ДИРЕКТИВА 2013/40/ЕС НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 12 август 2013 година
относно атаките срещу информационните системи и за замяна на Рамково решение 2005/222/ПВР на Съвета
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 83, параграф 1 от него,
като взеха предвид предложението на Европейската комисия,
след предаване на проекта на законодателния акт на националните парламенти,
като взеха предвид становището на Европейския икономически и социален комитет (1),
в съответствие с обикновената законодателна процедура (2),
като имат предвид, че:
(1)
Целите на настоящата директива са да се сближи наказателното право на държавите членки в сферата на атаките срещу информационните системи посредством установяването на минимални правила относно определението на престъпленията и определянето на съответните наказания и да подобри сътрудничеството между компетентните органи, включително полицията и други специализирани правоприлагащи органи на държавите членки, както и компетентните специализирани агенции и органи на Съюза, като Евроюст, Европол и Европейския център по киберпрестъпност към него, както и Европейската агенция за мрежова и информационна сигурност (ENISA).
(2)
Информационните системи представляват ключов елемент от политическото, социалното и икономическото взаимодействие в Съюза. Все по-често и в по-голяма степен обществото зависи от тези системи. Безпроблемното функциониране и сигурността на тези системи в Съюза са от жизненоважно значение за развитието на вътрешния пазар и на конкурентоспособна и иновационна икономика. Осигуряването на подходящи равнища на защита на информационните системи следва да бъде част от цялостна ефективна рамка за превантивни мерки, съпътстваща реакцията на наказателното право спрямо киберпрестъпността.
(3)
Атаките срещу информационните системи, и по-специално атаките, свързани с организираната престъпност, представляват засилваща се опасност както в Съюза, така и в световен мащаб, а съществува и растяща загриженост от вероятни атаки по терористични или политически подбуди срещу информационните системи, които са част от критичната инфраструктура на държавите членки и на Съюза. Това представлява заплаха за постигането на едно по-безопасно информационно общество и за изграждането на пространство на свобода, сигурност и правосъдие, и следователно налага ответна реакция на равнището на Съюза, а също така и по-добра координация и сътрудничество на международно равнище.
(4)
В Съюза съществува определен брой критични инфраструктури, чието нарушаване или унищожаване би имало значителни трансгранични последици. От необходимостта да се подобрят способностите за защита на критичните инфраструктури в Съюза става ясно, че мерките срещу кибератаките следва да бъдат допълнени от строги наказателни санкции, отразяващи тежестта на подобни атаки. Като критична инфраструктура могат да се разглеждат разположени в държавите членки елемент, система или части от нея, които са от основно значение за поддържането на жизненоважни обществени функции, здравето, безопасността, сигурността, икономическото или социалното благосъстояние на населението. като електроцентрали, транспортни мрежи или правителствени мрежи, и чието нарушаване или унищожаване би имало значителни последици в дадената държава членка в резултат на невъзможността да се запазят тези функции.
(5)
Има доказателства за наличието на тенденция към все по-опасни и повтарящи се широкомащабни атаки срещу информационните системи, които често могат да бъдат от решаващо значение за държавите членки или за определени функции в публичния или частния сектор. Тази тенденция е придружена от разработката на все по-усъвършенствани методи, като например създаването и използването на така наречените „ботнети“, които се състоят от няколко етапа на престъпното деяние, при които всеки етап поотделно би могъл да създаде сериозен риск за обществения интерес. Настоящата директива има за цел, inter alia, да въведе наказания за създаването на ботнет, по-конкретно за акта на установяване на контрол от разстояние върху значителен брой компютри посредством заразяването им със зловреден софтуер чрез целенасочени кибератаки. Веднъж създадена, заразената мрежа от компютри, която представлява ботнетът, може да бъде активирана без знанието на потребителите на компютрите, за да извърши широкомащабна кибератака, която обикновено е в състояние да причини сериозни вреди, както е посочено в настоящата директива. Държавите членки следва да могат да определят кое представлява сериозна вреда съгласно националното право и практика, като например нарушаване на системни услуги от важно обществено значение или причиняване на сериозни финансови разходи или загуба на лични данни или чувствителна информация.
(6)
Широкомащабните кибератаки могат да предизвикат съществени икономически вреди както поради прекъсването на информационните системи и комуникации, така и поради загуба или промяна на важна от търговска гледна точка поверителна информация или други данни. Особено внимание следва да се обърне на повишаването на осведомеността на иновативните малки и средни предприятия за заплахи, свързани с подобни атаки, и тяхната уязвимост на такива атаки, тъй като тези предприятия зависят във все по-голяма степен от правилното функциониране и наличност на информационните системи и често разполагат с ограничени ресурси за информационна сигурност.
(7)
Приемането на общи определения в тази област е важно, за да се осигури последователен подход в държавите членки при прилагането на настоящата директива.
(8)
Необходимо е да бъде постигнат общ подход към елементите, съставляващи престъпления, чрез въвеждането на общи престъпления, като незаконния достъп до информационни системи, незаконната намеса в такива системи, незаконната намеса в данни и незаконното прихващане.
(9)
Прихващането включва, но не се ограничава непременно до подслушването, проследяването или наблюдението на съдържанието на съобщения и достигането до съдържанието на данни с технически средства пряко, чрез достъп до информационни системи и тяхното използване, или непряко, чрез използване на електронно подслушване или подслушвателни устройства.
(10)
Държавите членки следва да предвидят наказания за атаките срещу информационните системи. Предвидените наказания следва да бъдат ефективни, пропорционални и възпиращи и следва да включват лишаване от свобода и/или глоби.
(11)
Настоящата директива предвижда наказания най-малкото за случаите, които не се считат за маловажни. Държавите членки следва да могат да решат какво представлява маловажен случай в зависимост от своето национално право и практика. Даден случай може да се счете за маловажен например ако причинените от престъплението вреди и/или рискът, който то поражда за публичните или частните интереси, като например по отношение на целостта на компютърната система или компютърните данни или по отношение на неприкосновеността, правата или други интереси на дадено лице, са незначителни или от такова естество, че не е необходимо да се налага наказание в съответните предвидени в правните разпоредби предели или да се налага наказателна отговорност.
(12)
Установяването и докладването на заплахи, произтичащи от кибератаки, както и на свързаната с тях уязвимост на информационните системи са важни елементи, които имат отношение към ефективната превенция и реакция на кибератаките и към повишаването на сигурността на информационните системи. Осигуряването на стимули за докладване на пропуски по отношение на сигурността би могло да допринесе допълнително за постигането на тези цели. Държавите членки следва да полагат усилия за предоставянето на възможности за откриването в правен аспект и докладването на пропуски по отношение на сигурността.
(13)
Целесъобразно е да се предвидят по-строги наказания, когато атаката срещу дадена информационна система е извършена от престъпна организация съгласно определението в Рамково решение 2008/841/ПВР на Съвета от 24 октомври 2008 г. относно борбата с организираната престъпност (3), когато атаката е широкомащабна и е засегнала значителен брой информационни системи или е причинила сериозни щети, включително когато целта на атаката е създаването на ботнет или когато кибератаката е причинила сериозни вреди, включително когато е извършена посредством ботнет. Също така е целесъобразно да се предвидят по-строги наказания, когато атаката е извършена срещу критична инфраструктура на държавите членки или на Съюза.
(14)
Друг съществен елемент от интегрирания подход срещу киберпрестъпността представлява установяването на ефективни мерки срещу кражбата на самоличност и други престъпления, засягащи самоличността. Евентуалната нужда от действия на Съюза във връзка с този вид престъпно поведение може да се разглежда и в контекста на оценката доколко е необходим цялостен хоризонтален инструмент на Съюза.
(15)
В заключенията на Съвета от 27-28 ноември 2008 г. се посочва, че следва да се разработи нова стратегия с участието на държавите членки и Комисията, като се вземе предвид съдържанието на Конвенцията на Съвета на Европа от 2001 г. за престъпления в кибернетичното пространство. Тази конвенция е референтната правна рамка за борба с престъпленията в кибернетичното пространство, включително и с атаките срещу информационните системи. Настоящата директива се основава на споменатата конвенция. Като приоритет следва да се разглежда приключването на процеса на ратификация на тази конвенция от всички държави членки във възможно най-кратък срок.
(16)
Като се имат предвид различните начини, по които могат да бъдат извършени атаките, и с оглед на бързите промени в хардуера и софтуера, в настоящата директива се съдържа позоваване на „инструментите“, които могат да бъдат използвани за извършване на престъпленията, изброени в нея. Тези инструменти включват зловредния софтуер, включително този, с който могат да се създават ботнети, използвани за извършване на кибератаки. Макар и даден инструмент да бъде подходящ или дори да бъде особено подходящ за извършването на някое от престъпленията, предвидени в настоящата директива, възможно е той да е бил произведен със законна цел, като например за изпитване на надеждността на продукти на информационните технологии или на сигурността на информационни системи. В подобен случай не е достатъчно дадено лице да има общ умисъл за осъществяване на обективните критерии на някое от престъпленията, предвидени в настоящата директива, а то трябва да има пряк умисъл да използва инструментите за извършването на едно или повече от престъпленията, предвидени в настоящата директива.
(17)
Настоящата директива не налага наказателна отговорност в случаите, когато са изпълнени обективните критерии за престъпленията, изброени в настоящата директива, но деянията са извършени без престъпно намерение, като например при незнание, че достъпът не е разрешен, или при възложено изпитване или защита на информационните системи, например когато дружество или продавач възложи на дадено лице изпитването на устойчивостта на системата му за сигурност. В контекста на настоящата директива договорните задължения или споразуменията за ограничаване на достъпа до информационни системи посредством правила за потребителите или условия за използване на услугата, както и трудовите спорове във връзка с достъпа до информационни системи на работодателя и използването им за лични цели не следва да водят до наказателна отговорност, когато достъпът при такива обстоятелства се счита за неразрешен и това представлява единственото основание за наказателно производство. Настоящата директива не засяга правото на достъп до информация, установено в националното законодателство и законодателството на Съюза, като същевременно тя не може да се използва като оправдание за незаконен или произволен достъп до информация.
(18)
Редица обстоятелства могат да улеснят извършването на кибератаки, като например случаите, когато извършителят, в рамките на своята трудова заетост, има достъп до системите за сигурност, които са част от засегнатите информационни системи. В контекста на националното право такива обстоятелства следва да бъдат отчетени в подходяща степен в хода на наказателното производство.
(19)
Държавите членки следва да предвидят в националното си право квалифициращи обстоятелства в съответствие с приложимите правила, предвидени в техните правни системи относно квалифициращите обстоятелства. Те следва да гарантират, че съдиите разполагат с възможност да разглеждат тези квалифициращи обстоятелства при осъждането на извършителите. Съдията по своя преценка оценява тези обстоятелства заедно с останалите факти по конкретния случай.
(20)
Настоящата директива не урежда условията за упражняване на компетентност над което и да било от посочените в нея престъпления, например съобщаване от страна на жертвата на мястото, където е извършено престъплението, съобщаване от страна на държавата на мястото, където е извършено престъплението, или факта, че извършителят не е наказателно преследван на мястото, където е извършено престъплението.
(21)
В контекста на настоящата директива държавите членки и третите държави, както и техните публичните органи продължават в пълна степен да бъдат задължени да гарантират зачитането на правата на човека и основните свободи в съответствие със съществуващите задължения в Съюза и международни задължения.
(22)
С настоящата директива се засилва значението на мрежите, като мрежите на Г-8 или Съвета на Европа, съставени от звена за контакт, които са на разположение 24 часа в денонощието и седем дни в седмицата. Тези звена за контакт следва да бъдат в състояние да осигуряват ефективна помощ и по този начин да улесняват например обмена на подходяща налична информация и предоставянето на технически съвети или правна информация за целите на разследванията или производствата по престъпления, отнасящи се до информационните системи, и свързаните данни, с участието на молещата държава членка. За да се осигури гладкото функциониране на мрежите, всяко звено за контакт следва да разполага с капацитет за бързо свързване със звено за контакт на друга държава членка с помощта на, inter alia, обучен и оборудван персонал. Като се има предвид бързината, с която могат да бъдат извършени широкомащабни кибератаки, държавите членки следва да са в състояние да реагират незабавно на спешни искания, отправени по тази мрежа от звена за контакт. В подобни случаи може да бъде наложително искането за информация да се придружава от телефон за връзка, за да се гарантира, че замолената държава членка ще обработи своевременно искането и обратната информация ще бъде предоставена в рамките на осем часа.
(23)
Сътрудничеството между публичните органи, от една страна, и частния сектор и гражданското общество, от друга, е от голямо значение за превенцията и борбата с атаките срещу информационните системи. Необходимо е да се насърчава и подобрява сътрудничеството между доставчиците на услуги, производителите, правоприлагащите и съдебните органи при пълно зачитане на принципите на правовата държава. Сътрудничеството би могло да включва съдействие от доставчиците на услуги за оказване на помощ за съхраняване на евентуални доказателства, за предоставяне на елементи, които да спомогнат за идентифицирането на извършителите, и като крайна мярка, частичното или пълното спиране в съответствие с националното право и практика на информационните системи или функции, които са били засегнати или използвани за незаконни цели. Държавите членки следва да обмислят също създаването на мрежи за сътрудничество и партньорство с доставчиците на услуги и производителите за обмен на информация във връзка с престъпленията, които попадат в обхвата на настоящата директива.
(24)
Необходимо е да се събират съпоставими данни за престъпленията, посочени в настоящата директива. Съответните данни следва да се предоставят на компетентните специализирани агенции и органи на Съюза, като Европол и ЕNISA, в съответствие със задачите и информационните им потребности, за да се добие по-цялостна представа за проблема с киберпрестъпността и мрежовата и информационна сигурност на равнището на Съюза и по този начин се допринесе за изготвянето на по-ефективна реакция. Държавите членки следва да предоставят на Европол и Европейския център по киберпрестъпност към него информация за начина на действие на извършителите, за да се извършат оценка на заплахите и стратегически анализи на киберпрестъпността в съответствие с Решение 2009/371/ПВР на Съвета от 6 април 2009 г. за създаване на Европейска полицейска служба (Европол) (4). Предоставянето на информация може да улесни по-доброто разбиране на настоящите и бъдещите заплахи, като допринесе за по-подходящо и целенасочено вземане на решения относно борбата с атаките срещу информационните системи и тяхното предотвратяване.
(25)
Комисията следва да представи доклад за прилагането на настоящата директива и ако е необходимо, да направи законодателни предложения, които може да доведат до разширяване на нейния обхват, отчитайки промените в областта на киберпрестъпността. Тези промени могат да включват технологично развитие, като например такова, което позволява по-ефективно правоприлагане в областта на атаките срещу информационните системи или улеснява предотвратяването на подобни атаки или смекчаването на последиците от тях. За тази цел Комисията следва да вземе под внимание наличните анализи и доклади, изготвени от съответните заинтересовани страни, и по-специално от Европол и ENISA.
(26)
С цел ефективна борба с престъпленията в кибернетичното пространство е необходимо също така да се повиши устойчивостта на информационните системи с предприемането на подходящи мерки за по-ефективната им защита от кибератаки. Държавите членки следва да предприемат необходимите мерки за защита от кибератаки на информационните системи, които представляват част от тяхната критична инфраструктура, и следва да обмислят защитата на информационните системи и свързаните данни като част от тази защита. Осигуряването на подходящо равнище на защита и сигурност на информационните системи от юридически лица, например във връзка с предоставянето на общественодостъпни електронни съобщителни услуги в съответствие с действащото законодателство на Съюза относно неприкосновеността на личния живот, електронните съобщения и защитата на данните, представлява съществена част от цялостния подход за ефективна борба срещу киберпрестъпността. Следва да се осигуряват подходящи равнища на защита срещу заплахи и уязвимости, които могат да бъдат разумно идентифицирани, в съответствие със съвременните постижения в конкретните сектори и предвид конкретните ситуации, свързани с обработването на данни. Разходите и тежестта по осигуряване на такава защита следва да бъдат пропорционални на вероятните вреди, които евентуална кибератака може да причини на засегнатите лица. Държавите членки се насърчават да предвидят в националното си право подходящи мерки, водещи до отговорност, за случаите, когато юридическо лице явно не е осигурило подходящо равнище на защита срещу кибератаки.
(27)
Значителните пропуски и различия в законите и наказателните производства на държавите членки в областта на атаките срещу информационните системи могат да възпрепятстват борбата срещу организираната престъпност и тероризма, а също така да усложнят ефективното полицейско и съдебно сътрудничество в тази област. Транснационалният характер на съвременните информационни системи, които функционират отвъд националните граници, предполага, че атаките срещу тези системи имат трансгранично измерение, което показва още веднъж спешната необходимост от осъществяване на допълнителни действия за сближаване на наказателното право в тази област. Освен това координирането на наказателното преследване по дела за атаки срещу информационни системи следва да бъде улеснено с подходящото изпълнение и прилагане на Рамково решение 2009/948/ПВР на Съвета от 30 ноември 2009 г. относно предотвратяване и уреждане на спорове за упражняване на компетентност при наказателни производства (5). В сътрудничество със Съюза държавите членки следва също да се стремят към подобряване на международното сътрудничество, свързано със сигурността на информационните системи, компютърните мрежи и данни. При всяко международно споразумение, включващо обмен на данни, следва надлежно да се разгледа сигурността на прехвърлянето и съхраняването на данните.
(28)
По-доброто сътрудничество между компетентните правоприлагащи и съдебни органи в Съюза е изключително важно за ефективната борба срещу престъпленията в кибернетичното пространство. Във връзка с това следва да се насърчава активизирането на усилията за осигуряване на подходящо обучение за съответните органи, за да се подобри разбирането за киберпрестъпността и нейните последици, и за стимулиране на сътрудничеството и обмена на най-добри практики, например чрез компетентните специализирани агенции и органи на Съюза. Целта на подобно обучение, inter alia, следва да бъде повишаването на осведомеността за различните национални правни системи, евентуалните правни и технически предизвикателства при наказателни разследвания и разпределението на области на компетентност между съответните национални органи.
(29)
В настоящата директива следва да се зачитат правата на човека и основните свободи и да се съблюдават принципите, признати по-специално в Хартата на основните права на Европейския съюз и Европейската конвенция за защита на правата на човека и основните свободи, включително защитата на личните данни, правото на личен живот, свободата на изразяване и на информация, правото на справедлив съдебен процес, презумпцията за невиновност и правото на защита, както и принципите на законност и пропорционалност между престъплението и наказанието. По-специално настоящата директива има за цел да осигури пълното спазване на тези права и принципи и трябва да бъде прилагана в съответствие с това.
(30)
Защитата на личните данни е основно право в съответствие с член 16, параграф 1 от ДФЕС и член 8 от Хартата на основните права на Европейския съюз. Ето защо всяко обработване на лични данни при изпълнението на настоящата директива следва изцяло да зачита съответното законодателство на Съюза относно защитата на данните, прието въз основа на Договорите.
(31)
В съответствие с член 3 от Протокола относно позицията на Обединеното кралство и Ирландия по отношение на пространството на свобода, сигурност и правосъдие, приложен към Договора за Европейския съюз и Договора за функционирането на Европейския съюз, посочените държави членки са уведомили за желанието си да вземат участие в приемането и прилагането на настоящата директива.
(32)
В съответствие с членове 1 и 2 от Протокола относно позицията на Дания, приложен към Договора за Европейския съюз и Договора за функционирането на Европейския съюз, Дания не участва в приемането на настоящата директива и следователно не е обвързана от нея, нито от нейното прилагане.
(33)
Доколкото целите на настоящата директива, а именно да обвърже атаките срещу информационните системи във всички държави членки с ефективни, пропорционални и възпиращи наказания, както и да подобри и насърчи сътрудничеството между съдебните и други компетентни органи, не могат да бъдат постигнати в достатъчна степен от държавите членки и затова поради техния обхват и последици могат да бъдат по-добре постигнати на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящата директива не надхвърля необходимото за постигането на тези цели.
(34)
Настоящата директива има за цел да измени и разшири обхвата на разпоредбите на Рамково решение 2005/222/ПВР на Съвета от 24 февруари 2005 г. относно атаките срещу информационните системи (6). Тъй като измененията, които трябва да се направят, са значителни по брой и естество, за по-голяма яснота Рамково решение 2005/222/ПВР следва да бъде изцяло заменено по отношение на държавите членки, участващи в приемането на настоящата директива,
ПРИЕХА НАСТОЯЩАТА ДИРЕКТИВА:
Член 1
Предмет
Настоящата директива установява минимални правила за определянето на престъпленията и наказанията в областта на атаките срещу информационните системи. Тя има за цел също да способства за предотвратяването на тези престъпления и да подобри сътрудничеството между съдебните и други компетентни органи.
Член 2
Определения
За целите на настоящата директива се прилагат следните определения:
а)
„информационна система“ означава устройство или група от взаимосвързани или сходни устройства, едно или повече от които, съобразно дадена програма, извършват автоматизирана обработка на компютърни данни, както и компютърните данни, съхранявани, обработвани, извличани или предавани от такова устройство или група от устройства с цел оперирането с тези данни и използването, защитата и поддръжката им;
б)
„компютърни данни“ означава представяне на факти, информация или понятия във форма, поддаваща се на обработка в информационни системи, включително и програма, която е в състояние да направи така, че дадена информационна система да изпълни определена функция;
в)
„юридическо лице“ означава всяко образувание, притежаващо статут на юридическо лице съгласно приложимото право, с изключение на държави членки, трети държави или други публични органи при упражняване на държавна власт, както и на публични международни организации;
г)
„неправомерно“ означава поведение, което не е разрешено от собственика или от друг притежатели на права върху системата или част от нея, или не е позволено по силата на националното право.
Член 3
Незаконен достъп до информационни системи
Държавите членки предприемат необходимите мерки, за да гарантират, че когато е извършен умишлено, неправомерният достъп до цялата информационна система или до части от нея е наказуем като престъпление, когато е извършен чрез нарушаване на мярка за сигурност, поне в случаите, които не се считат за маловажни.
Член 4
Незаконна намеса в система
Държавите членки предприемат необходимите мерки, за да гарантират, че сериозното възпрепятстване или спиране на функционирането на информационна система чрез въвеждане на компютърни данни, пренасяне, увреждане, изтриване, влошаване, променяне или скриване на такива данни или спиране на достъпа до компютърни данни, когато е извършено умишлено и неправомерно, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни.
Член 5
Незаконна намеса в данни
Държавите членки предприемат необходимите мерки, за да гарантират, че изтриването, увреждането, влошаването, променянето, скриването на компютърни данни в дадена информационна система или спирането на достъпа до такива данни, когато е извършено умишлено и неправомерно, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни.
Член 6
Незаконно прихващане
Държавите членки предприемат необходимите мерки, за да гарантират, че извършеното с технически средства прихващане на непублични компютърни данни, изпращани до дадена информационна система, от нея или в нейните рамки, включително електромагнитните емисии от информационна система, пренасящи такива компютърни данни, когато е извършено умишлено и неправомерно, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни.
Член 7
Инструменти, използвани за извършване на престъпления
Държавите членки предприемат необходимите мерки, за да гарантират, че умишленото производство, продажба, набавяне за употреба, внос, разпространяване или друга форма на предоставяне на някой от следните инструменти, когато е извършено неправомерно и с намерение да се използва за извършването на което и да било от престъпленията, посочени в членове 3-6, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни:
а)
компютърна програма, проектирана или адаптирана главно с цел извършване на което и да било от престъпленията, посочени в членове 3-6;
б)
компютърна парола, код за достъп или други подобни данни, с чиято помощ може да се получи достъп до цялата информационна система или до част от нея.
Член 8
Подбудителство, помагачество и опит за извършване на престъпление
1. Държавите членки гарантират, че подбудителството или помагачеството за извършване на някое от престъпленията, посочени в членове 3-7, е наказуемо като престъпление.
2. Държавите членки гарантират, че опитът за извършване на престъпление, посочено в членове 4 и 5, е наказуем като престъпление.
Член 9
Наказания
1. Държавите членки предприемат необходимите мерки, за да гарантират, че престъпленията, посочени в членове 3-8, са наказуеми с ефективни, пропорционални и възпиращи наказания.
2. Държавите членки предприемат необходимите мерки, за да гарантират, че престъпленията, посочени в членове 3-7, се наказват с лишаване от свобода с максимален срок не по-малко от две години, поне в случаите, които не се считат за маловажни.
3. Държавите членки предприемат необходимите мерки, за да гарантират, че когато са извършени умишлено и когато значителен брой информационни системи са били засегнати посредством използването на инструмент, посочен в член 7, проектиран или адаптиран главно за тази цел, посочените в членове 4 и 5 престъпления се наказват с лишаване от свобода с максимален срок не по-малко от три години.
4. Държавите членки предприемат необходимите мерки, за да гарантират, че престъпленията, посочени в членове 4 и 5, се наказват с лишаване от свобода с максимален срок не по-малко от пет години, когато:
а)
те са извършени в рамките на престъпна организация съгласно определението в Рамково решение 2008/841/ПВР, независимо от размера на наказанието, предвидено в него; или
б)
те са причинили сериозни вреди; или
в)
те са извършени срещу информационна система, която е част от критична инфраструктура.
5. Държавите членки предприемат необходимите мерки, за да гарантират, че когато престъпленията, посочени в членове 4 и 5, са извършени чрез злоупотреба с лични данни на друго лице, за да се спечели доверието на трето лице, и по този начин са нанесени вреди на законния собственик на самоличността, това може да се разглежда съгласно националното право като квалифициращо обстоятелство, освен ако тези обстоятелства не са вече част от друго престъпление, което е наказуемо съгласно националното право.
Член 10
Отговорност на юридическите лица
1. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическите лица могат да бъдат подведени под отговорност за престъпленията, посочени в членове 3-8, извършени в тяхна полза от лице, което действа самостоятелно или като част от орган на юридическото лице и което заема ръководна длъжност в това юридическо лице, въз основа на едно от следните:
а)
пълномощие да представлява юридическото лице;
б)
правомощие да взема решения от името на юридическото лице;
в)
правомощие да упражнява контрол в рамките на юридическото лице.
2. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическите лица могат да бъдат подведени под отговорност, когато липсата на надзор или контрол от страна на лице, посочено в параграф 1, е направила възможно извършването от негово подчинено лице на някое от престъпленията, посочени в членове 3-8, в полза на това юридическо лице.
3. Отговорността на юридическите лица съгласно параграфи 1 и 2 не изключва образуването на наказателни производства срещу физически лица, които са извършители, подбудители или съучастници в престъпленията, посочени в членове 3-8.
Член 11
Санкции спрямо юридически лица
1. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическо лице, подведено под отговорност съгласно член 10, параграф 1, подлежи на санкции, които са ефективни, пропорционални и възпиращи, включват глоби по наказателното право или друг вид глоби и може да включват други санкции, като например:
а)
лишаване от правото да се ползва от публични облаги или помощи;
б)
временно или постоянно лишаване от правото да упражнява търговска дейност;
в)
поставяне под съдебен надзор;
г)
съдебна ликвидация;
д)
временно или постоянно затваряне на структури, използвани за извършване на престъплението.
2. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическо лице, подведено под отговорност съгласно член 10, параграф 2, подлежи на ефективни, пропорционални и възпиращи санкции или други мерки.
Член 12
Компетентност
1. Държавите членки установяват компетентността си по отношение на престъпленията, посочени в членове 3-8, когато престъплението е извършено:
а)
изцяло или отчасти на тяхната територия; или
б)
от един от техните граждани, поне в случаите, когато деянието се явява престъпление на мястото, където е извършено.
2. При установяването на компетентност в съответствие с параграф 1, буква а) дадената държава членка гарантира, че тя има компетентност, когато:
а)
извършителят извършва престъплението, когато се намира физически на нейната територия, независимо дали престъплението е насочено срещу информационна система, намираща се на нейна територия; или
б)
престъплението е насочено срещу информационна система, намираща се на нейната територия, независимо дали извършителят се намира физически на нейна територия, когато го извършва.
3. Дадена държава членка уведомява Комисията, когато реши да установи компетентност по отношение на престъпления, посочени в членове 3-8, извършени извън нейната територия, включително когато:
а)
извършителят има обичайно местопребиваване на нейната територия; или
б)
престъплението е извършено в полза на юридическо лице, установено на нейната територия.
Член 13
Обмен на информация
1. За целите на обмена на информация, свързана с престъпленията, посочени в членове 3-8, държавите членки осигуряват наличието на оперативно национално звено за контакт и използват съществуващата мрежа от оперативни звена за контакт, които са на разположение 24 часа в денонощието и седем дни в седмицата. Държавите членки гарантират също, че разполагат с процедури, чрез които в случай на спешно искане за съдействие компетентният орган в рамките най-много на 8 часа от получаването посочва поне дали на искането за помощ ще бъде отговорено, както и формата и приблизителното време за отговор.
2. Държавите членки информират Комисията за определеното от тях звено за контакт, посочено в параграф 1. Комисията съобщава тази информация на останалите държави членки и на компетентните специализирани агенции и органи на Съюза.
3. Държавите членки предприемат необходимите мерки, за да гарантират наличието на подходящи канали за докладване с цел да се улесни докладването без необосновано забавяне на компетентните национални органи за престъпления, посочени в членове 3-6.
Член 14
Контрол и статистика
1. Държавите членки гарантират наличието на система за записване, производство и предоставяне на статистически данни за престъпленията, посочени в членове 3-7.
2. Статистическите данни, посочени в параграф 1, като минимум включват съществуващите данни относно броя на посочените в членове 3-7 престъпления, които са регистрирани от държавите членки, както и броя на лицата, срещу които е възбудено наказателно преследване и които са осъдени за престъпления, посочени в членове 3-7.
3. Държавите членки предават на Комисията събраните по настоящия член данни. Комисията прави необходимото консолидираният преглед на тези статистически отчети да бъде публикуван и представен на компетентните специализирани агенции и органи на Съюза.
Член 15
Замяна на Рамково решение 2005/222/ПВР
Рамково решение 2005/222/ПВР се заменя по отношение на държавите членки, които участват в приемането на настоящата директива, без да се засягат задълженията на тези държави членки във връзка със сроковете за транспониране на Рамковото решение в националното право.
По отношение на държавите членки, които участват в приемането на настоящата директива, позоваванията на Рамково решение 2005/222/ПВР се считат за позовавания на настоящата директива.
Член 16
Транспониране
1. Държавите членки въвеждат в сила законовите, подзаконовите и административните разпоредби, необходими, за да се съобразят с настоящата директива, до 4 септември 2015 г.
2. Държавите членки съобщават на Комисията текста на мерките, с които се транспонират в националното им право задълженията, наложени им с настоящата директива.
3. Когато държавите членки приемат тези мерки, в тях се съдържа позоваване на настоящата директива или то се придружава от подобно позоваване при официалното им публикуване. Условията и редът на позоваване се определят от държавите членки.
Член 17
Докладване
До 4 септември 2017 г. Комисията представя на Европейския парламент и на Съвета доклад за оценка на степента, в която държавите членки са предприели необходимите мерки, за да се съобразят с настоящата директива, придружен при необходимост от законодателни предложения. Комисията отчита също техническото и правното развитие в областта на киберпрестъпността, по-специално по отношение на обхвата на настоящата директива.
Член 18
Влизане в сила
Настоящата директива влиза в сила на двадесетия ден след публикуването ѝ в Официален вестник на Европейския съюз.
Член 19
Адресати
Адресати на настоящата директива са държавите членки в съответствие с Договорите.
Съставено в Брюксел на 12 август 2013 година.
AZ EURÓPAI PARLAMENT ÉS A TANÁCS 2013/40/EU IRÁNYELVE
(2013. augusztus 12.)
az információs rendszerek elleni támadásokról és a 2005/222/IB tanácsi kerethatározat felváltásáról
AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,
tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 83. cikke (1) bekezdésére,
tekintettel az Európai Bizottság javaslatára,
a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően,
tekintettel az Európai Gazdasági és Szociális Bizottság véleményére (1),
rendes jogalkotási eljárás keretében (2),
mivel:
(1)
Ezen irányelv célja, hogy a bűncselekmények tényállására és vonatkozó szankcióikra vonatkozó minimumszabályok megállapítása révén közelítse a tagállamok büntetőjogát az információs rendszerek elleni támadások terén, és hogy javítsa a tagállamok illetékes hatóságai, így a rendőrség és az egyéb bűnüldözési szakszolgálatok, valamint az Unió illetékes szakosított ügynökségei és szervei - például az Eurojust, az Europol és annak a számítástechnikai bűnözés elleni európai központja, valamint az Európai Hálózat- és Információbiztonsági Ügynökség (ENISA) - közötti együttműködést.
(2)
Az információs rendszerek a politikai, a társadalmi és a gazdasági interakció kulcstényezői az Unióban. A társadalom nagy- és egyre növekvő mértékben függ e rendszerektől. E rendszerek zökkenőmentes működése és biztonsága az Unióban létfontosságú a belső piac és a versenyképes és innovatív gazdaság fejlődése szempontjából. Az információs rendszerek megfelelő szintű védelmének biztosítása részét kell, hogy képezze a számítástechnikai bűnözésre adott büntetőjogi válaszokat kísérő megelőző intézkedések hatékony és átfogó keretének.
(3)
Az Unióban és világszinten egyaránt növekvő veszélyt jelentenek az információs rendszerek elleni támadások és különösen a szervezett bűnözéshez kapcsolódó támadások, valamint egyre nagyobb aggodalmat okoz a tagállamok és az Unió kritikus infrastruktúrájának részét képező információs rendszerek elleni terror- vagy politikai indíttatású támadások lehetősége. Ez veszélyezteti a biztonságosabb információs társadalom, valamint a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség megvalósítását, ezért uniós szinten kell fellépni ellene, nemzetközi szinten pedig jobb együttműködésre és koordinációra van szükség.
(4)
Az Unióban számos olyan kritikus infrastruktúra van, amelyek működési zavara vagy megsemmisítése több tagállamban is komoly következményekkel járna. A kritikus infrastruktúra védelmére irányuló uniós képességek növelésének igényéből nyilvánvalóvá vált, hogy az informatikai támadások elleni intézkedéseket olyan szigorú büntetőjogi szankcióknak kell kiegészíteniük, amelyek tükrözik az ilyen támadások súlyosságát. Kritikus infrastruktúra alatt a tagállamokban található azon eszközöket, rendszereket, illetve azok részeit lehetne érteni, amelyek elengedhetetlenek a létfontosságú társadalmi feladatok, az egészségügy, a biztonság, a védelem, valamint az emberek gazdasági és szociális jólétének fenntartásához - ilyenek például az erőművek, a közlekedési hálózatok és a kormányzati hálózatok -, és amelyek megzavarása vagy megsemmisítése e feladatok folyamatos ellátásának hiánya miatt jelentős következményekkel járna valamely tagállamban.
(5)
Bizonyított az olyan, egyre veszélyesebb, ismétlődő és átfogó támadások előfordulása, amelyeket a tagállamok szempontjából, vagy a köz- és magánszféra bizonyos feladatai tekintetében gyakran kulcsfontossággal bíró információs rendszerek ellen intéznek. Ezt a tendenciát egyre kifinomultabb módszerek megjelenése, például az ún. „botnetek” létrehozása és használata kíséri, ami egy bűncselekmény több szakaszát foglalja magában, amely szakaszok külön-külön is komoly veszélyt jelenthetnek a közérdekre. Ennek az irányelvnek többek között az a célja, hogy büntetőjogi szankciókat állapítson meg a botnetek létrehozására, vagyis azon cselekményre vonatkozóan, amellyel célzott informatikai támadások révén jelentős számú számítógép felett veszik át a távvezérelt irányítást oly módon, hogy rosszindulatú számítástechnikai programokkal fertőzik meg őket. A botnetként működő fertőzött számítógép-hálózat létrehozását követően a számítógépek tulajdonosainak tudta nélkül aktiválható, hogy olyan átfogó informatikai támadást hajtsanak végre róla, amely az ezen irányelvben említetteknek megfelelően általában súlyos károkat képes okozni. A tagállamok számára lehetővé kell tenni annak meghatározását, hogy nemzeti joguk és gyakorlatuk alapján mi minősül súlyos kárnak, amilyen például a fontos és közérdekű rendszerszolgáltatások megzavarása, jelentős költségek okozása, vagy személyes adatok, illetve különleges adatokinformációk elvesztése.
(6)
Az átfogó informatikai támadások jelentős gazdasági károkat okozhatnak, az információs rendszerek és a kommunikáció megszakítása, valamint a kereskedelmi szempontból fontos bizalmas információ vagy más adatok elvesztése, illetve megváltoztatása révén. Különös figyelmet kell fordítani az innovatív kis- és középvállalkozások ilyen támadások veszélyeivel kapcsolatos tájékozottságának növelésére, valamint az említett vállalkozások ilyen támodásokkal szembeni sebezhetőségére, mivel e vállalkozások nagymértékben függnek az információs rendszerek megfelelő működésétől és hozzáférhetőségétől, az információbiztonságra fordítható forrásaik pedig sok esetben korlátozottak.
(7)
A tagállamok ezen irányelv alkalmazására vonatkozó következetes megközelítésének biztosítása érdekében fontosak a közös fogalommeghatározások e területen.
(8)
Közös megközelítést kell kialakítani a bűncselekmények tényállási elemeire vonatkozóan az információs rendszerhez való jogosulatlan hozzáférés, a rendszereket, illetve adatokat érintő jogellenes beavatkozás, valamint a jogellenes adatszerzés egységesen meghatározott bűncselekménytípusainak bevezetése révén.
(9)
Adatszerzés különösen a kommunikáció tartalmának lehallgatása, ellenőrzése vagy figyelemmel kísérése és az adattartalmak közvetlenül, az információs rendszerhez való hozzáférés és az információs rendszer használata által történő, vagy közvetetten, elektronikus megfigyelő vagy lehallgató eszközök révén történő megszerzése.
(10)
A tagállamoknak szankciókat kell megállapítaniuk az információs rendszerek elleni támadások esetére. E szankcióknak hatékonynak, arányosnak és visszatartó erejűnek kell lenniük, és szabadságvesztést és/vagy pénzbüntetést is magukban kell foglalniuk.
(11)
Ezen irányelv büntetőjogi szankciókat ír elő a bűncselekményeknek legalább azon eseteire, amelyek nem számítanak kevésbé súlyosnak. A tagállamok számára lehetővé kell tenni annak meghatározását, hogy mi minősül a nemzeti joguk és gyakorlatuk alapján kevésbé súlyos esetnek. Egy eset például kevésbé súlyosnak minősülhet, ha a bűncselekmény által okozott kár és/vagy a köz- vagy magánérdekre - például egy számítógépes rendszer vagy bizonyos számítógépes adatok integritására, egy személy integritására, jogaira vagy egyéb érdekeire - jelentett kockázat jelentéktelen, vagy az eset a jellegéből adódóan nem teszi szükségessé büntetőjogi szankciók kiszabását a jogi határokon belül vagy a büntetőjogi felelősségre vonást.
(12)
Az informatikai támadásokban rejlő veszélyek és kockázatok és az információs rendszerek ezzel összefüggő sebezhetőségének felismerése és bejelentése meghatározó eleme az informatikai támadások hatékony megelőzésének és kezelésének, valamint az információs rendszerek biztonsága javításának. A biztonság terén fennálló hiányosságok bejelentését célzó ösztönzők nyújtása révén ennek hatása növelhető. A tagállamoknak arra kell törekedniük, hogy lehetőséget teremtsenek a biztonság terén fennálló hiányosságok jogi feltárására és bejelentésére.
(13)
Helyénvaló súlyosabb szankciókat megállapítani, ha az információs rendszer elleni támadást a szervezett bűnözés elleni küzdelemről szóló, 2008. október 24-i 2008/841/IB tanácsi kerethatározat (3) értelmében vett bűnszervezetben követik el, vagy ha a támadás átfogó, azaz jelentős számú információs rendszert érint vagy súlyos kárt okoz, ideértve azokat a támadásokat is, amelyek célja egy botnet létrehozása, vagy amelyeket botnet révén hajtanak végre, és ezáltal súlyos kárt okoznak. Helyénvaló arra az esetre is súlyosabb szankciókat megállapítani, ha a támadás valamely tagállam vagy az Unió kritikus infrastruktúrája ellen irányul.
(14)
A számítástechnikai bűnözésre alkalmazott integrált megközelítés egy másik fontos eleme a személyazonosság-lopás és a személyazonossághoz kapcsolódó egyéb bűncselekmények elleni hatékony intézkedések meghozatala. Egy átfogó horizontális uniós eszköz szükségességének felmérése során az ilyen típusú büntetendő magatartással szembeni uniós fellépés szükségessége is fontolóra vehető.
(15)
A Tanács 2008. november 27-28-i következtetéseiben jelezte, hogy a tagállamokkal és a Bizottsággal közösen új stratégiát kell kidolgozni, figyelembe véve az Európa Tanács számítástechnikai bűnözésről szóló 2001. évi egyezményét. Ez az egyezmény szolgál a számítástechnikai bűnözés, többek között az információs rendszerek elleni támadásokkal szembeni küzdelem irányadó jogi keretéül. Ez az irányelv az említett egyezményre épül. Kiemelten fontos feladatként kell kezelni azt, hogy valamennyi tagállam esetében mihamarabb lezáruljon az említett egyezmény megerősítésére vonatkozó eljárás.
(16)
Mivel a támadásokat a legkülönbözőbb módokon követik el, a hardverek és a számítástechnikai programok pedig gyorsan fejlődnek, ez az irányelv minden olyan eszközre utal, amelyet az ebben az irányelvben felsorolt bűncselekmények elkövetésére lehet használni. Ilyen eszközök lehetnek például az informatikai támadások elkövetésére használt rosszindulatú számítástechnikai programok, köztük azok, amelyek botnetek létrehozására alkalmasak. Lehetséges, hogy egy ilyen eszközt - még abban az esetben is, ha alkalmas, sőt különösen alkalmas az ezen irányelvben meghatározott bűncselekmények valamelyikének elkövetésére - jogszerű céllal állítottak elő, például az információs technológiai termékek megbízhatóságának vagy az információs rendszerek biztonságának tesztelése céljából. Ebben az esetben nem elegendő, ha a szándék az ezen irányelvben meghatározott valamely bűncselekmény objektív kritériumainak teljesítésére irányul; a szándéknak közvetlenül arra kell irányulnia, hogy az eszközt az ezen irányelvben meghatározott bűncselekmények közül egynek vagy többnek az elkövetésére használják fel.
(17)
Ezen irányelv nem állapít meg büntetőjogi felelősséget abban az esetben, ha az ezen irányelvben felsorolt bűncselekmények objektív kritériumai teljesülnek, azonban a cselekményeket nem jogsértő szándékkal követték el, például ha az érintett személy nem tud arról, hogy az adott hozzáférés jogosulatlan, vagy ha az információs rendszerek tesztelésével vagy védelmével bízták meg, pl. ha egy társaság vagy egy forgalmazó kijelöl valakit a biztonsági rendszerének a tesztelésére. Ezen irányelvvel összefüggésben az információs rendszerekhez való hozzáférést felhasználói szabályzat vagy szolgáltatási feltételek révén korlátozó szerződéses kötelezettségek vagy megállapodások, valamint a munkáltató információs rendszereihez való magáncélú hozzáféréssel és azok magáncélú használatával kapcsolatos munkaügyi jogviták nem vonhatnak maguk után büntetőjogi felelősséget, amennyiben a hozzáférés az említett körülmények között minősülne jogosulatlannak, és ezáltal a büntetőeljárás kizárólagos alapját képezné. Ez az irányelv nem érinti az információhoz való hozzáférésnek a nemzeti és az uniós jogszabályokban meghatározott jogát, ugyanakkor ez a jog nem szolgálhat az információhoz való jogellenes vagy önkényes hozzáférés igazolásául.
(18)
Az informatikai támadásokat számos körülmény megkönnyítheti, például ha az elkövetőnek alkalmazotti minőségében hozzáférése van az érintett információs rendszerek részét képező biztonsági rendszerekhez. A nemzeti jog keretében a büntetőeljárás során megfelelően figyelembe kell venni az említett körülményeket.
(19)
A tagállamoknak a jogrendszerük által a súlyosító körülményekre vonatkozóan megállapított szabályokkal összhangban súlyosító körülményeket kell meghatározniuk a nemzeti jogukban. A tagállamoknak gondoskodniuk kell arról, hogy a bírák az elkövető elítélésekor figyelembe vehessék e súlyosító körülményeket. Továbbra is a bírák mérlegelési jogkörébe tartozik, hogy e körülményeket a konkrét esetek egyéb tényállási elemeivel együtt miként értékelik.
(20)
Ez az irányelv nem szabályozza az általa említett bűncselekményekkel kapcsolatos joghatóság gyakorlásához szükséges feltételeket, mint például az áldozat által a bűncselekmény elkövetésének helyén tett bejelentést, a bűncselekmény elkövetésének helye szerinti államtól érkező feljelentést, vagy azt, hogy az elkövetőt a bűncselekmény elkövetésének helyén nem vonták büntetőeljárás alá.
(21)
Ezen irányelvvel összefüggésben a tagállamok és harmadik országok, valamint közjogi szerveik továbbra is maradéktalanul kötelesek a fennálló uniós és nemzetközi kötelezettségekkel összhangban tiszteletben tartani az emberi jogokat és az alapvető szabadságokat.
(22)
Ez az irányelv megerősíti az olyan hálózatok fontosságát, mint amilyen a G8 és az Európa Tanács kapcsolattartó pontjainak a hét minden napján 24 órában működő hálózata. Ezeknek a kapcsolattartó pontoknak hatékony segítséget kell tudni nyújtaniuk, ezáltal például elősegítve a rendelkezésre álló vonatkozó információk cseréjét vagy a technikai segítségnyújtást és a jogi információk szolgáltatását a megkereső tagállam szempontjából releváns információs rendszereket és a bennük foglalt adatokat érintő bűncselekményekkel kapcsolatos nyomozások vagy eljárások céljából. A hálózatok zavartalan működésének biztosítása érdekében valamennyi kapcsolattartó pontnak kapacitással kell rendelkeznie ahhoz, hogy egy másik tagállam kapcsolattartó pontjával gyorsított kommunikációt folytasson, többek között képzett és felszerelt személyzet révén. A nagyszabású informatikai támadások végrehajtásának sebességét figyelembe véve minden tagállamnak képesnek kell lennie arra, hogy haladéktalanul válaszoljon a kapcsolattartó pontok hálózatától érkező sürgős megkeresésekre. Ilyen esetekben célszerű lehet, ha az információkérést telefonos kapcsolatfelvétel is kíséri annak érdekében, hogy a megkeresett tagállam gyorsan eleget tudjon tenni a megkeresésnek, és 8 órán belül visszajelzést lehessen adni.
(23)
Az információs rendszerek elleni támadások megelőzése és az ellenük folytatott küzdelem során nagyon fontos, hogy a hatóságok együttműködjenek a magánszférával és a civil társadalommal. Ösztönözni és javítani kell a szolgáltatók, a gyártók, a bűnüldöző szervek és az igazságügyi hatóságok közötti együttműködést, a jogállamiság teljes mértékű tiszteletben tartása mellett. Az ilyen együttműködés kiterjedhetne a szolgáltatók által a potenciális bizonyíték megőrzéséhez, az elkövetők azonosítását segítő elemek biztosításához és legvégső esetben az ahhoz nyújtott segítségre is, hogy a nemzeti joggal és gyakorlattal összhangban teljes egészében vagy részben kiiktassák a fertőzött vagy a jogellenes célra használt információs rendszereket vagy funkciókat. A tagállamoknak fontolóra kell venniük azt is, hogy az ezen irányelv hatálya alá tartozó bűncselekményekkel kapcsolatos információk cseréje érdekében együttműködési és partnerségi hálózatokat alakítsanak ki a szolgáltatókkal és a gyártókkal.
(24)
Az ezen irányelvben meghatározott bűncselekményekre vonatkozóan összehasonlítható adatokat kell gyűjteni. A megfelelő adatokat az illetékes szakosított uniós ügynökségek és szervek - például az Europol, valamint az ENISA - rendelkezésére kell bocsátani a feladataikkal és az információszükségleteikkel összhangban, hogy uniós szinten átfogóbb képet lehessen kapni a számítástechnikai bűnözés, illetve a hálózat- és információbiztonság problémájáról, és ezáltal hatékonyabb válaszlépések kialakításához lehessen hozzájárulni. A számítástechnikai bűnözéssel kapcsolatos stratégiai elemzéseknek és az általa való fenyegetettség értékelésének az Európai Rendőrségi Hivatal (Europol) létrehozásáról szóló, 2009. április 6-i 2009/371/IB tanácsi határozattal (4) összhangban történő elvégzése céljából a tagállamoknak az elkövetők által alkalmazott módszerekre vonatkozó információkat be kell nyújtaniuk az Europolhoz és annak a számítástechnikai bűnözés elleni európai központjához. Az információszolgáltatás elősegítheti a jelenlegi és a jövőbeli fenyegetettség jobb megértését, és ezáltal hozzájárulhat az információs rendszerek elleni támadásokkal szembeni küzdelemmel és a megelőzésükkel kapcsolatos megfelelőbb és célzottabb döntéshozatalhoz.
(25)
A Bizottságnak jelentést kell benyújtania ezen irányelv alkalmazásáról, és az ezen irányelv hatályának esetleges kiterjesztésével járó jogalkotási javaslatokat kell tennie, a számítástechnikai bűnözés terén bekövetkező fejlődésre figyelemmel. Ilyen fejlődés lehet az olyan technológiai fejlesztés, amely például az információs rendszerek elleni támadások területén hatékonyabb fellépést tesz lehetővé, vagy amelyek megkönnyítik e támadások megelőzését vagy hatásuk minimalizálását. A Bizottságnak e célból figyelembe kell vennie az érintett szereplők - különösen az Europol és az ENISA - által készített, rendelkezésre álló elemzéseket és jelentéseket.
(26)
A számítástechnikai bűnözés elleni hatékony fellépés érdekében fontos az információs rendszerek ellenállóbbá tétele azáltal, hogy az informatikai támadásokkal szembeni hatékonyabb védelmet célzó, megfelelő intézkedések meghozatalára kerül sor. A tagállamoknak meg kell tenniük a szükséges intézkedéseket a kritikus infrastruktúráik részét képező információs rendszerek informatikai támadásokkal szembeni védelme érdekében, aminek részeként mérlegelniük kell az információs rendszereik és a bennük foglalt adatok védelmét. Az információs rendszerek megfelelő szintű védelmének és biztonságának a jogi személyek általi biztosítása - például a nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtása esetében a magánélet védelméről, az elektronikus hírközlésről és az adatvédelemről szóló, meglévő uniós jogszabályokkal összhangban - nélkülözhetetlen része a számítástechnikai bűnözés elleni hatékony küzdelemre alkalmazott átfogó megközelítésnek. Az ésszerűen feltárható veszélyekkel és sebezhetőséggel szemben megfelelő mértékű védelmet kell biztosítani, az egyes ágazatokra vonatkozó legkorszerűbb technológiákkal és az adott adatfeldolgozási helyzetekkel összhangban. Az e védelemmel járó költségeknek és terheknek az informatikai támadás által az érintettek számára valószínűen okozható kárral arányosaknak kell lenniük. A tagállamokat ösztönözni kell arra, hogy felelősségre vonással járó, megfelelő intézkedéseket hozzanak arra az esetre, ha valamely jogi személy nyilvánvalóan nem biztosított megfelelő szintű védelmet az informatikai támadásokkal szemben.
(27)
A tagállamok jogában és büntetőeljárásaiban az információs rendszerek elleni támadások területére vonatkozó szabályozottság mértékében és módjában fennálló jelentős különbségek akadályozhatják a szervezett bűnözés és a terrorizmus elleni küzdelmet, és megnehezíthetik a hatékony rendőrségi és igazságügyi együttműködést e területen. A modern információs rendszerek transznacionális és határok nélküli jellegéből adódóan az ilyen rendszerek elleni támadások határokon átnyúló természetűek, így hangsúlyozottan sürgős szükség van a büntetőjog e területen történő közelítését célzó további intézkedésekre. Ezen túlmenően az információs rendszerek elleni támadások miatt indított büntetőeljárások összehangolását a joghatóság gyakorlásával kapcsolatos, büntetőeljárások során felmerülő összeütközések megelőzéséről és rendezéséről szóló, 2009. november 30-i 2009/948/IB tanácsi kerethatározat (5) megfelelő átültetésével és alkalmazásával kell elősegíteni. Emellett a tagállamoknak az Unióval együttműködve arra kell törekedniük, hogy javítsák a nemzetközi együttműködést az információs rendszerek, a számítógépes hálózatok és a számítógépes adatok biztonsága területén. Az adatátvitel és az adattárolás biztonságára megfelelő figyelmet kell fordítani minden olyan nemzetközi megállapodásban, amely adatcserére is vonatkozik.
(28)
A számítástechnikai bűnözés elleni hatékony fellépés szempontjából elengedhetetlen az Unió egészében az illetékes bűnüldöző szervek és igazságügyi hatóságok közötti együttműködés javítása. Ezzel összefüggésben ösztönözni kell az arra irányuló fokozott erőfeszítéseket, hogy az érintett hatóságok megfelelő képzésben részesüljenek a számítástechnikai bűnözéssel és annak hatásával kapcsolatos ismeretek bővítése, valamint az együttműködés és a legjobb gyakorlatok cseréjének előmozdítása érdekében, például az illetékes szakosított uniós ügynökségek és szervek útján. Az említett képzésnek többek között a különböző tagállami jogrendszerekkel, a bűnügyi nyomozás lehetséges jogi és technikai kihívásaival és az érintett nemzeti hatóságok közötti hatáskörmegosztással kapcsolatos tájékozottság növelését kell céloznia.
(29)
Ez az irányelv tiszteletben tartja az emberi jogokat és alapvető szabadságokat, és betartja a különösen az Európai Unió Alapjogi Chartájában, valamint az emberi jogok és alapvető szabadságok védelméről szóló európai egyezményben kifejezésre juttatott alapelveket, beleértve a személyes adatok védelmét, a magánélet tiszteletben tartásához való jogot, a véleménynyilvánítás és a tájékozódás szabadságát, a tisztességes eljáráshoz való jogot, az ártatlanság vélelmét és a védelemhez való jogot, valamint a bűncselekmények és a szankciók törvényességének és arányosságának az elveit. Ennek az irányelvnek a célja különösen az említett jogok és alapelvek teljes tiszteletben tartásának biztosítása, ezért azt ennek megfelelően kell végrehajtani.
(30)
A személyes adatok védelme az EUMSZ 16. cikkének (1) bekezdése és az Európai Unió Alapjogi Chartájának 8. cikke értelmében alapvető jog. Ennélfogva a személyes adatok ezen irányelv végrehajtásával összefüggő feldolgozásának maradéktalanul meg kell felelnie a vonatkozó uniós adatvédelmi jogszabályoknak.
(31)
Az Európai Unióról szóló szerződéshez és az Európai Unió működéséről szóló szerződéshez csatolt, az Egyesült Királyságnak és Írországnak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség tekintetében fennálló helyzetéről szóló jegyzőkönyv 3. cikkével összhangban e tagállamok bejelentették, hogy részt kívánnak venni ennek az irányelvnek az elfogadásában és alkalmazásában.
(32)
Az Európai Unióról szóló szerződéshez és az Európai Unió működéséről szóló szerződéshez csatolt, Dánia helyzetéről szóló jegyzőkönyv 1. és 2. cikkével összhangban Dánia nem vesz részt ennek az irányelvnek az elfogadásában, az rá nézve nem kötelező és nem alkalmazandó.
(33)
Mivel ezen irányelv céljait, nevezetesen azt, hogy az információs rendszerek elleni támadásokat minden tagállamban hatékony, arányos és visszatartó erejű szankciókkal büntessék, valamint hogy az igazságügyi és egyéb illetékes hatóságok közötti együttműködést javítsák és ösztönözzék, a tagállamok nem tudják kielégítően megvalósítani, és ezért a léptékük vagy hatásuk miatt azok uniós szinten jobban megvalósíthatók, az Unió intézkedéseket hozhat az Európai Unióról szóló szerződés 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányosság elvének megfelelően ez az irányelv nem lépi túl az e célok eléréséhez szükséges mértéket.
(34)
Ezen irányelv célja az információs rendszerek elleni támadásokról szóló, 2005. február 24-i 2005/222/IB tanácsi kerethatározat (6) rendelkezéseinek módosítása és kiterjesztése. Mivel nagyszámú és lényeges módosításra van szükség, az egyértelműség érdekében a 2005/222/IB kerethatározatot az ezen irányelv elfogadásában részt vevő tagállamok tekintetében teljes egészében fel kell váltani,
ELFOGADTÁK EZT AZ IRÁNYELVET:
1. cikk
Tárgy
Ez az irányelv megállapítja az információs rendszerek elleni támadások terén elkövetett bűncselekmények és szankciók meghatározására vonatkozó minimumszabályokat. Célja továbbá az ilyen bűncselekmények megelőzésének elősegítése, valamint az igazságügyi és egyéb illetékes hatóságok közötti együttműködés javítása.
2. cikk
Fogalommeghatározások
Ezen irányelv alkalmazásában:
a) „információs rendszer”: minden olyan eszköz, illetve összekapcsolt vagy kapcsolódó eszközökből álló eszközcsoport, amelyek közül egy vagy több valamely program alapján automatikus adatfeldolgozást hajt végre számítógépes adatokon, valamint a működése, használata, védelme és karbantartása céljából az ezen eszköz vagy eszközcsoport által tárolt, feldolgozott, helyreállított vagy továbbított számítógépes adatokon;
b) „számítógépes adatok”: tények, információk vagy fogalmak megjelenítése olyan formában, amely alkalmassá teszi azokat egy információs rendszer általi feldolgozásra, beleértve azon programokat is, amelyek alkalmasak valamely funkciónak egy információs rendszer általi elvégeztetésére;
c) „jogi személy”: bármely jogalany, amely az alkalmazandó nemzeti jog szerint jogi személynek minősül; ide nem értve a tagállamokat, harmadik országokat, az állami hatáskört gyakorló közjogi szerveket, valamint a nemzetközi közjogi szervezeteket;
d) „jogosulatlanul”: ezen irányelvben említett olyan magatartás, ideértve a belépést, beavatkozást vagy adatszerzést, amelyet a rendszernek vagy a rendszer részének tulajdonosa vagy egyéb jogosultja nem engedélyezett, vagy amelyet a nemzeti jog nem tesz lehetővé.
3. cikk
Információs rendszerekhez való jogellenes hozzáférés
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a valamely információs rendszerhez vagy annak egy részéhez való, szándékosan és jogosulatlanul történő hozzáférés legalább a súlyosabb esetekben bűncselekménynek minősüljön akkor, ha a bűncselekményt valamely biztonsági intézkedés megsértésével követték el.
4. cikk
Rendszert érintő jogellenes beavatkozás
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a valamely információs rendszer működésének számítógépes adatok szándékos és jogosulatlan bevitele, továbbítása, megrongálása, törlése, minőségi rontása, megváltoztatása vagy elrejtése, vagy ilyen adatok szándékos és jogosulatlan hozzáférhetetlenné tétele révén történő súlyos akadályozása vagy megszakítása, legalább a súlyosabb esetekben bűncselekménynek minősüljön.
5. cikk
Adatot érintő jogellenes beavatkozás
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a valamely információs rendszer számítógépes adatainak szándékos és jogosulatlan törlése, megrongálása, minőségi rontása, megváltoztatása vagy elrejtése, vagy az ilyen adatok szándékos és jogosulatlan hozzáférhetetlenné tétele legalább a súlyosabb esetekben bűncselekménynek minősüljön.
6. cikk
Jogellenes adatszerzés
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy az információs rendszeren belülre, kívülre vagy azon belül továbbított, nem nyilvános számítógépes adatok - többek között az információs rendszerekből érkező, ilyen adatokat hordozó elektromágneses sugárzás - technikai eszközökkel történő, szándékos és jogosulatlan megszerzése, legalább a súlyosabb esetekben bűncselekménynek minősüljön.
7. cikk
A bűncselekmények elkövetéséhez használt eszközök
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a következő eszközök jogosulatlan és bármely, a 3-6. cikkben említett bűncselekmény elkövetéséhez való felhasználásának szándékával való előállítása, árusítása, használatra történő beszerzése, behozatala, forgalomba hozatala vagy egyéb módon történő hozzáférhetővé tétele legalább a súlyosabb esetekben bűncselekménynek minősüljön:
a)
olyan számítógépes programok, amelyek elsősorban a 3-6. cikkben említett bármely bűncselekmény elkövetésére készültek vagy lettek átalakítva;
b)
olyan számítógépes jelszavak, belépési kódok vagy hasonló adatok, amelyekkel egy információs rendszerhez vagy annak egy részéhez hozzá lehet férni.
8. cikk
Felbujtás, bűnsegély és kísérlet
(1) A tagállamok biztosítják, hogy a 3-7. cikkben említett bűncselekményekre való felbujtás, vagy az azok elkövetéséhez nyújtott bűnsegély bűncselekménynek minősüljön.
(2) A tagállamok biztosítják, hogy a 4. és 5. cikkben említett bűncselekmények elkövetésének kísérlete bűncselekménynek minősüljön.
9. cikk
Szankciók
(1) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 3-8. cikkben említett bűncselekményeket hatékony, arányos és visszatartó erejű büntetőjogi szankciókkal sújtsák.
(2) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 3-7. cikkben említett bűncselekmények szabadságvesztéssel legyenek büntetendők, amelynek felső határa - legalább a súlyosabb esetekben - legalább két év.
(3) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 4. és 5. cikkben említett bűncselekmények - amennyiben azokat szándékosan követték el, és azok egy, a 7. cikkben említett eszköz használata révén jelentős számú információs rendszert érintettek - szabadságvesztéssel legyenek büntetendők, amelynek felső határa legalább három év.
(4) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 4. és 5. cikkben említett bűncselekmények szabadságvesztéssel legyenek büntetendők, amelynek felső határa legalább öt év, amennyiben:
a)
azokat a 2008/841/IB kerethatározat értelmében vett bűnszervezet keretében követték el, függetlenül az e kerethatározatban meghatározott szankciótól;
b)
azok súlyos kárt okoztak; vagy
c)
azokat valamely, a kritikus infrastruktúra részét képező információs rendszer ellen követték el.
(5) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy ha a 4. és 5. cikkben említett bűncselekményeket egy másik személy személyes adataival visszaélve követték el egy harmadik fél bizalmának elnyerése céljából, és ezáltal kárt okoztak a személyazonosság jogos tulajdonosának, akkor ezt a nemzeti joggal összhangban súlyosító körülménynek lehessen tekinteni, kivéve, ha e körülmény a nemzeti jog értelmében már egy másik bűncselekményt valósít meg.
10. cikk
A jogi személyek felelőssége
(1) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a jogi személyek felelősségre vonhatók legyenek a 3-8. cikkben említett azon bűncselekményekért, amelyeket akár saját nevében, akár a jogi személy valamely szervének tagjaként eljárva olyan személy követett el a jogi személy javára, aki a jogi személyen belül vezető tisztséget tölt be, amely a következők egyikén alapul:
a)
a jogi személy képviseletének joga;
b)
a jogi személy nevében történő döntéshozatal joga;
c)
a jogi személyen belüli ellenőrzés joga.
(2) A tagállamok megteszik a szükséges intézkedéseket annak érdekében, hogy a jogi személyek felelősségre vonhatók legyenek, amennyiben az (1) bekezdésben említett személy általi felügyelet vagy ellenőrzés hiánya tette lehetővé, hogy az adott jogi személy javára egy neki alárendelt személy a 3-8. cikkben említett valamely bűncselekményt elkövesse.
(3) A jogi személyeknek az e cikk (1) és (2) bekezdése alapján fennálló felelőssége nem zárja ki a büntetőeljárást azon természetes személyek ellen, akik a 3-8. cikkben említett bármely bűncselekményben tettesként, felbujtóként vagy bűnsegédként működtek közre.
11. cikk
A jogi személyekkel szemben alkalmazandó szankciók
(1) A tagállamok megteszik a szükséges intézkedéseket annak érdekében, hogy a 10. cikk (1) bekezdése alapján felelősségre vont jogi személy olyan hatékony, arányos és visszatartó erejű szankciókkal legyen büntetendő, amelyek magukban foglalnak büntetőjogi és nem büntetőjogi pénzbüntetéseket vagy bírságokat, és amelyek magukban foglalhatnak egyéb szankciókat is, mint például:
a)
az állami kedvezményekből és támogatásokból való kizárás;
b)
a kereskedelmi tevékenység folytatásától való átmeneti vagy végleges eltiltás;
c)
a bírósági felügyelet alá helyezés;
d)
a bíróság által elrendelt felszámolás;
e)
a bűncselekmény elkövetésére használt létesítmények ideiglenes vagy végleges bezárása.
(2) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 10. cikk (2) bekezdése alapján felelősségre vont jogi személy hatékony, arányos és visszatartó erejű szankciókkal vagy egyéb intézkedésekkel büntetendő legyen.
12. cikk
Joghatóság
(1) A tagállamok megállapítják joghatóságukat a 3-8. cikkben említett bűncselekmények tekintetében, amennyiben a bűncselekményt:
a)
egészben vagy részben a területükön követték el; vagy
b)
egy állampolgáruk követte el, legalább azokban az esetekben, ha a cselekmény az elkövetés helyén bűncselekménynek minősül.
(2) Az (1) bekezdés a) pontja szerinti joghatóság megállapításakor a tagállamok biztosítják, hogy joghatósággal rendelkezzenek abban az esetben, ha:
a)
az elkövető a bűncselekmény elkövetésekor fizikailag jelen van a területükön, függetlenül attól, hogy a bűncselekmény a területükön található információs rendszer ellen irányul-e; vagy
b)
a bűncselekmény a területükön található információs rendszer ellen irányul, függetlenül attól, hogy az elkövető a bűncselekmény elkövetésekor fizikailag jelen van-e a területükön.
(3) A tagállamok tájékoztatják a Bizottságot, ha úgy döntenek, hogy a 3-8. cikkben említett, a területükön kívül elkövetett bűncselekményekre vonatkozóan további joghatóságot állapítanak meg, többek között amennyiben:
a)
az elkövető szokásos tartózkodási helye a területükön van; vagy
b)
a bűncselekményt a területükön letelepedett jogi személy javára követték el.
13. cikk
Információcsere
(1) A tagállamok a 3-8. cikkben említett bűncselekményekre vonatkozó információk cseréjének céljából gondoskodnak saját operatív nemzeti kapcsolattartó pontjuk létrehozásáról, és arról, hogy igénybe veszik a meglévő, a hét minden napján 24 órában rendelkezésre álló operatív kapcsolattartó hálózatot. A tagállamok olyan eljárások működését is biztosítják, amelyek révén sürgős segítségkérés esetén az illetékes hatóság a kézhezvételtől számított 8 órán belül jelezheti legalább azt, hogy teljesíti-e a segítségkérést, valamint hogy ezt milyen formában és várhatóan mikor teszi.
(2) A tagállamok tájékoztatják a Bizottságot az (1) bekezdésben említett kijelölt kapcsolattartó pontjukról. A Bizottság továbbítja ezeket az információkat a többi tagállamnak, valamint az illetékes szakosított uniós ügynökségeknek és szerveknek.
(3) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy megfelelő jelentéstételi csatornák álljanak rendelkezésre annak elősegítéséhez, hogy az illetékes nemzeti hatóságok felé indokolatlan késedelem nélkül be lehessen jelenteni a 3-6. cikkben említett bűncselekményeket.
14. cikk
Nyomon követés és statisztika
(1) A tagállamok biztosítják egy olyan rendszer meglétét, amely rögzíti, előállítja és rendelkezésre bocsátja a 3-7. cikkben említett bűncselekményekre vonatkozó statisztikai adatokat.
(2) Az (1) bekezdésben említett statisztikai adatoknak legalább a tagállamok által nyilvántartásba vett, a 3-7. cikkben említett bűncselekmények számára és a 3-7. cikkben említett bűncselekmények miatt büntetőeljárás alá vont és elítélt személyek számára vonatkozó, meglévő adatokat kell tartalmaznia.
(3) A tagállamok továbbítják a Bizottsághoz az e cikknek megfelelően gyűjtött adatokat. A Bizottság gondoskodik a statisztikai jelentések egységes áttekintésének közzétételéről, és annak az illetékes szakosított uniós ügynökségeknek és szerveknek történő megküldéséről.
15. cikk
A 2005/222/IB kerethatározat felváltása
Ez az irányelv az elfogadásában részt vevő tagállamok vonatkozásában a 2005/222/IB kerethatározat helyébe lép, a kerethatározat nemzeti jogba történő átültetésére vonatkozó határidővel kapcsolatos tagállami kötelezettségek érintése nélkül.
Az ezen irányelv elfogadásában részt vevő tagállamok vonatkozásában a felváltott 2005/222/IB kerethatározatra való hivatkozásokat az ezen irányelvre való hivatkozásként kell értelmezni.
16. cikk
Átültetés a nemzeti jogba
(1) A tagállamok hatályba léptetik azokat a törvényi, rendeleti és közigazgatási rendelkezéseket, amelyek szükségesek ahhoz, hogy ennek az irányelvnek 2015. szeptember 4-ig megfeleljenek.
(2) A tagállamok továbbítják a Bizottságnak azon intézkedések szövegét, amelyek az ezen irányelvből eredő kötelezettségeket nemzeti jogukba átültetik.
(3) Amikor a tagállamok elfogadják ezeket az intézkedéseket, azokban hivatkozni kell erre az irányelvre, vagy azokhoz hivatalos kihirdetésük alkalmával ilyen hivatkozást kell fűzni. A hivatkozás módját a tagállamok határozzák meg.
17. cikk
Jelentés
A Bizottság 2017. szeptember 4-ig jelentést nyújt be - szükség esetén jogalkotási javaslatok kíséretében - az Európai Parlamentnek és a Tanácsnak, amelyben értékeli, hogy a tagállamok milyen mértékben tették meg a szükséges intézkedéseket annak érdekében, hogy ezen irányelvnek megfeleljenek. A Bizottság figyelembe veszi a számítástechnikai bűnözés területére vonatkozó technikai és jogi fejleményeket is, különösen ezen irányelv hatályára való tekintettel.
18. cikk
Hatálybalépés
Ez az irányelv az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.
19. cikk
Címzettek
Ennek az irányelvnek a Szerződéseknek megfelelően a tagállamok a címzettjei.
Kelt Brüsszelben, 2013. augusztus 12-én.