ДИРЕКТИВА 2013/40/ЕС НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 12 август 2013 година
относно атаките срещу информационните системи и за замяна на Рамково решение 2005/222/ПВР на Съвета
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 83, параграф 1 от него,
като взеха предвид предложението на Европейската комисия,
след предаване на проекта на законодателния акт на националните парламенти,
като взеха предвид становището на Европейския икономически и социален комитет (1),
в съответствие с обикновената законодателна процедура (2),
като имат предвид, че:
(1)
Целите на настоящата директива са да се сближи наказателното право на държавите членки в сферата на атаките срещу информационните системи посредством установяването на минимални правила относно определението на престъпленията и определянето на съответните наказания и да подобри сътрудничеството между компетентните органи, включително полицията и други специализирани правоприлагащи органи на държавите членки, както и компетентните специализирани агенции и органи на Съюза, като Евроюст, Европол и Европейския център по киберпрестъпност към него, както и Европейската агенция за мрежова и информационна сигурност (ENISA).
(2)
Информационните системи представляват ключов елемент от политическото, социалното и икономическото взаимодействие в Съюза. Все по-често и в по-голяма степен обществото зависи от тези системи. Безпроблемното функциониране и сигурността на тези системи в Съюза са от жизненоважно значение за развитието на вътрешния пазар и на конкурентоспособна и иновационна икономика. Осигуряването на подходящи равнища на защита на информационните системи следва да бъде част от цялостна ефективна рамка за превантивни мерки, съпътстваща реакцията на наказателното право спрямо киберпрестъпността.
(3)
Атаките срещу информационните системи, и по-специално атаките, свързани с организираната престъпност, представляват засилваща се опасност както в Съюза, така и в световен мащаб, а съществува и растяща загриженост от вероятни атаки по терористични или политически подбуди срещу информационните системи, които са част от критичната инфраструктура на държавите членки и на Съюза. Това представлява заплаха за постигането на едно по-безопасно информационно общество и за изграждането на пространство на свобода, сигурност и правосъдие, и следователно налага ответна реакция на равнището на Съюза, а също така и по-добра координация и сътрудничество на международно равнище.
(4)
В Съюза съществува определен брой критични инфраструктури, чието нарушаване или унищожаване би имало значителни трансгранични последици. От необходимостта да се подобрят способностите за защита на критичните инфраструктури в Съюза става ясно, че мерките срещу кибератаките следва да бъдат допълнени от строги наказателни санкции, отразяващи тежестта на подобни атаки. Като критична инфраструктура могат да се разглеждат разположени в държавите членки елемент, система или части от нея, които са от основно значение за поддържането на жизненоважни обществени функции, здравето, безопасността, сигурността, икономическото или социалното благосъстояние на населението. като електроцентрали, транспортни мрежи или правителствени мрежи, и чието нарушаване или унищожаване би имало значителни последици в дадената държава членка в резултат на невъзможността да се запазят тези функции.
(5)
Има доказателства за наличието на тенденция към все по-опасни и повтарящи се широкомащабни атаки срещу информационните системи, които често могат да бъдат от решаващо значение за държавите членки или за определени функции в публичния или частния сектор. Тази тенденция е придружена от разработката на все по-усъвършенствани методи, като например създаването и използването на така наречените „ботнети“, които се състоят от няколко етапа на престъпното деяние, при които всеки етап поотделно би могъл да създаде сериозен риск за обществения интерес. Настоящата директива има за цел, inter alia, да въведе наказания за създаването на ботнет, по-конкретно за акта на установяване на контрол от разстояние върху значителен брой компютри посредством заразяването им със зловреден софтуер чрез целенасочени кибератаки. Веднъж създадена, заразената мрежа от компютри, която представлява ботнетът, може да бъде активирана без знанието на потребителите на компютрите, за да извърши широкомащабна кибератака, която обикновено е в състояние да причини сериозни вреди, както е посочено в настоящата директива. Държавите членки следва да могат да определят кое представлява сериозна вреда съгласно националното право и практика, като например нарушаване на системни услуги от важно обществено значение или причиняване на сериозни финансови разходи или загуба на лични данни или чувствителна информация.
(6)
Широкомащабните кибератаки могат да предизвикат съществени икономически вреди както поради прекъсването на информационните системи и комуникации, така и поради загуба или промяна на важна от търговска гледна точка поверителна информация или други данни. Особено внимание следва да се обърне на повишаването на осведомеността на иновативните малки и средни предприятия за заплахи, свързани с подобни атаки, и тяхната уязвимост на такива атаки, тъй като тези предприятия зависят във все по-голяма степен от правилното функциониране и наличност на информационните системи и често разполагат с ограничени ресурси за информационна сигурност.
(7)
Приемането на общи определения в тази област е важно, за да се осигури последователен подход в държавите членки при прилагането на настоящата директива.
(8)
Необходимо е да бъде постигнат общ подход към елементите, съставляващи престъпления, чрез въвеждането на общи престъпления, като незаконния достъп до информационни системи, незаконната намеса в такива системи, незаконната намеса в данни и незаконното прихващане.
(9)
Прихващането включва, но не се ограничава непременно до подслушването, проследяването или наблюдението на съдържанието на съобщения и достигането до съдържанието на данни с технически средства пряко, чрез достъп до информационни системи и тяхното използване, или непряко, чрез използване на електронно подслушване или подслушвателни устройства.
(10)
Държавите членки следва да предвидят наказания за атаките срещу информационните системи. Предвидените наказания следва да бъдат ефективни, пропорционални и възпиращи и следва да включват лишаване от свобода и/или глоби.
(11)
Настоящата директива предвижда наказания най-малкото за случаите, които не се считат за маловажни. Държавите членки следва да могат да решат какво представлява маловажен случай в зависимост от своето национално право и практика. Даден случай може да се счете за маловажен например ако причинените от престъплението вреди и/или рискът, който то поражда за публичните или частните интереси, като например по отношение на целостта на компютърната система или компютърните данни или по отношение на неприкосновеността, правата или други интереси на дадено лице, са незначителни или от такова естество, че не е необходимо да се налага наказание в съответните предвидени в правните разпоредби предели или да се налага наказателна отговорност.
(12)
Установяването и докладването на заплахи, произтичащи от кибератаки, както и на свързаната с тях уязвимост на информационните системи са важни елементи, които имат отношение към ефективната превенция и реакция на кибератаките и към повишаването на сигурността на информационните системи. Осигуряването на стимули за докладване на пропуски по отношение на сигурността би могло да допринесе допълнително за постигането на тези цели. Държавите членки следва да полагат усилия за предоставянето на възможности за откриването в правен аспект и докладването на пропуски по отношение на сигурността.
(13)
Целесъобразно е да се предвидят по-строги наказания, когато атаката срещу дадена информационна система е извършена от престъпна организация съгласно определението в Рамково решение 2008/841/ПВР на Съвета от 24 октомври 2008 г. относно борбата с организираната престъпност (3), когато атаката е широкомащабна и е засегнала значителен брой информационни системи или е причинила сериозни щети, включително когато целта на атаката е създаването на ботнет или когато кибератаката е причинила сериозни вреди, включително когато е извършена посредством ботнет. Също така е целесъобразно да се предвидят по-строги наказания, когато атаката е извършена срещу критична инфраструктура на държавите членки или на Съюза.
(14)
Друг съществен елемент от интегрирания подход срещу киберпрестъпността представлява установяването на ефективни мерки срещу кражбата на самоличност и други престъпления, засягащи самоличността. Евентуалната нужда от действия на Съюза във връзка с този вид престъпно поведение може да се разглежда и в контекста на оценката доколко е необходим цялостен хоризонтален инструмент на Съюза.
(15)
В заключенията на Съвета от 27-28 ноември 2008 г. се посочва, че следва да се разработи нова стратегия с участието на държавите членки и Комисията, като се вземе предвид съдържанието на Конвенцията на Съвета на Европа от 2001 г. за престъпления в кибернетичното пространство. Тази конвенция е референтната правна рамка за борба с престъпленията в кибернетичното пространство, включително и с атаките срещу информационните системи. Настоящата директива се основава на споменатата конвенция. Като приоритет следва да се разглежда приключването на процеса на ратификация на тази конвенция от всички държави членки във възможно най-кратък срок.
(16)
Като се имат предвид различните начини, по които могат да бъдат извършени атаките, и с оглед на бързите промени в хардуера и софтуера, в настоящата директива се съдържа позоваване на „инструментите“, които могат да бъдат използвани за извършване на престъпленията, изброени в нея. Тези инструменти включват зловредния софтуер, включително този, с който могат да се създават ботнети, използвани за извършване на кибератаки. Макар и даден инструмент да бъде подходящ или дори да бъде особено подходящ за извършването на някое от престъпленията, предвидени в настоящата директива, възможно е той да е бил произведен със законна цел, като например за изпитване на надеждността на продукти на информационните технологии или на сигурността на информационни системи. В подобен случай не е достатъчно дадено лице да има общ умисъл за осъществяване на обективните критерии на някое от престъпленията, предвидени в настоящата директива, а то трябва да има пряк умисъл да използва инструментите за извършването на едно или повече от престъпленията, предвидени в настоящата директива.
(17)
Настоящата директива не налага наказателна отговорност в случаите, когато са изпълнени обективните критерии за престъпленията, изброени в настоящата директива, но деянията са извършени без престъпно намерение, като например при незнание, че достъпът не е разрешен, или при възложено изпитване или защита на информационните системи, например когато дружество или продавач възложи на дадено лице изпитването на устойчивостта на системата му за сигурност. В контекста на настоящата директива договорните задължения или споразуменията за ограничаване на достъпа до информационни системи посредством правила за потребителите или условия за използване на услугата, както и трудовите спорове във връзка с достъпа до информационни системи на работодателя и използването им за лични цели не следва да водят до наказателна отговорност, когато достъпът при такива обстоятелства се счита за неразрешен и това представлява единственото основание за наказателно производство. Настоящата директива не засяга правото на достъп до информация, установено в националното законодателство и законодателството на Съюза, като същевременно тя не може да се използва като оправдание за незаконен или произволен достъп до информация.
(18)
Редица обстоятелства могат да улеснят извършването на кибератаки, като например случаите, когато извършителят, в рамките на своята трудова заетост, има достъп до системите за сигурност, които са част от засегнатите информационни системи. В контекста на националното право такива обстоятелства следва да бъдат отчетени в подходяща степен в хода на наказателното производство.
(19)
Държавите членки следва да предвидят в националното си право квалифициращи обстоятелства в съответствие с приложимите правила, предвидени в техните правни системи относно квалифициращите обстоятелства. Те следва да гарантират, че съдиите разполагат с възможност да разглеждат тези квалифициращи обстоятелства при осъждането на извършителите. Съдията по своя преценка оценява тези обстоятелства заедно с останалите факти по конкретния случай.
(20)
Настоящата директива не урежда условията за упражняване на компетентност над което и да било от посочените в нея престъпления, например съобщаване от страна на жертвата на мястото, където е извършено престъплението, съобщаване от страна на държавата на мястото, където е извършено престъплението, или факта, че извършителят не е наказателно преследван на мястото, където е извършено престъплението.
(21)
В контекста на настоящата директива държавите членки и третите държави, както и техните публичните органи продължават в пълна степен да бъдат задължени да гарантират зачитането на правата на човека и основните свободи в съответствие със съществуващите задължения в Съюза и международни задължения.
(22)
С настоящата директива се засилва значението на мрежите, като мрежите на Г-8 или Съвета на Европа, съставени от звена за контакт, които са на разположение 24 часа в денонощието и седем дни в седмицата. Тези звена за контакт следва да бъдат в състояние да осигуряват ефективна помощ и по този начин да улесняват например обмена на подходяща налична информация и предоставянето на технически съвети или правна информация за целите на разследванията или производствата по престъпления, отнасящи се до информационните системи, и свързаните данни, с участието на молещата държава членка. За да се осигури гладкото функциониране на мрежите, всяко звено за контакт следва да разполага с капацитет за бързо свързване със звено за контакт на друга държава членка с помощта на, inter alia, обучен и оборудван персонал. Като се има предвид бързината, с която могат да бъдат извършени широкомащабни кибератаки, държавите членки следва да са в състояние да реагират незабавно на спешни искания, отправени по тази мрежа от звена за контакт. В подобни случаи може да бъде наложително искането за информация да се придружава от телефон за връзка, за да се гарантира, че замолената държава членка ще обработи своевременно искането и обратната информация ще бъде предоставена в рамките на осем часа.
(23)
Сътрудничеството между публичните органи, от една страна, и частния сектор и гражданското общество, от друга, е от голямо значение за превенцията и борбата с атаките срещу информационните системи. Необходимо е да се насърчава и подобрява сътрудничеството между доставчиците на услуги, производителите, правоприлагащите и съдебните органи при пълно зачитане на принципите на правовата държава. Сътрудничеството би могло да включва съдействие от доставчиците на услуги за оказване на помощ за съхраняване на евентуални доказателства, за предоставяне на елементи, които да спомогнат за идентифицирането на извършителите, и като крайна мярка, частичното или пълното спиране в съответствие с националното право и практика на информационните системи или функции, които са били засегнати или използвани за незаконни цели. Държавите членки следва да обмислят също създаването на мрежи за сътрудничество и партньорство с доставчиците на услуги и производителите за обмен на информация във връзка с престъпленията, които попадат в обхвата на настоящата директива.
(24)
Необходимо е да се събират съпоставими данни за престъпленията, посочени в настоящата директива. Съответните данни следва да се предоставят на компетентните специализирани агенции и органи на Съюза, като Европол и ЕNISA, в съответствие със задачите и информационните им потребности, за да се добие по-цялостна представа за проблема с киберпрестъпността и мрежовата и информационна сигурност на равнището на Съюза и по този начин се допринесе за изготвянето на по-ефективна реакция. Държавите членки следва да предоставят на Европол и Европейския център по киберпрестъпност към него информация за начина на действие на извършителите, за да се извършат оценка на заплахите и стратегически анализи на киберпрестъпността в съответствие с Решение 2009/371/ПВР на Съвета от 6 април 2009 г. за създаване на Европейска полицейска служба (Европол) (4). Предоставянето на информация може да улесни по-доброто разбиране на настоящите и бъдещите заплахи, като допринесе за по-подходящо и целенасочено вземане на решения относно борбата с атаките срещу информационните системи и тяхното предотвратяване.
(25)
Комисията следва да представи доклад за прилагането на настоящата директива и ако е необходимо, да направи законодателни предложения, които може да доведат до разширяване на нейния обхват, отчитайки промените в областта на киберпрестъпността. Тези промени могат да включват технологично развитие, като например такова, което позволява по-ефективно правоприлагане в областта на атаките срещу информационните системи или улеснява предотвратяването на подобни атаки или смекчаването на последиците от тях. За тази цел Комисията следва да вземе под внимание наличните анализи и доклади, изготвени от съответните заинтересовани страни, и по-специално от Европол и ENISA.
(26)
С цел ефективна борба с престъпленията в кибернетичното пространство е необходимо също така да се повиши устойчивостта на информационните системи с предприемането на подходящи мерки за по-ефективната им защита от кибератаки. Държавите членки следва да предприемат необходимите мерки за защита от кибератаки на информационните системи, които представляват част от тяхната критична инфраструктура, и следва да обмислят защитата на информационните системи и свързаните данни като част от тази защита. Осигуряването на подходящо равнище на защита и сигурност на информационните системи от юридически лица, например във връзка с предоставянето на общественодостъпни електронни съобщителни услуги в съответствие с действащото законодателство на Съюза относно неприкосновеността на личния живот, електронните съобщения и защитата на данните, представлява съществена част от цялостния подход за ефективна борба срещу киберпрестъпността. Следва да се осигуряват подходящи равнища на защита срещу заплахи и уязвимости, които могат да бъдат разумно идентифицирани, в съответствие със съвременните постижения в конкретните сектори и предвид конкретните ситуации, свързани с обработването на данни. Разходите и тежестта по осигуряване на такава защита следва да бъдат пропорционални на вероятните вреди, които евентуална кибератака може да причини на засегнатите лица. Държавите членки се насърчават да предвидят в националното си право подходящи мерки, водещи до отговорност, за случаите, когато юридическо лице явно не е осигурило подходящо равнище на защита срещу кибератаки.
(27)
Значителните пропуски и различия в законите и наказателните производства на държавите членки в областта на атаките срещу информационните системи могат да възпрепятстват борбата срещу организираната престъпност и тероризма, а също така да усложнят ефективното полицейско и съдебно сътрудничество в тази област. Транснационалният характер на съвременните информационни системи, които функционират отвъд националните граници, предполага, че атаките срещу тези системи имат трансгранично измерение, което показва още веднъж спешната необходимост от осъществяване на допълнителни действия за сближаване на наказателното право в тази област. Освен това координирането на наказателното преследване по дела за атаки срещу информационни системи следва да бъде улеснено с подходящото изпълнение и прилагане на Рамково решение 2009/948/ПВР на Съвета от 30 ноември 2009 г. относно предотвратяване и уреждане на спорове за упражняване на компетентност при наказателни производства (5). В сътрудничество със Съюза държавите членки следва също да се стремят към подобряване на международното сътрудничество, свързано със сигурността на информационните системи, компютърните мрежи и данни. При всяко международно споразумение, включващо обмен на данни, следва надлежно да се разгледа сигурността на прехвърлянето и съхраняването на данните.
(28)
По-доброто сътрудничество между компетентните правоприлагащи и съдебни органи в Съюза е изключително важно за ефективната борба срещу престъпленията в кибернетичното пространство. Във връзка с това следва да се насърчава активизирането на усилията за осигуряване на подходящо обучение за съответните органи, за да се подобри разбирането за киберпрестъпността и нейните последици, и за стимулиране на сътрудничеството и обмена на най-добри практики, например чрез компетентните специализирани агенции и органи на Съюза. Целта на подобно обучение, inter alia, следва да бъде повишаването на осведомеността за различните национални правни системи, евентуалните правни и технически предизвикателства при наказателни разследвания и разпределението на области на компетентност между съответните национални органи.
(29)
В настоящата директива следва да се зачитат правата на човека и основните свободи и да се съблюдават принципите, признати по-специално в Хартата на основните права на Европейския съюз и Европейската конвенция за защита на правата на човека и основните свободи, включително защитата на личните данни, правото на личен живот, свободата на изразяване и на информация, правото на справедлив съдебен процес, презумпцията за невиновност и правото на защита, както и принципите на законност и пропорционалност между престъплението и наказанието. По-специално настоящата директива има за цел да осигури пълното спазване на тези права и принципи и трябва да бъде прилагана в съответствие с това.
(30)
Защитата на личните данни е основно право в съответствие с член 16, параграф 1 от ДФЕС и член 8 от Хартата на основните права на Европейския съюз. Ето защо всяко обработване на лични данни при изпълнението на настоящата директива следва изцяло да зачита съответното законодателство на Съюза относно защитата на данните, прието въз основа на Договорите.
(31)
В съответствие с член 3 от Протокола относно позицията на Обединеното кралство и Ирландия по отношение на пространството на свобода, сигурност и правосъдие, приложен към Договора за Европейския съюз и Договора за функционирането на Европейския съюз, посочените държави членки са уведомили за желанието си да вземат участие в приемането и прилагането на настоящата директива.
(32)
В съответствие с членове 1 и 2 от Протокола относно позицията на Дания, приложен към Договора за Европейския съюз и Договора за функционирането на Европейския съюз, Дания не участва в приемането на настоящата директива и следователно не е обвързана от нея, нито от нейното прилагане.
(33)
Доколкото целите на настоящата директива, а именно да обвърже атаките срещу информационните системи във всички държави членки с ефективни, пропорционални и възпиращи наказания, както и да подобри и насърчи сътрудничеството между съдебните и други компетентни органи, не могат да бъдат постигнати в достатъчна степен от държавите членки и затова поради техния обхват и последици могат да бъдат по-добре постигнати на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящата директива не надхвърля необходимото за постигането на тези цели.
(34)
Настоящата директива има за цел да измени и разшири обхвата на разпоредбите на Рамково решение 2005/222/ПВР на Съвета от 24 февруари 2005 г. относно атаките срещу информационните системи (6). Тъй като измененията, които трябва да се направят, са значителни по брой и естество, за по-голяма яснота Рамково решение 2005/222/ПВР следва да бъде изцяло заменено по отношение на държавите членки, участващи в приемането на настоящата директива,
ПРИЕХА НАСТОЯЩАТА ДИРЕКТИВА:
Член 1
Предмет
Настоящата директива установява минимални правила за определянето на престъпленията и наказанията в областта на атаките срещу информационните системи. Тя има за цел също да способства за предотвратяването на тези престъпления и да подобри сътрудничеството между съдебните и други компетентни органи.
Член 2
Определения
За целите на настоящата директива се прилагат следните определения:
а)
„информационна система“ означава устройство или група от взаимосвързани или сходни устройства, едно или повече от които, съобразно дадена програма, извършват автоматизирана обработка на компютърни данни, както и компютърните данни, съхранявани, обработвани, извличани или предавани от такова устройство или група от устройства с цел оперирането с тези данни и използването, защитата и поддръжката им;
б)
„компютърни данни“ означава представяне на факти, информация или понятия във форма, поддаваща се на обработка в информационни системи, включително и програма, която е в състояние да направи така, че дадена информационна система да изпълни определена функция;
в)
„юридическо лице“ означава всяко образувание, притежаващо статут на юридическо лице съгласно приложимото право, с изключение на държави членки, трети държави или други публични органи при упражняване на държавна власт, както и на публични международни организации;
г)
„неправомерно“ означава поведение, което не е разрешено от собственика или от друг притежатели на права върху системата или част от нея, или не е позволено по силата на националното право.
Член 3
Незаконен достъп до информационни системи
Държавите членки предприемат необходимите мерки, за да гарантират, че когато е извършен умишлено, неправомерният достъп до цялата информационна система или до части от нея е наказуем като престъпление, когато е извършен чрез нарушаване на мярка за сигурност, поне в случаите, които не се считат за маловажни.
Член 4
Незаконна намеса в система
Държавите членки предприемат необходимите мерки, за да гарантират, че сериозното възпрепятстване или спиране на функционирането на информационна система чрез въвеждане на компютърни данни, пренасяне, увреждане, изтриване, влошаване, променяне или скриване на такива данни или спиране на достъпа до компютърни данни, когато е извършено умишлено и неправомерно, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни.
Член 5
Незаконна намеса в данни
Държавите членки предприемат необходимите мерки, за да гарантират, че изтриването, увреждането, влошаването, променянето, скриването на компютърни данни в дадена информационна система или спирането на достъпа до такива данни, когато е извършено умишлено и неправомерно, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни.
Член 6
Незаконно прихващане
Държавите членки предприемат необходимите мерки, за да гарантират, че извършеното с технически средства прихващане на непублични компютърни данни, изпращани до дадена информационна система, от нея или в нейните рамки, включително електромагнитните емисии от информационна система, пренасящи такива компютърни данни, когато е извършено умишлено и неправомерно, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни.
Член 7
Инструменти, използвани за извършване на престъпления
Държавите членки предприемат необходимите мерки, за да гарантират, че умишленото производство, продажба, набавяне за употреба, внос, разпространяване или друга форма на предоставяне на някой от следните инструменти, когато е извършено неправомерно и с намерение да се използва за извършването на което и да било от престъпленията, посочени в членове 3-6, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни:
а)
компютърна програма, проектирана или адаптирана главно с цел извършване на което и да било от престъпленията, посочени в членове 3-6;
б)
компютърна парола, код за достъп или други подобни данни, с чиято помощ може да се получи достъп до цялата информационна система или до част от нея.
Член 8
Подбудителство, помагачество и опит за извършване на престъпление
1. Държавите членки гарантират, че подбудителството или помагачеството за извършване на някое от престъпленията, посочени в членове 3-7, е наказуемо като престъпление.
2. Държавите членки гарантират, че опитът за извършване на престъпление, посочено в членове 4 и 5, е наказуем като престъпление.
Член 9
Наказания
1. Държавите членки предприемат необходимите мерки, за да гарантират, че престъпленията, посочени в членове 3-8, са наказуеми с ефективни, пропорционални и възпиращи наказания.
2. Държавите членки предприемат необходимите мерки, за да гарантират, че престъпленията, посочени в членове 3-7, се наказват с лишаване от свобода с максимален срок не по-малко от две години, поне в случаите, които не се считат за маловажни.
3. Държавите членки предприемат необходимите мерки, за да гарантират, че когато са извършени умишлено и когато значителен брой информационни системи са били засегнати посредством използването на инструмент, посочен в член 7, проектиран или адаптиран главно за тази цел, посочените в членове 4 и 5 престъпления се наказват с лишаване от свобода с максимален срок не по-малко от три години.
4. Държавите членки предприемат необходимите мерки, за да гарантират, че престъпленията, посочени в членове 4 и 5, се наказват с лишаване от свобода с максимален срок не по-малко от пет години, когато:
а)
те са извършени в рамките на престъпна организация съгласно определението в Рамково решение 2008/841/ПВР, независимо от размера на наказанието, предвидено в него; или
б)
те са причинили сериозни вреди; или
в)
те са извършени срещу информационна система, която е част от критична инфраструктура.
5. Държавите членки предприемат необходимите мерки, за да гарантират, че когато престъпленията, посочени в членове 4 и 5, са извършени чрез злоупотреба с лични данни на друго лице, за да се спечели доверието на трето лице, и по този начин са нанесени вреди на законния собственик на самоличността, това може да се разглежда съгласно националното право като квалифициращо обстоятелство, освен ако тези обстоятелства не са вече част от друго престъпление, което е наказуемо съгласно националното право.
Член 10
Отговорност на юридическите лица
1. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическите лица могат да бъдат подведени под отговорност за престъпленията, посочени в членове 3-8, извършени в тяхна полза от лице, което действа самостоятелно или като част от орган на юридическото лице и което заема ръководна длъжност в това юридическо лице, въз основа на едно от следните:
а)
пълномощие да представлява юридическото лице;
б)
правомощие да взема решения от името на юридическото лице;
в)
правомощие да упражнява контрол в рамките на юридическото лице.
2. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическите лица могат да бъдат подведени под отговорност, когато липсата на надзор или контрол от страна на лице, посочено в параграф 1, е направила възможно извършването от негово подчинено лице на някое от престъпленията, посочени в членове 3-8, в полза на това юридическо лице.
3. Отговорността на юридическите лица съгласно параграфи 1 и 2 не изключва образуването на наказателни производства срещу физически лица, които са извършители, подбудители или съучастници в престъпленията, посочени в членове 3-8.
Член 11
Санкции спрямо юридически лица
1. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическо лице, подведено под отговорност съгласно член 10, параграф 1, подлежи на санкции, които са ефективни, пропорционални и възпиращи, включват глоби по наказателното право или друг вид глоби и може да включват други санкции, като например:
а)
лишаване от правото да се ползва от публични облаги или помощи;
б)
временно или постоянно лишаване от правото да упражнява търговска дейност;
в)
поставяне под съдебен надзор;
г)
съдебна ликвидация;
д)
временно или постоянно затваряне на структури, използвани за извършване на престъплението.
2. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическо лице, подведено под отговорност съгласно член 10, параграф 2, подлежи на ефективни, пропорционални и възпиращи санкции или други мерки.
Член 12
Компетентност
1. Държавите членки установяват компетентността си по отношение на престъпленията, посочени в членове 3-8, когато престъплението е извършено:
а)
изцяло или отчасти на тяхната територия; или
б)
от един от техните граждани, поне в случаите, когато деянието се явява престъпление на мястото, където е извършено.
2. При установяването на компетентност в съответствие с параграф 1, буква а) дадената държава членка гарантира, че тя има компетентност, когато:
а)
извършителят извършва престъплението, когато се намира физически на нейната територия, независимо дали престъплението е насочено срещу информационна система, намираща се на нейна територия; или
б)
престъплението е насочено срещу информационна система, намираща се на нейната територия, независимо дали извършителят се намира физически на нейна територия, когато го извършва.
3. Дадена държава членка уведомява Комисията, когато реши да установи компетентност по отношение на престъпления, посочени в членове 3-8, извършени извън нейната територия, включително когато:
а)
извършителят има обичайно местопребиваване на нейната територия; или
б)
престъплението е извършено в полза на юридическо лице, установено на нейната територия.
Член 13
Обмен на информация
1. За целите на обмена на информация, свързана с престъпленията, посочени в членове 3-8, държавите членки осигуряват наличието на оперативно национално звено за контакт и използват съществуващата мрежа от оперативни звена за контакт, които са на разположение 24 часа в денонощието и седем дни в седмицата. Държавите членки гарантират също, че разполагат с процедури, чрез които в случай на спешно искане за съдействие компетентният орган в рамките най-много на 8 часа от получаването посочва поне дали на искането за помощ ще бъде отговорено, както и формата и приблизителното време за отговор.
2. Държавите членки информират Комисията за определеното от тях звено за контакт, посочено в параграф 1. Комисията съобщава тази информация на останалите държави членки и на компетентните специализирани агенции и органи на Съюза.
3. Държавите членки предприемат необходимите мерки, за да гарантират наличието на подходящи канали за докладване с цел да се улесни докладването без необосновано забавяне на компетентните национални органи за престъпления, посочени в членове 3-6.
Член 14
Контрол и статистика
1. Държавите членки гарантират наличието на система за записване, производство и предоставяне на статистически данни за престъпленията, посочени в членове 3-7.
2. Статистическите данни, посочени в параграф 1, като минимум включват съществуващите данни относно броя на посочените в членове 3-7 престъпления, които са регистрирани от държавите членки, както и броя на лицата, срещу които е възбудено наказателно преследване и които са осъдени за престъпления, посочени в членове 3-7.
3. Държавите членки предават на Комисията събраните по настоящия член данни. Комисията прави необходимото консолидираният преглед на тези статистически отчети да бъде публикуван и представен на компетентните специализирани агенции и органи на Съюза.
Член 15
Замяна на Рамково решение 2005/222/ПВР
Рамково решение 2005/222/ПВР се заменя по отношение на държавите членки, които участват в приемането на настоящата директива, без да се засягат задълженията на тези държави членки във връзка със сроковете за транспониране на Рамковото решение в националното право.
По отношение на държавите членки, които участват в приемането на настоящата директива, позоваванията на Рамково решение 2005/222/ПВР се считат за позовавания на настоящата директива.
Член 16
Транспониране
1. Държавите членки въвеждат в сила законовите, подзаконовите и административните разпоредби, необходими, за да се съобразят с настоящата директива, до 4 септември 2015 г.
2. Държавите членки съобщават на Комисията текста на мерките, с които се транспонират в националното им право задълженията, наложени им с настоящата директива.
3. Когато държавите членки приемат тези мерки, в тях се съдържа позоваване на настоящата директива или то се придружава от подобно позоваване при официалното им публикуване. Условията и редът на позоваване се определят от държавите членки.
Член 17
Докладване
До 4 септември 2017 г. Комисията представя на Европейския парламент и на Съвета доклад за оценка на степента, в която държавите членки са предприели необходимите мерки, за да се съобразят с настоящата директива, придружен при необходимост от законодателни предложения. Комисията отчита също техническото и правното развитие в областта на киберпрестъпността, по-специално по отношение на обхвата на настоящата директива.
Член 18
Влизане в сила
Настоящата директива влиза в сила на двадесетия ден след публикуването ѝ в Официален вестник на Европейския съюз.
Член 19
Адресати
Адресати на настоящата директива са държавите членки в съответствие с Договорите.
Съставено в Брюксел на 12 август 2013 година.
EUROPOS PARLAMENTO IR TARYBOS DIREKTYVA 2013/40/ES
2013 m. rugpjūčio 12 d.
dėl atakų prieš informacines sistemas, kuria pakeičiamas Tarybos pamatinis sprendimas 2005/222/TVR
EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA,
atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 83 straipsnio 1 dalį,
atsižvelgdami į Europos Komisijos pasiūlymą,
teisėkūros procedūra priimamo akto projektą perdavus nacionaliniams parlamentams,
atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę (1),
laikydamiesi įprastos teisėkūros procedūros (2),
kadangi:
(1)
šios direktyvos tikslai yra suderinti valstybių narių baudžiamąją teisę atakų prieš informacines sistemas srityje, nustatant būtiniausias taisykles, susijusias su nusikalstamų veikų apibrėžtimi, ir atitinkamas sankcijas šioje srityje, ir pagerinti valstybių narių kompetentingų institucijų, įskaitant policiją ir kitas specializuotas teisėsaugos tarnybas, taip pat Sąjungos kompetentingų specializuotų agentūrų ir įstaigų, pavyzdžiui, Eurojusto, Europolo ir Europos kovos su elektroniniais nusikaltimais centro bei Europos tinklų ir informacijos apsaugos agentūros (ENISA), bendradarbiavimą;
(2)
informacinės sistemos yra vienas iš svarbiausių politinės, socialinės ir ekonominės sąveikos Sąjungoje elementų. Visuomenė itin ir vis labiau yra priklausoma nuo tokių sistemų. Sklandus tų sistemų veikimas ir saugumas Sąjungoje yra ypač svarbūs siekiant vystyti vidaus rinką ir konkurencingą bei novatorišką ekonomiką. Tinkamo informacinių sistemų apsaugos lygio užtikrinimas turėtų būti veiksmingos išsamios prevencinių priemonių sistemos dalis, papildanti baudžiamojoje teisėje nustatytas reagavimo į elektroninius nusikaltimus priemones;
(3)
atakų prieš informacines sistemas ir, visų pirma, atakų, susijusių su organizuotu nusikalstamumu, grėsmė Sąjungoje ir visame pasaulyje didėja, ir vis didesnį susirūpinimą kelia galimi teroristų išpuoliai ar politiškai motyvuotos atakos prieš informacines sistemas, kurios yra valstybių narių ir Sąjungos ypatingos svarbos infrastruktūros dalis. Todėl kyla grėsmė, kad nebus sukurta saugesnė informacinė visuomenė ir laisvės, saugumo ir teisingumo erdvė, taigi reikia imtis bendrų Sąjungos lygmens veiksmų ir gerinti bendradarbiavimą ir koordinavimą tarptautiniu lygiu;
(4)
Sąjungoje yra ypatingos svarbos infrastruktūros objektų, kurių veiklos sutrikdymas arba sunaikinimas padarytų didelį tarpvalstybinį poveikį. Kadangi tapo aišku, kad reikia stiprinti ypatingos svarbos infrastruktūros objektų apsaugos pajėgumą Sąjungoje, kovos su kibernetinėmis atakomis priemones reikėtų papildyti griežtomis baudžiamosiomis sankcijomis, atitinkančiomis tokių atakų pavojingumą. Ypatingos svarbos infrastruktūros objektais galėtų būti laikomi valstybėse narėse esantis turtas, sistema arba jų dalis, kurie būtini, pavyzdžiui, siekiant palaikyti gyvybines visuomenės funkcijas, visuomenės sveikatą, saugą ir saugumą, ekonominę arba socialinę gerovę, pavyzdžiui, jėgainės, transporto tinklai ar Vyriausybės tinklai, ir kurių veiklos sutrikdymas arba sunaikinimas padarytų didelį poveikį atitinkamai valstybei narei, nes tos funkcijos nebebūtų vykdomos;
(5)
akivaizdu, kad daugėja pavojingų ir pakartotinių didelės apimties atakų prieš informacines sistemas, kurios yra ypatingai svarbios valstybėms arba konkrečioms viešojo ar privačiojo sektoriaus funkcijoms. Šią tendenciją papildo vis sudėtingesnių metodų kūrimas, pavyzdžiui, vadinamųjų „botnetų“ kūrimas ir naudojimas - veikla, kurią sudaro keli vienas po kito sekantys etapai, kai kiekvienas atskiras etapas galėtų sukelti didelį pavojų visuomenės interesams. Šiuo atžvilgiu direktyva siekiama, inter alia, nustatyti baudžiamąsias sankcijas už etapą, kuomet sukuriamas botnetas, būtent kai įgyjama nuotolinė daugelio kompiuterių kontrolė, pasitelkus prieš tuos kompiuterius nukreiptas kibernetines atakas ir juos užkrėtus žalinga programine įranga. Vėlesniu etapu užkrėstas kompiuterių tinklas, sudarantis botnetą, be kompiuterių naudotojų žinios gali būti naudojamas didelės apimties kibernetinėms atakoms, kurios paprastai gali sukelti didelę žalą, kaip nurodyta šioje direktyvoje. Valstybės narės gali nustatyti, kas yra didelė žala, vadovaudamosi savo nacionaline teise ir praktika - tokia žala gali būti susijusi su visuomenei labai svarbių sisteminių paslaugų sutrikdymu ar patiriamomis didelėmis finansinėmis išlaidomis, arba asmens duomenų ar slapto pobūdžio informacijos praradimu;
(6)
didelės apimties kibernetinės atakos gali sukelti didžiulę ekonominę žalą todėl, kad gali sutrikdyti informacinių sistemų veikimą ir komunikaciją, ir todėl, kad gali būti prarasta ar pakeista komerciniu požiūriu svarbi konfidenciali informacija ar kiti duomenys. Ypač daug dėmesio turėtų būti skirta novatoriškų mažų ir vidutinių įmonių informuotumo apie grėsmes, susijusias su tokiomis atakomis, ir jų pažeidžiamumą didinimui, nes tos įmonės yra itin priklausomos nuo tinkamo informacinių sistemų veikimo ir prieigos prie jų, o jų ištekliai informacijos saugumui užtikrinti dažnai yra riboti;
(7)
šioje srityje bendros apibrėžtys yra svarbios, kad valstybėse narėse būtų užtikrintas nuoseklus požiūris į šios direktyvos taikymą;
(8)
reikia susitarti dėl bendro požiūrio į nusikalstamos veikos sudėties požymius numatant, kad neteisėta prieiga prie informacinės sistemos, neteisėtas įsikišimas į sistemą, neteisėtas įsikišimas į duomenis ir neteisėtas duomenų perėmimas yra bendrai laikomi nusikalstama veika;
(9)
duomenų perėmimas apima pranešimų turinio klausymąsi, stebėjimą ar sekimą, duomenų turinio teikimą arba tiesiogiai, naudojantis prieiga prie informacinių sistemų ir naudojant šias sistemas, arba netiesiogiai, naudojant elektroninę slapto klausymosi įrangą pasitelkus technines priemones, tačiau nebūtinai apsiribojama vien šiais būdais;
(10)
valstybės narės turėtų numatyti sankcijas už atakas prieš informacines sistemas. Tos sankcijos turėtų būti veiksmingos, proporcingos ir atgrasančios bei turėtų apimti įkalinimą ir (arba) finansines nuobaudas;
(11)
direktyvoje numatomos baudžiamosios sankcijos bent tais atvejais, kurie nėra mažareikšmiai. Valstybės narės gali nustatyti, kas yra mažareikšmis atvejis, vadovaudamosi savo nacionaline teise ir praktika. Atvejis gali būti laikomas mažareikšmiu, pavyzdžiui, kai nusikalstama veika padaryta žala ir (arba) dėl jos kylanti grėsmė viešiesiems arba privatiesiems interesams, pvz., kompiuterių sistemos arba kompiuterinių duomenų vientisumui arba asmens neliečiamumui, teisėms ir kitiems interesams, yra menka arba tokio pobūdžio, kad nėra būtina skirti baudžiamąją sankciją laikantis teisės aktuose nustatytų ribų arba nustatyti baudžiamąją atsakomybę;
(12)
grėsmių ir pavojų, kuriuos kelia kibernetinės atakos, bei susijusio informacinių sistemų pažeidžiamumo nustatymas ir pranešimas apie jas yra svarbus veiksmingos prevencijos ir atsako į kibernetines atakas bei informacinių sistemų saugumo gerinimo elementas. Tuo tikslu gali būti naudingos paskatos pranešti apie saugumo spragas. Valstybės narės turėtų stengtis sudaryti sąlygas teisėtai aptikti saugumo spragas ir apie jas pranešti;
(13)
tikslinga numatyti griežtesnes sankcijas tais atvejais, kai ataka prieš informacinę sistemą padaryta nusikalstamos organizacijos, kaip apibrėžta 2008 m. spalio 24 d. Tarybos pamatiniame sprendime 2008/841/TVR dėl kovos su organizuotu nusikalstamumu (3), kai elektroninė ataka vykdoma plačiu mastu ir todėl dėl jos daromas poveikis daugeliui informacinių sistemų, įskaitant tuos atvejus, kai ataka siekiama sukurti botnetą arba kai ji vykdoma naudojant botnetą ir tokiu būdu padaroma didelė žala, įskaitant atvejus, kai ataka vykdoma per botnetą. Taip pat tikslinga numatyti griežtesnes sankcijas tais atvejais, kai ataka yra nukreipta prieš ypatingos svarbos valstybių narių arba Sąjungos infrastruktūros objektą;
(14)
veiksmingų kovos su tapatybės vagyste ir kitomis su tapatybe susijusiomis nusikalstamomis veikomis priemonių nustatymas yra kitas svarbus integruoto požiūrio į kovą su elektroniniais nusikaltimais elementas. Vertinant išsamios horizontaliosios Sąjungos priemonės poreikį, galėtų būti apsvarstyta, ar reikia Sąjungos veiksmų, susijusių su šios rūšies nusikalstama veikla;
(15)
2008 m. lapkričio 27-28 d. Tarybos išvadose nurodyta, kad valstybės narės ir Komisija, atsižvelgdamos į 2001 m. Europos Tarybos konvencijos dėl elektroninių nusikaltimų turinį, turėtų parengti naują strategiją. Ta konvencija yra pamatinis kovos su elektroniniais nusikaltimais, įskaitant atakas prieš informacines sistemas, teisinis pagrindas. Ši direktyva grindžiama ta konvencija. Todėl kuo skubesniam konvencijos ratifikavimo proceso užbaigimui visose valstybėse narėse turėtų būti teikiamas prioritetas;
(16)
atsižvelgiant į skirtingus atakų atlikimo būdus ir spartų techninės ir programinės kompiuterių įrangos tobulėjimą, šioje direktyvoje sąvoka „priemonės“ reiškia priemones, naudojamas šioje direktyvoje nustatytoms nusikalstamoms veikoms vykdyti. Tokios priemonės gali reikšti kibernetinėms atakoms rengti naudojamą žalingą programinę įrangą, įskaitant priemones, kuriomis gali būti kuriami botnetai. NET jeigu tokia priemonė yra tinkama ar netgi specialiai skirta vienai iš šioje direktyvoje nustatytų nusikalstamų veikų vykdymui, gali būti, jog ji pagaminta teisėtu tikslu. Remiantis poreikiu išvengti baudžiamosios atsakomybės taikymo tuo atveju, kai tokios priemonės yra pagamintos ir pateiktos rinkai teisėtais tikslais, pavyzdžiui, skirtos informacinių technologijų produktų patikimumo arba informacinių technologijų saugumo testavimui, ne tik bendro ketinimo reikalavimas, bet ir tiesioginio ketinimo panaudoti tas priemones šioje direktyvoje nustatytai vienai ar kelioms nusikalstamoms veikoms vykdyti reikalavimas taip pat turi būti išpildytas;
(17)
šia direktyva nesiekiama nustatyti baudžiamosios atsakomybės tais atvejais, kai yra šioje direktyvoje nustatytų nusikalstamų veikų sudėties objektyvių požymių, tačiau veiksmai padaromi netyčia, pavyzdžiui, kai asmuo nežinojo, kad prieiga yra neteisėta arba siekiant atlikti informacinių sistemų tikrinimą arba saugumo užtikrinimą turint tam leidimą, pavyzdžiui, kai įmonė arba pardavėjas paskiria asmenį patikrinti apsaugos sistemos patikimumą. Laikantis šios direktyvos sutartiniai įsipareigojimai arba susitarimai apriboti prieigą prie informacinių sistemų pasitelkiant naudojimo politiką arba veiklos sąlygas, taip pat darbo ginčai dėl prieigos prie darbdavio informacinių sistemų ir jų naudojimo asmeniniais tikslais neturėtų užtraukti baudžiamosios atsakomybės, kai prieiga tokiomis aplinkybėmis būtų laikytina neteisėta ir todėl sudarytų pagrindą baudžiamajai bylai. Ši direktyva nedaro poveikio teisiškai užtikrintai teisei susipažinti su informacija, kaip nustatyta nacionalinės ir Sąjungos teisės aktuose, taip pat ja negali būti remiamasi kaip išimtimi siekiant pateisinti neteisėtą arba savavališką prieigą prie informacijos;
(18)
palankesnes sąlygas kibernetinių atakų vykdymui gali sudaryti įvairios aplinkybės, pavyzdžiui, kai nusikalstamos veikos vykdytojas dėl jo ar jos užimamų pareigų apimties turi prieigą prie atitinkamų informacinių sistemų, kurioms gali kilti grėsmė, saugumo sistemų. Nacionalinėje teisėje baudžiamajame procese turėtų būti tinkamai atsižvelgta į tokias aplinkybes;
(19)
esant sunkinančioms aplinkybėms valstybės narės, vadovaudamosi jų teisės sistemose nustatytomis taikytinomis taisyklėmis, turėtų nacionalinėje teisėje numatyti sunkinančias aplinkybes. Jos turėtų užtikrinti, kad teisėjai turėtų galimybę atsižvelgti į tokias sunkinančias aplinkybes teisdami nusikalstamų veikų vykdytojus. Teisėjas ir toliau savo nuožiūra turi turėti galimybę įvertinti tas aplinkybes kartu su kitais faktiniais konkrečios bylos elementais;
(20)
šia direktyva nereglamentuojamos sąlygos, kurios turėtų būti įvykdytos, kad būtų galima naudotis jurisdikcija bet kurios iš čia nurodytų nusikalstamų veikų atžvilgiu, pavyzdžiui, kad apie nusikalstamą veiką jos padarymo vietoje praneštų nukentėjęs asmuo arba ja apkaltintų valstybė, kurioje įvykdyta veika, arba kad pažeidėjas nebūtų patraukiamas baudžiamojon atsakomybėn nusikalstamos veikos įvykdymo vietoje;
(21)
taikant šią direktyvą valstybės ir viešosios institucijos laikydamosi esamų tarptautinių įsipareigojimų, tebėra visapusiškai atsakingos už tai, kad būtų užtikrinta pagarba žmogaus teisėms ir pagrindinėms laisvėms;
(22)
šia direktyva didinama tam tikrų tinklų svarba, pavyzdžiui, Didžiojo aštuoneto arba Europos Tarybos sukurtų ištisą parą, septynias dienas per savaitę veikiančių informacinių punktų. Tie informaciniai punktai turėtų teikti veiksmingą pagalbą, tokiu būdu sudarydami palankesnes sąlygas keistis turima atitinkama informacija arba teikti technines konsultacijas ar teisinę informaciją tiriant su informacinėmis sistemomis ir atitinkamais duomenimis susijusias nusikalstamas veikas arba nagrinėjant tokias bylas, kuriose dalyvauja prašančioji valstybė narė. Siekiant užtikrinti sklandų tinklų veikimą, kiekvienas informacinis punktas turėtų turėti pajėgumų skubos tvarka, padedamas, inter alia, apmokyto ir pasirengusio personalo, palaikyti ryšius su kitos valstybės narės informaciniu punktu. Atsižvelgiant į tai, kad didelės apimties kibernetinės atakos gali būti įvykdytos labai greitai, valstybės narės turėtų būti pajėgios nedelsiant reaguoti į šio informacinių punktų tinklo skubius prašymus. Tokiais atvejais gali būti tikslinga pateikiant prašymą suteikti informaciją nurodyti kontaktinį telefono numerį, kad būtų užtikrinta, jog prašymą gavusi valstybė narė skubiai imtųsi jį nagrinėti ir informacija būtų suteikta per aštuonias valandas;
(23)
siekiant užkirsti kelią atakoms prieš informacines sistemas ir su jomis kovoti itin svarbus yra valdžios institucijų bendradarbiavimas su privačiuoju sektoriumi ir pilietine visuomene. Reikia skatinti ir gerinti paslaugų teikėjų, gamintojų, teisėsaugos įstaigų ir teisminių institucijų bendradarbiavimą ir sykiu visapusiškai laikytis teisinės valstybės principų. Toks bendradarbiavimas galėtų apimti, pavyzdžiui, paslaugų teikėjų teikiamą paramą padedant išsaugoti galimus įrodymus, pateikiant elementus, padedančius nustatyti nusikalstamos veikos vykdytojus ir, taikyti kaip kraštutinę priemonę, atsižvelgiant į nacionalinę teisę, ir praktiką, visišką arba dalinį informacinių sistemų arba funkcijų, kurioms pakenkta arba kurios naudojamos neteisėtai, išjungimą laikantis nacionalinės teisės. Valstybės narės taip pat turėtų apsvarstyti galimybę sukurti bendradarbiavimo ir partnerystės tinklus su paslaugų teikėjais ir gamintojais siekiant keistis informacija, susijusia su nusikalstama veika šios direktyvos taikymo srityje;
(24)
būtina rinkti palyginamuosius duomenis apie šioje direktyvoje nustatytas nusikalstamas veikas. Atitinkami duomenys turėtų būti pateikiami kompetentingoms specializuotoms Sąjungos agentūroms ir įstaigoms, pavyzdžiui, Europolui ir ENISA atsižvelgiant į jų uždavinius ir informacijos poreikius, kad būtų surinkta išsamesnės informacijos apie elektroninių nusikaltimų mastą ir tinklų bei informacijos saugumą Sąjungos lygiu ir tokiu būdu būtų ieškoma veiksmingesnių reagavimo būdų. Valstybės narės turėtų perduoti Europolui ir Europos kovos su elektroniniu nusikalstamumu centrui informaciją apie nusikalstamų veikų vykdytojų veiklos būdus, kad būtų atliktas elektroninių nusikaltimų grėsmės įvertinimas ir strateginė analizė pagal 2009 m. balandžio 6 d. Tarybos sprendimą 2009/371/TVR dėl Europos policijos biuro (Europolo) įsteigimo (4). Teikiant informaciją gali būti sudarytos palankesnės sąlygos suprasti dabartines ir būsimas grėsmes bei tokiu būdu gali būti prisidėta prie tinkamesnio ir tikslingesnio sprendimų dėl kovos su atakomis prieš informacines sistemas ir jų prevencijos priėmimo proceso;
(25)
pagal šią direktyvą Komisija turėtų teikti ataskaitą dėl direktyvos taikymo ir teikti visus būtinus pasiūlymus dėl teisėkūros procedūra priimamų aktų, kuriais remiantis galėtų būti išplėsta jos taikymo sritis atsižvelgiant į pokyčius elektroninių nusikaltimų srityje. Tokie pokyčiai galėtų apimti technologijų pokyčius, kurie suteiktų galimybę, pavyzdžiui, užtikrinti veiksmingesnį vykdymą atakų prieš informacines sistemas srityje arba kuriais būtų sudarytos palankesnės sąlygos tokių atakų prevencijai ar jų poveikio susilpninimui. Tuo tikslu Komisija turėtų atsižvelgti į atitinkamų subjektų ir visų pirma Europolo ir ENISA parengtas turimas analizes ir ataskaitas;
(26)
norint veiksmingai kovoti su elektroniniais nusikaltimais būtina padidinti informacinių sistemų atsparumą imantis tinkamų priemonių, kad jos būtų veiksmingiau apsaugotos nuo kibernetinių atakų. Valstybės narės turėtų imtis reikiamų priemonių tam, kad apsaugotų savo ypatingos svarbos infrastruktūras nuo kibernetinių atakų, be kita ko - apsvarstyti savo informacinių sistemų ir susijusių duomenų apsaugą. Juridinių asmenų vykdomas informacinių sistemų tinkamo lygio apsaugos ir saugumo užtikrinimas, pavyzdžiui, teikiant viešas elektroninių ryšių paslaugas pagal galiojančius Sąjungos teisės aktus privatumo, elektroninių ryšių ir duomenų apsaugos srityje, yra itin svarbus išsamaus požiūrio į veiksmingą kovą su elektroniniais nusikaltimais elementas. Turėtų būti suteikta pakankamo lygio apsauga nuo pagrįstai nustatomos grėsmės ir pažeidžiamumo atsižvelgiant į naujausias konkrečių sektorių žinias ir konkrečias duomenų tvarkymo sąlygas. Tokios apsaugos sąnaudos ir su ja susijusi našta turėtų būti proporcingos žalai, kurią atitinkamiems objektams galėtų padaryti kibernetinė ataka. Valstybės narės raginamos numatyti atitinkamas priemones, kuriomis atsižvelgiant į nacionalinę teisę nustatoma atsakomybė tais atvejais, kai juridinis asmuo akivaizdžiai neužtikrino tinkamo lygio apsaugos nuo kibernetinių atakų;
(27)
didelės valstybių narių įstatymų ir baudžiamojo proceso spragos ir skirtumai atakų prieš informacines sistemas srityje gali trukdyti kovoti su organizuotu nusikalstamumu ir terorizmu bei gali apsunkinti veiksmingą policijos ir teisminį bendradarbiavimą šioje srityje. Kadangi šiuolaikinės informacinės sistemos nėra saistomos valstybinių sienų, atakoms prieš tokias sistemas būdingas tarpvalstybinis aspektas, todėl pabrėžiamas poreikis skubiai veikti toliau derinant baudžiamąją teisę šioje srityje. Be to, tinkamai įgyvendinant ir taikant 2009 m. lapkričio 30 d. Tarybos pamatinį sprendimą 2009/948/TVR dėl jurisdikcijos įgyvendinimo kolizijų baudžiamuosiuose procesuose prevencijos ir sprendimo (5), turėtų būti sudarytos palankesnės sąlygos koordinuoti baudžiamąjį persekiojimą dėl atakų prieš informacines sistemas. Valstybės narės, bendradarbiaudamos su Sąjunga, taip pat turėtų siekti gerinti tarptautinį bendradarbiavimą, susijusį su informacinių sistemų, kompiuterinių tinklų ir kompiuterinių duomenų saugumu. Tarptautiniuose susitarimuose, susijusiuose su keitimusi duomenimis, turėtų būti tinkamai atsižvelgta į duomenų perdavimo ir saugojimo saugumą;
(28)
norint veiksmingai kovoti su elektroniniais nusikaltimais, labai svarbu gerinti visos Sąjungos kompetentingų teisėsaugos įstaigų ir teisminių institucijų bendradarbiavimą. Atsižvelgiant į tai turėtų būti skatinama dėti daugiau pastangų, kad atitinkamoms valdžioms institucijoms būtų teikiamas tinkamas mokymas siekiant gerinti supratimą apie elektroninius nusikaltimus ir jų poveikį, ir skatinamas bendradarbiavimas ir keitimasis geriausios praktikos pavyzdžiais, pavyzdžiui, pasitelkiant specializuotas Sąjungos agentūras ir įstaigas. Tokiu mokymu turėtų būti siekiama, inter alia, didinti informuotumą apie įvairias nacionalines teisines sistemas, galimus teisinius ir techninius uždavinius, su kuriais susiduriama vykdant nusikalstamų veikų tyrimą, arba atitinkamų nacionalinių valdžios institucijų kompetencijos pasidalijimą;
(29)
šia direktyva gerbiamos pagrindinės žmogaus teisės laisvės ir teisės ir laikomasi principų, visų pirma, pripažintų Europos Sąjungos pagrindinių teisių chartijoje ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijoje, įskaitant asmens duomenų apsaugą, teisę į privatų gyvenimą, saviraiškos ir informacijos laisvę, teisę į teisingą bylos nagrinėjimą, nekaltumo prezumpciją ir gynybos teises, taip pat teisėtumo ir nusikalstamos veikos bei sankcijų proporcingumo principų. Visų pirma, šia direktyva siekiama užtikrinti, kad būtų besąlygiškai laikomasi visų tų teisių ir principų, ir ji atitinkamai turi būti įgyvendinama;
(30)
asmens duomenų apsauga yra pagrindinė teisė pagal SESV 16 straipsnio 1 dalį ir Europos Sąjungos Pagrindinių teisių chartijos 8 straipsnį. Todėl asmens duomenų tvarkymas įgyvendinant šią direktyvą turėtų visiškai atitikti atitinkamus Sąjungos teisės aktus dėl duomenų apsaugos;
(31)
pagal Protokolo dėl Jungtinės Karalystės ir Airijos pozicijos dėl laisvės, saugumo ir teisingumo erdvės, pridėto prie Europos Sąjungos sutarties ir Sutarties dėl Europos Sąjungos veikimo, 3 straipsnį tos valstybės narės pranešė pageidaujančios dalyvauti priimant ir taikant šią direktyvą;
(32)
pagal Protokolo dėl Danijos pozicijos, pridėto prie Europos Sąjungos sutarties ir Sutarties dėl Europos Sąjungos veikimo, 1 ir 2 straipsnius Danija nedalyvauja priimant šią direktyvą, todėl ji nėra jai privaloma ar taikoma;
(33)
kadangi šios direktyvos tikslų, t. y. užtikrinti, kad visose valstybėse narėse už atakas prieš informacines sistemas būtų taikomos veiksmingos, proporcingos ir atgrasančios baudžiamosios sankcijos, ir gerinti bei skatinti teisminį bendradarbiavimą, valstybės narės negali deramai pasiekti dėl veiksmo masto ir poveikio ir kadangi tų tikslų būtų geriau siekti Sąjungos lygiu, laikydamasi Europos Sąjungos sutarties 5 straipsnyje nustatyto subsidiarumo principo Sąjunga gali patvirtinti priemones. Pagal tame straipsnyje nustatytą proporcingumo principą šia direktyva neviršijama to, kas būtina nurodytiems tikslams pasiekti;
(34)
šia direktyva siekiama iš dalies pakeisti ir išplėsti 2005 m. vasario 24 d. Tarybos pamatinio sprendimo 2005/222/TVR dėl atakų prieš informacines sistemas (6) nuostatas. Kadangi pakeitimų, kuriuos reikia padaryti, yra daug ir jie yra svarbūs, siekiant aiškumo visas Pamatinis sprendimas 2005/222/TVR turėtų būti pakeistas valstybių narių, dalyvaujančių priimant šią direktyvą, atžvilgiu,
PRIĖMĖ ŠIĄ DIREKTYVĄ:
1 straipsnis
Dalykas
Šia direktyva nustatomos būtiniausios taisyklės, susijusios su nusikalstamų veikų apibrėžtimi, ir sankcijos atakų prieš informacines sistemas srityje. Ja taip pat siekiama sudaryti palankesnes sąlygas tokių nusikalstamų veikų prevencijai ir pagerinti teisminių ir kitų kompetentingų institucijų bendradarbiavimą.
2 straipsnis
Sąvokų apibrėžtys
Šioje direktyvoje vartojamos apibrėžtys:
a) „informacinė sistema“- prietaisas arba tarpusavyje sujungtų ar susijusių prietaisų grupė, iš kurių vienas arba daugiau pagal programą vykdo automatinį kompiuterinių duomenų tvarkymą, taip pat kompiuteriniai duomenys, saugomi, tvarkomi, išrenkami arba perduodami to prietaiso ar grupės prietaisų jo ar jų eksploatacijos, naudojimo, apsaugos ir priežiūros tikslais;
b) „kompiuteriniai duomenys“- faktai, informacija ar sąvokos, pateiktos tokia forma, kuri tinkama tvarkyti informacinėje sistemoje, įskaitant programą, tinkamą tam, kad informacinė sistema atliktų funkciją;
c) „juridinis asmuo“- tokį statusą pagal taikytiną teisę turintis juridinis asmuo, išskyrus valstybes ar valstybinės valdžios funkcijas vykdančias viešąsias institucijas arba viešąsias tarptautines organizacijas;
d) „neturint tam teisės“- elgesys, nurodytas šioje direktyvoje, įskaitant prieigą, įsikišimą ar duomenų perėmimą, kuriam sistemos ar jos dalies savininkas ar kitas teisės turėtojas nesuteikė leidimo, arba kuris neleidžiamas pagal nacionalinę teisę.
3 straipsnis
Neteisėta prieiga prie informacinių sistemų
Valstybės narės imasi būtinų priemonių užtikrinti, kad už prieigą prie visos informacinės sistemos arba bet kurios jos dalies neturint tam teisės, jei tai padaryta tyčia, būtų baudžiama kaip už nusikalstamą veiką, kai tai padaroma pažeidžiant apsaugos priemonę, bent tais atvejais, kurie nėra mažareikšmiai.
4 straipsnis
Neteisėtas įsikišimas į sistemą
Valstybės narės imasi būtinų priemonių užtikrinti, kad už rimtą informacinės sistemos veikimo sutrikdymą ar nutraukimą įvedant, perduodant, sugadinant, ištrinant, pažeidžiant, pakeičiant arba pašalinant kompiuterinius duomenis, arba užkertant prieigą prie tokių duomenų, jei tai padaryta tyčia ir neturint tam teisės, būtų baudžiama kaip už nusikalstamą veiką, bent tais atvejais, kurie nėra mažareikšmiai.
5 straipsnis
Neteisėtas įsikišimas į duomenis
Valstybės narės imasi būtinų priemonių užtikrinti, kad už informacinėje sistemoje esančių kompiuterinių duomenų ištrynimą, sugadinimą, pažeidimą, pakeitimą ar pašalinimą arba prieigos prie tokių duomenų užkirtimą, jei tai padaryta tyčia ir neturint tam teisės, būtų baudžiama kaip už nusikalstamą veiką, bent tais atvejais, kurie nėra mažareikšmiai.
6 straipsnis
Neteisėtas duomenų perėmimas
Valstybės narės imasi būtinų priemonių užtikrinti, kad už kompiuterinių duomenų, kurie ne viešai perduodami į informacinę sistemą, iš jos ar joje, įskaitant elektromagnetinę spinduliuotę iš tokius kompiuterinius duomenis turinčios informacinės sistemos, perėmimą techninėmis priemonėmis, jei tai padaryta tyčia ir neturint tam teisės, būtų baudžiama kaip už nusikalstamą veiką, bent tais atvejais, kurie nėra mažareikšmiai.
7 straipsnis
Nusikalstamoms veikoms vykdyti naudojamos priemonės
Valstybės narės imasi būtinų priemonių užtikrinti, kad už toliau nurodytų priemonių ar duomenų gamybą, pardavimą, įsigijimą siekiant naudotis, importą, platinimą arba kitu būdu galimybių naudotis viena iš šių priemonių sudarymą būtų baudžiama kaip už nusikalstamą veiką, bent tais atvejais, kurie nėra mažareikšmiai, jei tai padaryta tyčia, neturint tam teisės ir siekiant, kad jie būtų panaudoti 3-6 straipsniuose nurodytoms nusikalstamoms veikoms vykdyti:
a)
kompiuterinės programos, skirtos arba pritaikytos pirmiausia siekiant vykdyti bet kurią iš 3-6 straipsniuose nurodytų veikų;
b)
kompiuterio slaptažodžio, prieigos kodo arba panašių duomenų, kuriuos naudojant galima prisijungti prie visos informacines sistemos arba jos dalies.
8 straipsnis
Kurstymas, bendrininkavimas ir kėsinimasis
1. Valstybės narės užtikrina, kad už kurstymą padaryti 3-7 straipsniuose nurodytą veiką ar pagalbą ir bendrininkavimą ją darant būtų baudžiama kaip už nusikalstamą veiką.
2. Valstybės narės užtikrina, kad už pasikėsinimą padaryti 4 ir 5 straipsniuose nurodytą veiką būtų baudžiama kaip už nusikalstamą veiką.
9 straipsnis
Sankcijos
1. Valstybės narės imasi reikiamų priemonių užtikrinti, kad už 3-8 straipsniuose nurodytas nusikalstamas veikas būtų taikomos veiksmingos, proporcingos ir atgrasančios baudžiamosios sankcijos.
2. Valstybės narės imasi būtinų priemonių užtikrinti, kad už 3-7 straipsniuose nurodytas nusikalstamas veikas būtų skiriama maksimali ne trumpesnė kaip dvejų metų laisvės atėmimo bausmė, bent tais atvejais, kurie nėra mažareikšmiai.
3. Valstybės narės imasi būtinų priemonių užtikrinti, kad už 4 ir 5 straipsniuose nurodytas nusikalstamas veikas, kai jos padaromos tyčia, būtų skiriama maksimali ne trumpesnė kaip trejų metų laisvės atėmimo bausmė, kai dėl 7 straipsnyje nurodytos, būtent tam tikslui skirtos arba pritaikytos priemonės naudojimo nukenčia daug informacinių sistemų.
4. Valstybės narės imasi būtinų priemonių užtikrinti, kad už 4 ir 5 straipsniuose nurodytas nusikalstamas veikas būtų skiriama maksimali ne trumpesnė kaip penkerių metų laisvės atėmimo bausmė tuo atveju, jei:
a)
jos padarytos nusikalstamos organizacijos, kaip apibrėžta Pamatiniame sprendime 2008/841/TVR, neatsižvelgiant į jame nurodytą sankcijos dydį;
b)
jomis padaroma didelė žala; arba
c)
jos nukreiptos prieš ypatingos svarbos infrastruktūros informacinę sistemą.
5. Valstybės narės imasi būtinų priemonių užtikrinti, kad jei 4 ir 5 straipsniuose nurodytos nusikalstamos veikos įvykdomos piktnaudžiaujant kito asmens duomenimis siekiant įgyti trečiosios šalies pasitikėjimą, tokiu būdu padarant žalą teisėtam tapatybės turėtojui, tai pagal nacionalinę teisę būtų laikoma sunkinančiomis aplinkybėmis, išskyrus tuo atveju, jei tos aplinkybės jau yra taikomos kitai nusikalstamai veikai, už kurią baudžiama pagal nacionalinę teisę.
10 straipsnis
Juridinių asmenų atsakomybė
1. Valstybės narės imasi būtinų priemonių užtikrinti, kad juridiniai asmenys galėtų būti patraukti atsakomybėn už 3-8 straipsniuose nurodytas nusikalstamas veikas, kurias jų naudai padarė asmuo, veikęs individualiai arba kaip tokio juridinio asmens struktūros narys ir užimantis to juridinio asmens struktūroje vadovaujamas pareigas, jeigu jis turėjo teisę:
a)
remiantis įgaliojimu atstovauti juridiniam asmeniui;
b)
juridinio asmens vardu priimti sprendimus;
c)
vykdyti kontrolę juridinio asmens struktūroje.
2. Valstybės narės imasi būtinų priemonių užtikrinti, kad juridiniai asmenys galėtų būti laikomi atsakingais, jeigu dėl 1 dalyje minimo asmens priežiūros ar kontrolės stokos buvo sudarytos galimybės prižiūrimam asmeniui vykdyti bet kurią iš 3-8 straipsniuose nurodytų nusikalstamų veikų to juridinio asmens naudai.
3. Juridinių asmenų atsakomybė pagal 1 ir 2 dalis nepanaikina fizinių asmenų, kurie buvo kurios nors iš 3-8 straipsniuose nurodytų nusikalstamų veikų kaltininkai ar kurstytojai, ar bendrininkai, baudžiamosios atsakomybės.
11 straipsnis
Sankcijos juridiniams asmenims
1. Valstybės narės imasi būtinų priemonių užtikrinti, kad juridiniam asmeniui, patrauktam atsakomybėn pagal 10 straipsnio 1 dalį, būtų taikomos veiksmingos, proporcingos ir atgrasomosios sankcijos, kurios apima bausmes arba ne baudžiamojo pobūdžio baudas ir gali apimti kitas sankcijas, pavyzdžiui:
a)
teisės į valstybės teikiamas lengvatas arba pagalbą atėmimą;
b)
laikiną ar nuolatinį teisės verstis komercine veikla atėmimą;
c)
teisminės priežiūros skyrimą;
d)
teismo paskirtą likvidavimą;
e)
laikiną ar galutinį įmonių, kurios buvo naudojamos nusikalstamai veikai įvykdyti, uždarymą.
2. Valstybės narės imasi būtinų priemonių užtikrinti, kad juridiniam asmeniui, patrauktam atsakomybėn pagal 10 straipsnio 2 dalį, būtų taikomos veiksmingos, proporcingos ir atgrasomosios sankcijos arba kitos priemonės.
12 straipsnis
Jurisdikcija
1. Valstybės narės nustato savo jurisdikciją 3-8 straipsniuose nurodytoms nusikalstamoms veikoms tais atvejais, kai:
a)
nusikalstama veika arba jos dalis padaryta jų teritorijoje; arba
b)
nusikalstamą veiką padarė vienas iš jų piliečių, bent tais atvejais, kai veiksmas yra nusikalstama veika toje vietoje, kurioje jis buvo įvykdytas.
2. Nustatydama jurisdikciją pagal 1 dalies a punktą, valstybė narė užtikrina, kad jos jurisdikcijai priklausytų atvejai, kai:
a)
pažeidėjas nusikalstamą veiką įvykdo fiziškai būdamas jos teritorijoje, nepriklausomai nuo to, ar nusikalstama veika yra nukreipta ar nenukreipta prieš jos teritorijoje esančią informacinę sistemą; arba
b)
nusikalstama veika yra nukreipta prieš jos teritorijoje esančią informacinę sistemą nepriklausomai nuo to, ar pažeidėjas nusikalstamą veiką daro fiziškai būdamas jos teritorijoje.
3. Valstybė narė praneša Komisijai, jeigu ji nusprendžia nustatyti papildomą jurisdikciją dėl 3-8 straipsniuose nurodytos nusikalstamos veikos, padarytos už jos teritorijos ribų, įskaitant, kai:
a)
pažeidėjo įprastinė gyvenamoji vieta yra jos teritorijoje; arba
b)
nusikalstama veika padaryta juridinio asmens, įsisteigusio jos teritorijoje, naudai.
13 straipsnis
Keitimasis informacija
1. Siekdamos keistis informacija apie 3-8 straipsniuose nurodytas nusikalstamas veikas, valstybės narės užtikrina, kad jos turėtų veikiantį nacionalinį informacinį punktą ir, kad jos naudotųsi esamu informacinių punktų, veikiančių ištisą parą be poilsio dienų, tinklu. Valstybės narės taip pat užtikrina, kad jos turėtų procedūras, kad skubių prašymų dėl pagalbos atvejais kompetentingos valdžios institucijos galėtų per ne ilgesnį nei aštuonių valandų laikotarpį nuo prašymo gavimo bent nurodyti, ar į prašymą bus atsakyta, bei kokia forma ir kada bus pateiktas toks atsakymas.
2. Valstybės narės informuoja Komisiją apie paskirtus informacinius punktus, nurodytus 1 dalyje. Komisija šią informaciją perduoda kitoms valstybėms narėms ir kompetentingoms specializuotoms Sąjungos agentūroms ir įstaigoms.
3. Valstybės narės imasi būtinų priemonių, kad užtikrintų galimybę naudotis tinkamais pranešimų teikimo kanalais siekiant sudaryti palankesnes sąlygas nedelsiant pranešti kompetentingoms nacionalinėms valdžios institucijoms apie 3-6 straipsniuose nurodytas nusikalstamas veikas.
14 straipsnis
Stebėjimas ir statistika
1. Valstybės narės užtikrina, kad būtų parengta sistema statistiniams duomenims apie 3-7 straipsniuose nurodytas veikas registruoti, rengti ir teikti.
2. 1 dalyje nurodyti statistiniai duomenys apima bent jau esamus duomenis apie veikų, nurodytų 3-7 straipsniuose, kurias užregistravo valstybės narės, skaičių ir kiek asmenų patraukta baudžiamojon atsakomybėn ir nuteista už 3-7 straipsniuose nurodytas veikas.
3. Pagal šį straipsnį surinktus duomenis valstybės narės perduoda Komisijai. Komisija užtikrina, kad būtų skelbiama bendra šių statistikos ataskaitų apžvalga ir kad ji būtų perduodama kompetentingoms specializuotoms Sąjungos agentūroms ir įstaigoms.
15 straipsnis
Pamatinio sprendimo 2005/222/TVR pakeitimas
Pamatinis sprendimas 2005/222/TVR yra pakeičiamas šia direktyva valstybių narių, dalyvaujančių priimant šią direktyvą, atžvilgiu, nedarant poveikio valstybių narių įsipareigojimams, susijusiems su pamatinio sprendimo perkėlimo į nacionalinę teisę terminu.
Valstybių narių, dalyvaujančių priimant šia direktyvą, atžvilgiu nuorodos į Pamatinį sprendimą 2005/222/TVR laikomos nuorodomis į šią direktyvą.
16 straipsnis
Perkėlimas į nacionalinę teisę
1. Valstybės narės užtikrina, kad įsigaliotų įstatymai ir kiti teisės aktai, būtini, kad šios direktyvos būtų laikomasi ne vėliau kaip nuo 2015 m. rugsėjo 4 d.
2. Valstybės narės perduoda Komisijai priemonių, kuriomis į jų nacionalinę teisę perkeliamos šia direktyva joms nustatytos pareigos, tekstą.
3. Valstybės narės, patvirtindamos tas priemones, daro jose nuorodą į šią direktyvą arba tokia nuoroda daroma jas oficialiai skelbiant. Nuorodos darymo tvarką nustato valstybės narės.
17 straipsnis
Ataskaitų teikimas
Komisija iki 2017 m. rugsėjo 4 d. Europos Parlamentui ir Tarybai pateikia ataskaitą, kurioje įvertinama, kokiu mastu valstybės narės ėmėsi šiai direktyvai įgyvendinti būtinų priemonių, ir, jei būtina, pasiūlymus dėl teisėkūros procedūra priimamų aktų. Komisija taip pat atsižvelgia į techninę ir teisinę raidą elektroninių nusikaltimų srityje, visų pirma kiek tai susiję su šios direktyvos taikymo sritimi.
18 straipsnis
Įsigaliojimas
Ši direktyva įsigalioja dvidešimtą dieną po jos paskelbimo Europos Sąjungos oficialiajame leidinyje.
19 straipsnis
Adresatai
Ši direktyva pagal Sutartis skirta valstybėms narėms.
Priimta Briuselyje 2013 m. rugpjūčio 12 d.