RICHTLINIE 2013/40/EU DES EUROPÄISCHEN PARLAMENTS UND DES RATES
vom 12. August 2013
über Angriffe auf Informationssysteme und zur Ersetzung des Rahmenbeschlusses 2005/222/JI des Rates
DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 83 Absatz 1,
auf Vorschlag der Europäischen Kommission,
nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente,
nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses (1),
gemäß dem ordentlichen Gesetzgebungsverfahren (2),
in Erwägung nachstehender Gründe:
(1)
Die Ziele dieser Richtlinie sind die Angleichung des Strafrechts der Mitgliedstaaten im Bereich Angriffe auf Informationssysteme, indem Mindestvorschriften zur Festlegung von Straftaten und einschlägigen Strafen festgelegt werden, sowie die Verbesserung der Zusammenarbeit zwischen den zuständigen Behörden einschließlich der Polizei und anderer spezialisierter Strafverfolgungsbehörden der Mitgliedstaaten sowie der zuständigen Agenturen und Einrichtungen der Union wie Eurojust, Europol und dessen Europäisches Zentrum zur Bekämpfung der Cyberkriminalität und der Europäischen Agentur für Netz- und Informationssicherheit (ENISA).
(2)
Informationssysteme sind für die politische, gesellschaftliche und wirtschaftliche Interaktion in der Union unverzichtbar. Die Gesellschaft ist in hohem und zunehmendem Maße von solchen Systemen abhängig. Das reibungslose Funktionieren und die Sicherheit dieser Systeme in der Union sind entscheidend für die Entwicklung des Binnenmarktes und für die Entwicklung einer wettbewerbsfähigen und innovativen Wirtschaft. Zu einem wirksamen Gesamtrahmen mit Vorbeugemaßnahmen zur Flankierung der strafrechtlichen Reaktionen auf Cyberkriminalität sollte auch die Gewährleistung eines angemessenen Schutzniveaus bei Informationssystemen gehören.
(3)
Angriffe auf Informationssysteme und insbesondere mit organisierter Kriminalität im Zusammenhang stehende Angriffe sind sowohl in der Union als auch weltweit eine zunehmende Bedrohung, und es wächst die Besorgnis über mögliche Terroranschläge oder politisch motivierte Angriffe auf Informationssysteme, die Teil der kritischen Infrastruktur der Mitgliedstaaten und der Union sind. Hierdurch wird das Ziel einer sichereren Informationsgesellschaft und eines Raums der Freiheit, der Sicherheit und des Rechts gefährdet, so dass Gegenmaßnahmen auf Ebene der Union sowie eine bessere Zusammenarbeit und Koordinierung auf internationaler Ebene erforderlich sind.
(4)
Es gibt in der Union eine Reihe kritischer Infrastrukturen, deren Störung oder Zerstörung erhebliche grenzüberschreitende Auswirkungen hätte. Da die Fähigkeit zum Schutz kritischer Infrastrukturen in der Union verbessert werden muss, sollten die Abwehrmaßnahmen gegen Cyberangriffe durch strenge Strafen, die der Schwere derartiger Angriffe Rechnung tragen, ergänzt werden. Als kritische Infrastrukturen könnten in Mitgliedstaaten befindliche Anlagen, Systeme oder deren Teile angesehen werden, die von wesentlicher Bedeutung für die Aufrechterhaltung grundlegender gesellschaftlicher Funktionen, der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind, wie etwa Kraftwerke, Verkehrsnetze oder staatliche Netze, und deren Störung oder Zerstörung erhebliche Auswirkungen auf einen Mitgliedstaat hätte, da diese Funktionen nicht aufrechterhalten werden könnten.
(5)
Es besteht eine Tendenz zu immer gefährlicheren und häufigeren Großangriffen auf Informationssysteme, die für den Mitgliedstaat oder für bestimmte Funktionen im öffentlichen oder privaten Sektor oft unverzichtbar sein können. Diese Tendenz geht einher mit der Entwicklung immer ausgefeilterer Methoden, wie etwa der Schaffung und Verwendung von sogenannten Botnetzen, bei denen die kriminelle Handlung in verschiedenen Stufen erfolgt, wobei jede Stufe für sich eine ernsthafte Gefahr für die öffentlichen Interessen darstellen könnte. Diese Richtlinie zielt unter anderem darauf ab, Strafen hinsichtlich der Schaffung der Botnetze einzuführen, nämlich für die Einrichtung einer ferngesteuerten Kontrolle über eine bedeutende Anzahl von Computern, indem diese durch gezielte Cyberangriffe mit Schadsoftware infiziert werden. Sobald es eingerichtet ist, kann das infizierte Netz von Computern, die das Botnetz bilden, ohne Wissen der Computerbenutzer aktiviert werden, um einen breit angelegten Cyberangriff zu starten, der in der Regel erheblichen Schaden anrichten kann, wie er in dieser Richtlinie beschrieben wird. Die Mitgliedstaaten können festlegen, was gemäß ihrem nationalen Recht und ihrer nationalen Praxis als erheblicher Schaden gilt; dazu können die Störung von Systemdiensten von erheblicher öffentlicher Bedeutung oder die Verursachung größerer finanzieller Kosten oder der Verlust personenbezogener Daten oder vertraulicher Informationen gehören.
(6)
Cybergroßangriffe können durch die Störung des Betriebs der Informationssysteme und der Kommunikation wie auch durch Verlust oder Veränderung vertraulicher Informationen oder anderer Daten, die von wirtschaftlicher Bedeutung sind, erheblichen wirtschaftlichen Schaden verursachen. Besonderes Augenmerk sollte darauf gerichtet werden, innovative kleine und mittlere Unternehmen für die Bedrohungen durch solche Angriffe und ihre Verwundbarkeit durch solche Angriffe zu sensibilisieren, da sie immer stärker vom ordnungsgemäßen Funktionieren und der Verfügbarkeit von Informationssystemen abhängig sind und oft nur begrenzte Mittel in die Informationssicherheit investieren können.
(7)
Für eine einheitliche Strategie in den Mitgliedstaaten bei der Anwendung dieser Richtlinie sind gemeinsame Definitionen in diesem Bereich wichtig.
(8)
Es sollten gemeinsame Straftatbestände für den rechtswidrigen Zugang zu Informationssystemen, den rechtswidrigen Systemeingriff, den rechtswidrigen Eingriff in Daten und das rechtswidrige Abfangen von Daten festgelegt werden, wozu es einer Einigung über die Tatbestandsmerkmale bedarf.
(9)
Das Abfangen umfasst unter anderem das Abhören, die Überwachung und die Kontrolle des Inhalts von Kommunikationen sowie das Ausforschen des Inhalts von Daten entweder direkt durch den Zugang zum Informationssystem und seine Benutzung oder indirekt durch die Benutzung elektronischer Abhör- oder Mithörvorrichtungen mit technischen Hilfsmitteln.
(10)
Mitgliedstaaten sollten Strafen für Angriffe auf Informationssysteme vorsehen. Diese Strafen sollten wirksam, verhältnismäßig und abschreckend sein und sollten Freiheitsstrafen und/oder Geldstrafen umfassen.
(11)
Diese Richtlinie sieht zumindest dann Strafen vor, wenn kein leichter Fall vorliegt. Die Mitgliedstaaten können festlegen, was gemäß ihrem einzelstaatlichen Recht und ihrer einzelstaatlichen Praxis als leichter Fall gilt. Ein Fall kann beispielsweise als leicht eingestuft werden, wenn der durch die Straftat verursachte Schaden und/oder die Gefahr für öffentliche oder private Interessen, wie etwa die Integrität eines Computersystems oder von Computerdaten oder die Integrität, die Rechte oder andere Interessen einer Person geringfügig oder so geartet ist, dass die Verhängung einer Strafe innerhalb der gesetzlichen Grenzen oder die Begründung einer strafrechtlichen Verantwortung nicht erforderlich ist.
(12)
Die Identifizierung und Meldung der mit Cyberangriffen verbundenen Bedrohungen und Gefahren sowie der entsprechenden Verwundbarkeit von Informationssystemen sind maßgeblich für eine wirksame Vorbeugung gegen Cyberangriffe und eine wirksame Reaktion auf diese Angriffe sowie für die Verbesserung der Sicherheit von Informationssystemen. Die Schaffung von Anreizen für die Meldung von Sicherheitslücken könnte hierzu beitragen. Die Mitgliedstaaten sollten sich darum bemühen, die legale Aufdeckung und Meldung von Sicherheitslücken zu ermöglichen.
(13)
Schwerere Strafen sollten vorgesehen werden bei Angriffen auf ein Informationssystem, die von einer kriminellen Vereinigung im Sinne des Rahmenbeschlusses 2008/841/JI des Rates vom 24. Oktober 2008 zur Bekämpfung der organisierten Kriminalität (3) verübt werden, oder bei groß angelegten Cyberangriffen, bei denen eine beträchtliche Anzahl von Informationssystemen beeinträchtigt wird einschließlich in Fällen, in denen der Angriff dazu dient, ein Botnetz zu schaffen, oder bei denen schwere Schäden verursacht werden, einschließlich in Fällen, in denen der Angriff mittels eines Botnetzes durchgeführt wird. Es ist ferner angemessen, schwerere Strafen vorzusehen, wenn ein Angriff gegen eine kritische Infrastruktur der Mitgliedstaaten oder der Union gerichtet ist.
(14)
Die Einführung wirksamer Maßnahmen gegen Identitätsdiebstahl und andere identitätsbezogene Straftaten bildet eine weitere wichtige Komponente eines integrierten Ansatzes gegen die Cyberkriminalität. Das Erfordernis von Maßnahmen der Union gegen diese Art kriminellen Verhaltens könnte auch im Rahmen der Bewertung der Frage geprüft werden, ob es eines umfassenden horizontalen Instruments der Union bedarf.
(15)
In den Schlussfolgerungen des Rates vom 27. und 28. November 2008 wurde die Ausarbeitung einer neuen Strategie in Zusammenarbeit mit den Mitgliedstaaten und der Kommission angekündigt, in die auch das Übereinkommen des Europarats über Computerkriminalität aus dem Jahr 2001 einfließen soll. Dieses Übereinkommen ist der rechtliche Bezugsrahmen für die Bekämpfung der Cyberkriminalität und damit auch der Angriffe auf Informationssysteme. Die vorliegende Richtlinie baut auf dem Übereinkommen auf. Eine möglichst baldige Ratifizierung dieses Übereinkommens durch alle Mitgliedstaaten sollte als Priorität betrachtet werden.
(16)
Angesichts der unterschiedlichen Art und Weise, wie Cyberangriffe ausgeführt werden können, und der raschen Entwicklung bei der Hard- und Software bezieht sich diese Richtlinie auf „Instrumente“, die zur Begehung der in dieser Richtlinie vorgesehenen Straftaten verwendet werden können. Bei solchen Instrumenten kann es sich beispielsweise um Schadsoftware einschließlich jener handeln, mit der Botnetze geschaffen werden können, die für Cyberangriffe verwendet werden. Auch wenn ein Instrument für die Durchführung der in dieser Richtlinie aufgeführten Straftaten geeignet oder besonders geeignet ist, so ist es doch möglich, dass es für rechtmäßige Zwecke hergestellt worden ist. Da eine Kriminalisierung in den Fällen vermieden werden muss, in denen diese Instrumente für rechtmäßige Zwecke - wie beispielsweise Prüfung der Zuverlässigkeit von Produkten der Informationstechnologie oder der Sicherheit von Informationssystemen - hergestellt und in Verkehr gebracht worden sind, muss neben dem allgemeinen Vorsatz der direkte Vorsatz gegeben sein, diese Instrumente für das Begehen von in der Richtlinie vorgesehenen Straftaten zu verwenden.
(17)
Mit dieser Richtlinie wird keine strafrechtliche Verantwortung in Fällen begründet, in denen die objektiven Tatbestandsmerkmale der in dieser Richtlinie vorgesehenen Straftaten zwar gegeben sind, die Taten aber ohne strafrechtlichen Vorsatz begangen werden, wie etwa in den Fällen, in denen eine Person nicht weiß, dass sie keine Zugangsbefugnis hatte, beispielsweise bei in Auftrag gegebenen Tests von Informationssystemen oder bei deren Schutz, wenn beispielsweise eine Person von einem Unternehmen oder Verkäufer beauftragt wird, die Stärke des Sicherheitssystems eines Informationssystems zu testen. Im Rahmen dieser Richtlinie sollten vertragliche Verpflichtungen oder Vereinbarungen zur Beschränkung des Zugangs zu Informationssystemen durch Benutzerverwaltungsrichtlinien oder Dienstleistungsbedingungen sowie arbeitsrechtliche Streitigkeiten in Bezug auf den Zugang zu Informationssystemen eines Arbeitgebers und deren Nutzung für private Zwecke keine strafrechtliche Haftung begründen, wenn ein Zugang unter diesen Umständen als unberechtigter Zugang gelten und damit die einzige Grundlage für die Strafverfolgung bilden würde. Diese Richtlinie berührt nicht das im nationalen Recht und im Recht der Union verankerte Recht auf den Zugang zu Informationen, dient aber auch nicht als Rechtfertigung eines rechtswidrigen oder eigenmächtigen Zugangs.
(18)
Cyberangriffe könnten durch verschiedene Umstände erleichtert werden, so etwa, wenn der Täter im Rahmen seines Beschäftigungsverhältnisses über einen Zugang zu in den betroffenen Informationssystemen vorhandenen Sicherheitssystemen verfügt. Im Rahmen des nationalen Rechts sollten solche Umstände in Strafverfahren angemessen berücksichtigt werden.
(19)
Die Mitgliedstaaten sollten in ihren innerstaatlichen Rechtsvorschriften eine Regelung für erschwerende Umstände - im Einklang mit den in ihrem Rechtssystem geltenden einschlägigen Bestimmungen - vorsehen. Sie sollten sicherstellen, dass die Richter diese bei der Verurteilung von Straftätern berücksichtigen können. Es liegt im Ermessen des Richters, diese Umstände zusammen mit den übrigen Sachumständen des jeweiligen Falles zu bewerten.
(20)
Diese Richtlinie enthält keine Bestimmungen über die Voraussetzungen dafür, dass die Gerichtsbarkeit über die in dieser Richtlinie genannten Straftaten ausgeübt werden kann, wie etwa eine am Tatort erstattete Anzeige des Opfers, eine Anzeige des Staates, in dem sich der Tatort befindet, oder die Tatsache, dass der Täter am Tatort nicht verfolgt wurde.
(21)
Im Rahmen dieser Richtlinie sind Staaten und öffentliche Stellen nach wie vor in vollem Umfang dazu verpflichtet, die Achtung der Menschenrechte und Grundfreiheiten im Einklang mit den bestehenden internationalen Verpflichtungen zu gewährleisten.
(22)
Diese Richtlinie stärkt die Rolle von Netzwerken wie des G8-Netzes oder des Netzes der Kontaktstellen des Europarats, die an sieben Wochentagen 24 Stunden täglich für den Informationsaustausch zur Verfügung stehen. Diese Kontaktstellen sollten in der Lage sein, wirksame Hilfe zu leisten und damit beispielsweise den Austausch verfügbarer einschlägiger Informationen und die Bereitstellung technischer Beratung oder rechtlicher Informationen für Ermittlungen und Verfahren wegen Straftaten im Zusammenhang mit Informationssystemen und dazugehörigen Daten, die den ersuchenden Mitgliedstaat betreffen, zu erleichtern. Um den reibungslosen Betrieb der Netze sicherzustellen, sollte jede Kontaktstelle in der Lage sein, beschleunigt - unter anderem mithilfe geschulten und entsprechend ausgerüsteten Personals - mit der Kontaktstelle eines anderen Mitgliedstaats Kontakt aufzunehmen. Angesichts der Schnelligkeit, mit der Cyber-Großangriffe ausgeführt werden können, sollten die Mitgliedstaaten in der Lage sein, umgehend auf dringende Ersuchen dieser Kontaktstellen um Unterstützung zu reagieren. In diesen Fällen kann es zweckmäßig sein, dass neben dem Informationsersuchen auch telefonisch Kontakt aufgenommen wird, um dafür zu sorgen, dass der ersuchte Mitgliedstaat das Ersuchen zügig bearbeitet und dass innerhalb von acht Stunden eine Rückmeldung erfolgt.
(23)
Um Angriffe auf Informationssysteme zu verhindern und zu bekämpfen, ist die Zusammenarbeit zwischen Behörden einerseits und der Privatwirtschaft und Zivilgesellschaft andererseits sehr wichtig. Die Zusammenarbeit zwischen Diensteanbietern, Herstellern sowie Strafverfolgungsstellen und Justizbehörden muss gefördert und verbessert werden, wobei jedoch die Rechtsstaatlichkeit uneingeschränkt zu achten ist. Eine solche Zusammenarbeit könnte die Unterstützung von Diensteanbietern bei der Sicherstellung potenzieller Beweismittel, bei der Bereitstellung von Anhaltspunkten zur Ermittlung von Tätern und - als letztes Mittel - bei der vollständigen oder teilweisen Abschaltung von beeinträchtigten oder für unrechtmäßige Zwecke verwendeten Informationssystemen oder Funktionen nach Maßgabe des nationalen Rechts und der nationalen Gepflogenheiten umfassen. Die Mitgliedstaaten sollten ferner in Betracht ziehen, für den Informationsaustausch in Bezug auf die in den Anwendungsbereich dieser Richtlinie fallenden Straftaten Netze für die Zusammenarbeit und Partnerschaft mit Diensteanbietern und Herstellern einzurichten.
(24)
Es ist erforderlich, vergleichbare Daten in Bezug auf die in dieser Richtlinie vorgesehenen Straftaten zu erheben. Die betreffenden Daten sollten den zuständigen spezialisierten Agenturen und Einrichtungen der Union wie Europol und der ENISA im Einklang mit ihren Aufgaben und ihrem Informationsbedarf zur Verfügung gestellt werden, damit ein umfassenderes Bild des Problems der Cyberkriminalität und der Netz- und Informationssicherheit auf Unionsebene gewonnen und somit ein Beitrag zur Ausarbeitung wirksamerer Abhilfemaßnahmen geleistet werden kann. Die Mitgliedstaaten sollten Europol und dessen Europäischem Zentrum zur Bekämpfung der Cyberkriminalität Informationen über die Vorgehensweisen der Täter zur Verfügung stellen, damit die Bewertungen der Bedrohungslage und strategischen Analysen zur Cyberkriminalität gemäß dem Beschluss 2009/371/JI des Rates vom 6. April 2009 zur Errichtung des Europäischen Polizeiamts (Europol) (4) durchgeführt werden können. Die Bereitstellung von Informationen kann ein besseres Verständnis gegenwärtiger und zukünftiger Bedrohungen erleichtern und damit zu einer angemesseneren und zielorientierten Beschlussfassung über Bekämpfung und Verhütung von Angriffen auf Informationssysteme beitragen.
(25)
Die Kommission sollte einen Bericht über die Anwendung der Richtlinie vorlegen und erforderliche Gesetzgebungsvorschläge unterbreiten, die unter Berücksichtigung der Entwicklungen in Bezug auf die Cyberkriminalität zu einer Erweiterung des Anwendungsbereichs dieser Richtlinie führen könnten. Solche künftigen Entwicklungen könnten technologische Entwicklungen umfassen, die beispielsweise eine wirksamere Strafverfolgung bei Angriffen auf Informationssysteme ermöglichen oder der Verhütung solcher Angriffe oder der Minimierung ihrer Auswirkungen dienen. Zu diesem Zweck sollte die Kommission die verfügbaren Analysen und Berichte berücksichtigen, die von den einschlägigen Akteuren und insbesondere von Europol und ENISA ausgearbeitet worden sind.
(26)
Um die Cyberkriminalität wirksam zu bekämpfen, ist es erforderlich, die Widerstandsfähigkeit von Informationssystemen dadurch zu erhöhen, dass geeignete Maßnahmen ergriffen werden, um sie wirksamer gegen Cyberangriffe zu schützen. Die Mitgliedstaaten sollten die erforderlichen Maßnahmen treffen, um die Informationssysteme, die Teil ihrer kritischen Infrastruktur sind, vor Cyberangriffen zu schützen, und in diesem Rahmen auch prüfen, wie ihre Informationssysteme und die dazugehörigen Daten zu schützen sind. Eine wesentliche Komponente eines umfassenden Konzepts zur wirksamen Bekämpfung der Cyberkriminalität besteht darin, dass ein angemessenes Schutz- und Sicherheitsniveau bei Informationssystemen durch juristische Personen - beispielsweise in Verbindung mit der Bereitstellung öffentlich zugänglicher Kommunikationsdienste im Einklang mit den bestehenden Unionsvorschriften über den Schutz der Privatsphäre und elektronische Kommunikation sowie Datenschutz - gewährleistet wird. Gegen Bedrohungen und Schwachstellen, die ohne übermäßigen Aufwand erkennbar sind, sollten ein angemessenes Schutzniveau gemäß dem neuesten Stand der Technik für spezifische Branchen und spezifische Situationen der Datenverarbeitung geboten werden. Die Kosten und der Aufwand eines solchen Schutzes sollten in einem angemessenen Verhältnis zu dem Schaden stehen, der bei einem Cyberangriff für die Betroffenen zu erwarten wäre. Die Mitgliedstaaten werden ermutigt, für die einschlägigen Maßnahmen zur Begründung einer Haftung im Rahmen ihres nationalen Rechts in den Fällen zu sorgen, in denen eine juristische Person eindeutig kein ausreichendes Niveau des Schutzes vor Cyberangriffen gewährleistet hat.
(27)
Größere Abweichungen und Diskrepanzen zwischen den Rechtsvorschriften und Strafverfahren der Mitgliedstaaten im Bereich von Angriffen auf Informationssysteme können die Bekämpfung der organisierten Kriminalität und des Terrorismus behindern und unter Umständen eine wirksame polizeiliche und justizielle Zusammenarbeit bei der Abwehr von Angriffen auf Informationssysteme erschweren. Der länder- und grenzübergreifende Charakter moderner Informationssysteme bedeutet, dass auch Angriffe auf solche Systeme eine grenzüberschreitende Dimension annehmen, was den dringenden Bedarf an weiteren Maßnahmen zur Angleichung des Strafrechts in diesem Bereich unterstreicht. Die Koordinierung der Strafverfolgung bei Angriffen auf Informationssysteme sollte mithilfe einer angemessenen Umsetzung und Anwendung des Rahmenbeschlusses 2009/948/JI des Rates vom 30. November 2009 zur Vermeidung und Beilegung von Kompetenzkonflikten in Strafverfahren (5) erleichtert werden. Die Mitgliedstaaten sollten sich in Zusammenarbeit mit der Union ferner um die Verbesserung der internationalen Zusammenarbeit in Bezug auf die Sicherheit von Informationssystemen, Computernetzen und Computerdaten bemühen. Der Sicherheit der Datenübertragung und -speicherung sollte bei allen internationalen Übereinkünften, bei denen der Austausch von Daten eine Rolle spielt, angemessen Rechnung getragen werden.
(28)
Eine verbesserte Zusammenarbeit zwischen den zuständigen Strafverfolgungsstellen und Justizbehörden in der gesamten Union ist für die wirksame Bekämpfung der Cyberkriminalität von wesentlicher Bedeutung. In diesem Zusammenhang sollte die Intensivierung der Bemühungen um eine angemessene Schulung der einschlägigen Behörden im Hinblick auf ein besseres Verständnis der Cyberkriminalität und ihrer Auswirkungen und die Verstärkung der Zusammenarbeit und des Austauschs bewährter Verfahren beispielsweise über die zuständigen spezialisierten Agenturen und Einrichtungen der Union gefördert werden. Mit der betreffenden Schulung sollte unter anderem angestrebt werden, eine verstärkte Sensibilisierung hinsichtlich der unterschiedlichen nationalen Rechtssysteme, der möglichen rechtlichen und technischen Probleme bei strafrechtlichen Ermittlungen und der Aufteilung der Zuständigkeiten zwischen den einschlägigen nationalen Behörden zu bewirken.
(29)
Diese Richtlinie achtet die Menschenrechte und Grundfreiheiten und wahrt die Grundsätze, die insbesondere mit der Charta der Grundrechte der Europäischen Union und der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten anerkannt wurden, namentlich der Schutz personenbezogener Daten, das Recht auf Schutz der Privatsphäre, die Meinungs- und Informationsfreiheit, das Recht auf ein faires Verfahren, die Unschuldsvermutung und die Gewährleistung der Verteidigungsrechte sowie das Gesetzlichkeits- und Verhältnismäßigkeitsprinzip in Bezug auf Straftaten und Strafen. Diese Richtlinie, mit der die uneingeschränkte Wahrung dieser Rechte und Grundsätze gewährleistet werden soll, ist entsprechend umzusetzen.
(30)
Der Schutz personenbezogener Daten ist ein Grundrecht gemäß Artikel 16 Absatz 1 AEUV und Artikel 8 der Charta der Grundrechte der Europäischen Union. Daher sollte jede Verarbeitung von Daten im Rahmen der Umsetzung dieser Richtlinie uneingeschränkt dem einschlägigen Unionsrecht über Datenschutz entsprechen.
(31)
Gemäß Artikel 3 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position des Vereinigten Königreichs und Irlands hinsichtlich des Raums der Freiheit, der Sicherheit und des Rechts haben diese Mitgliedstaaten mitgeteilt, dass sie sich an der Annahme und Anwendung dieser Richtlinie beteiligen möchten.
(32)
Nach den Artikeln 1 und 2 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position Dänemarks beteiligt sich Dänemark nicht an der Annahme dieser Richtlinie und ist weder durch diese Richtlinie gebunden noch zu ihrer Anwendung verpflichtet.
(33)
Da die Ziele dieser Richtlinie, nämlich Angriffe auf Informationssysteme in allen Mitgliedstaaten mit wirksamen, verhältnismäßigen und abschreckenden Strafen zu ahnden und die justizielle Zusammenarbeit zu verbessern und zu fördern, auf Ebene der Mitgliedstaaten nicht ausreichend verwirklicht werden können, und daher aufgrund ihres Ausmaßes oder ihrer Wirkung besser auf Unionsebene zu verwirklichen sind, kann die Union im Einklang mit dem in Artikel 5 des Vertrags über die Europäische Union niedergelegten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Richtlinie nicht über das für die Erreichung dieser Ziele erforderliche Maß hinaus.
(34)
Mit dieser Richtlinie sollen die Bestimmungen des Rahmenbeschlusses 2005/222/JI des Rates vom 24. Februar 2005 über Angriffe auf Informationssysteme (6) geändert und ausgeweitet werden. Da die vorzunehmenden Änderungen sowohl bezüglich der Zahl als auch hinsichtlich des Inhalts erheblich sind, sollte der Rahmenbeschluss 2005/222/JI aus Gründen der Klarheit für die sich an der Annahme dieser Richtlinie beteiligenden Mitgliedstaaten vollständig ersetzt werden -
HABEN FOLGENDE RICHTLINIE ERLASSEN:
Artikel 1
Gegenstand
Mit dieser Richtlinie werden Mindestvorschriften zur Festlegung von Straftaten und Strafen bei Angriffen auf Informationssysteme festgelegt. Diese Richtlinie soll überdies die Verhinderung derartiger Straftaten erleichtern und die Zusammenarbeit zwischen Justizbehörden und anderen zuständigen Behörden verbessern.
Artikel 2
Begriffsbestimmungen
Im Sinne dieser Richtlinie bezeichnet der Ausdruck
a)
„Informationssystem“ eine Vorrichtung oder eine Gruppe miteinander verbundener oder zusammenhängender Vorrichtungen, die einzeln oder zu mehreren auf der Grundlage eines Programms die automatische Verarbeitung von Computerdaten durchführen, sowie die von ihr oder ihnen zum Zwecke des Betriebs, der Nutzung, des Schutzes und der Pflege gespeicherten, verarbeiteten, abgerufenen oder übertragenen Computerdaten;
b)
„Computerdaten“ jede Darstellung von Tatsachen, Informationen oder Konzepten in einer für die Verarbeitung in einem Informationssystem geeigneten Form, einschließlich eines Programms, das die Ausführung einer Funktion durch ein Informationssystem auslösen kann;
c)
„juristische Person“ jedes Rechtssubjekt, das den Status der juristischen Person nach dem anwendbaren Recht besitzt, mit Ausnahme von Staaten oder anderen Körperschaften des öffentlichen Rechts in der Ausübung hoheitlicher Rechte und von öffentlich-rechtlichen internationalen Organisationen;
d)
„unbefugt“ ein in dieser Richtlinie genanntes Verhalten, einschließlich Zugang, Eingriff oder Abfangen, das vom Eigentümer oder einem anderen Rechtsinhaber des Systems oder eines Teils des Systems nicht gestattet wurde oder das nach den einzelstaatlichen Rechtsvorschriften nicht zulässig ist.
Artikel 3
Rechtswidriger Zugang zu Informationssystemen
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass der vorsätzliche unbefugte Zugang zu einem Informationssystem als Ganzem oder zu einem Teil davon, wenn dieser Zugang durch eine Verletzung von Sicherheitsmaßnahmen erfolgt, zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt.
Artikel 4
Rechtswidriger Systemeingriff
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass die vorsätzliche und unbefugte schwere Behinderung oder Störung des Betriebs eines Informationssystems durch Eingeben von Computerdaten, durch Übermitteln, Beschädigen, Löschen, Beeinträchtigen, Verändern und Unterdrücken von Computerdaten und durch Unzugänglichmachen von Computerdaten zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt.
Artikel 5
Rechtswidriger Eingriff in Daten
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass das vorsätzliche und unbefugte Löschen, Beschädigen, Beeinträchtigen, Verändern, Unterdrücken von Computerdaten eines Informationssystems und das Unzugänglichmachen solcher Daten zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt.
Artikel 6
Rechtswidriges Abfangen von Daten
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass das vorsätzliche und unbefugte, mit technischen Hilfsmitteln bewirkte Abfangen nichtöffentlicher Computerdatenübermittlungen an ein Informationssystem, aus einem Informationssystem oder innerhalb eines Informationssystems einschließlich elektromagnetischer Abstrahlungen aus einem Informationssystem, das Träger solcher Computerdaten ist, zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt.
Artikel 7
Tatwerkzeuge
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass das vorsätzliche und unbefugte Herstellen, Verkaufen, Beschaffen zwecks Gebrauchs, Einführen, Verbreiten oder anderweitige Verfügbarmachen folgender Instrumente, das mit der Absicht erfolgt, eine Straftat im Sinne der Artikel 3 bis 6 zu begehen, zumindest dann unter Strafe gestellt wird, wenn kein leichter Fall vorliegt:
a)
eines Computerprogramms, das in erster Linie dafür ausgelegt oder hergerichtet worden ist, eine Straftat im Sinne der Artikel 3 bis 6 zu begehen;
b)
eines Computerpassworts, eines Zugangscodes oder ähnlicher Daten, die den Zugang zu einem Informationssystem als Ganzem oder zu einem Teil davon ermöglichen.
Artikel 8
Anstiftung, Beihilfe und Versuch
(1) Die Mitgliedstaaten stellen sicher, dass die Anstiftung oder Beihilfe zur Begehung einer Straftat im Sinne der Artikel 3 bis 7 unter Strafe gestellt wird.
(2) Die Mitgliedstaaten stellen sicher, dass der Versuch der Begehung einer Straftat im Sinne der Artikel 4 und 5 unter Strafe gestellt wird.
Artikel 9
Strafen
(1) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass die Straftaten im Sinne der Artikel 3 bis 8 mit wirksamen, angemessenen und abschreckenden Strafen geahndet werden.
(2) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass Straftaten im Sinne der Artikel 3 bis 7 zumindest dann mit Freiheitsstrafen im Höchstmaß von mindestens zwei Jahren geahndet werden, wenn kein leichter Fall vorliegt.
(3) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass die Straftaten im Sinne der Artikel 4 und 5 mit Freiheitsstrafen im Höchstmaß von mindestens drei Jahren geahndet werden, wenn sie vorsätzlich begangen werden und eine beträchtliche Anzahl von Informationssystemen unter Verwendung eines in Artikel 7 genannten Instruments, das in erster Linie dafür ausgerichtet oder hergerichtet wurde, beeinträchtigt wird.
(4) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass Straftaten im Sinne der Artikel 4 und 5 mit Freiheitsstrafen im Höchstmaß von mindestens fünf Jahren geahndet werden, wenn
a)
sie im Rahmen einer kriminellen Vereinigung im Sinne des Rahmenbeschlusses 2008/841/JI ungeachtet der dort genannten Strafen begangen wurden;
b)
sie einen schweren Schaden verursachen oder
c)
sie gegen ein Informationssystem einer kritischen Infrastruktur verübt wurden.
(5) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass der Missbrauch der personenbezogenen Daten einer anderen Person mit dem Ziel, das Vertrauen eines Dritten zu gewinnen, wodurch dem rechtmäßigen Identitätseigentümer ein Schaden zugefügt wird, im Einklang mit dem nationalen Recht als erschwerender Umstand bei der Begehung von Straftaten nach den Artikeln 4 und 5 eingestuft werden kann, soweit der betreffende Umstand nicht bereits eine andere Straftat im Sinne des nationalen Rechts darstellt.
Artikel 10
Verantwortlichkeit juristischer Personen
(1) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass eine juristische Person für eine Straftat im Sinne der Artikel 3 bis 8 verantwortlich gemacht werden kann, die zu ihren Gunsten von einer Person begangen wurde, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt hat und die eine Führungsposition innerhalb der juristischen Person innehat, aufgrund
a)
einer Befugnis zur Vertretung der juristischen Person,
b)
einer Befugnis, Entscheidungen im Namen der juristischen Person zu treffen oder
c)
einer Kontrollbefugnis innerhalb der juristischen Person.
(2) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass eine juristische Person verantwortlich gemacht werden kann, wenn mangelnde Überwachung oder Kontrolle seitens einer in Absatz 1 genannten Person die Begehung einer Straftat nach den Artikeln 3 bis 8 zugunsten der juristischen Person durch eine ihr unterstellte Person ermöglicht hat.
(3) Die Verantwortlichkeit der juristischen Personen nach den Absätzen 1 und 2 schließt die strafrechtliche Verfolgung natürlicher Personen als Täter, Anstifter oder Gehilfen bei einer Straftat im Sinne der Artikel 3 bis 8 nicht aus.
Artikel 11
Sanktionen gegen juristische Personen
(1) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass gegen eine im Sinne von Artikel 10 Absatz 1 verantwortliche juristische Person wirksame, verhältnismäßige und abschreckende Sanktionen verhängt werden können, zu denen Geldstrafen oder Geldbußen gehören und zu denen andere Sanktionen gehören können wie etwa:
a)
Ausschluss von öffentlichen Zuwendungen oder Hilfen,
b)
vorübergehendes oder ständiges Verbot der Ausübung einer Handelstätigkeit,
c)
richterliche Aufsicht,
d)
richterlich angeordnete Eröffnung des Liquidationsverfahrens oder
e)
vorübergehende oder endgültige Schließung von Einrichtungen, die zur Begehung der Straftat genutzt wurden.
(2) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass gegen eine im Sinne von Artikel 10 Absatz 2 verantwortliche juristische Person wirksame, angemessene und abschreckende Sanktionen oder andere Maßnahmen verhängt werden können.
Artikel 12
Gerichtliche Zuständigkeit
(1) Jeder Mitgliedstaat begründet seine Zuständigkeit für die in den Artikeln 3 bis 8 genannten Straftaten, wenn diese
a)
ganz oder teilweise in seinem Hoheitsgebiet oder
b)
von einem seiner Staatsangehörigen begangen wurden, zumindest in den Fällen, in denen die Tat an dem Ort, an dem sie begangen wurde, eine Straftat darstellt.
(2) Bei der Begründung seiner Zuständigkeit gemäß Absatz 1 Buchstabe a stellt jeder Mitgliedstaat sicher, dass sich seine Zuständigkeit auch auf Fälle erstreckt, in denen
a)
sich der Täter bei der Begehung der Straftat physisch in seinem Hoheitsgebiet aufhält, unabhängig davon, ob sich die Straftat gegen ein Informationssystem innerhalb oder außerhalb seines Hoheitsgebiets richtet, oder
b)
sich die Straftat gegen ein Informationssystem in seinem Hoheitsgebiet richtet, unabhängig davon, ob sich der Täter bei der Begehung der Straftat physisch im Hoheitsgebiet dieses Mitgliedstaats aufhält.
(3) Ein Mitgliedstaat unterrichtet die Kommission über seine Entscheidung, eine gerichtliche Zuständigkeit für Straftaten nach den Artikeln 3 bis 8, die außerhalb seines Hoheitsgebiets begangen wurden, zu begründen, einschließlich in Fällen, in denen
a)
der gewöhnliche Aufenthalt des Straftäters in seinem Hoheitsgebiet liegt oder
b)
die Straftat zugunsten einer in seinem Hoheitsgebiet niedergelassenen juristischen Person begangen wird.
Artikel 13
Informationsaustausch
(1) Zum Zweck des Informationsaustauschs über Straftaten nach den Artikeln 3 bis 8 stellen die Mitgliedstaaten sicher, dass sie über eine operative nationale Kontaktstelle verfügen, und das bestehende Netz der operativen Kontaktstellen, die an sieben Wochentagen 24 Stunden täglich zur Verfügung stehen, nutzen. Die Mitgliedstaaten sorgen ferner dafür, dass Verfahren vorhanden sind, mit denen die zuständige Behörde bei dringenden Ersuchen um Unterstützung binnen höchstens acht Stunden nach Eingang des Ersuchens zumindest mitteilen können, ob das Ersuchen beantwortet wird und in welcher Form und wann dies voraussichtlich erfolgen wird.
(2) Die Mitgliedstaaten teilen der Kommission ihre in Absatz 1 genannte Kontaktstelle mit. Die Kommission leitet diese Informationen an die anderen Mitgliedstaaten und die spezialisierten Agenturen und Einrichtungen der Union weiter.
(3) Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass geeignete Meldekanäle zur Verfügung stehen, damit die Meldung der in den Artikeln 3 bis 6 aufgeführten Straftaten an die zuständigen nationalen Behörden unverzüglich erfolgen kann.
Artikel 14
Kontrolle und Statistiken
(1) Die Mitgliedstaaten sorgen dafür, dass ein System für die Aufzeichnung, Erstellung und Bereitstellung statistischer Daten zu den Straftaten im Sinne der Artikel 3 bis 7 bereitsteht.
(2) Die statistischen Daten gemäß Absatz 1 umfassen zumindest die vorhandenen Daten über die Anzahl der in den Mitgliedstaaten erfassten Straftaten im Sinne der Artikel 3 bis 7 und die Anzahl der Personen, die wegen einer Straftat im Sinne der Artikel 3 bis 7 verfolgt und verurteilt worden sind.
(3) Die Mitgliedstaaten übermitteln der Kommission die nach Maßgabe dieses Artikels erfassten Daten. Die Kommission sorgt dafür, dass eine konsolidierte Zusammenfassung dieser statistischen Berichte veröffentlicht und den spezialisierten Agenturen und Einrichtungen der Union zugeleitet wird.
Artikel 15
Ersetzung des Rahmenbeschlusses 2005/222/JI
Der Rahmenbeschluss 2005/222/JI wird in Bezug auf die Mitgliedstaaten ersetzt, die sich an der Annahme dieser Richtlinie beteiligen, unbeschadet der Pflichten der Mitgliedstaaten im Zusammenhang mit den Fristen für die Umsetzung des Rahmenbeschlusses in innerstaatliches Recht.
In Bezug auf die Mitgliedstaaten, die sich an der Annahme dieser Richtlinie beteiligen, gelten Verweise auf den Rahmenbeschluss 2005/222/JI als Verweise auf die vorliegende Richtlinie.
Artikel 16
Umsetzung
(1) Die Mitgliedstaaten setzen die erforderlichen Rechts- und Verwaltungsvorschriften in Kraft, um dieser Richtlinie bis zum 4. September 2015 nachzukommen.
(2) Die Mitgliedstaaten übermitteln der Kommission den Wortlaut der innerstaatlichen Maßnahmen zur Umsetzung ihrer Verpflichtungen aus dieser Richtlinie.
(3) Bei Erlass dieser Vorschriften nehmen die Mitgliedstaaten in den Vorschriften selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten dieser Bezugnahme.
Artikel 17
Berichterstattung
Die Kommission legt dem Europäischen Parlament und dem Rat bis zum 4. September 2017 einen Bericht darüber vor, inwieweit die Mitgliedstaaten die zur Einhaltung dieser Richtlinie erforderlichen Maßnahmen ergriffen haben, und unterbreitet erforderlichenfalls Gesetzgebungsvorschläge. Die Kommission berücksichtigt auch die technischen und rechtlichen Entwicklungen im Bereich der Cyberkriminalität, insbesondere hinsichtlich des Anwendungsbereichs dieser Richtlinie.
Artikel 18
Inkrafttreten
Diese Richtlinie tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Artikel 19
Adressaten
Diese Richtlinie ist gemäß den Verträgen an die Mitgliedstaaten gerichtet.
Geschehen zu Brüssel am 12. August 2013.
DIRETTIVA 2013/40/UE DEL PARLAMENTO EUROPEO E DEL CONSIGLIO
del 12 agosto 2013
relativa agli attacchi contro i sistemi di informazione e che sostituisce la decisione quadro 2005/222/GAI del Consiglio
IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 83, paragrafo 1,
vista la proposta della Commissione europea,
previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,
visto il parere del Comitato economico e sociale europeo (1),
deliberando secondo la procedura legislativa ordinaria (2),
considerando quanto segue:
(1)
Gli obiettivi della presente direttiva sono ravvicinare il diritto penale degli Stati membri nel settore degli attacchi contro i sistemi di informazione, stabilendo norme minime relative alla definizione dei reati e delle sanzioni rilevanti, e migliorare la cooperazione fra le autorità competenti, compresi la polizia e gli altri servizi specializzati degli Stati membri incaricati dell’applicazione della legge, nonché le competenti agenzie e gli organismi specializzati dell’Unione, come Eurojust, Europol e il suo Centro europeo per la criminalità informatica, e l’Agenzia europea per la sicurezza delle reti e dell’informazione (ENISA).
(2)
I sistemi di informazione sono un elemento chiave dell’interazione politica, sociale ed economica nell’Unione. La società è fortemente e sempre più dipendente da tali sistemi. Il buon funzionamento e la sicurezza di questi sistemi nell’Unione sono fondamentali per lo sviluppo del mercato interno e di un’economia competitiva e innovativa. La garanzia di un adeguato livello di protezione dei sistemi di informazione dovrebbe rientrare in un efficace quadro globale di misure di prevenzione a corredo delle risposte alla criminalità informatica nell’ambito del diritto penale.
(3)
Gli attacchi ai danni dei sistemi di informazione, in particolare gli attacchi connessi alla criminalità organizzata, sono una minaccia crescente a livello di Unione e mondiale, e la preoccupazione per la possibilità di attacchi terroristici o di matrice politica contro sistemi di informazione che fanno parte dell’infrastruttura critica degli Stati membri e dell’Unione è in aumento. Ciò costituisce una minaccia per la creazione di una società dell’informazione più sicura e di uno spazio di libertà, sicurezza e giustizia, e richiede pertanto una risposta a livello di Unione, nonché un migliore coordinamento e una migliore cooperazione a livello internazionale.
(4)
Vi sono nell’Unione infrastrutture critiche la cui distruzione o il cui danneggiamento avrebbe un significativo impatto transfrontaliero. Dalla necessità di rafforzare la capacità di protezione delle infrastrutture critiche nell’Unione risulta evidente che le misure contro gli attacchi informatici dovrebbero essere integrate con sanzioni penali rigorose che rispecchino la gravità di tali attacchi. Per infrastrutture critiche si potrebbe intendere un elemento, un sistema o parte di questo ubicato negli Stati membri che è essenziale per il mantenimento delle funzioni vitali della società, della salute, della sicurezza e del benessere economico o sociale delle persone, come gli impianti energetici, le reti di trasporto o le reti governative, e il cui danneggiamento o la cui distruzione avrebbe un impatto significativo in uno Stato membro a causa dell’impossibilità di mantenere tali funzioni.
(5)
Si registra chiaramente una tendenza a perpetrare attacchi su larga scala sempre più pericolosi e ricorrenti contro sistemi di informazione che possono spesso essere critici per gli Stati membri o per particolari funzioni del settore pubblico o privato. Questa tendenza va di pari passo con lo sviluppo di metodi sempre più sofisticati, quali la creazione e l’uso delle cosiddette «botnet», che implica un reato costituito da più stadi, in cui ciascuno stadio singolarmente potrebbe mettere seriamente a rischio i pubblici interessi. La presente direttiva mira, tra l’altro, a introdurre sanzioni penali per la creazione delle «botnet», ossia per l’azione con cui si stabilisce il controllo a distanza di un numero rilevante di computer infettandoli con software maligni per mezzo di attacchi informatici mirati. Una volta creata, la rete infettata di computer che costituiscono la «botnet» può essere attivata a insaputa degli utenti per lanciare un attacco informatico su larga scala, che, solitamente, è in grado di causare danni gravi, ai sensi della presente direttiva. Gli Stati membri possono stabilire cosa costituisce danno grave ai sensi del loro diritto e della loro prassi nazionali, come ad esempio le perturbazioni dei servizi di sistema di rilevante interesse pubblico o la creazione di costi finanziari esorbitanti o la perdita di dati personali o di informazioni sensibili.
(6)
Gli attacchi informatici su larga scala possono causare notevoli danni economici sia attraverso l’interruzione dei sistemi di informazione e delle comunicazioni sia attraverso la perdita o l’alterazione di informazioni riservate commercialmente importanti o di altri dati. Si dovrebbe prestare particolare attenzione alla sensibilizzazione delle piccole e medie imprese innovative con riguardo alle minacce relative a tali attacchi e alla loro vulnerabilità agli stessi, in conseguenza della loro crescente dipendenza dal corretto funzionamento e dalla disponibilità dei sistemi di informazione, e della disponibilità, spesso limitata, di risorse da dedicare alla sicurezza delle informazioni.
(7)
Per garantire un approccio coerente degli Stati membri nell’applicazione della presente direttiva è importante disporre, in questo settore, di definizioni comuni.
(8)
È necessario giungere a un approccio comune nei confronti degli elementi costitutivi dei reati mediante l’introduzione dei reati comuni di accesso illecito a sistemi di informazione, di interferenza illecita relativamente ai sistemi, di interferenza illecita relativamente ai dati e di intercettazione illecita.
(9)
L’intercettazione comprende, ma non si limita necessariamente a, l’ascolto, il monitoraggio o la sorveglianza del contenuto di comunicazioni e il rilevamento del contenuto dei dati direttamente, mediante l’accesso e l’utilizzo dei sistemi di informazione, o indirettamente, mediante l’uso di dispositivi elettronici di intercettazione elettromagnetica o di intercettazione sulla linea tramite strumenti tecnici.
(10)
Gli Stati membri dovrebbero prevedere sanzioni per gli attacchi ai danni di sistemi di informazione. Tali sanzioni dovrebbero essere effettive, proporzionate e dissuasive e comprendere pene detentive e/o pecuniarie.
(11)
La presente direttiva prevede sanzioni penali almeno nei casi che non siano di minore gravità. Gli Stati membri possono stabilire cosa costituisce un caso di minore gravità ai sensi del loro diritto e della loro prassi nazionali. Un caso può essere considerato di minore gravità, ad esempio, qualora il danno causato dal reato e/o il rischio per gli interessi pubblici o privati, ad esempio per l’integrità di un sistema di informazione o per dati informatici, o per l’integrità, i diritti o altri interessi di una persona, sia insignificante o di natura tale da non rendere necessario imporre una sanzione penale entro i limiti di legge o stabilire una responsabilità penale.
(12)
L’individuazione e la comunicazione di minacce e rischi posti dagli attacchi informatici, nonché la relativa vulnerabilità dei sistemi di informazione, costituiscono un elemento rilevante per un’efficace prevenzione e risposta agli attacchi informatici e del miglioramento della sicurezza dei sistemi di informazione. La previsione di incentivi per la segnalazione di lacune in materia di sicurezza potrebbe contribuire a tal fine. È opportuno che gli Stati membri si adoperino per rendere possibili l’individuazione legale e la segnalazione delle lacune in materia di sicurezza.
(13)
È opportuno prevedere sanzioni più severe quando un attacco contro un sistema di informazione è perpetrato da un’organizzazione criminale quale definita nella decisione quadro 2008/841/GAI del Consiglio, del 24 ottobre 2008, relativa alla lotta contro la criminalità organizzata (3), quando un attacco informatico è condotto su larga scala, in tal modo colpendo un numero significativo di sistemi di informazione, anche quando è diretto alla creazione di una «botnet», o quando un attacco informatico causa danni gravi, anche nel caso in cui sia perpetrato attraverso una «botnet». È altresì opportuno prevedere sanzioni più severe quando un attacco è condotto contro un’infrastruttura critica degli Stati membri o dell’Unione.
(14)
Altro elemento importante di un approccio intergrato alla criminalità informatica è l’istituzione di efficaci misure contro il furto d’identità e altri reati connessi all’identità. L’eventuale bisogno di un’azione dell’Unione contro tale tipo di comportamento criminale potrebbe anche essere considerato nel contesto di una valutazione della necessità di uno strumento orizzontale e globale dell’Unione.
(15)
Nelle conclusioni del 27-28 novembre 2008, il Consiglio ha indicato che dovrebbe essere elaborata una nuova strategia con gli Stati membri e la Commissione, tenendo conto del contenuto della Convenzione del 2001 del Consiglio d’Europa sulla criminalità informatica. Tale Convenzione è il quadro giuridico di riferimento per la lotta contro la criminalità informatica, compresi gli attacchi contro i sistemi di informazione. La presente direttiva si basa su tale Convenzione. Il completamento del processo di ratifica di tale Convenzione il prima possibile da parte di tutti gli Stati membri dovrebbe essere considerata una priorità.
(16)
Tenuto conto delle varie modalità con cui possono essere effettuati gli attacchi e della rapida evoluzione degli hardware e dei software, la presente direttiva fa riferimento a strumenti che possono essere utilizzati per commettere i reati in essa previsti. Tali strumenti potrebbero includere software maligni, fra cui quelli capaci di creare botnet, usati per perpetrare attacchi informatici. Anche se un tale strumento è idoneo o particolarmente idoneo a commettere i reati previsti nella presente direttiva, è possibile che sia stato prodotto per fini legittimi. Data la necessità di evitare una criminalizzazione di tali strumenti, quando essi siano prodotti e commercializzati per fini legittimi, come la verifica dell’affidabilità dei prodotti di tecnologia dell’informazione o la sicurezza dei sistemi di informazione, oltre al requisito dell’intenzione generale, deve essere soddisfatto anche il requisito dell’intenzione diretta di utilizzare tali strumenti per commettere uno o più reati previsti nella presente direttiva.
(17)
La presente direttiva non prevede responsabilità penale qualora siano soddisfatti i criteri oggettivi dei reati previsti nella presente direttiva, ma gli atti siano compiuti senza dolo, ad esempio qualora una persona non sappia che l’accesso non è autorizzato o nel caso di incarichi di collaudo o di protezione di sistemi di informazione, ad esempio qualora una persona sia incaricata da un’impresa o da un venditore di verificare la resistenza del loro sistema di sicurezza. Nel contesto della presente direttiva, per gli obblighi o gli accordi contrattuali intesi a limitare l’accesso ai sistemi di informazione tramite norme d’uso o condizioni del servizio, nonché per controversie lavorative riguardo all’accesso e all’uso di sistemi di informazione di un datore di lavoro per scopi privati, non dovrebbe essere prevista responsabilità penale, quando l’accesso in tali circostanze sia ritenuto non autorizzato e, pertanto, costituisca l’unico presupposto per l’esercizio dell’azione penale. La presente direttiva non pregiudica il diritto di accesso alle informazioni, quale stabilito nel diritto nazionale e dell’Unione, ma al contempo non può costituire una giustificazione per l’accesso illecito o arbitrario alle informazioni.
(18)
Gli attacchi informatici potrebbero essere agevolati da svariate circostanze, come nel caso in cui l’autore del reato nell’ambito dell’esercizio della sua attività lavorativa abbia accesso ai sistemi di sicurezza connessi ai sistemi di informazione colpiti. È opportuno che, nel contesto del diritto nazionale, tali circostanze siano tenute in considerazione durante i procedimenti penali, ove opportuno.
(19)
Gli Stati membri dovrebbero prevedere nel loro diritto nazionale circostanze aggravanti in conformità delle norme applicabili stabilite nei rispettivi ordinamenti giuridici in materia di circostanze aggravanti. Essi dovrebbero garantire che tali circostanze aggravanti possano essere tenute in conto dai giudici allorché giudicano gli autori di reati. La valutazione di tali circostanze, assieme agli altri elementi fattuali della singola fattispecie, resta discrezione del giudice.
(20)
La presente direttiva non disciplina le condizioni per l’esercizio della competenza giurisdizionale su uno dei reati da essa contemplati, quali una querela della vittima nel luogo in cui il reato è stato commesso o una segnalazione dello Stato in cui è stato commesso, o il fatto che l’autore del reato non sia stato perseguito nel luogo in cui è stato commesso il reato.
(21)
Nel contesto della presente direttiva gli Stati e gli organismi pubblici sono del tutto vincolati a garantire il rispetto dei diritti dell’uomo e delle libertà fondamentali, conformemente ai vigenti obblighi internazionali.
(22)
La presente direttiva rafforza l’importanza delle reti, come la rete di punti di contatto del G8 o quella del Consiglio d’Europa, disponibili ventiquattr’ore su ventiquattro e sette giorni su sette. Tali punti di contatto dovrebbero poter prestare un’efficace assistenza, ad esempio agevolando lo scambio di pertinenti informazioni disponibili e la fornitura di consulenza tecnica o di informazioni giuridiche ai fini delle indagini o dei procedimenti relativi a reati connessi a sistemi di informazione e dati a essi associati che coinvolgono lo Stato membro richiedente. Per assicurare il buon funzionamento delle reti, ciascun punto di contatto dovrebbe essere in grado di comunicare con la massima urgenza con il punto di contatto di un altro Stato membro avvalendosi, tra l’altro, del supporto di personale addestrato e attrezzato. Data la rapidità con cui possono essere lanciati gli attacchi informatici su larga scala, gli Stati membri dovrebbero essere in grado di rispondere prontamente alle richieste urgenti provenienti da questa rete di punti di contatto. In casi siffatti può essere opportuno che la richiesta di informazioni, per garantirne la rapida evasione da parte dello Stato membro richiesto, sia accompagnata da un contatto telefonico e che i riscontri siano forniti entro otto ore.
(23)
La cooperazione tra le autorità pubbliche da un lato, e il settore privato e la società civile dall’altro, è di grande importanza per prevenire e combattere gli attacchi contro i sistemi di informazione. È necessario promuovere e migliorare la cooperazione tra fornitori di servizi, produttori, organismi preposti all’applicazione della legge e autorità giudiziarie, nel pieno rispetto dello stato di diritto. Tale cooperazione potrebbe includere, ad esempio, l’assistenza da parte dei fornitori di servizi al fine di conservare possibili prove, fornire elementi che aiutino a identificare gli autori dei reati e, in ultima istanza, disattivare totalmente o parzialmente, conformemente al diritto e alla prassi nazionali, i sistemi di informazione o le funzioni che siano stati compromessi o utilizzati a fini illegali. Gli Stati membri dovrebbero altresì prendere in considerazione la creazione di reti di cooperazione e di partenariato con fornitori di servizi e produttori per lo scambio di informazioni relativamente ai reati che rientrano nell’ambito di applicazione della presente direttiva.
(24)
È necessario raccogliere dati comparabili sui reati previsti nella presente direttiva. I dati pertinenti dovrebbero essere messi a disposizione delle agenzie e degli organismi specializzati dell’Unione, come Europol ed ENISA, in linea con le loro funzioni e necessità di informazione, per ottenere un quadro più completo del problema della criminalità informatica e della sicurezza delle reti e dell’informazione a livello di Unione e contribuire così alla formulazione di una risposta più efficace. Gli Stati membri dovrebbero trasmettere informazioni sul modus operandi degli autori dei reati a Europol e al suo Centro europeo per la lotta alla criminalità informatica ai fini dell’effettuazione di valutazioni delle minacce e di analisi strategiche in merito alla criminalità informatica conformemente alla decisione 2009/371/GAI del Consiglio, del 6 aprile 2009, che istituisce l’Ufficio europeo di Polizia (Europol) (4). La comunicazione di informazioni può agevolare una migliore comprensione delle minacce attuali e future, contribuendo così a una più idonea e mirata formulazione di decisioni sulla lotta e la prevenzione degli attacchi contro i sistemi di informazione.
(25)
La Commissione dovrebbe presentare una relazione sull’applicazione della presente direttiva e formulare eventuali proposte legislative necessarie che potrebbero portare ad un ampliamento del suo ambito di applicazione, tenendo conto dell’evoluzione nell’ambito della criminalità informatica. Tale evoluzione potrebbe comprendere gli sviluppi tecnologici, ad esempio quelli che consentono un’applicazione più efficace della legge nel settore degli attacchi contro i sistemi di informazione o che facilitano la prevenzione di tali attacchi o la riduzione al minimo del loro impatto. A tal fine, la Commissione dovrebbe tenere conto delle analisi e delle relazioni disponibili, realizzate da attori pertinenti e, in particolare, da Europol e dall’ENISA.
(26)
Al fine di combattere efficacemente la criminalità informatica, è necessario aumentare la resilienza dei sistemi di informazione, adottando le misure adeguate per proteggerli in modo più efficace contro gli attacchi informatici. Gli Stati membri dovrebbero adottare le misure necessarie per proteggere le loro infrastrutture critiche dagli attacchi informatici e in tale ambito dovrebbero prendere in considerazione la protezione dei loro sistemi di informazione e dei dati associati. Costituisce parte essenziale di un approccio globale a una lotta efficace contro la criminalità informatica assicurare un adeguato livello di protezione e di sicurezza dei sistemi di informazione a opera di persone giuridiche, ad esempio in relazione ai servizi di comunicazione elettronica di pubblico accesso, conformemente alla vigente legislazione dell’Unione in materia di vita privata e comunicazioni elettroniche e protezione dei dati. Dovrebbero essere forniti livelli di protezione adeguati contro le minacce e le vulnerabilità ragionevolmente individuabili in maniera corrispondente allo stato dell’arte degli specifici settori e alle specifiche situazioni di trattamento dei dati. Il costo e l’onere di tale protezione dovrebbero essere commisurati al danno potenziale procurato da un attacco informatico ai soggetti interessati. Gli Stati membri sono incoraggiati a prevedere, nell’ambito del loro diritto nazionale, pertinenti misure per l’attribuzione di responsabilità per i casi un cui una persona giuridica non abbia manifestamente fornito un adeguato livello di protezione contro gli attacchi informatici.
(27)
Le rilevanti lacune e le notevoli differenze nel diritto e nelle procedure penali degli Stati membri nel settore degli attacchi contro i sistemi di informazione possono ostacolare la lotta contro la criminalità organizzata e il terrorismo e possono complicare un’efficace cooperazione di polizia e giudiziaria in questo settore. Il carattere transnazionale e senza frontiere dei moderni sistemi di informazione fa sì che gli attacchi contro tali sistemi abbiano una dimensione transfrontaliera, e rende evidente la necessità urgente di adottare azioni ulteriori per il ravvicinamento del diritto penale in questo settore. L’attuazione e l’applicazione adeguate della decisione quadro 2009/948/GAI del Consiglio, del 30 novembre 2009, sulla prevenzione e la risoluzione dei conflitti relativi all’esercizio della giurisdizione nei procedimenti penali (5), dovrebbero inoltre agevolare il coordinamento dell’azione penale nei casi di attacchi contro i sistemi di informazione. Gli Stati membri, in collaborazione con l’Unione, dovrebbero altresì cercare di migliorare la cooperazione internazionale relativamente alla sicurezza dei sistemi di informazione, delle reti informatiche e dei dati informatici. Qualsiasi accordo internazionale riguardante lo scambio di dati dovrebbe tenere debito conto della sicurezza del trasferimento e dello stoccaggio dei dati.
(28)
Una migliore cooperazione tra competenti organismi preposti all’applicazione della legge e autorità giudiziarie in tutta l’Unione è essenziale ai fini di una lotta efficace contro la criminalità informatica. In tale contesto, si dovrebbe incoraggiare l’intensificazione degli sforzi, intesi a fornire una formazione adeguata alle pertinenti autorità, al fine di aumentare la comprensione della criminalità informatica e del suo impatto e promuovere la cooperazione e lo scambio di migliori pratiche, ad esempio attraverso le competenti agenzie e organismi specializzati dell’Unione. Tale formazione dovrebbe mirare, tra l’altro, ad aumentare il grado di conoscenza dei diversi ordinamenti giuridici nazionali, delle possibili sfide giuridiche e tecniche da affrontare nelle indagini penali e della ripartizione delle competenze tra le competenti autorità nazionali.
(29)
La presente direttiva rispetta i diritti umani e le libertà fondamentali e osserva i principi riconosciuti, in particolare, dalla Carta dei diritti fondamentali dell’Unione europea e dalla convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, inclusi la protezione dei dati personali, il diritto alla riservatezza, la libertà di espressione e d’informazione, il diritto a un processo equo, la presunzione di innocenza e i diritti della difesa così come i principi della legalità e della proporzionalità dei reati e delle pene. In particolare, la presente direttiva è volta a garantire il pieno rispetto di tali diritti e principi e deve essere attuata di conseguenza.
(30)
La protezione dei dati personali costituisce un diritto fondamentale conformemente all’articolo 16, paragrafo 1, TFUE e all’articolo 8 della Carta dei diritti fondamentali. Pertanto, qualsiasi trattamento di dati personali nell’ambito dell’attuazione della presente direttiva dovrebbe avvenire nel pieno rispetto del pertinente diritto dell’Unione in materia di protezione dei dati.
(31)
A norma dell’articolo 3 del protocollo sulla posizione del Regno Unito e dell’Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, detti Stati membri hanno notificato che desiderano partecipare all’adozione e all’applicazione della presente direttiva.
(32)
A norma degli articoli 1 e 2 del protocollo sulla posizione della Danimarca, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, la Danimarca non partecipa all’adozione della presente direttiva, non è da essa vincolata né è soggetta alla sua applicazione.
(33)
Poiché gli obiettivi della presente direttiva, segnatamente assoggettare gli attacchi ai danni di sistemi di informazione in tutti gli Stati membri a sanzioni penali effettive, proporzionate e dissuasive, e migliorare e incoraggiare la cooperazione giudiziaria, non possono essere conseguiti in misura sufficiente dagli Stati membri, e possono dunque, a motivo della loro portata o dei loro effetti, essere conseguiti meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea. La presente direttiva si limita a quanto è necessario per conseguire tali obiettivi in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.
(34)
La presente direttiva mira a modificare e ampliare le disposizioni della decisione quadro 2005/222/GAI del Consiglio, del 24 febbraio 2005, relativa agli attacchi contro i sistemi di informazione (6). Poiché le modifiche da apportare sono sostanziali per numero e natura, a fini di chiarezza, è opportuno che la decisione quadro 2005/222/GAI sia integralmente sostituita per gli Stati membri che partecipano all’adozione della presente direttiva,
HANNO ADOTTATO LA PRESENTE DIRETTIVA:
Articolo 1
Oggetto
La presente direttiva stabilisce norme minime per la definizione dei reati e delle sanzioni nel settore degli attacchi contro i sistemi di informazione. Essa mira inoltre a facilitare la prevenzione di tali reati e a migliorare la cooperazione tra autorità giudiziarie e altre autorità competenti.
Articolo 2
Definizioni
Ai fini della presente direttiva s’intende per:
a) «sistema di informazione»: un’apparecchiatura o gruppo di apparecchiature interconnesse o collegate, uno o più dei quali svolge un trattamento automatico di dati informatici secondo un programma, nonché i dati informatici immagazzinati da tale apparecchiatura o gruppo di apparecchiature, trattati, estratti o trasmessi dagli stessi ai fini della loro gestione, uso, protezione e manutenzione;
b) «dati informatici»: una rappresentazione di fatti, informazioni o concetti in una forma che può essere trattata in un sistema di informazione, compreso un programma atto a far svolgere una funzione a un sistema di informazione;
c) «persona giuridica»: un’entità che ha lo status di persona giuridica in forza del diritto applicabile; la definizione non include gli Stati o gli organismi pubblici che agiscono nell’esercizio dell’autorità statale o le organizzazioni pubbliche internazionali;
d) «senza diritto»: una condotta di cui alla presente direttiva, ivi inclusi l’accesso, l’interferenza o l’intercettazione, che non è autorizzata da parte del proprietario o da un altro titolare di diritti sul sistema o su una sua parte, ovvero non consentiti a norma del diritto nazionale.
Articolo 3
Accesso illecito a sistemi di informazione
Gli Stati membri adottano le misure necessarie per garantire che, se intenzionale, l’accesso senza diritto a un sistema di informazione o a una parte dello stesso, sia punibile come reato qualora sia commesso in violazione di una misura di sicurezza, almeno per i casi che non sono di minore gravità.
Articolo 4
Interferenza illecita relativamente ai sistemi
Gli Stati membri adottano le misure necessarie a garantire che l’atto di ostacolare gravemente o interrompere il funzionamento di un sistema di informazione mediante l’immissione di dati informatici, la trasmissione, il danneggiamento, la cancellazione, il deterioramento, l’alterazione o la soppressione di tali dati o rendendo tali dati inaccessibili, compiuto intenzionalmente e senza diritto, sia punito come reato almeno per i casi che non sono di minore gravità.
Articolo 5
Interferenza illecita relativamente ai dati
Gli Stati membri adottano le misure necessarie a garantire che l’atto di cancellare, danneggiare, deteriorare, alterare, sopprimere dati informatici in un sistema di informazione, o di rendere tali dati inaccessibili, compiuto intenzionalmente e senza diritto, sia punibile come reato, almeno per i casi che non sono di minore gravità.
Articolo 6
Intercettazione illecita
Gli Stati membri adottano le misure necessarie affinché l’intercettazione, tramite strumenti tecnici, di trasmissioni non pubbliche di dati informatici verso, da o all’interno di un sistema di informazione, incluse le emissioni elettromagnetiche da un sistema di informazione che trasmette tali dati informatici, compiuta intenzionalmente e senza diritto, sia punibile come reato, almeno per i casi che non sono di minore gravità.
Articolo 7
Strumenti utilizzati per commettere i reati
Gli Stati membri adottano le misure necessarie affinché la fabbricazione, la vendita, l’approvvigionamento per l’uso, l’importazione, la distribuzione o la messa a disposizione in altro modo intenzionali di uno dei seguenti strumenti, compiuti senza diritto e con l’intenzione di utilizzarli al fine di commettere uno dei reati di cui agli articoli da 3 a 6, siano punibili come reato, almeno per i casi che non sono di minore gravità:
a)
un programma per computer, destinato o modificato principalmente al fine di commettere uno dei reati di cui agli articoli da 3 a 6;
b)
una password di un computer, un codice d’accesso, o dati simili che permettono di accedere in tutto o in parte a un sistema di informazione.
Articolo 8
Istigazione, favoreggiamento, concorso e tentativo
1. Gli Stati membri garantiscono che l’istigazione o il favoreggiamento e il concorso nella commissione di un reato di cui agli articoli da 3 a 7 siano punibili come reato.
2. Gli Stati membri garantiscono che il tentativo di commettere un reato di cui agli articoli 4 e 5 sia punibile come reato.
Articolo 9
Sanzioni
1. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli da 3 a 8 siano punibili con sanzioni effettive, proporzionate e dissuasive.
2. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli da 3 a 7 siano punibili con una pena detentiva massima non inferiore a due anni, almeno per i casi che non sono di minore gravità.
3. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli 4 e 5, se commessi intenzionalmente, siano punibili con una pena detentiva massima non inferiore a tre anni, se un numero significativo di sistemi di informazione è stato colpito avvalendosi di uno degli strumenti di cui all’articolo 7, destinato o modificato principalmente a tal fine.
4. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli 4 e 5 siano punibili con una pena detentiva massima non inferiore a cinque anni, qualora:
a)
siano commessi nell’ambito di un’organizzazione criminale quale definita nella decisione quadro 2008/841/GAI, indipendentemente dalla sanzione ivi prevista;
b)
causino danni gravi; o
c)
siano commessi ai danni di un sistema di informazione di un’infrastruttura critica.
5. Gli Stati membri adottano le misure necessarie ad assicurare che, qualora i reati di cui agli articoli 4 e 5 siano commessi abusando dei dati personali di un’altra persona allo scopo di guadagnare la fiducia di terzi, in tal modo arrecando un danno al legittimo proprietario dell’identità, ciò possa, conformemente al diritto nazionale, essere considerato una circostanza aggravante, purché tale circostanza non sia già contemplata da un altro reato punibile a norma del diritto nazionale.
Articolo 10
Responsabilità delle persone giuridiche
1. Gli Stati membri adottano le misure necessarie ad assicurare che le persone giuridiche possano essere ritenute responsabili dei reati di cui agli articoli da 3 a 8, commessi a loro vantaggio da qualsiasi persona, che agisca a titolo individuale o in quanto membro di un organismo della persona giuridica, e che detenga una posizione dominante in seno alla persona giuridica basata:
a)
sul potere di rappresentanza della persona giuridica;
b)
sul potere di prendere decisioni per conto della persona giuridica;
c)
sul potere di esercitare il controllo in seno alla persona giuridica.
2. Gli Stati membri adottano le misure necessarie ad assicurare che le persone giuridiche possano essere ritenute responsabili qualora la mancata sorveglianza o il mancato controllo da parte di una persona di cui al paragrafo 1 abbia permesso la commissione, da parte di una persona sotto la sua autorità, di uno dei reati di cui agli articoli da 3 a 8 a vantaggio di tale persona giuridica.
3. La responsabilità delle persone giuridiche a norma dei paragrafi 1 e 2 non esclude l’avvio di procedimenti penali contro le persone fisiche che siano autori o istigatori o abbiano concorso in uno dei reati di cui agli articoli da 3 a 8.
Articolo 11
Sanzioni applicabili alle persone giuridiche
1. Gli Stati membri adottano le misure necessarie ad assicurare che una persona giuridica ritenuta responsabile a norma dell’articolo 10, paragrafo 1, sia punibile con sanzioni effettive, proporzionate e dissuasive, che comprendano sanzioni pecuniarie penali o non penali e che possano comprendere altre sanzioni, quali:
a)
l’esclusione dal godimento di un beneficio o aiuto pubblico;
b)
l’interdizione temporanea o permanente dall’esercizio di attività commerciali;
c)
l’assoggettamento a sorveglianza giudiziaria;
d)
provvedimenti giudiziari di scioglimento;
e)
la chiusura temporanea o permanente degli stabilimenti che sono stati usati per commettere il reato.
2. Gli Stati membri adottano le misure necessarie ad assicurare che una persona giuridica ritenuta responsabile a norma dell’articolo 10, paragrafo 2, sia punibile con sanzioni o altre misure effettive, proporzionate e dissuasive.
Articolo 12
Competenza giurisdizionale
1. Gli Stati membri stabiliscono la propria competenza giurisdizionale relativamente ai reati di cui agli articoli da 3 a 8 quando il reato sia stato commesso:
a)
in tutto o in parte sul loro territorio; o
b)
da un loro cittadino, quanto meno nei casi in cui l’atto costituisce un reato nel luogo in cui è stato commesso.
2. Nello stabilire la propria competenza giurisdizionale conformemente al paragrafo 1, lettera a), uno Stato membro assicura di avere competenza giurisdizionale qualora:
a)
l’autore abbia commesso il reato mentre era fisicamente presente nel suo territorio, indipendentemente dal fatto che il reato sia stato o meno commesso contro un sistema di informazione nel suo territorio; o
b)
il reato sia stato commesso contro un sistema di informazione nel suo territorio, indipendentemente dal fatto che l’autore del reato fosse o meno fisicamente presente nel suo territorio al momento della commissione del reato.
3. Uno Stato membro informa la Commissione ove decida di stabilire la competenza giurisdizionale per un reato di cui agli articoli da 3 a 8 commesso al di fuori del suo territorio, anche qualora:
a)
l’autore del reato risieda abitualmente nel suo territorio; o
b)
il reato sia commesso a vantaggio di una persona giuridica che ha sede nel suo territorio.
Articolo 13
Scambio di informazioni
1. Per lo scambio di informazioni relative ai reati di cui agli articoli da 3 a 8, gli Stati membri garantiscono di predisporre un punto di contatto operativo nazionale e di utilizzare la rete esistente di punti di contatto operativi disponibili ventiquattr’ore su ventiquattro e sette giorni su sette. Gli Stati membri garantiscono inoltre di predisporre procedure tali da consentire all’autorità competente, in caso di richieste urgenti di assistenza, di indicare, entro otto ore dalla richiesta, almeno se la richiesta sarà soddisfatta e la forma e il tempo stimato per tale risposta.
2. Gli Stati membri informano la Commissione in merito al proprio punto di contatto di cui al paragrafo 1. La Commissione trasmette tali informazioni agli altri Stati membri e alle competenti agenzie e organismi specializzati dell’Unione.
3. Gli Stati membri adottano le misure necessarie ad assicurare che siano disponibili idonei canali di comunicazione per agevolare le comunicazioni alle autorità nazionali competenti sui reati di cui all’articolo da 3 a 6 senza indebito ritardo.
Articolo 14
Monitoraggio e statistiche
1. Gli Stati membri provvedono a predisporre un sistema di registrazione, produzione e fornitura di dati statistici sui reati di cui agli articoli da 3 a 7.
2. I dati statistici di cui al paragrafo 1 riguardano come minimo i dati esistenti sul numero dei reati di cui agli articoli da 3 a 7 registrati dagli Stati membri e il numero di persone che sono state oggetto di un procedimento giudiziario e che sono state condannate per i reati di cui agli articoli da 3 a 7.
3. Gli Stati membri trasmettono alla Commissione i dati raccolti a norma del presente articolo. La Commissione provvede alla pubblicazione di una revisione consolidata delle relazioni statistiche e a trasmetterla alle competenti agenzie e organismi specializzati dell’Unione.
Articolo 15
Sostituzione della decisione quadro 2005/222/GAI
La decisione quadro 2005/222/GAI è sostituita in relazione agli Stati membri che partecipano all’adozione della presente direttiva, fatti salvi gli obblighi degli Stati membri relativi al termine per il recepimento della decisione quadro nel diritto nazionale.
In relazione agli Stati membri che partecipano all’adozione della presente direttiva, i riferimenti alla decisione quadro 2005/222/GAI si intendono fatti alla presente direttiva.
Articolo 16
Recepimento
1. Gli Stati membri mettono in vigore le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva entro il 4 settembre 2015.
2. Gli Stati membri comunicano alla Commissione il testo delle disposizioni che recepiscono nei rispettivi diritti nazionali gli obblighi imposti dalla presente direttiva.
3. Le disposizioni adottate dagli Stati membri contengono un riferimento alla presente direttiva o sono corredate di tale riferimento all’atto della pubblicazione ufficiale. Le modalità del riferimento sono stabilite dagli Stati membri.
Articolo 17
Relazione
Entro il 4 settembre 2017 la Commissione presenta al Parlamento europeo e al Consiglio una relazione che valuta in quale misura gli Stati membri abbiano adottato le misure necessarie per conformarsi alla presente direttiva, corredata, se del caso, di proposte legislative. La Commissione tiene altresì conto degli sviluppi tecnici e giuridici in materia di criminalità informatica, con particolare riguardo all’ambito di applicazione della presente direttiva.
Articolo 18
Entrata in vigore
La presente direttiva entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.
Articolo 19
Destinatari
Gli Stati membri sono destinatari della presente direttiva conformemente ai trattati.
Fatto a Bruxelles, il 12 agosto 2013