cílených kybernetických útoků dojde v důsledku napadení škodlivým softwarem k dálkovému ovládání značného počtu počítačů. Jakmile dojde k takovému propojení, může být napadená síť počítačů, která tvoří „botnet“, aktivována bez vědomí uživatelů počítačů s cílem spustit rozsáhlé kybernetické útoky, které jsou obvykle schopné způsobit závažnou škodu, jak je uvedeno v této směrnici. Členské státy by měly mít možnost stanovit, co se rozumí závažnou škodou podle jejich vnitrostátního práva a praxe, jako jsou například narušení systémových služeb značného veřejného významu, nebo vznik velkých finančních nákladů či způsobení ztrát osobních údajů nebo citlivých informací.
(6)
Rozsáhlé kybernetické útoky mohou způsobit závažné hospodářské škody, a to jak v důsledku přerušení informačních systémů a komunikací, tak i v důsledku ztráty nebo pozměnění důvěrných informací nebo jiných údajů důležitých z obchodního hlediska. Zvláštní pozornost je třeba věnovat tomu, aby se v důsledku větší závislosti inovativních malých a středních podniků na řádném fungování a dostupnosti informačních systémů a často omezených zdrojů, jež mají k dispozici pro účely informační bezpečnosti, zvyšovalo jejich povědomí o hrozbách souvisejících s takovými útoky a jejich zranitelnosti vůči těmto útokům.
(7)
Pro zajištění konzistentního přístupu členských států k uplatňování této směrnice jsou v této oblasti důležité společné definice.
(8)
Je třeba dosáhnout společného přístupu k základním prvkům trestných činů zavedením společných trestných činů neoprávněného přístupu k informačním systémům, neoprávněného zasahování do informačních systémů, neoprávněného zasahování do údajů a neoprávněného sledování.
(9)
Sledování zahrnuje mimo jiné poslech, monitorování nebo kontrolu obsahu komunikace a získávání obsahu údajů, a to buď přímo přístupem a využitím informačních systémů, nebo nepřímo pomocí technických prostředků pro elektronický či jiný odposlech.
(10)
Členské státy by měly stanovit sankce za útoky na informační systémy. Tyto sankce by měly být účinné, přiměřené a odrazující a jejich součástí by měl být trest odnětí svobody nebo peněžitý trest.
(11)
Tato směrnice stanoví trestní sankce alespoň pro případy, které se nepovažují za méně závažné. Členské státy by měly mít možnost stanovit, co se rozumí méně závažným případem v souladu s jejich vnitrostátním právem a praxí. Za méně závažný případ lze považovat například situaci, kdy škoda vzniklá v důsledku trestného činu nebo ohrožení veřejných nebo soukromých zájmů nastalé v důsledku trestného činu, jako je například nedotknutelnost počítačového systému nebo počítačových údajů nebo nedotknutelnost osoby, jejích práv či jiných zájmů, jsou zanedbatelné nebo takové povahy, že uložení trestní sankce v rámci zákonné hranice trestních sazeb nebo uložení trestní odpovědnosti není nutné.
(12)
Zjišťování a oznamování hrozeb a rizik vyplývajících z kybernetických útoků a zranitelnost informačních systémů s nimi související představují rozhodný faktor pro účinné předcházení kybernetickým útokům a reakci na ně a pro zdokonalování bezpečnosti informačních systémů. Poskytování pobídek k oznamování bezpečnostních nedostatků by mohlo přispět k tomuto zdokonalování. Členské státy by měly vynaložit úsilí k poskytnutí příležitostí pro zákonné odhalování a oznamování bezpečnostních nedostatků.
(13)
Je vhodné zavést přísnější sankce v případě, že je útok na informační systém spáchán v rámci zločinného spolčení vymezeného v rámcovém rozhodnutí Rady 2008/841/SVV ze dne 24. října 2008 o boji proti organizované trestné činnosti (3), nebo pokud se jedná o rozsáhlý kybernetický útok, který má dopad na velký počet informačních systémů, včetně případu, kdy má útok vytvořit „botnet“, nebo pokud kybernetický útok způsobí závažnou škodu, včetně případu, kdy je útok proveden prostřednictvím „botnetu“. Je rovněž vhodné stanovit přísnější sankce, pokud je útok veden na kritickou infrastrukturu členského státu nebo Unie.
(14)
Dalším důležitým prvkem integrovaného přístupu k boji proti kybernetické kriminalitě je zavedení účinných opatření proti krádeži totožnosti a jiným trestným činům týkajícím se totožnosti. Případnou akci na úrovni Unie proti tomuto druhu trestné činnosti by bylo možné zvážit také v rámci vyhodnocení potřeby existence komplexního horizontálního nástroje Unie.
(15)
V závěrech ze zasedání Rady ve dnech 27. a 28. listopadu 2008 bylo uvedeno, že by se ve spolupráci s členskými státy a Komisí měla vypracovat nová strategie, která by přihlížela k obsahu Úmluvy Rady Evropy o kyberkriminalitě z roku 2001. Tato úmluva představuje právní referenční rámec pro boj s kybernetickou kriminalitou, včetně útoků na informační systémy. Tato směrnice z úmluvy vychází. Bezodkladné dokončení procesu ratifikace uvedené úmluvy ze strany všech členských států by proto mělo být považováno za prioritu.
(16)
S ohledem na různé způsoby, jimiž lze útoky provést, a na rychlý vývoj hardwaru a softwaru odkazuje tato směrnice na nástroje, které lze používat k páchání trestných činů stanovených v této směrnici. Tyto nástroje by mohly zahrnovat škodlivý software, včetně softwaru schopného vytvářet botnety, používaný k páchání kybernetických útoků. I pokud je takový nástroj vhodný nebo obzvláště vhodný k páchání trestných činů stanovených v této směrnici, je možné, že byl vyroben pro zákonný účel. Je potřeba zabránit kriminalizaci v případech, kdy jsou tyto prostředky vyrobeny a uvedeny na trh pro zákonný účel, jako je testování spolehlivosti výrobků informačních technologií nebo bezpečnosti informačních systémů, a proto musí být kromě požadavku obecného úmyslu splněn také požadavek přímého úmyslu použít tyto prostředky pro účely spáchání některého z trestných činů stanovených v této směrnici.
(17)
Cílem této směrnice není stanovit trestní odpovědnost v případech, kdy jsou naplněny znaky skutkové podstaty trestných činů stanovených v této směrnici, avšak tyto činy jsou spáchány bez protiprávního úmyslu, například pokud určitá osoba nevěděla, že se jedná o neoprávněný přístup, nebo v případě nařízeného testování či ochrany informačních systémů, například svěřila-li společnost či prodejce určité osobě úkol provést test odolnosti jejich bezpečnostního systému. V rámci této směrnice smluvní závazky nebo dohody o omezení přístupu k informačním systémům prostřednictvím uživatelské politiky nebo služebních podmínek, jakož i pracovněprávní spory ohledně přístupu k informačním systémům zaměstnavatele a jejich využívání k soukromým účelům by neměly vést ke vzniku trestní odpovědnosti v případech, kdy by přístup za těchto podmínek byl považován za neoprávněný, a představoval by tak jediný základ pro trestní řízení. Touto směrnicí není dotčeno právo na přístup k informacím, jak je stanoveno ve vnitrostátním právu a v právu Unie, toto právo však zároveň nesmí sloužit jako odůvodnění neoprávněného nebo svévolného přístupu k informacím.
(18)
Kybernetické útoky by mohly být usnadněny různými okolnostmi, například pokud má pachatel v rámci svého zaměstnání přístup k bezpečnostním systémům spojeným se zasaženými informačními systémy. V rámci vnitrostátního práva by tyto okolnosti měly být v průběhu trestního řízení odpovídajícím způsobem zohledněny.
(19)
Členské státy by ve svém vnitrostátním právu měly v souladu s příslušnými pravidly týkajícími se přitěžujících okolností danými jejich právním řádem stanovit přitěžující okolnosti. Měly by zajistit, aby soudci mohli k těmto přitěžujícím okolnostem přihlédnout při stanovení druhu trestu a jeho výměry pachateli. Je na uvážení soudce, aby tyto okolnosti posoudil spolu s ostatními skutečnostmi daného případu.
(20)
Tato směrnice neupravuje, pokud jde o trestné činy v ní uvedené, podmínky pro provádění trestního stíhání, jako je oznámení oběti učiněné v místě, kde byl trestný čin spáchán, oznámení ze strany státu, na jehož území byl trestný čin spáchán, nebo nestíhání pachatele v místě, kde byl trestný čin spáchán.
(21)
V rámci této směrnice musí státy a veřejnoprávní subjekty plně zajišťovat respektování lidských práv a základních svobod v souladu se stávajícími mezinárodními závazky.
(22)
Tato směrnice posiluje význam sítí, jako je síť G8 nebo síť kontaktních míst Rady Evropy s nepřetržitým provozem. Tato kontaktní místa by měla být schopna poskytovat účinnou pomoc, a usnadňovat tak například výměnu příslušných dostupných informací poskytování technické pomoci či právních informací pro účely vyšetřování nebo soudních řízení ohledně trestných činů týkajících se informačních systémů a souvisejících údajů dožadujícího členského státu. Za účelem zajištění bezproblémového fungování sítí by mělo být každé kontaktní místo schopno urychleně komunikovat s kontaktním místem jiného členského státu za podpory mimo jiné vyškoleného a technicky vybaveného personálu. Vzhledem k rychlosti, kterou lze provést rozsáhlé kybernetické útoky, by členské státy měly mít možnost rychle reagovat na naléhavé žádosti z této sítě kontaktních míst. V těchto případech se může jevit účelné, aby žádost o informace obsahovala kontaktní telefonní číslo, díky němuž může dožadovaný členský stát zajistit, že žádost bude zpracována okamžitě a že do osmi hodin bude poskytnuta odpověď.
(23)
Pro předcházení útokům na informační systémy a boj proti nim je velmi důležitá spolupráce veřejných orgánů na jedné straně a soukromého sektoru a občanské společnosti na straně druhé. Je nezbytné upevnit a zlepšit spolupráci mezi poskytovateli služeb, výrobci, donucovacími orgány a justičními orgány, a to při plném dodržování právních norem. Taková spolupráce by mohla zahrnovat podporu ze strany poskytovatelů služeb úsilí o zajištění potenciálních důkazů, při poskytování prvků přispívajících k identifikaci pachatelů a v krajním případě při úplném nebo částečném přerušení fungování informačních systémů nebo funkcí, jež byly ohroženy nebo zneužity pro protiprávní účely, provedeném v souladu s vnitrostátním právem a praxí. Členské státy by měly rovněž uvážit zřízení sítí pro spolupráci a partnerství, do nichž by byli zapojeni poskytovatelé služeb a výrobci za účelem výměny informací týkajících se trestných činů v oblasti působnosti této směrnice.
(24)
Je třeba shromažďovat srovnatelné údaje o trestných činech stanovených v této směrnici. Pro získání ucelenější představy o problému kybernetické kriminality a o bezpečnosti sítí a informací na úrovni Unie a pro nalezení účinnějších forem reakce, by relevantní údaje měly být zpřístupněny příslušným specializovaným agenturám a institucím Unie, jako je Europol a agentura ENISA, v souladu s jejich úkoly a informačními potřebami. Členské státy by měly předávat informace o způsobu, jímž pachatelé páchají trestnou činnost, Europolu a jeho Evropskému centru pro boj proti kyberkriminalitě za účelem provedení posouzení hrozeb a strategických analýz kybernetické kriminality v souladu s rozhodnutím Rady 2009/371/SVV ze dne 6. dubna 2009 o zřízení Evropského policejního úřadu (Europol) (4). Poskytování informací může napomoci lepšímu porozumění stávajících budoucích hrozeb, a přispět tak k vhodnějšímu a cílenému rozhodování o boji proti útokům zaměřeným na informační systémy a k jejich předcházení.
(25)
Komise by měla předložit zprávu o uplatňování této směrnice a připojit nezbytné legislativní návrhy, jež by mohly vést k rozšíření její oblasti působnosti, přičemž zohlední vývoj v oblasti kybernetické činnosti kriminality. Tento vývoj by mohl zahrnovat technologický vývoj, který například umožní účinnější prosazování práva v oblasti útoků na informační systémy či usnadní prevenci nebo zmírňování dopadů těchto útoků. Komise by za tímto účelem měla zohlednit dostupné analýzy a zprávy vypracované příslušnými aktéry a zejména Europolem a agenturou ENISA.
(26)
Má-li být boj proti kybernetické kriminalitě účinný, je nutné zvýšit odolnost informačních systémů přijetím vhodných opatření s cílem účinněji je chránit před kybernetickými útoky. Členské státy by měly přijmout opatření nezbytná k ochraně své kritické infrastruktury před kybernetickými útoky, přičemž by v daném rámci měly zvážit ochranu svých informačních systémů a souvisejících údajů. Základní součástí komplexního přístupu účinnému boji proti kybernetické kriminalitě je zajištění odpovídající úrovně ochrany bezpečnosti informačních systémů právnickými osobami, například v souvislosti poskytováním veřejně dostupných služeb elektronických komunikací v souladu se stávajícími právními předpisy Unie v oblasti ochrany soukromí a elektronických komunikací a ochrany údajů. Je třeba poskytnout dostatečnou úroveň ochrany před přiměřeně rozpoznatelnými hrozbami a ochranu zranitelným místům v souladu se stavem techniky v konkrétním odvětví a s ohledem na konkrétní situaci zpracování údajů. Náklady a zátěž vzniklé v souvislosti s touto ochranou by měly odpovídat pravděpodobné výši škody, která by dotčeným subjektům v důsledku kybernetického útoku vznikla. Členské státy se vybízí, aby pro případy, kdy právnická osoba jednoznačně nezajistila odpovídající úroveň ochrany proti kybernetickým útokům, stanovily příslušná opatření k zajištění odpovědnosti podle jejich vnitrostátního práva.
(27)
Výrazné nedostatky a rozdíly v právu a v trestních řízeních členských států v oblasti útoků na informační systémy mohou bránit boji s organizovanou trestnou činností a terorismem a mohou komplikovat efektivní policejní a justiční spolupráci v této oblasti. Z nadnárodní hranicemi neomezené povahy moderních informačních systémů vyplývá, že útoky na tyto systémy mají přeshraniční rozměr, což podtrhuje naléhavou potřebu dalších opatření na sbližování ustanovení trestního práva v této oblasti. Kromě toho by koordinace stíhání případů útoků na informační systémy měla být usnadněna odpovídajícím prováděním uplatňováním rámcového rozhodnutí Rady 2009/948/SVV ze dne 30. listopadu 2009 předcházení kompetenčním sporům při výkonu pravomoci v trestním řízení a jejich řešení (5). Členské státy by ve spolupráci s Unií měly také usilovat o zlepšení mezinárodní spolupráce týkající se bezpečnosti informačních systémů, počítačových sítí a počítačových údajů. V případě jakékoli mezinárodní dohody zahrnující výměnu údajů by měla být věnována řádná pozornost bezpečnosti předávání a uchovávání údajů.
(28)
Lepší spolupráce mezi příslušnými donucovacími orgány a justičními orgány v celé Unii je pro efektivitu boje proti kybernetické kriminalitě nezbytná. V této souvislosti je třeba podpořit zvýšení úsilí s cílem poskytnout příslušným orgánům odpovídající odbornou přípravu v zájmu většího povědomí o kybernetické kriminalitě a jejím dopadu a posílit spolupráci a výměnu osvědčených postupů, například prostřednictvím příslušných specializovaných agentur a institucí Unie. Tato odborná příprava by měla být mimo jiné zaměřena na zvyšování povědomí o odlišnostech jednotlivých vnitrostátních právních řádů, možných právních a technických výzvách v rámci vyšetřování v trestních věcech a o rozdělení pravomocí mezi příslušné vnitrostátní orgány.
(29)
Tato směrnice respektuje lidská práv a základní svobody a ctí zásady uznané zejména Listinou základních práv Evropské unie a Evropskou úmluvou o ochraně lidských práv a základních svobod, včetně ochrany osobních údajů, práva na soukromí, svobody projevu a informací, práva na spravedlivý proces, presumpce neviny a práva na obhajobu i zásady zákonnosti a přiměřenosti trestných činů a trestů. Cílem této směrnice je zejména zajistit plné dodržování těchto práv a zásad a v souladu s nimi musí být provedena.
(30)
Ochrana osobních údajů je jedním ze základních práv podle čl. 16 odst. 1 Smlouvy o fungování Evropské unie a článku 8 Listiny základních práv Evropské unie. Veškeré zpracovávání osobních údajů v souvislosti s prováděním této směrnice by proto mělo být plně v souladu s příslušnými právními předpisy Unie v oblasti ochrany údajů.
(31)
V souladu s článkem 3 Protokolu o postavení Spojeného království a Irska s ohledem na prostor svobody, bezpečnosti a práva, připojeného ke Smlouvě o Evropské unii a ke Smlouvě o fungování Evropské unie, oznámily tyto členské státy své přání účastnit se přijímání a používání této směrnice.
(32)
V souladu s články 1 a 2 Protokolu o postavení Dánska, připojeného ke Smlouvě o Evropské unii a ke Smlouvě o fungování Evropské unie, se Dánsko neúčastní přijímání této směrnice, a tato směrnice pro ně není závazná ani použitelná.
(33)
Jelikož cílů této směrnice, totiž zajistit, aby se na útoky na informační systémy ve všech členských státech vztahovaly účinné, přiměřené a odrazující trestní sankce, a zlepšit a podpořit spolupráci mezi justičními a jinými příslušnými orgány, nemůže být uspokojivě dosaženo na úrovni členských států, a proto jich může být z důvodu jejich rozsahu účinků, lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení těchto cílů.
(34)
Cílem této směrnice je pozměnit a rozšířit působnost ustanovení rámcového rozhodnutí Rady 2005/222/SVV ze dne 24. února 2005 o útocích proti informačním systémům (6). Vzhledem k tomu, že změn, které je třeba provést, je značný počet a jsou podstatné, mělo by být rámcové rozhodnutí 2005/222/SVV v zájmu přehlednosti nahrazeno v plném rozsahu ve vztahu k členským státům, které se účastní přijímání této směrnice,
PŘIJALY TUTO SMĚRNICI:
Článek 1
Předmět
Tato směrnice stanoví minimální pravidla týkající se vymezení trestných činů a sankcí ve vztahu k útokům na informační systémy. Jejím cílem je rovněž usnadnit předcházení těmto trestným činům a zlepšit spolupráci mezi justičními a jinými příslušnými orgány.
Článek 2
Definice
Pro účely této směrnice se rozumí:
a)
„informačním systémem“ jakýkoli přístroj nebo skupina vzájemně propojených nebo přidružených přístrojů, z nichž jeden nebo více provádí na základě programu automatické zpracování počítačových údajů, jakož i počítačové údaje uložené, zpracované, opětovně vyhledané nebo přenesené tímto přístrojem či skupinou přístrojů za účelem jeho či jejich provozu, použití, ochrany a údržby;
b)
„počítačovými údaji“ jakékoli zachycení skutečností, informací nebo pojmů ve formě vhodné ke zpracování informačním systémem, včetně programu vhodného k zajištění provedení některé funkce informačním systémem;
c)
„právnickou osobou“ každý subjekt, který má postavení právnické osoby podle příslušného práva, avšak nejedná se o státy, nebo veřejnoprávní subjekty při výkonu veřejné moci nebo organizace mezinárodního práva veřejného;
d)
„neoprávněným“ jednání uvedené v této směrnici včetně přístupu, zásahu nebo sledování, které není povoleno majitelem či jiným držitelem práv k systému nebo k jeho části nebo které není povoleno vnitrostátním právem.
Článek 3
Neoprávněný přístup k informačním systémům
Členské státy přijmou nezbytná opatření k zajištění toho, aby neoprávněný přístup k celému informačnímu systému nebo k některé jeho části je-li spáchán úmyslně, byl trestným činem, je-li tím porušeno bezpečnostního opatření, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 4
Neoprávněné zasahování do informačních systémů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslné a neoprávněné závažné narušení nebo přerušení fungování informačního systému vložením počítačových údajů či jejich přenosem, poškozením, vymazáním, znehodnocením, pozměněním, potlačením nebo znepřístupněním bylo trestným činem, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 5
Neoprávněné zasahování do údajů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslné a neoprávněné vymazání, poškození, znehodnocení, pozměnění nebo potlačení počítačových údajů v informačním systému, nebo jejich znepřístupnění bylo trestným činem, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 6
Neoprávněné sledování údajů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslné a neoprávněné sledování neveřejných přenosů počítačových údajů do, z nebo uvnitř informačního systému prováděné technickými prostředky, včetně elektromagnetického záření z informačního systému nesoucího takové počítačové údaje, bylo trestným činem, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 7
Nástroje použité k páchání trestných činů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslná výroba, prodej, opatření si k užití, dovoz, distribuce nebo jiné formy zpřístupnění některého z následujících nástrojů byly trestným činem, jsou-li provedeny neoprávněně a se záměrem použít tyto nástroje pro účely spáchání některého z trestných činů uvedených v článcích 3 až 6, a to alespoň tehdy, pokud se nejedná o méně závažný případ:
a)
počítačového programu, který byl vytvořen nebo přizpůsoben prvotně pro účely spáchání některého z trestných činů uvedených v článcích 3 až 6;
b)
počítačového hesla, přístupového kódu nebo obdobných údajů, které umožňují přístup k celému informačnímu systému nebo k jeho části.
Článek 8
Návod, pomoc nebo jiná forma účastenství a pokus
1. Členské státy zajistí trestnost návodu, pomoci či jiné formy účastenství na spáchání trestných činů uvedených v článcích 3 až 7.
2. Členské státy zajistí trestnost pokusu trestných činů uvedených v článcích 4 až 5.
Článek 9
Sankce
1. Členské státy přijmou opatření nezbytná k zajištění toho, aby pro trestné činy uvedené v článcích 3 až 8 byly stanoveny účinné, přiměřené a odrazující trestní sankce.
2. Členské státy přijmou opatření nezbytná k zajištění toho, aby pro trestné činy uvedené v článcích 3 až 7 byl stanoven trest odnětí svobody s horní hranicí trestní sazby nejméně dva roky, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
3. Členské státy přijmou opatření nezbytná k zajištění toho, aby byl pro trestné činy uvedené v článcích 4 a 5 stanoven trest odnětí svobody s horní hranici trestní sazby nejméně tři roky, jsou-li spáchány úmyslně a pokud došlo k útoku s dopadem na velký počet informačních systémů za použití nástroje uvedeného v článku 7, vytvořeného nebo přizpůsobeného prvotně pro tento účel.
4. Členské státy přijmou opatření nezbytná k zajištění toho, aby pro trestné činy uvedené v článcích 4 a 5 byl stanoven trest odnětí svobody s horní hranicí trestní sazby nejméně pět let, pokud:
a)
byly spáchány v rámci zločinného spolčení vymezeného v rámcovém rozhodnutí Rady 2008/841/SVV bez ohledu na trestní sazbu stanovenou v uvedeném rozhodnutí;
b)
jejich spácháním byla způsobena závažná škoda, nebo
c)
byly spáchány proti informačnímu systému kritické infrastruktury.
5. Členské státy přijmou opatření nezbytná k zajištění toho, aby v případě, že trestné činy uvedené v článcích 4 a 5 byly spáchány prostřednictvím zneužití osobních údajů jiné osoby s cílem získat důvěru třetí strany, čímž vznikla újma skutečnému nositeli totožnosti, mohla být tato skutečnost v souladu s vnitrostátním právem považována za přitěžující okolnost, není-li takováto okolnost již zahrnuta ve skutkové podstatě jiného činu, který je podle vnitrostátního práva trestný.
Článek 10
Odpovědnost právnických osob
1. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby mohly být činěny odpovědnými za trestné činy uvedené v článcích 3 až 8, spáchané v jejich prospěch osobou jednající samostatně nebo jako člen orgánu dané právnické osoby, která v rámci této právnické osoby působí ve vedoucím postavení na základě oprávnění:
a)
jednat jménem této právnické osoby;
b)
přijímat rozhodnutí jménem této právnické osoby;
c)
vykonávat kontrolu v rámci této právnické osoby.
2. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby mohly být činěny odpovědnými v případech, kdy nedostatek dohledu nebo kontroly ze strany osoby uvedené v odstavci 1 umožnil spáchání trestných činů uvedených v článcích 3 až 8 ve prospěch této právnické osoby osobou jí podřízenou.
3. Odpovědnost právnických osob podle odstavců 1 a 2 nevylučuje trestní stíhání fyzických osob, které jsou pachateli, návodci, pomocníky či podílníky trestných činů uvedených v článcích 3 až 8.
Článek 11
Sankce vůči právnickým osobám
1. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby odpovědné podle čl. 10 odst. 1 podléhaly účinným, přiměřeným a odrazujícím sankcím, které zahrnují pokuty trestní nebo jiné povahy, a které mohou zahrnovat i jiné sankce, jako například:
a)
zbavení oprávnění pobírat veřejné výhody nebo podpory;
b)
dočasný nebo trvalý zákaz provozování obchodní činnosti;
c)
uložení soudního dohledu;
d)
zrušení této právnické osoby rozhodnutím soudu;
e)
dočasné nebo trvalé uzavření provozoven použitých ke spáchání trestného činu.
2. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby odpovědné podle čl. 10 odst. 2 podléhaly účinným, přiměřeným a odrazujícím sankcím nebo jiným opatřením.
Článek 12
Soudní příslušnost
1. Členské státy stanoví svou soudní příslušnost ve vztahu k trestným činům uvedeným v článcích 3 až 8, které byly spáchány:
a)
zcela nebo částečně na jejich území nebo
b)
jejich státními příslušníky, alespoň v případech, kdy je daný skutek trestným činem v místě, kde byl spáchán.
2. Při stanovení své soudní příslušnosti podle odst. 1 písm. a) členský stát zajistí, aby tato příslušnost zahrnovala případy, kdy:
a)
pachatel spáchal trestný čin v době své fyzické přítomnosti na jeho území, a to bez ohledu na to, zda byl trestný čin namířen proti informačnímu systému na jeho území či nikoli, nebo
b)
trestný čin byl namířen proti informačnímu systému na jeho území, a to bez ohledu na to, zda pachatel spáchal trestný čin v době své fyzické přítomnosti na jeho území či nikoli.
3. Členský stát informuje Komisi, pokud se rozhodne rozšířit soudní příslušnost ve vztahu k trestným činům uvedeným v článcích 3 až 8, které byly spáchány mimo jeho území, mimo jiné pokud:
a)
má pachatel obvyklé bydliště na jeho území nebo
b)
je trestný čin spáchán ve prospěch právnické osoby usazené na jeho území.
Článek 13
Výměna informací
1. Za účelem výměny informací týkajících se trestných činů uvedených v článcích 3 až 8 členské státy zajistí, aby měly k dispozici funkční národní kontaktní místo, a aby využívaly stávající síť funkčních kontaktních míst s nepřetržitým provozem. Členské státy rovněž zajistí, aby byly zavedeny postupy, které příslušnému orgánu v případě naléhavých žádostí o pomoc umožní podat nejpozději osm hodin od obdržení žádosti informaci alespoň o tom, zda bude na žádost o pomoc reagovat, a dále uvést formu a předpokládaný termín této reakce.
2. Členské státy informují Komisi o kontaktních místech uvedených v odstavci 1, která určily. Komise tyto informace předá ostatním členským státům a příslušným specializovaným agenturám a institucím Unie.
3. Členské státy přijmou opatření nezbytná k zajištění toho, aby měly za účelem usnadnění neprodleného oznamování trestných činů uvedených v článcích 3 až 6 příslušné vnitrostátní orgány k dispozici vhodné informační kanály.
Článek 14
Sledování a statistika
1. Členské státy zajistí, aby byl zaveden systém pro záznam, produkci a poskytování statistických údajů o trestných činech uvedených v článcích 3 až 7.
2. Statistické údaje uvedené v odstavci 1 musí zahrnovat alespoň stávající údaje o počtu trestných činů uvedených v článcích 3 až 7 zaznamenaných členskými státy a o počtu osob stíhaných a odsouzených za spáchání trestných činů uvedených v článcích 3 až 7.
3. Údaje shromážděné podle tohoto článku předávají členské státy Komisi. Komise zajistí, že komplexní přehled těchto statistických zpráv bude zveřejněn a předložen příslušným specializovaným agenturám a institucím Unie.
Článek 15
Nahrazení rámcového rozhodnutí 2005/222/SVV
Rámcové rozhodnutí 2005/222/SVV se nahrazuje ve vztahu k členským státům, které se účastní přijímání této směrnice, aniž jsou dotčeny povinnosti členských států týkající se lhůt pro provedení rámcového rozhodnutí ve vnitrostátním právu.
Ve vztahu k členským státům, které se účastní přijímání této směrnice, se odkazy na rámcové rozhodnutí 2005/222/SVV považují za odkazy na tuto směrnici.
Článek 16
Provedení
1. Členské státy uvedou v účinnost právní a správní předpisy nezbytné pro dosažení souladu s touto směrnicí do 4. září 2015.
2. Členské státy předloží Komisi znění vnitrostátních právních předpisů, kterými ve svém vnitrostátním právu provádějí povinnosti, jež pro ně vyplývají z této směrnice.
3. Tyto předpisy přijaté členskými státy musí obsahovat odkaz na tuto směrnici nebo musí být takový odkaz učiněn při jejich úředním vyhlášení. Způsob odkazu si stanoví členské státy.
Článek 17
Podávání zpráv
Do 4. září 2017 předloží Komise Evropskému parlamentu a Radě zprávu, ve které zhodnotí, do jaké míry členské státy přijaly opatření nezbytná k dosažení souladu s touto směrnicí, a případně připojí legislativní návrhy. Komise v této souvislosti rovněž zohlední technický a právní vývoj v oblasti kybernetické kriminality, a to zejména s ohledem na oblast působnosti této směrnice.
Článek 18
Vstup v platnost
Tato směrnice vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
Článek 19
Určení
Tato směrnice je určena členským státům v souladu se Smlouvami.
V Bruselu dne 12. srpna 2013.
DIREKTIVA 2013/40/EU EVROPSKEGA PARLAMENTA IN SVETA
z dne 12. avgusta 2013
o napadih na informacijske sisteme in nadomestitvi Okvirnega sklepa Sveta 2005/222/PNZ
EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA -
ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 83(1) Pogodbe,
ob upoštevanju predloga Evropske komisije,
po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom,
ob upoštevanju mnenja Evropskega ekonomsko-socialnega odbora (1),
v skladu z rednim zakonodajnim postopkom (2),
ob upoštevanju naslednjega:
(1)
Cilji te direktive so z uvedbo minimalnih pravil glede opredelitve kaznivih dejanj in zadevnih sankcij na področju napadov na informacijske sisteme približati kazensko pravo držav članic ter izboljšati sodelovanje med pristojnimi organi, vključno s policijo in drugimi specializiranimi službami kazenskega pregona držav članic, pa tudi med pristojnimi specializiranimi agencijami in organi Unije, kot so Eurojust, Europol z evropskim centrom za kibernetski kriminal in Evropska agencija za varnost omrežij in informacij (ENISA).
(2)
Informacijski sistemi so ključnega pomena za politično, družbeno in gospodarsko sodelovanje v Uniji. Družba je zelo in vedno bolj odvisna od tovrstnih sistemov. Nemoteno delovanje in varnost teh sistemov v Uniji sta bistvena za razvoj notranjega trga ter konkurenčnega in inovativnega gospodarstva. Zagotavljanje ustrezne ravni zaščite informacijskih sistemov bi moralo biti del učinkovitega celostnega okvira preventivnih ukrepov, ki spremljajo kazenskopravne ukrepe proti kibernetskemu kriminalu.
(3)
Napadi na informacijske sisteme in zlasti napadi, povezani z organiziranim kriminalom, so vedno večja grožnja v Uniji in po svetu, vedno večja pa je tudi zaskrbljenost zaradi možnosti terorističnih ali politično motiviranih napadov na informacijske sisteme, ki so del kritične infrastrukture držav članic in Unije. To ogroža uresničevanje ciljev varnejše informacijske družbe ter območja svobode, varnosti in pravice, zato zahteva odziv na ravni Unije ter boljše sodelovanje in usklajevanje na mednarodni ravni.
(4)
V Uniji je nekaj kritičnih infrastruktur, katerih okvara ali uničenje bi imela resne čezmejne posledice. Zahteva po povečanju zmogljivosti za zaščito kritične infrastrukture v Uniji kaže na to, da bi morali biti ukrepi proti kibernetskim napadom dopolnjeni s strogimi kaznimi, ki bi odražale resnost teh napadov. Kritično infrastrukturo bi se lahko razumelo kot zmogljivost, sistem ali njegov del, ki se nahaja v državah članicah in je bistven za vzdrževanje osnovnih družbenih funkcij, zdravja, varnosti, zaščite, gospodarske ali družbene blaginje ljudi, kot so elektrarne, prometna omrežja ter vladna omrežja, in katerega okvara ali uničenje bi imelo zaradi nezmožnosti vzdrževanja teh funkcij v državi članici resne posledice.
(5)
Kažejo se težnje k vedno bolj nevarnim in ponavljajočim se obsežnim napadom na informacijske sisteme, ki so lahko pogosto ključni za države ali za posebne funkcije v javnem ali zasebnem sektorju. Te težnje spremlja razvoj vedno bolj izpopolnjenih metod, kot sta vzpostavitev in uporaba tako imenovanih „botnetov“, kar vključuje več faz kaznivega dejanja, pri čemer lahko vsaka faza zase močno ogrozi javni interes. V tej zvezi je namen te direktive tudi uvedba kazni za vzpostavitev „botneta“, in sicer ko je s ciljno usmerjenimi kibernetskimi napadi nad znatnim številom računalnikov vzpostavljen nadzor na daljavo in so ti okuženi z zlonamerno programsko opremo. Kasneje se okužena mreža računalnikov, ki sestavljajo „botnet“, lahko brez vednosti njihovih uporabnikov aktivira za kibernetski napad velikega obsega, ki je navadno zmožen povzročiti resno škodo, kakor je navedeno v tej direktivi. Države članice lahko v skladu s svojo nacionalno zakonodajo in prakso opredelijo, kaj pomeni resna škoda, kot je prekinitev sistemskih storitev velikega javnega pomena, povzročitev velikih finančnih stroškov ali izguba osebnih podatkov ali občutljivih informacij.
(6)
Kibernetski napadi velikega obsega lahko povzročijo znatno gospodarsko škodo tako zaradi prekinitve delovanja informacijskih sistemov in komunikacij kot tudi zaradi izgube ali spremembe gospodarsko pomembnih zaupnih ali drugih podatkov. Posebno pozornost bi bilo treba nameniti ozaveščanju inovativnih malih in srednjih podjetij o grožnjah, povezanih s tovrstnimi napadi in njihova ranljivosti ob tovrstnih napadih, saj so ta vedno bolj odvisna od ustreznega delovanja in razpoložljivosti informacijskih sistemov in imajo pogosto omejena sredstva za informacijsko varnost.
(7)
Skupne opredelitve na tem področju so pomembne za zagotovitev skladnega pristopa v državah članicah k uporabi te direktive.
(8)
Treba je doseči skupni pristop k sestavnim elementom kaznivih dejanj z uvedbo skupnih opredelitev za kazniva dejanja nezakonitega dostopa do informacijskega sistema, nezakonitega poseganja v sisteme, nezakonitega poseganja v podatke in nezakonitega prestrezanja podatkov.
(9)
Prestrezanje vključuje, vendar ni nujno omejeno na, poslušanje, spremljanje ali nadzor vsebine sporočil in pridobitev vsebine podatkov bodisi neposredno z dostopom v informacijski sistem in njegovo uporabo bodisi posredno z uporabo elektronskega prisluškovanja ali tehničnih naprav za prisluškovanje.
(10)
Države članice bi morale določiti kazni za napade na informacijske sisteme. Te kazni bi morale biti učinkovite, sorazmerne in odvračilne ter vključevati zaporno in/ali denarne kazni.
(11)
Ta direktiva določa kazni vsaj za primere, ki niso majhnega pomena. Države članice lahko v skladu s svojim nacionalnim pravom in prakso določijo, kaj je primer majhnega pomena. Posamezni primer lahko šteje za primer majhnega pomena, kadar sta škoda, ki jo povzroči dejanje, in/ali tveganje za javni ali zasebni interes, kot so integriteta računalniškega sistema ali računalniških podatkov ali integriteta, pravice ali drugi interesi posameznika, zanemarljiva ali takšna, da naložitev kazni v okviru zakonskega praga ali uvedba kazenske odgovornosti nista potrebna.
(12)
Identifikacija ter prijava groženj in tveganj, ki jih povzročijo kibernetski napadi, ter s tem povezana ranljivost informacijskih sistemov so pomembni element za učinkovito preprečevanje kibernetskih napadov in odzivanja nanje ter izboljšanja varnosti informacijskih sistemov. K temu bi lahko prispevale tudi spodbude za prijavo varnostnih vrzeli. Države članice bi si morale prizadevati, da zagotovijo možnosti za zakonito odkrivanje in prijavo varnostnih vrzeli.
(13)
Ustrezno je uvesti strožje kazni za napade na informacijske sisteme, ki jih izvede hudodelska združba, kakor je opredeljena v Okvirnem sklepu Sveta 2008/841/PNZ z dne 24. oktobra 2008 o boju proti organiziranemu kriminalu (3), kadar je napad obsežen in zato prizadene znatno število informacijskih sistemov, tudi kadar je namen napada ustvariti „botnet“ali kadar kibernetski napad povzroči resno škodo, tudi kadar se napad izvede prek „botneta“. Ustrezno je predvideti tudi strožje kazni za primere, ko gre za napad na kritično infrastrukturo držav članic ali Unije.
(14)
Vzpostavitev učinkovitih ukrepov proti kraji identitete in drugim kaznivim dejanjem, povezanim z identiteto, je prav tako pomemben element celovitega pristopa k boju proti kibernetski kriminaliteti. Pri ocenjevanju potrebe po celovitem horizontalnem instrumentu Unije bi lahko razmislili tudi o morebitni potrebi po ukrepu na ravni Unije proti tovrstnim kaznivim dejanjem.
(15)
Iz Sklepov Sveta z dne 27. do 28. novembra 2008 izhaja, da bi morale države članice in Komisija oblikovati novo strategijo, pri tem pa upoštevati vsebino Konvencije Sveta Evrope o kibernetski kriminaliteti iz leta 2001. Ta konvencija je referenčni pravni okvir za boj proti kibernetski kriminaliteti, vključno z napadi na informacijske sisteme. Ta direktiva nadgrajuje to konvencijo. Vse države članice bi morale prednostno in čim prej zaključiti postopek ratifikacije te konvencije.
(16)
Glede na različne možne načine izvajanja napadov ter hiter razvoj strojne in programske opreme se ta direktiva sklicuje na „orodja“, ki se lahko uporabijo za storitev kaznivih dejanj, določenih v tej direktivi. Tovrstna orodja bi lahko vključevala zlonamerna programska oprema, vključno s tisto, s katero se lahko ustvarijo „botneti“, ki se uporabljajo za kibernetske napade. Tudi kadar so tovrstna orodja primerna ali še posebej primerna za storitev enega od kaznivih dejanj, določenih v tej direktivi, so bila morda izdelana za zakonit namen. Z namenom, da se izogne kriminalizaciji, kadar so bila tovrstna orodja proizvedena in dana na trg za zakonite namene, kot je preverjanje zanesljivosti produktov informacijske tehnologije ali varnosti informacijskih sistemov, v takem primeru ni dovolj, da ima oseba splošni naklep, ampak mora imeti neposreden naklep, da se ta orodja uporabijo za storitev enega ali več od kaznivih dejanj, določenih v tej direktivi.
(17)
Ta direktiva ne uvaja kazenske odgovornosti, kadar so izpolnjene objektivna merila kaznivih dejanj, določenih v tej direktivi, vendar dejanja niso storjena naklepno, na primer, če oseba ne ve, da dostop ni dovoljen, ali v primeru pooblaščenega preverjanja ali zaščite informacijskih sistemov, na primer kadar podjetje ali prodajalec osebi naloži, naj preveri odpornost varnostnega sistema. V okviru te direktive pogodbene obveznosti ali dogovori za omejitev dostopa do informacijskih sistemov s pogoji uporabe ali pogoji opravljanja storitve, kakor tudi delovni spori v zvezi z dostopom do informacijskih sistemov delodajalca in njihovo uporabo v zasebne namene, ne povzročijo kazenske odgovornosti, kadar bi se dostop pod takšnimi pogoji štel za nepooblaščenega in bi to pomenilo edino podlago za sodni postopek. Ta direktiva ne posega v pravico dostopa do informacij, kot je določena v nacionalnem pravu in pravu Unije, hkrati pa ne sme služiti kot opravičilo za nezakonit ali arbitraren dostop do informacij.
(18)
Kibernetski napad lahko olajšajo različne okoliščine, na primer kadar ima storilec dostop do varnostnih sistemov, ki so del prizadetih informacijskih sistemov v okviru svoje zaposlitve. Take okoliščine bi bilo treba - kot je primerno - v okviru nacionalnega prava ustrezno upoštevati v sodnih postopkih.
(19)
Države članice bi morale v skladu z veljavnimi predpisi v zvezi z obteževalnimi okoliščinami, določenimi v njihovem pravnem sistemu, v svojem nacionalnem pravu predvideti obteževalne okoliščine. Zagotoviti bi morale, da lahko sodniki te obteževalne okoliščine upoštevajo ob izrekanju kazni storilcem kaznivih dejanj. Sodnik ohrani diskrecijsko pravico, da te okoliščine presodi skupaj z drugimi dejstvi v konkretnem primeru.
(20)
Ta direktiva ne ureja pogojev za izvrševanje sodno pristojnost za katero koli v njej navedeno kaznivo dejanje, kot je prijava, ki jo opravi žrtev v kraju, kjer je bilo kaznivo dejanje storjeno, prijava, ki jo opravi država, v kateri je bilo kaznivo dejanje storjeno, ali dejstvo, da storilec ni bil sodno preganjan v kraju, kjer je bilo kaznivo dejanje storjeno.
(21)
V okviru te direktive so države ter javni organi še naprej polno zavezani, da v skladu z obstoječimi mednarodnimi obveznostmi zagotavljajo spoštovanje človekovih pravic in temeljnih svoboščin.
(22)
Ta direktiva krepi pomen mrež, kot sta mreža kontaktnih točk držav G8 ali Sveta Evrope, ki so dosegljive 24 ur na dan in vse dni v tednu. Te kontaktne točke bi morale biti zmožne zagotavljati učinkovito pomoč in tako olajšati na primer izmenjavo razpoložljivih zadevnih informacij in zagotavljanje tehničnih nasvetov ali pravnih informacij za preiskave ali postopke v zvezi s kaznivimi dejanji, povezanimi z informacijskimi sistemi in zadevnimi podatki, ki zadevajo državo članico prosilko. Da se zagotovi nemoteno delovanje omrežij, bi morala vsaka kontaktna točka imeti zmožnost, da po pospešenem postopku komunicira s kontaktno točko druge države članice, pri čemer bi imela med drugim na voljo usposobljeno osebje in ustrezno opremo. Glede na hitrost, s katero je mogoče izvesti kibernetske napade velikega obsega, bi morale biti države članice sposobne zagotoviti hiter odziv na nujne zahtevke te mreže kontaktnih točk. V takih primerih bi bilo morda smiselno, da se v zahtevku za informacije navede telefonski kontakt, da lahko zaprošena država članica zahtevek hitro obravnava in v osmih urah tudi odgovori.
(23)
Sodelovanje javnih organov na eni z zasebnim sektorjem in s civilno družbo na drugi strani je velikega pomena pri preprečevanju napadov na informacijske sisteme in boju proti njim. Treba je spodbujati in izboljšati sodelovanje med ponudniki storitev, proizvajalci, organi pregona in sodnimi organi, pri tem pa dosledno spoštovati načelo pravne države. Tovrstno sodelovanje lahko vključuje pomoč ponudnikov storitev v smislu ohranjanja morebitnih dokazov, zagotavljanja elementov, ki omogočajo prepoznavanje storilcev, ter, kot zadnjo možnost, popolne ali delne prekinitve delovanja informacijskih sistemov ali funkcij, ki so bili ogroženi ali uporabljeni v nezakonite namene, v skladu z nacionalnim pravom in prakso. Države članice bi morale razmisliti tudi o vzpostavitvi omrežij za sodelovanje in partnerstvo s ponudniki storitev in proizvajalci za namene izmenjave informacij o kaznivih dejanjih, ki spadajo v področje uporabe te direktive.
(24)
Treba je zbrati primerljive podatke o kaznivih dejanjih, določenih v tej direktivi. Zadevne podatke bi bilo treba dati na voljo pristojnim specializiranim agencijam in organom Unije, kot sta Europol in ENISA, v skladu z njihovimi nalogami in informacijskimi potrebami, da bi dobili jasnejšo sliko problema kibernetske kriminalitete ter varnosti omrežij in informacij na ravni Unije in tako prispevali k oblikovanju učinkovitejšega odziva. Države članice bi morale Europolu in njegovemu evropskemu centru za kibernetski kriminal posredovati informacije o načinu delovanja storilcev, da bi se lahko izvedla ocena nevarnosti in strateška analiza kibernetske kriminalitete v skladu s Sklepom Sveta 2009/371/PNZ z dne 6. aprila 2009 o ustanovitvi Evropskega policijskega urada (Europol) (4). Zagotavljanje informacij lahko pripomore k boljšemu razumevanju sedanjih in prihodnjih groženj in tako prispeva k ustreznejšemu in ciljnemu odločanju o preprečevanju napadov na informacijske sisteme in boju proti njim.
(25)
Komisija bi morala predložiti poročilo o uporabi te direktive in potrebne zakonodajne predloge, ki bi lahko razširili področje njene uporabe, pri tem pa upoštevati razvoj na področju kibernetske kriminalitete. Tovrsten razvoj bi lahko pomenil kakršen koli tehnološki razvoj, ki bi omogočil na primer učinkovitejši pregon napadov na informacijske sisteme ali lajšal preprečevanje oziroma blažil učinke takih napadov. V ta namen bi morala Komisija upoštevati razpoložljive analize in poročila zadevnih akterjev, zlasti Europola in ENISA.
(26)
Za učinkovit boj proti kibernetski kriminaliteti je treba sprejeti ustrezne ukrepe za izboljšanje odpornosti informacijskih sistemov, da se jih učinkoviteje zaščiti pred kibernetskimi napadi. Države članice bi morale sprejeti potrebne ukrepe za zaščito informacijskih sistemov, ki so del njihove kritične infrastrukture pred kibernetskimi napadi, v okviru katerih bi morale razmisliti o zaščiti svojih informacijskih sistemov in s tem povezanih podatkov. Bistveni element celovitega pristopa k učinkovitemu boju proti kibernetski kriminaliteti je tudi zagotavljanje ustrezne ravni zaščite in varnosti informacijskih sistemov s strani pravnih oseb, na primer pri zagotavljanju javno dostopnih elektronskih komunikacijskih storitev v skladu z veljavno zakonodajo Unije o zasebnosti in elektronskih komunikacijah ter varstvu podatkov. Proti razumno opredeljivim grožnjam in ranljivostim bi bilo treba zagotoviti ustrezne ravni zaščite, v skladu z najsodobnejšo tehnologijo za posamezne sektorje in konkretnimi okoliščinami obdelave podatkov. Stroški in breme take zaščite bi morali biti sorazmerni z verjetno škodo, ki bi jo prizadetim povzročil kibernetski napad. Države članice se spodbuja, da v okviru nacionalnega prava določijo ustrezne ukrepe, ki vključujejo odgovornost v primerih, ko pravna oseba očitno ne zagotovi ustrezne ravni zaščite pred kibernetskimi napadi.
(27)
Velike vrzeli in razlike v zakonodaji in kazenskih postopkih držav članic na področju napadov na informacijske sisteme lahko ovirajo boj proti organiziranemu kriminalu in terorizmu ter otežijo učinkovito policijsko in pravosodno sodelovanje na tem področju. Nadnacionalna in brezmejna narava sodobnih informacijskih sistemov pomeni, da imajo napadi na takšne sisteme čezmejno razsežnost, zato so dodatni ukrepi za približevanje kazenskega prava na tem področju nujni. Dodatno bi moralo ustrezno izvajanje in uporaba Okvirnega sklepa Sveta 2009/948/PNZ z dne 30. novembra 2009 o preprečevanju in reševanju sporov o izvajanju pristojnosti v kazenskih postopkih (5) olajšati usklajevanje pregona primerov napadov na informacijske sisteme. Države članice bi si morale v sodelovanju z Unijo prizadevati tudi za izboljšanje mednarodnega sodelovanja v zvezi z varnostjo informacijskih sistemov, računalniških omrežij in računalniških podatkov. V vsakem mednarodnem dogovoru, ki vključuje izmenjavo podatkov, bi bilo treba ustrezno pozornost nameniti varnosti prenosa in hrambe podatkov.
(28)
Izboljšano sodelovanje med pristojnimi organi kazenskega pregona in sodnimi organi v Uniji je bistvenega pomena za učinkovit boj proti kibernetski kriminaliteti. V tem okviru bi bilo treba spodbujati odločnejša prizadevanja, da se pristojnim organom zagotovi ustrezno usposabljanje, da bi izboljšali razumevanje kibernetske kriminalitete in njenih učinkov ter spodbudili sodelovanje in izmenjavo najboljših praks, na primer prek pristojnih specializiranih agencij in organov Unije. Tovrstno usposabljanje bi moralo med drugim biti namenjeno ozaveščanju o različnih nacionalnih pravnih sistemih, o morebitnih pravnih in o tehničnih izzivih v okviru kazenskih preiskav ter razdelitvi pristojnosti med zadevnimi nacionalnimi organi.
(29)
Ta direktiva zagotavlja spoštovanje človekovih pravic in temeljnih svoboščin ter načel, ki jih priznavata zlasti Listina Evropske unije o temeljnih pravicah ter Evropska konvencija o varstvu človekovih pravic in temeljnih svoboščin, vključno z varstvom osebnih podatkov, pravico do zasebnosti, pravicama do svobode izražanja in informiranja, pravico do pravičnega sojenja, načelom domneve nedolžnosti, pravico do obrambe ter tudi načeloma zakonitosti in sorazmernosti kaznivih dejanj in kazni. Namen te direktive je zlasti zagotoviti dosledno spoštovanje navedenih pravic in načel, zato jo je treba ustrezno izvajati.
(30)
Varstvo osebnih podatkov je temeljna pravica v skladu s členom 16(1) PDEU in členom 8 Listine Evropske unije o temeljnih pravicah. Zato bi morala biti vsaka obdelava osebnih podatkov v okviru izvajanja te direktive povsem v skladu z zadevnim pravom Unije o varstvu podatkov.
(31)
V skladu s členom 3 Protokola o stališču Združenega kraljestva in Irske glede območja svobode, varnosti in pravice, ki je priložen Pogodbi o Evropski uniji in Pogodbi o delovanju Evropske unije, sta obe državi članici podali uradno obvestilo, da želita sodelovati pri sprejetju in uporabi te direktive.
(32)
V skladu s členoma 1 in 2 Protokola o stališču Danske, ki je priložen Pogodbi o Evropski uniji in Pogodbi o delovanju Evropske unije, Danska ne sodeluje pri sprejetju te direktive, ki zato zanjo ni zavezujoča in se v njej ne uporablja.
(33)
Ker ciljev te direktive, in sicer zagotoviti, da so za napade na informacijske sisteme v vseh državah članicah predpisane učinkovite, sorazmerne in odvračilne kazni, ter izboljšati in spodbujati pravosodno sodelovanje, države članice ne morejo zadovoljivo doseči in ker se te cilje lažje doseže na ravni Unije, lahko Unija sprejme ukrepe v skladu z načelom subsidiarnosti iz člena 5 Pogodbe o Evropski uniji. V skladu z načelom sorazmernosti iz navedenega člena ta direktiva ne presega tistega, kar je potrebno za doseganje navedenih ciljev.
(34)
Namen te direktive je spremeniti in razširiti določbe Okvirnega sklepa Sveta 2005/222/PNZ z dne 24. februarja 2005 o napadih na informacijske sisteme (6). Ker so spremembe vsebinske in jih je veliko, bi bilo treba za tiste države članice, ki sodelujejo pri sprejetju te direktive, Okvirni sklep 2005/222/PNZ zaradi jasnosti v celoti nadomestiti -
SPREJELA NASLEDNJO DIREKTIVO:
Člen 1
Predmet urejanja
Ta direktiva določa minimalna pravila glede opredelitve kaznivih dejanj in sankcije na področju napadov na informacijske sisteme. Poleg tega je njen cilj preprečiti taka dejanja in izboljšati sodelovanje med pravosodnimi in drugimi pristojnimi organi.
Člen 2
Opredelitev pojmov
Za namene te direktive se uporabljajo naslednje opredelitve pojmov:
(a)
„informacijski sistem“ pomeni napravo ali skupino med seboj povezanih ali sorodnih naprav, od katerih ena ali več ob uporabi programa opravlja samodejno obdelavo računalniških podatkov, kakor tudi računalniške podatke, ki so shranjeni, obdelani, pridobljeni ali se po tej napravi ali skupini naprav prenašajo zaradi njenega ali njihovega delovanja, uporabe, varovanja in vzdrževanja;
(b)
„računalniški podatki“ pomeni predstavitev dejstev, informacij ali konceptov v obliki, primerni za obdelavo v informacijskem sistemu, vključno s programom, ki lahko informacijskemu sistemu omogoči, da opravlja svojo funkcijo;
(c)
„pravna oseba“ pomeni subjekt, ki ima status pravne osebe po veljavni zakonodaji, vendar ne vključuje držav članic, tretjih držav ali drugih javnih organov, ki izvajajo javna pooblastila, ali javnih mednarodnih organizacij;
(d)
„neupravičeno“ pomeni ravnanje iz te direktive, vključno z dostopom, poseganjem ali prestrezanjem, ki ga ni odobril lastnik ali drugi imetnik pravice do sistema ali dela sistema, ali ki ni dovoljeno po nacionalnem pravu.
Člen 3
Nezakonit dostop do informacijskih sistemov
Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da se v primeru naklepnega ravnanja neupravičen dostop do celotnega informacijskega sistema ali katerega koli njegovega dela kaznuje kot kaznivo dejanje, kadar je to storjeno s kršitvijo varnostnega ukrepa, vsaj v primerih, ki niso majhnega pomena.
Člen 4
Nezakonito poseganje v sistem
Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da se resno oviranje ali prekinjanje delovanja informacijskega sistema, storjeno naklepno in neupravičeno, z vnašanjem računalniških podatkov, s prenašanjem, poškodovanjem, brisanjem, slabšanjem, spreminjanjem, preprečevanjem ali onemogočanjem dostopa do računalniških podatkov, kaznuje kot kaznivo dejanje, vsaj v primerih, ki niso majhnega pomena.
Člen 5
Nezakonito poseganje v podatke
Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da se brisanje, poškodovanje, slabšanje, spreminjanje, preprečevanje ali onemogočanje dostopa do računalniških podatkov v informacijskem sistemu, storjeno naklepno in neupravičeno, kaznuje kot kaznivo dejanje, vsaj v primerih, ki niso majhnega pomena.
Člen 6
Nezakonito prestrezanje
Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da se naklepno in neupravičeno tehnično prestrezanje zasebnih prenosov računalniških podatkov v informacijski sistem, iz ali znotraj njega, vključno z elektromagnetnimi emisijami iz informacijskega sistema, po katerih se taki računalniški podatki prenašajo, kaznuje kot kaznivo dejanje, vsaj v primerih, ki niso majhnega pomena.
Člen 7
Orodja, ki se uporabljajo za izvedbo kaznivih dejanj
Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da se kaznuje kot kaznivo dejanje vsaj v primerih, ki niso majhnega pomena, naklepna izdelava, prodaja, naročilo za uporabo, uvoz, distribucija ali drugo dajanje na voljo enega od navedenih orodij, če je storjeno neupravičeno in z namenom, da se uporabi za katero koli kaznivo dejanje iz členov 3 do 6:
(a)
računalniški program, zasnovan ali prilagojen predvsem za namene storitve katerega koli kaznivega dejanja iz členov 3 do 6;
(b)
računalniško geslo, koda za dostop ali podobni podatki, s katerimi je mogoč dostop do celotnega informacijskega sistema ali katerega koli njegovega dela.
Člen 8
Spodbujanje, pomoč in podpiranje ter poskus
1. Države članice zagotovijo, da se spodbujanje k, ali pomoč in podpiranje storitve kaznivega dejanja iz členov 3 do 7 kaznuje kot kaznivo dejanje.
2. Države članice zagotovijo, da se poskus storitve kaznivega dejanja iz členov 4 in 5 kaznuje kot kaznivo dejanje.
Člen 9
Kazni
1. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da so za kazniva dejanja iz členov 3 do 8 predpisane učinkovite, sorazmerne in odvračilne kazni.
2. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da se kazniva dejanja iz členov 3 do 7 kaznujejo z najvišjo zaporno kaznijo najmanj dveh let, vsaj za primere, ki niso majhnega pomena.
3. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da se kazniva dejanja iz členov 4 in 5 kaznujejo z najvišjo zaporno kaznijo najmanj treh let, če so bila storjena naklepno in prizadenejo znatno število informacijskih sistemov z uporabo orodja iz člena 7, zasnovanega ali prilagojenega predvsem za ta namen.
4. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da se kazniva dejanja iz členov 4 in 5 kaznujejo z najvišjo zaporno kaznijo najmanj pet let, kadar:
(a)
so storjena v okviru hudodelske združbe, kot je opredeljena v Okvirnem sklepu 2008/841/PNZ, ne glede na višino kazni, navedeno v Okvirnem sklepu;
(b)
povzročijo resno škodo, ali
(c)
so storjena nad informacijskim sistemom kritične infrastrukture.
5. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da se v primeru kaznivih dejanj iz členov 4 in 5, ki so storjena z zlorabo osebnih podatkov druge osebe z namenom, da se pridobi zaupanje tretje osebe, in oškoduje zakoniti lastnik identitete, lahko to v skladu z zadevnimi določbami nacionalnega prava šteje za obteževalne okoliščine, razen če so te okoliščine že zajete v drugem kaznivem dejanju, ki se kaznuje na podlagi nacionalnega prava.
Člen 10
Odgovornost pravnih oseb
1. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da so lahko pravne osebe odgovorne za kazniva dejanja iz členov 3 do 8, ki jih je v njihovo korist, samostojno ali kot član organa pravne osebe, storila katera koli oseba na vodilnem položaju te pravne osebe, in sicer na podlagi:
(a)
pooblastila za zastopanje pravne osebe;
(b)
pristojnosti za sprejemanje odločitev v imenu pravne osebe;
(c)
pristojnosti za opravljanje nadzora znotraj pravne osebe.
2. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da so lahko pravne osebe odgovorne, če je oseba iz odstavka 1 s pomanjkljivim nadzorom ali kontrolo omogočila, da je oseba, ki je podrejena tej pravni osebi, v njeno korist storila katero koli kaznivo dejanje iz členov 3 do 8.
3. Odgovornost pravnih oseb iz odstavkov 1 in 2 ne izključuje kazenskih postopkov proti fizičnim osebam, ki so storilci, napeljevalci ali sostorilci katerega koli kaznivega dejanja iz členov 3 do 8.
Člen 11
Sankcije za pravne osebe
1. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da so za pravno osebo, odgovorno v skladu s členom 10(1), predpisane učinkovite, sorazmerne in odvračilne sankcije, ki vključujejo denarne kazni po kazenskem ali drugem pravu, in lahko vključujejo tudi drugačne sankcije, kot so:
(a)
izključitev iz upravičenosti do državnih ugodnosti ali pomoči;
(b)
začasno ali stalno prepoved opravljanja poslovnih dejavnosti;
(c)
uvedbo sodnega nadzora;
(d)
sodno likvidacijo;
(e)
začasno ali trajno zaprtje poslovalnic, ki so bile uporabljene za storitev kaznivega dejanja.
2. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da so za pravno osebo, odgovorno v skladu s členom 10(2), predpisane učinkovite, sorazmerne in odvračilne sankcije ali drugi ukrepi.
Člen 12
Sodna pristojnost
1. Države članice imajo sodno pristojnost za kazniva dejanja iz členov 3 do 8, če:
(a)
so bila ta v celoti ali delno storjena na njihovem ozemlju, ali
(b)
jih je storil eden od njihovih državljanov, vsaj v primerih, kadar dejanje velja za kaznivo dejanje na kraju, kjer je bilo storjeno.
2. Pri ugotavljanju sodne pristojnosti v skladu s točko (a) odstavka 1 država članica zagotovi, da ima sodno pristojnost, kadar:
(a)
storilec stori kaznivo dejanje, ko je fizično prisoten na njenem ozemlju, ne glede na to, ali gre za dejanje zoper informacijski sistem na njenem ozemlju, ali
(b)
gre za kaznivo dejanje zoper informacijski sistem na njenem ozemlju, ne glede na to, ali storilec stori kaznivo dejanje, ko je fizično prisoten na njenem ozemlju.
3. Država članica obvesti Komisijo, če se odloči, da bo uveljavila pristojnost za kaznivo dejanje iz členov 3 do 8, storjeno zunaj njenega ozemlja, vključno kadar:
(a)
ima storilec običajno prebivališče na njenem ozemlju, ali
(b)
je kaznivo dejanje storjeno v korist pravne osebe s sedežem na njenem ozemlju.
Člen 13
Izmenjava informacij
1. Za namene izmenjave informacij o kaznivih dejanjih iz členov 3 do 8 države članice zagotovijo, da imajo delujočo nacionalno kontaktno točko, in uporabljajo obstoječo mrežo operativnih kontaktnih točk, ki so na voljo 24 ur na dan in vse dni v tednu. Države članice tudi zagotovijo, da so vzpostavljeni postopki, da lahko v primeru nujnih zahtevkov za pomoč, lahko pristojni organ v največ osmih urah po prejemu navede vsaj, ali bo na zahtevo za pomoč odgovoril, ter v kakšni obliki in predvidoma v kolikšnem času.
2. Države članice obvestijo Komisijo o svojih kontaktnih točkah iz odstavka 1. Komisija informacijo posreduje drugim državam članicam ter pristojnim specializiranim agencijam in organom Unije.
3. Države članice sprejmejo potrebne ukrepe, s katerimi zagotovijo, da so na voljo ustrezni kanali za prijavo, ki olajšajo pravočasno prijavo kaznivih dejanj iz členov 3 do 6 pristojnim nacionalnim organom.
Člen 14
Spremljanje in statistika
1. Države članice zagotovijo, da je vzpostavljen sistem za beleženje, pripravo in predložitev statističnih podatkov o kaznivih dejanjih iz členov 3 do 7.
2. Statistični podatki iz odstavka 1 zajemajo vsaj obstoječe podatke o številu kaznivih dejanj iz členov 3 do 7, ki so jih evidentirale države članice, in številu oseb, ki so bile zaradi storitve kaznivih dejanj iz členov 3 do 7 sodno preganjane in obsojene.
3. Države članice pošljejo Komisiji podatke, zbrane na podlagi tega člena. Komisija zagotovi objavo zbirnega pregleda teh statističnih poročil in ga predloži pristojnim specializiranim agencijam in organom Unije.
Člen 15
Nadomestitev Okvirnega sklepa 2005/222/PNZ
Okvirni sklep 2005/222/PNZ se nadomesti za države članice, ki sodelujejo pri sprejetju te direktive, ne glede na obveznosti držav članic v zvezi z rokom za prenos Okvirnega sklepa v nacionalno zakonodajo.
V zvezi z državami članicami, ki sodelujejo pri sprejetju te direktive, se sklicevanja na Okvirni sklep 2005/222/PNZ štejejo kot sklicevanja na to direktivo.
Člen 16
Prenos
1. Države članice najpozneje do 4. septembra 2015 sprejmejo zakone in druge predpise, potrebne za uskladitev s to direktivo.
2. Države članice Komisiji predložijo besedilo ukrepov, ki v njihovo nacionalno zakonodajo prenašajo obveznosti iz te direktive.
3. Ko države članice sprejmejo navedene ukrepe, se sklicujejo na to direktivo ali pa ta sklic navedejo ob njihovi uradni objavi. Način sklicevanja določijo države članice.
Člen 17
Poročanje
Komisija do 4. septembra 2017 Evropskemu parlamentu in Svetu predloži poročilo, v katerem oceni, v kolikšni meri so države članice sprejele potrebne ukrepe za uskladitev s to direktivo, ter po potrebi priloži zakonodajne predloge. Komisija upošteva tudi tehnični in pravni razvoj na področju kibernetske kriminalitete, zlasti glede na področje uporabe te direktive.
Člen 18
Začetek veljavnosti
Ta direktiva začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.
Člen 19
Naslovniki
Ta direktiva je naslovljena na države članice v skladu s Pogodbama.
V Bruslju, 12. avgusta 2013