ДИРЕКТИВА 2013/40/ЕС НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 12 август 2013 година
относно атаките срещу информационните системи и за замяна на Рамково решение 2005/222/ПВР на Съвета
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 83, параграф 1 от него,
като взеха предвид предложението на Европейската комисия,
след предаване на проекта на законодателния акт на националните парламенти,
като взеха предвид становището на Европейския икономически и социален комитет (1),
в съответствие с обикновената законодателна процедура (2),
като имат предвид, че:
(1)
Целите на настоящата директива са да се сближи наказателното право на държавите членки в сферата на атаките срещу информационните системи посредством установяването на минимални правила относно определението на престъпленията и определянето на съответните наказания и да подобри сътрудничеството между компетентните органи, включително полицията и други специализирани правоприлагащи органи на държавите членки, както и компетентните специализирани агенции и органи на Съюза, като Евроюст, Европол и Европейския център по киберпрестъпност към него, както и Европейската агенция за мрежова и информационна сигурност (ENISA).
(2)
Информационните системи представляват ключов елемент от политическото, социалното и икономическото взаимодействие в Съюза. Все по-често и в по-голяма степен обществото зависи от тези системи. Безпроблемното функциониране и сигурността на тези системи в Съюза са от жизненоважно значение за развитието на вътрешния пазар и на конкурентоспособна и иновационна икономика. Осигуряването на подходящи равнища на защита на информационните системи следва да бъде част от цялостна ефективна рамка за превантивни мерки, съпътстваща реакцията на наказателното право спрямо киберпрестъпността.
(3)
Атаките срещу информационните системи, и по-специално атаките, свързани с организираната престъпност, представляват засилваща се опасност както в Съюза, така и в световен мащаб, а съществува и растяща загриженост от вероятни атаки по терористични или политически подбуди срещу информационните системи, които са част от критичната инфраструктура на държавите членки и на Съюза. Това представлява заплаха за постигането на едно по-безопасно информационно общество и за изграждането на пространство на свобода, сигурност и правосъдие, и следователно налага ответна реакция на равнището на Съюза, а също така и по-добра координация и сътрудничество на международно равнище.
(4)
В Съюза съществува определен брой критични инфраструктури, чието нарушаване или унищожаване би имало значителни трансгранични последици. От необходимостта да се подобрят способностите за защита на критичните инфраструктури в Съюза става ясно, че мерките срещу кибератаките следва да бъдат допълнени от строги наказателни санкции, отразяващи тежестта на подобни атаки. Като критична инфраструктура могат да се разглеждат разположени в държавите членки елемент, система или части от нея, които са от основно значение за поддържането на жизненоважни обществени функции, здравето, безопасността, сигурността, икономическото или социалното благосъстояние на населението. като електроцентрали, транспортни мрежи или правителствени мрежи, и чието нарушаване или унищожаване би имало значителни последици в дадената държава членка в резултат на невъзможността да се запазят тези функции.
(5)
Има доказателства за наличието на тенденция към все по-опасни и повтарящи се широкомащабни атаки срещу информационните системи, които често могат да бъдат от решаващо значение за държавите членки или за определени функции в публичния или частния сектор. Тази тенденция е придружена от разработката на все по-усъвършенствани методи, като например създаването и използването на така наречените „ботнети“, които се състоят от няколко етапа на престъпното деяние, при които всеки етап поотделно би могъл да създаде сериозен риск за обществения интерес. Настоящата директива има за цел, inter alia, да въведе наказания за създаването на ботнет, по-конкретно за акта на установяване на контрол от разстояние върху значителен брой компютри посредством заразяването им със зловреден софтуер чрез целенасочени кибератаки. Веднъж създадена, заразената мрежа от компютри, която представлява ботнетът, може да бъде активирана без знанието на потребителите на компютрите, за да извърши широкомащабна кибератака, която обикновено е в състояние да причини сериозни вреди, както е посочено в настоящата директива. Държавите членки следва да могат да определят кое представлява сериозна вреда съгласно националното право и практика, като например нарушаване на системни услуги от важно обществено значение или причиняване на сериозни финансови разходи или загуба на лични данни или чувствителна информация.
(6)
Широкомащабните кибератаки могат да предизвикат съществени икономически вреди както поради прекъсването на информационните системи и комуникации, така и поради загуба или промяна на важна от търговска гледна точка поверителна информация или други данни. Особено внимание следва да се обърне на повишаването на осведомеността на иновативните малки и средни предприятия за заплахи, свързани с подобни атаки, и тяхната уязвимост на такива атаки, тъй като тези предприятия зависят във все по-голяма степен от правилното функциониране и наличност на информационните системи и често разполагат с ограничени ресурси за информационна сигурност.
(7)
Приемането на общи определения в тази област е важно, за да се осигури последователен подход в държавите членки при прилагането на настоящата директива.
(8)
Необходимо е да бъде постигнат общ подход към елементите, съставляващи престъпления, чрез въвеждането на общи престъпления, като незаконния достъп до информационни системи, незаконната намеса в такива системи, незаконната намеса в данни и незаконното прихващане.
(9)
Прихващането включва, но не се ограничава непременно до подслушването, проследяването или наблюдението на съдържанието на съобщения и достигането до съдържанието на данни с технически средства пряко, чрез достъп до информационни системи и тяхното използване, или непряко, чрез използване на електронно подслушване или подслушвателни устройства.
(10)
Държавите членки следва да предвидят наказания за атаките срещу информационните системи. Предвидените наказания следва да бъдат ефективни, пропорционални и възпиращи и следва да включват лишаване от свобода и/или глоби.
(11)
Настоящата директива предвижда наказания най-малкото за случаите, които не се считат за маловажни. Държавите членки следва да могат да решат какво представлява маловажен случай в зависимост от своето национално право и практика. Даден случай може да се счете за маловажен например ако причинените от престъплението вреди и/или рискът, който то поражда за публичните или частните интереси, като например по отношение на целостта на компютърната система или компютърните данни или по отношение на неприкосновеността, правата или други интереси на дадено лице, са незначителни или от такова естество, че не е необходимо да се налага наказание в съответните предвидени в правните разпоредби предели или да се налага наказателна отговорност.
(12)
Установяването и докладването на заплахи, произтичащи от кибератаки, както и на свързаната с тях уязвимост на информационните системи са важни елементи, които имат отношение към ефективната превенция и реакция на кибератаките и към повишаването на сигурността на информационните системи. Осигуряването на стимули за докладване на пропуски по отношение на сигурността би могло да допринесе допълнително за постигането на тези цели. Държавите членки следва да полагат усилия за предоставянето на възможности за откриването в правен аспект и докладването на пропуски по отношение на сигурността.
(13)
Целесъобразно е да се предвидят по-строги наказания, когато атаката срещу дадена информационна система е извършена от престъпна организация съгласно определението в Рамково решение 2008/841/ПВР на Съвета от 24 октомври 2008 г. относно борбата с организираната престъпност (3), когато атаката е широкомащабна и е засегнала значителен брой информационни системи или е причинила сериозни щети, включително когато целта на атаката е създаването на ботнет или когато кибератаката е причинила сериозни вреди, включително когато е извършена посредством ботнет. Също така е целесъобразно да се предвидят по-строги наказания, когато атаката е извършена срещу критична инфраструктура на държавите членки или на Съюза.
(14)
Друг съществен елемент от интегрирания подход срещу киберпрестъпността представлява установяването на ефективни мерки срещу кражбата на самоличност и други престъпления, засягащи самоличността. Евентуалната нужда от действия на Съюза във връзка с този вид престъпно поведение може да се разглежда и в контекста на оценката доколко е необходим цялостен хоризонтален инструмент на Съюза.
(15)
В заключенията на Съвета от 27-28 ноември 2008 г. се посочва, че следва да се разработи нова стратегия с участието на държавите членки и Комисията, като се вземе предвид съдържанието на Конвенцията на Съвета на Европа от 2001 г. за престъпления в кибернетичното пространство. Тази конвенция е референтната правна рамка за борба с престъпленията в кибернетичното пространство, включително и с атаките срещу информационните системи. Настоящата директива се основава на споменатата конвенция. Като приоритет следва да се разглежда приключването на процеса на ратификация на тази конвенция от всички държави членки във възможно най-кратък срок.
(16)
Като се имат предвид различните начини, по които могат да бъдат извършени атаките, и с оглед на бързите промени в хардуера и софтуера, в настоящата директива се съдържа позоваване на „инструментите“, които могат да бъдат използвани за извършване на престъпленията, изброени в нея. Тези инструменти включват зловредния софтуер, включително този, с който могат да се създават ботнети, използвани за извършване на кибератаки. Макар и даден инструмент да бъде подходящ или дори да бъде особено подходящ за извършването на някое от престъпленията, предвидени в настоящата директива, възможно е той да е бил произведен със законна цел, като например за изпитване на надеждността на продукти на информационните технологии или на сигурността на информационни системи. В подобен случай не е достатъчно дадено лице да има общ умисъл за осъществяване на обективните критерии на някое от престъпленията, предвидени в настоящата директива, а то трябва да има пряк умисъл да използва инструментите за извършването на едно или повече от престъпленията, предвидени в настоящата директива.
(17)
Настоящата директива не налага наказателна отговорност в случаите, когато са изпълнени обективните критерии за престъпленията, изброени в настоящата директива, но деянията са извършени без престъпно намерение, като например при незнание, че достъпът не е разрешен, или при възложено изпитване или защита на информационните системи, например когато дружество или продавач възложи на дадено лице изпитването на устойчивостта на системата му за сигурност. В контекста на настоящата директива договорните задължения или споразуменията за ограничаване на достъпа до информационни системи посредством правила за потребителите или условия за използване на услугата, както и трудовите спорове във връзка с достъпа до информационни системи на работодателя и използването им за лични цели не следва да водят до наказателна отговорност, когато достъпът при такива обстоятелства се счита за неразрешен и това представлява единственото основание за наказателно производство. Настоящата директива не засяга правото на достъп до информация, установено в националното законодателство и законодателството на Съюза, като същевременно тя не може да се използва като оправдание за незаконен или произволен достъп до информация.
(18)
Редица обстоятелства могат да улеснят извършването на кибератаки, като например случаите, когато извършителят, в рамките на своята трудова заетост, има достъп до системите за сигурност, които са част от засегнатите информационни системи. В контекста на националното право такива обстоятелства следва да бъдат отчетени в подходяща степен в хода на наказателното производство.
(19)
Държавите членки следва да предвидят в националното си право квалифициращи обстоятелства в съответствие с приложимите правила, предвидени в техните правни системи относно квалифициращите обстоятелства. Те следва да гарантират, че съдиите разполагат с възможност да разглеждат тези квалифициращи обстоятелства при осъждането на извършителите. Съдията по своя преценка оценява тези обстоятелства заедно с останалите факти по конкретния случай.
(20)
Настоящата директива не урежда условията за упражняване на компетентност над което и да било от посочените в нея престъпления, например съобщаване от страна на жертвата на мястото, където е извършено престъплението, съобщаване от страна на държавата на мястото, където е извършено престъплението, или факта, че извършителят не е наказателно преследван на мястото, където е извършено престъплението.
(21)
В контекста на настоящата директива държавите членки и третите държави, както и техните публичните органи продължават в пълна степен да бъдат задължени да гарантират зачитането на правата на човека и основните свободи в съответствие със съществуващите задължения в Съюза и международни задължения.
(22)
С настоящата директива се засилва значението на мрежите, като мрежите на Г-8 или Съвета на Европа, съставени от звена за контакт, които са на разположение 24 часа в денонощието и седем дни в седмицата. Тези звена за контакт следва да бъдат в състояние да осигуряват ефективна помощ и по този начин да улесняват например обмена на подходяща налична информация и предоставянето на технически съвети или правна информация за целите на разследванията или производствата по престъпления, отнасящи се до информационните системи, и свързаните данни, с участието на молещата държава членка. За да се осигури гладкото функциониране на мрежите, всяко звено за контакт следва да разполага с капацитет за бързо свързване със звено за контакт на друга държава членка с помощта на, inter alia, обучен и оборудван персонал. Като се има предвид бързината, с която могат да бъдат извършени широкомащабни кибератаки, държавите членки следва да са в състояние да реагират незабавно на спешни искания, отправени по тази мрежа от звена за контакт. В подобни случаи може да бъде наложително искането за информация да се придружава от телефон за връзка, за да се гарантира, че замолената държава членка ще обработи своевременно искането и обратната информация ще бъде предоставена в рамките на осем часа.
(23)
Сътрудничеството между публичните органи, от една страна, и частния сектор и гражданското общество, от друга, е от голямо значение за превенцията и борбата с атаките срещу информационните системи. Необходимо е да се насърчава и подобрява сътрудничеството между доставчиците на услуги, производителите, правоприлагащите и съдебните органи при пълно зачитане на принципите на правовата държава. Сътрудничеството би могло да включва съдействие от доставчиците на услуги за оказване на помощ за съхраняване на евентуални доказателства, за предоставяне на елементи, които да спомогнат за идентифицирането на извършителите, и като крайна мярка, частичното или пълното спиране в съответствие с националното право и практика на информационните системи или функции, които са били засегнати или използвани за незаконни цели. Държавите членки следва да обмислят също създаването на мрежи за сътрудничество и партньорство с доставчиците на услуги и производителите за обмен на информация във връзка с престъпленията, които попадат в обхвата на настоящата директива.
(24)
Необходимо е да се събират съпоставими данни за престъпленията, посочени в настоящата директива. Съответните данни следва да се предоставят на компетентните специализирани агенции и органи на Съюза, като Европол и ЕNISA, в съответствие със задачите и информационните им потребности, за да се добие по-цялостна представа за проблема с киберпрестъпността и мрежовата и информационна сигурност на равнището на Съюза и по този начин се допринесе за изготвянето на по-ефективна реакция. Държавите членки следва да предоставят на Европол и Европейския център по киберпрестъпност към него информация за начина на действие на извършителите, за да се извършат оценка на заплахите и стратегически анализи на киберпрестъпността в съответствие с Решение 2009/371/ПВР на Съвета от 6 април 2009 г. за създаване на Европейска полицейска служба (Европол) (4). Предоставянето на информация може да улесни по-доброто разбиране на настоящите и бъдещите заплахи, като допринесе за по-подходящо и целенасочено вземане на решения относно борбата с атаките срещу информационните системи и тяхното предотвратяване.
(25)
Комисията следва да представи доклад за прилагането на настоящата директива и ако е необходимо, да направи законодателни предложения, които може да доведат до разширяване на нейния обхват, отчитайки промените в областта на киберпрестъпността. Тези промени могат да включват технологично развитие, като например такова, което позволява по-ефективно правоприлагане в областта на атаките срещу информационните системи или улеснява предотвратяването на подобни атаки или смекчаването на последиците от тях. За тази цел Комисията следва да вземе под внимание наличните анализи и доклади, изготвени от съответните заинтересовани страни, и по-специално от Европол и ENISA.
(26)
С цел ефективна борба с престъпленията в кибернетичното пространство е необходимо също така да се повиши устойчивостта на информационните системи с предприемането на подходящи мерки за по-ефективната им защита от кибератаки. Държавите членки следва да предприемат необходимите мерки за защита от кибератаки на информационните системи, които представляват част от тяхната критична инфраструктура, и следва да обмислят защитата на информационните системи и свързаните данни като част от тази защита. Осигуряването на подходящо равнище на защита и сигурност на информационните системи от юридически лица, например във връзка с предоставянето на общественодостъпни електронни съобщителни услуги в съответствие с действащото законодателство на Съюза относно неприкосновеността на личния живот, електронните съобщения и защитата на данните, представлява съществена част от цялостния подход за ефективна борба срещу киберпрестъпността. Следва да се осигуряват подходящи равнища на защита срещу заплахи и уязвимости, които могат да бъдат разумно идентифицирани, в съответствие със съвременните постижения в конкретните сектори и предвид конкретните ситуации, свързани с обработването на данни. Разходите и тежестта по осигуряване на такава защита следва да бъдат пропорционални на вероятните вреди, които евентуална кибератака може да причини на засегнатите лица. Държавите членки се насърчават да предвидят в националното си право подходящи мерки, водещи до отговорност, за случаите, когато юридическо лице явно не е осигурило подходящо равнище на защита срещу кибератаки.
(27)
Значителните пропуски и различия в законите и наказателните производства на държавите членки в областта на атаките срещу информационните системи могат да възпрепятстват борбата срещу организираната престъпност и тероризма, а също така да усложнят ефективното полицейско и съдебно сътрудничество в тази област. Транснационалният характер на съвременните информационни системи, които функционират отвъд националните граници, предполага, че атаките срещу тези системи имат трансгранично измерение, което показва още веднъж спешната необходимост от осъществяване на допълнителни действия за сближаване на наказателното право в тази област. Освен това координирането на наказателното преследване по дела за атаки срещу информационни системи следва да бъде улеснено с подходящото изпълнение и прилагане на Рамково решение 2009/948/ПВР на Съвета от 30 ноември 2009 г. относно предотвратяване и уреждане на спорове за упражняване на компетентност при наказателни производства (5). В сътрудничество със Съюза държавите членки следва също да се стремят към подобряване на международното сътрудничество, свързано със сигурността на информационните системи, компютърните мрежи и данни. При всяко международно споразумение, включващо обмен на данни, следва надлежно да се разгледа сигурността на прехвърлянето и съхраняването на данните.
(28)
По-доброто сътрудничество между компетентните правоприлагащи и съдебни органи в Съюза е изключително важно за ефективната борба срещу престъпленията в кибернетичното пространство. Във връзка с това следва да се насърчава активизирането на усилията за осигуряване на подходящо обучение за съответните органи, за да се подобри разбирането за киберпрестъпността и нейните последици, и за стимулиране на сътрудничеството и обмена на най-добри практики, например чрез компетентните специализирани агенции и органи на Съюза. Целта на подобно обучение, inter alia, следва да бъде повишаването на осведомеността за различните национални правни системи, евентуалните правни и технически предизвикателства при наказателни разследвания и разпределението на области на компетентност между съответните национални органи.
(29)
В настоящата директива следва да се зачитат правата на човека и основните свободи и да се съблюдават принципите, признати по-специално в Хартата на основните права на Европейския съюз и Европейската конвенция за защита на правата на човека и основните свободи, включително защитата на личните данни, правото на личен живот, свободата на изразяване и на информация, правото на справедлив съдебен процес, презумпцията за невиновност и правото на защита, както и принципите на законност и пропорционалност между престъплението и наказанието. По-специално настоящата директива има за цел да осигури пълното спазване на тези права и принципи и трябва да бъде прилагана в съответствие с това.
(30)
Защитата на личните данни е основно право в съответствие с член 16, параграф 1 от ДФЕС и член 8 от Хартата на основните права на Европейския съюз. Ето защо всяко обработване на лични данни при изпълнението на настоящата директива следва изцяло да зачита съответното законодателство на Съюза относно защитата на данните, прието въз основа на Договорите.
(31)
В съответствие с член 3 от Протокола относно позицията на Обединеното кралство и Ирландия по отношение на пространството на свобода, сигурност и правосъдие, приложен към Договора за Европейския съюз и Договора за функционирането на Европейския съюз, посочените държави членки са уведомили за желанието си да вземат участие в приемането и прилагането на настоящата директива.
(32)
В съответствие с членове 1 и 2 от Протокола относно позицията на Дания, приложен към Договора за Европейския съюз и Договора за функционирането на Европейския съюз, Дания не участва в приемането на настоящата директива и следователно не е обвързана от нея, нито от нейното прилагане.
(33)
Доколкото целите на настоящата директива, а именно да обвърже атаките срещу информационните системи във всички държави членки с ефективни, пропорционални и възпиращи наказания, както и да подобри и насърчи сътрудничеството между съдебните и други компетентни органи, не могат да бъдат постигнати в достатъчна степен от държавите членки и затова поради техния обхват и последици могат да бъдат по-добре постигнати на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящата директива не надхвърля необходимото за постигането на тези цели.
(34)
Настоящата директива има за цел да измени и разшири обхвата на разпоредбите на Рамково решение 2005/222/ПВР на Съвета от 24 февруари 2005 г. относно атаките срещу информационните системи (6). Тъй като измененията, които трябва да се направят, са значителни по брой и естество, за по-голяма яснота Рамково решение 2005/222/ПВР следва да бъде изцяло заменено по отношение на държавите членки, участващи в приемането на настоящата директива,
ПРИЕХА НАСТОЯЩАТА ДИРЕКТИВА:
Член 1
Предмет
Настоящата директива установява минимални правила за определянето на престъпленията и наказанията в областта на атаките срещу информационните системи. Тя има за цел също да способства за предотвратяването на тези престъпления и да подобри сътрудничеството между съдебните и други компетентни органи.
Член 2
Определения
За целите на настоящата директива се прилагат следните определения:
а)
„информационна система“ означава устройство или група от взаимосвързани или сходни устройства, едно или повече от които, съобразно дадена програма, извършват автоматизирана обработка на компютърни данни, както и компютърните данни, съхранявани, обработвани, извличани или предавани от такова устройство или група от устройства с цел оперирането с тези данни и използването, защитата и поддръжката им;
б)
„компютърни данни“ означава представяне на факти, информация или понятия във форма, поддаваща се на обработка в информационни системи, включително и програма, която е в състояние да направи така, че дадена информационна система да изпълни определена функция;
в)
„юридическо лице“ означава всяко образувание, притежаващо статут на юридическо лице съгласно приложимото право, с изключение на държави членки, трети държави или други публични органи при упражняване на държавна власт, както и на публични международни организации;
г)
„неправомерно“ означава поведение, което не е разрешено от собственика или от друг притежатели на права върху системата или част от нея, или не е позволено по силата на националното право.
Член 3
Незаконен достъп до информационни системи
Държавите членки предприемат необходимите мерки, за да гарантират, че когато е извършен умишлено, неправомерният достъп до цялата информационна система или до части от нея е наказуем като престъпление, когато е извършен чрез нарушаване на мярка за сигурност, поне в случаите, които не се считат за маловажни.
Член 4
Незаконна намеса в система
Държавите членки предприемат необходимите мерки, за да гарантират, че сериозното възпрепятстване или спиране на функционирането на информационна система чрез въвеждане на компютърни данни, пренасяне, увреждане, изтриване, влошаване, променяне или скриване на такива данни или спиране на достъпа до компютърни данни, когато е извършено умишлено и неправомерно, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни.
Член 5
Незаконна намеса в данни
Държавите членки предприемат необходимите мерки, за да гарантират, че изтриването, увреждането, влошаването, променянето, скриването на компютърни данни в дадена информационна система или спирането на достъпа до такива данни, когато е извършено умишлено и неправомерно, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни.
Член 6
Незаконно прихващане
Държавите членки предприемат необходимите мерки, за да гарантират, че извършеното с технически средства прихващане на непублични компютърни данни, изпращани до дадена информационна система, от нея или в нейните рамки, включително електромагнитните емисии от информационна система, пренасящи такива компютърни данни, когато е извършено умишлено и неправомерно, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни.
Член 7
Инструменти, използвани за извършване на престъпления
Държавите членки предприемат необходимите мерки, за да гарантират, че умишленото производство, продажба, набавяне за употреба, внос, разпространяване или друга форма на предоставяне на някой от следните инструменти, когато е извършено неправомерно и с намерение да се използва за извършването на което и да било от престъпленията, посочени в членове 3-6, е наказуемо като престъпление, поне в случаите, които не се считат за маловажни:
а)
компютърна програма, проектирана или адаптирана главно с цел извършване на което и да било от престъпленията, посочени в членове 3-6;
б)
компютърна парола, код за достъп или други подобни данни, с чиято помощ може да се получи достъп до цялата информационна система или до част от нея.
Член 8
Подбудителство, помагачество и опит за извършване на престъпление
1. Държавите членки гарантират, че подбудителството или помагачеството за извършване на някое от престъпленията, посочени в членове 3-7, е наказуемо като престъпление.
2. Държавите членки гарантират, че опитът за извършване на престъпление, посочено в членове 4 и 5, е наказуем като престъпление.
Член 9
Наказания
1. Държавите членки предприемат необходимите мерки, за да гарантират, че престъпленията, посочени в членове 3-8, са наказуеми с ефективни, пропорционални и възпиращи наказания.
2. Държавите членки предприемат необходимите мерки, за да гарантират, че престъпленията, посочени в членове 3-7, се наказват с лишаване от свобода с максимален срок не по-малко от две години, поне в случаите, които не се считат за маловажни.
3. Държавите членки предприемат необходимите мерки, за да гарантират, че когато са извършени умишлено и когато значителен брой информационни системи са били засегнати посредством използването на инструмент, посочен в член 7, проектиран или адаптиран главно за тази цел, посочените в членове 4 и 5 престъпления се наказват с лишаване от свобода с максимален срок не по-малко от три години.
4. Държавите членки предприемат необходимите мерки, за да гарантират, че престъпленията, посочени в членове 4 и 5, се наказват с лишаване от свобода с максимален срок не по-малко от пет години, когато:
а)
те са извършени в рамките на престъпна организация съгласно определението в Рамково решение 2008/841/ПВР, независимо от размера на наказанието, предвидено в него; или
б)
те са причинили сериозни вреди; или
в)
те са извършени срещу информационна система, която е част от критична инфраструктура.
5. Държавите членки предприемат необходимите мерки, за да гарантират, че когато престъпленията, посочени в членове 4 и 5, са извършени чрез злоупотреба с лични данни на друго лице, за да се спечели доверието на трето лице, и по този начин са нанесени вреди на законния собственик на самоличността, това може да се разглежда съгласно националното право като квалифициращо обстоятелство, освен ако тези обстоятелства не са вече част от друго престъпление, което е наказуемо съгласно националното право.
Член 10
Отговорност на юридическите лица
1. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическите лица могат да бъдат подведени под отговорност за престъпленията, посочени в членове 3-8, извършени в тяхна полза от лице, което действа самостоятелно или като част от орган на юридическото лице и което заема ръководна длъжност в това юридическо лице, въз основа на едно от следните:
а)
пълномощие да представлява юридическото лице;
б)
правомощие да взема решения от името на юридическото лице;
в)
правомощие да упражнява контрол в рамките на юридическото лице.
2. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическите лица могат да бъдат подведени под отговорност, когато липсата на надзор или контрол от страна на лице, посочено в параграф 1, е направила възможно извършването от негово подчинено лице на някое от престъпленията, посочени в членове 3-8, в полза на това юридическо лице.
3. Отговорността на юридическите лица съгласно параграфи 1 и 2 не изключва образуването на наказателни производства срещу физически лица, които са извършители, подбудители или съучастници в престъпленията, посочени в членове 3-8.
Член 11
Санкции спрямо юридически лица
1. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическо лице, подведено под отговорност съгласно член 10, параграф 1, подлежи на санкции, които са ефективни, пропорционални и възпиращи, включват глоби по наказателното право или друг вид глоби и може да включват други санкции, като например:
а)
лишаване от правото да се ползва от публични облаги или помощи;
б)
временно или постоянно лишаване от правото да упражнява търговска дейност;
в)
поставяне под съдебен надзор;
г)
съдебна ликвидация;
д)
временно или постоянно затваряне на структури, използвани за извършване на престъплението.
2. Държавите членки предприемат необходимите мерки, за да гарантират, че юридическо лице, подведено под отговорност съгласно член 10, параграф 2, подлежи на ефективни, пропорционални и възпиращи санкции или други мерки.
Член 12
Компетентност
1. Държавите членки установяват компетентността си по отношение на престъпленията, посочени в членове 3-8, когато престъплението е извършено:
а)
изцяло или отчасти на тяхната територия; или
б)
от един от техните граждани, поне в случаите, когато деянието се явява престъпление на мястото, където е извършено.
2. При установяването на компетентност в съответствие с параграф 1, буква а) дадената държава членка гарантира, че тя има компетентност, когато:
а)
извършителят извършва престъплението, когато се намира физически на нейната територия, независимо дали престъплението е насочено срещу информационна система, намираща се на нейна територия; или
б)
престъплението е насочено срещу информационна система, намираща се на нейната територия, независимо дали извършителят се намира физически на нейна територия, когато го извършва.
3. Дадена държава членка уведомява Комисията, когато реши да установи компетентност по отношение на престъпления, посочени в членове 3-8, извършени извън нейната територия, включително когато:
а)
извършителят има обичайно местопребиваване на нейната територия; или
б)
престъплението е извършено в полза на юридическо лице, установено на нейната територия.
Член 13
Обмен на информация
1. За целите на обмена на информация, свързана с престъпленията, посочени в членове 3-8, държавите членки осигуряват наличието на оперативно национално звено за контакт и използват съществуващата мрежа от оперативни звена за контакт, които са на разположение 24 часа в денонощието и седем дни в седмицата. Държавите членки гарантират също, че разполагат с процедури, чрез които в случай на спешно искане за съдействие компетентният орган в рамките най-много на 8 часа от получаването посочва поне дали на искането за помощ ще бъде отговорено, както и формата и приблизителното време за отговор.
2. Държавите членки информират Комисията за определеното от тях звено за контакт, посочено в параграф 1. Комисията съобщава тази информация на останалите държави членки и на компетентните специализирани агенции и органи на Съюза.
3. Държавите членки предприемат необходимите мерки, за да гарантират наличието на подходящи канали за докладване с цел да се улесни докладването без необосновано забавяне на компетентните национални органи за престъпления, посочени в членове 3-6.
Член 14
Контрол и статистика
1. Държавите членки гарантират наличието на система за записване, производство и предоставяне на статистически данни за престъпленията, посочени в членове 3-7.
2. Статистическите данни, посочени в параграф 1, като минимум включват съществуващите данни относно броя на посочените в членове 3-7 престъпления, които са регистрирани от държавите членки, както и броя на лицата, срещу които е възбудено наказателно преследване и които са осъдени за престъпления, посочени в членове 3-7.
3. Държавите членки предават на Комисията събраните по настоящия член данни. Комисията прави необходимото консолидираният преглед на тези статистически отчети да бъде публикуван и представен на компетентните специализирани агенции и органи на Съюза.
Член 15
Замяна на Рамково решение 2005/222/ПВР
Рамково решение 2005/222/ПВР се заменя по отношение на държавите членки, които участват в приемането на настоящата директива, без да се засягат задълженията на тези държави членки във връзка със сроковете за транспониране на Рамковото решение в националното право.
По отношение на държавите членки, които участват в приемането на настоящата директива, позоваванията на Рамково решение 2005/222/ПВР се считат за позовавания на настоящата директива.
Член 16
Транспониране
1. Държавите членки въвеждат в сила законовите, подзаконовите и административните разпоредби, необходими, за да се съобразят с настоящата директива, до 4 септември 2015 г.
2. Държавите членки съобщават на Комисията текста на мерките, с които се транспонират в националното им право задълженията, наложени им с настоящата директива.
3. Когато държавите членки приемат тези мерки, в тях се съдържа позоваване на настоящата директива или то се придружава от подобно позоваване при официалното им публикуване. Условията и редът на позоваване се определят от държавите членки.
Член 17
Докладване
До 4 септември 2017 г. Комисията представя на Европейския парламент и на Съвета доклад за оценка на степента, в която държавите членки са предприели необходимите мерки, за да се съобразят с настоящата директива, придружен при необходимост от законодателни предложения. Комисията отчита също техническото и правното развитие в областта на киберпрестъпността, по-специално по отношение на обхвата на настоящата директива.
Член 18
Влизане в сила
Настоящата директива влиза в сила на двадесетия ден след публикуването ѝ в Официален вестник на Европейския съюз.
Член 19
Адресати
Адресати на настоящата директива са държавите членки в съответствие с Договорите.
Съставено в Брюксел на 12 август 2013 година.
DIRETTIVA 2013/40/UE TAL-PARLAMENT EWROPEW U TAL-KUNSILL
tat-12 ta’ Awwissu 2013
dwar attakki kontra s-sistemi tal-informazzjoni u li tissostitwixxi d-Deċiżjoni Qafas tal-Kunsill 2005/222/ĠAI
IL-PARLAMENT EWROPEW U L-KUNSILL TAL-UNJONI EWROPEA,
Wara li kkunsidraw it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, u b’mod partikolari l-Artikolu 83(1) tiegħu,
Wara li kkunsidraw il-proposta mill-Kummissjoni Ewropea,
Wara li l-abbozz tal-att leġislattiv intbagħat lill-parlamenti nazzjonali,
Wara li kkunsidraw l-opinjoni tal-Kumitat Ekonomiku u Soċjali Ewropew (1),
Filwaqt li jaġixxu skont il-proċedura leġislattiva ordinarja (2),
Billi:
(1)
L-għanijiet ta’ din id-Direttiva huma t-tqarrib tal-liġi kriminali tal-Istati Membri fil-qasam tal-attakki kontra s-sistemi tal-informazzjoni, billi jiġu stabbiliti regoli minimi dwar id-definizzjoni ta’ reati kriminali u s-sanzjonijiet rilevanti, u t-titjib fil-kooperazzjoni bejn l-awtoritajiet kompetenti, inklużi l-pulizija u servizzi speċjalizzati oħrajn tal-infurzar tal-liġi tal-Istati Membri, kif ukoll l-aġenziji speċjalizzati kompetenti u korpi tal-Unjoni, bħall-Eurojust, l-Europol u ċ-Ċentru Ewropew kontra ċ-Ċiberkriminalità tiegħu, u l-Aġenzija Ewropea dwar is-Sigurtà tan-Networks u l-Informazzjoni (ENISA).
(2)
Is-sistemi tal-informazzjoni huma element ewlieni tal-interazzjoni politika, soċjali u ekonomika fl-Unjoni. Id-dipendenza tas-soċjetà fuq dawn is-sistemi hija kbira u qiegħda dejjem tiżdied. L-operazzjoni bla xkiel u s-sigurtà ta’ dawk is-sistemi fl-Unjoni huma kruċjali għall-iżvilupp tas-suq intern u ta’ ekonomija kompetittiva u innovattiva. L-iżgurar ta’ livell adegwat ta’ protezzjoni tas-sistemi tal-informazzjoni għandu jifforma parti minn qafas komprensiv effettiv ta’ miżuri ta’ prevenzjoni li jakkumpanjaw ir-risponsi tal-liġi kriminali għaċ-ċiberkriminalità.
(3)
L-attakki kontra s-sistemi tal-informazzjoni, u, partikolarment l-attakki marbutin mal-kriminalità organizzata, jirrappreżentaw minaċċa li qed tikber kemm fl-Unjoni kif ukoll globalment, u qed jiżdied it-tħassib dwar il-potenzjal ta’ attakki terroristiċi jew li huma mmotivati mill-politika kontra s-sistemi tal-informazzjoni li jagħmlu parti mill-infrastruttura kritika tal-Istati Membri u tal-Unjoni. Dan jikkostitwixxi theddida għall-kisba ta’ soċjetà tal-informazzjoni aktar sikura u ta’ qasam tal-libertà, is-sigurtà, u l-ġustizzja, u għalhekk jinħtieġ rispons fil-livell tal-Unjoni u kooperazzjoni u koordinazzjoni mtejbin fil-livell internazzjonali.
(4)
Hemm ċertu numru ta’ infrastrutturi kritiċi fl-Unjoni, li l-interruzzjoni jew id-distruzzjoni tagħhom ikollhom impatt transkonfinali sinifikanti. Sar evidenti, mill-ħtieġa li tiżdied il-kapaċità ta’ protezzjoni tal-infrastruttura kritika fl-Unjoni, li l-miżuri kontra l-attakki ċibernetiċi għandhom jiġu kkomplimentati minn pieni kriminali stretti li jirriflettu l-gravità ta’ tali attakki. L-infrastruttura kritika tista’ tinftiehem bħala assi, sistema jew parti minnha li tkun tinsab fi Stati Membri li tkun essenzjali pereżempju għaż-żamma ta’ funzjonijiet vitali li jappartjenu lis-soċjetà, lis-saħħa, is-sikurezza, il-benesseri ekonomiku jew soċjali ta’ poplu, bħal impjanti tal-enerġija, netwerks tat-trasport jew netwerks tal-gvern u li l-isfrattu jew il-qerda tagħhom iħallu impatt sinifikattiv fi Stat Membru bħala riżultat tan-nuqqas taż-żamma ta’ dawk il-funzjonijiet.
(5)
Hemm evidenza ta’ tendenza għal attakki fuq skala kbira li qed isiru aktar perikolużi u rikorrenti kontra s-sistemi tal-informazzjoni li spiss jistgħu jkunu kritiċi għall-Istati Membri jew għall-funzjonijiet partikolari fis-settur pubbliku jew privat. Din it-tendenza hi akkumpanjata bl-iżvilupp ta’ metodi dejjem aktar sofistikati, bħall-ħolqien u l-użu tal-hekk imsejħa “botnets”, li jinvolvi diversi stadji tal-att kriminali, fejn kull stadju waħdu jista’ jippreżenta riskju serju għall-interess pubbliku. Din id-Direttiva għandha l-għan, inter alia, li tintroduċi pieni kriminali għall-istadju meta jinħoloq il-“botnet”, jiġifieri l-att li jistabbilixxi kontroll mill-bogħod fuq għadd sostanzjali ta’ kompjuters billi jiġu infettati b’software malizzjuż permezz ta’ attakk ċibernetiku mmirat. Fi stadju aktar tard, il-kompjuters infettati li jikkostitwixxu l-“botnet” jistgħu, mingħajr ma jindunaw l-utenti tal-kompjuters, jiġu attivati biex jagħmlu attakk ċibernetiku fuq skala kbira, li normalment ikollhom il-kapaċità jikkawżaw dannu serju, kif hemm imsemmi f’din id-Direttiva. L-Istati Membri għandhom ikunu jistgħu jiddeterminaw x’jikkostitwixxi dannu serju f’konformità mal-liġi u l-prattika nazzjonali tagħhom, bħal interruzzjonijiet f’sistemi ta’ servizzi ta’ importanza pubblika sostanzjali, jew xi spiża finanzjarja kbira jew telf ta’ data personal jew informazzjoni sensittiva.
(6)
L-attakki ċibernetiċi fuq skala kbira jistgħu jikkawżaw ħsara ekonomika sostanzjali kemm permezz ta’ interruzzjoni ta’ sistemi tal-informazzjoni u tal-komunikazzjoni kif ukoll permezz ta’ telf jew alterazzjoni ta’ informazzjoni kunfidenzjali importanti għall-kummerċ jew data oħra. Għandha tingħata attenzjoni partikolari biex jiżdied l-għarfien ta’ intrapriżi żgħar u medji innovattivi dwar theddid minn attakki bħal dawn u vulnerabbilta’tagħhom għall-attakki bħal dawn,, minħabba d-dipendenza akbar tagħhom mill-funzjonament korrett u d-disponibbiltà tas-sistemi tal-informazzjoni u spiss mir-riżorsi limitati għas-sigurtà tal-informazzjoni.
(7)
Id-definizzjonijiet komuni f’dan il-qasam huma importanti sabiex jiġi żgurat approċċ konsistenti fl-Istati Membri għall-applikazzjoni ta’ din id-Direttiva.
(8)
Tinħass il-ħtieġa li jinkiseb approċċ komuni għall-elementi kostitwenti ta’ reati kriminali billi jiġu introdotti r-reati komuni ta’ aċċess illegali f’sistema tal-informazzjoni, l-interferenza illegali fis-sistema, l-interferenza illegali fid-data, u l-interċettazzjoni illegali.
(9)
L-interċettazzjoni tinkludi, iżda mhijiex neċessarjament limitata għas-smigħ, il-monitoraġġ jew is-sorveljanza tal-kontenut ta’ komunikazzjonijiet u l-akkwist tal-kontenut ta’ data jew direttament, permezz tal-aċċess għal u l-użu ta’ sistema ta’ informazzjoni, jew indirettament permezz tal-użu ta’ tagħmir elettroniku ta’ smigħ bil-moħbi jew ta’ tapping b’mezzi tekniċi.
(10)
L-Istati Membri għandhom jistabbilixxu pieni fir-rigward tal-attakki kontra s-sistemi tal-informazzjoni. Dawk il-pieni għandhom ikunu effettivi, proporzjonati u dissważivi u għandhom jinkludu sentenzi ta’ priġunerija u/jew multi.
(11)
Id-Direttiva tipprevedi pieni kriminali għall-inqas f’każijiet li mhumiex minuri. L-Istati Membri għandhom ikunu jistgħu jiddeterminaw x’jikkostitwixxi każ minuri skont id-dritt u l-prattika nazzjonali tagħhom. Każ jista’ jitqies minuri, pereżempju, meta l-ħsara kkawżata mir-reat u/jew ir-riskju li jinvolvi għall-interessi pubbliċi jew privati, bħall-integrità ta’ sistema tal-kompjuter jew ta’ data tal-kompjuter, jew l-integrità, id-drittijiet jew l-interessi l-oħrajn ta’ persuna, ikun insinifikanti jew ikun ta’ tali natura, li l-impożizzjoni ta’ piena kriminali fl-ambitu tal-limitu speċifiku legali jew l-impożizzjoni ta’ responsabbiltà kriminali mhux meħtieġa.
(12)
L-identifikazzjoni u r-rappurtar ta’ theddid u riskji ppreżentati minn attakki ċibernetiċi u l-vulnerabbiltà relatata tas-sistemi ta’ informazzjoni huma element pertinenti ta’ prevenzjoni effettiva ta’, u reazzjoni għal, attakki ċibernetiċi u tat-titjib tas-sistemi ta’ sigurtà tal-informazzjoni. Għal dak l-għan jista’ jiżdied l-għoti ta’ inċentivi għar-rappurtar ta’ distakki fis-sigurtà. L-Istati Membri għandhom jistinkaw biex jipprovdu possibbiltajiet sabiex il-lakuni fis-sigurtà jiġu skoperti u rappurtati legalment.
(13)
Huwa xieraq li jkunu previsti pieni aktar severi fejn attakk kontra sistema tal-informazzjoni jsir minn organizzazzjoni kriminali, kif iddefinita fid-Deċiżjoni Kwadru tal-Kunsill 2008/841/ĠAI tal-24 ta’ Ottubru 2008 dwar il-ġlieda kontra l-kriminalità organizzata (3) jew meta l-attakk isir fuq skala kbira, u b’hekk jaffettwa għadd sostanzjali ta’ sistemi tal-informazzjoni, inkluż meta l-attakk isir bl-intenzjoni li jinħoloq “botnet”, jew fejn attakk ċibernetiku jikkawża dannu serju inkluż fejn dan isir permezz ta’ “botnet”. Huwa wkoll xieraq li jkunu previsti pieni aktar severi meta jsir attakk kontra infrastruttura kritika tal-Istati Membri jew tal-Unjoni.
(14)
L-istabbiliment ta’ miżuri effettivi kontra s-serq tal-identità u reati oħrajn relatati mal-identità jikkostitwixxi element importanti ieħor ta’ approċċ integrat kontra ċ-ċiberkriminalità. Kwalunkwe ħtieġa għal azzjoni tal-Unjoni dwar dan it-tip ta’ mġiba kriminali tista’ titqies ukoll fil-kuntest tal-evalwar tal-ħtieġa għal strument tal-Unjoni orizzontali u komprensiv.
(15)
Il-Konklużjonijiet tal-Kunsill tas-27 sat-28 ta’ Novembru 2008 indikaw li għandha tiġi żviluppata strateġija ġdida flimkien mal-Istati Membri u l-Kummissjoni, waqt li jiġi kkunsidrat il-kontenut tal-Konvenzjoni tal-Kunsill tal-Ewropa dwar iċ-Ċiberkriminalità tal-2001. Dik il-Konvenzjoni hija l-qafas legali ta’ referenza għall-ġlieda kontra ċ-ċiberkriminalità, inklużi l-attakki kontra s-sistemi tal-informazzjoni. Din id-Direttiva hija msejsa fuq dik il-Konvenzjoni. Għalhekk l-ikkompletar tal-proċess ta’ ratifika tal-Konvenzjoni mill-Istati Membri malajr kemm jista’ jkun għandu jitqies bħala prijorità.
(16)
Minħabba l-modi differenti kif jistgħu jsiru l-attakki, u minħabba l-iżviluppi mgħaġġla fil-qasam tal-hardware u s-software, din id-Direttiva tirriferi għal ‘għodod’ li jistgħu jintużaw biex isiru r-reati stabbiliti f’din id-Direttiva. Dawn l-għodod jirriferu għal, pereżempju, software malizzjuż, li jinkludi dak li kapaċi joħloq botnets, użat biex isiru attakki ċibernetiċi. Anke fejn tali għodda tkun adatta jew partikolarment adatta biex isir wieħed mir-reati stabbiliti f’din id-Direttiva, huwa possibbli li kien ġie prodott għal skop leġittimu. Minħabba l-ħtieġa li tkun evitata l-kriminalizzazzjoni fejn dawn l-għodod jiġu prodotti u jitqiegħdu fis-suq għal finijiet leġittimi, bħall-ittestjar tal-affidabbiltà tal-prodotti tat-teknoloġija tal-informazzjoni jew is-sigurtà ta’ sistemi ta’ informazzjoni, barra mir-rekwiżit tal-intenzjoni ġenerali, għandu jkun wkoll sodisfatt rekwiżit tal-intenzjoni diretta li dawk l-għodod jintużaw biex isir wieħed jew iżjed mir-reati stabbiliti f’din id-Direttiva.
(17)
Din id-Direttiva mhijiex maħsuba biex timponi reponsabbiltà kriminali fejn ikunu sodisfatti l-kriterji oġġettivi tar-reati stabbiliti f’din id-Direttiva iżda l-atti jitwettqu mingħajr intenzjoni kriminali, pereżempju meta persuna ma tkunx taf li l-aċċess ma kienx awtorizzat jew fil-każ tal-ittestjar jew il-protezzjoni obbligatorja ta’ sistema tal-informazzjoni, pereżempju fejn persuna tiġi assenjata minn kumpannija jew bejjiegħ biex tittestja l-qawwa tas-sistema ta’ sigurtà tagħha. Fil-kuntest ta’ din id-Direttiva, l-obbligi jew il-ftehimiet kuntrattwali biex jirrestrinġu l-aċċess għal sistemi tal-informazzjoni permezz tal-politika dwar l-utenti jew it-termini tas-servizz, kif ukoll tilwim industrijali fir-rigward tal-aċċess għal u l-użu ta’ sistemi tal-informazzjoni ta’ min iħaddem għal finijiet privati, m’għandhomx jinvolvu r-responsabbiltà kriminali, fejn l-aċċess taħt dawn iċ-ċirkostanzi jitqies mhux awtorizzat u għalhekk jikkostitwixxi l-bażi unika għal proċedimenti kriminali. Din id-Direttiva hija mingħajr preġudizzju għad-dritt legalment garantit ta’ aċċess għall-informazzjoni kif stabbilit fil-liġi nazzjonali u tal-Unjoni, waqt li fl-istess ħin hija ma tistax isservi bħala ġustifikazzjoni għall-aċċess illegali jew arbitrarju għall-informazzjoni.
(18)
L-attakki ċibernetiċi jistgħu jiġu ffaċilitati permezz ta’ diversi ċirkostanzi, bħal meta l-awtur tar-reat jkollu aċċess għas-sistemi ta’ sigurtà inerenti fis-sistemi tal-informazzjoni affettwati fl-ambitu tal-impjieg tiegħu. Fil-kuntest tal-liġi nazzjonali, tali ċirkostanzi għandhom jitqiesu kif xieraq fil-kors ta’ proċedimenti kriminali.
(19)
L-Istati Membri għandhom jipprevedu ċirkostanzi aggravanti fil-liġi nazzjonali tagħhom f’konformità mar-regoli applikabbli stabbiliti mis-sistemi legali tagħhom dwar ċirkostanzi aggravanti. Huma għandhom jiżguraw li dawk iċ-ċirkostanzi aggravanti jkunu disponibbli biex l-imħallfin jikkunsidrawhom meta jkunu qed jissentenzjaw lit-trasgressuri. Jibqa’ fid-diskrezzjoni tal-imħallef li jivvaluta dawn iċ-ċirkostanzi flimkien mal-elementi fattwali l-oħrajn tal-każ partikolari.
(20)
Din id-Direttiva ma tirregolax il-kondizzjonijiet li taħthom hija eżerċitabbli l-ġurisdizzjoni fuq kwalunkwe wieħed mir-reati msemmija fiha, bħal rapport mill-vittma fil-post fejn sar ir-reat, jew denunzja mill-Istat tal-post fejn sar ir-reat, jew il-fatt li l-awtur tar-reat ma ġiex imħarrek fil-post fejn sar ir-reat.
(21)
Fil-kuntest ta’ din id-Direttiva, l-Istati u l-korpi pubbliċi jibqgħu marbutin għalkollox biex jiggarantixxu r-rispett għad-drittijiet tal-bniedem u d-drittijiet fundamentali, skont l-obbligi internazzjonali eżistenti.
(22)
Din id-Direttiva ssaħħaħ l-importanza tan-netwerks, bħan-netwerk tal-punti ta’ kuntatt tal-G8 jew tal-Kunsill tal-Ewropa disponibbli fuq bażi ta’ 24 siegħa kuljum, sebat ijiem fil-ġimgħa. Dawk il-punti ta’ kuntatt għandhom ikunu jistgħu jipprovdu assistenza effettiva, b’hekk jiffaċilitaw pereżempju l-iskambju ta’ informazzjoni rilevanti disponibbli jew l-għoti ta’ parir tekniku jew informazzjoni legali għall-fini tal-investigazzjonijiet jew tal-proċedimenti li jikkonċernaw ir-reati kriminali relatati mas-sistemi tal-informazzjoni u d-data assoċjata li jinvolvu l-Istat Membru rikjedenti. Sabiex tkun żgurata l-operazzjoni bla xkiel tan-netwerks, kull punt ta’ kuntatt għandu jkollu l-kapaċità li jkollu komunikazzjonijiet mal-punt ta’ kuntatt ta’ Stat Membru ieħor b’mod rapidu appoġġat, inter alia, minn persunal imħarreġ u attrezzat. Fid-dawl tal-veloċità li biha jistgħu jsiru l-attakki ċibernetiċi fuq skala kbira, l-Istati Membri għandhom ikunu kapaċi jirreaġixxu minnufih għat-talbiet urġenti minn din in-netwerk ta’ punti ta’ kuntatt. F’każijiet bħal dawn, jista’ jkun konvenjenti li t-talba għal informazzjoni tkun akkumpanjata minn numru tat-telefon, sabiex ikun żgurat li t-talba tiġi pproċessata malajr mill-Istat Membru rikjest u li l-feedback jingħata fi tmien sigħat.
(23)
Il-kooperazzjoni bejn l-awtoritajiet pubbliċi, fuq naħa, u s-settur privat u s-soċjetà ċivili, fuq in-naħa l-oħra, hija ta’ importanza kbira ħafna għall-prevenzjoni u l-ġlieda kontra attakki kontra s-sistemi tal-informazzjoni. Jeħtieġ li titrawwem u tittejjeb il-kooperazzjoni bejn il-fornituri tas-servizzi, il-produtturi, il-korpi tal-infurzar tal-liġi u l-awtoritajiet ġudizzjarji, filwaqt li jiġi rrispettat bis-sħiħ l-istat tad-dritt. Tali kooperazzjoni tista’ tinkludi appoġġ mill-fornituri tas-servizzi fl-għajnuna għall-preservazzjoni ta’ evidenza potenzjali, biex jiġu pprovduti elementi biex jgħinu fl-identifikazzjoni tal-atturi tar-reati u, bħala l-aħħar rimedju, l-għeluq, kompletament jew parzjalment, skont il-liġi nazzjonali, inkluża l-liġi u l-prattika nazzjonali, tas-sistemi tal-informazzjoni jew funzjonijiet li ġew kompromessi jew użati għal finijiet illegali. L-Istati Membri għandhom iqisu wkoll l-istabbiliment ta’ netwerks ta’ kooperazzjoni u ta’ sħubija ma’ fornituri ta’ servizzi u produtturi għall-iskambju ta’ informazzjoni fir-rigward tar-reati fil-kamp ta’ applikazzjoni ta’ din id-Direttiva.
(24)
Hemm il-ħtieġa li tinġabar data komparabbli dwar ir-reati msemmijin f’din id-Direttiva. Id-data rilevanti għandha ssir disponibbli għall-aġenti speċjalizzati kompetenti tal-Unjoni u korpi, bħall-Europol u l-ENISA, f’konformità mal-kompiti u l-ħtiġijiet tal-informazzjoni tagħhom, sabiex tinkiseb stampa aktar kompluta tal-problema taċ-ċiberkriminalità u tas-sigurtà tan-netwerks u tal-informazzjoni fil-livell tal-Unjoni u b’hekk tikkontribwixxi għall-formulazzjoni ta’ reazzjonijiet aktar effettivi. L-Istati Membri għandhom jibagħtu informazzjoni dwar il-modus operandi tal-awturi tar-reat lill-Europol u ċ-Ċentru Ewropew kontra ċ-Ċiberkriminalità tiegħu għall-finijiet ta’ stimi tat-theddid u analiżi strateġiċi taċ-ċiberkriminalità b’konformità ma d-Deċiżjoni tal-Kunsill 2009/371/ĠAI tas-6 ta’ April 2009 li jistabbilixxi l-Uffiċċju Ewropew tal-Pulizija (Europol) (4). L-għoti ta’ informazzjoni jista’ jiffaċilita fehim aħjar tat-theddid preżent u futur u b’hekk jikkontribwixxi għal teħid tad-deċiżjonijiet aktar adatt u mmirat biex jiġu miġġielda u evitati l-attakki kontra s-sistemi tal-informazzjoni.
(25)
Il-Kummissjoni għandha tippreżenta rapport dwar l-applikazzjoni ta’ din id-Direttiva u biex issir kwalunkwe proposta leġislattiva meħtieġa li tista’ twassal għat-twessigħ tal-kamp ta’ applikazzjoni ta’ din id-Direttiva b’kont meħud tal-iżviluppi fil-qasam taċ-ċiberkriminalità. Dawn l-iżviluppi jistgħu jinkludu kwalunkwe żvilupp teknoloġiku pereżempju dawk li jippermetti infurzar aktar effettiv fil-qasam tal-attakki kontra sistemi tal-informazzjoni jew li jiffaċilita l-prevenzjoni jew il-mitigazzjoni ta’ tali attakki. Għal dak il-għan l-Kummissjoni għandha tieħu kont tal-analiżi u r-rapporti disponibbli prodotti mill-atturi rilevanti u, b’mod partikolari, l-Europol u l-ENISA.
(26)
Sabiex iċ-ċiberkriminalità tiġi miġġielda b’mod effettiv, jeħtieġ li s-sistemi tal-informazzjoni jsiru iktar b’saħħithom, billi jittieħdu l-miżuri adatti biex jiġu protetti b’mod aktar effettiv mill-attakki Ċibernetiċi. L-Istati Membri għandhom jieħdu miżuri meħtieġa biex jipproteġu l-infrastrutturi kritiċi mill-attakki ċibernetiċi, li bħala parti minnhom għandhom iqisu l-protezzjoni tas-sistemi tal-informazzjoni tagħhom u d-data assoċjata. L-iżgurar ta’ livell adegwat ta’ protezzjoni u sigurtà tas-sistemi tal-informazzjoni minn persuni ġuridiċi, pereżempju b’rabta mal-forniment ta’ servizzi ta’ komunikazzjoni elettronika pubblikament disponibbli f’konformità mal-leġislazzjoni tal-Unjoni eżistenti dwar il-privatezza u l-komunikazzjoni elettronika u l-protezzjoni tad-data, jifforma parti essenzjali minn approċċ komprensiv biex iċ-ċiberkriminalità tiġi miġġielda b’mod effettiv. Għandhom jiġu provvduti livelli adatti ta’ protezzjoni mit-theddid u l-vulnerabbiltajiet li jistgħu jiġu identifikati b’mod raġonevoli f’konformità mal-ogħla żvilupp tekniku għas-setturi speċifiċi u s-sitwazzjonijiet speċifiċi tal-ipproċessar tad-data. L-ispejjeż u l-piżijiet ta’ tali protezzjoni għandhom ikunu proporzjonali għad-dannu li attakk ċibernetiku x’aktarx jikkawża lil dawk affettwati. L-Istati Membri huma inkoraġġuti jipprevedu miżuri rilevanti li jattribwixxu responsabbiltajiet fil-kuntest tal-liġi nazzjonali tagħhom f’każijiet fejn ikun ċar li persuna ġuridika ma tkunx pprovdiet livell adatt ta’ protezzjoni mill-attaki ċibernetiċi.
(27)
Xi lakuni u differenzi sinifikanti fil-liġijiet tal-Istati Membri u l-proċeduri kriminali fil-qasam tal-attakki kontra s-sistemi tal-informazzjoni jistgħu jkunu ta’ tfixkil fil-ġlieda kontra l-kriminalità organizzata u t-terroriżmu, u jistgħu jikkumplikaw il-kooperazzjoni effettiva tal-pulizija u dik ġudizzjarja f’dan il-qasam. In-natura transnazzjonali u ta’ mingħajr fruntieri tas-sistemi moderni tal-informazzjoni timplika li l-attakki kontra dawn is-sistemi għandhom dimensjoni transkonfinali, u għalhekk tenfasizza l-ħtieġa urġenti għal aktar azzjoni biex issir l-approssimazzjoni tal-liġijiet kriminali f’dan il-qasam. Barra minn dan, il-koordinazzjoni tal-prosekuzzjoni ta’ każijiet ta’ attakki kontra s-sistemi tal-informazzjoni għandhom jiġu ffaċilitati bl-implimentazzjoni u l-applikazzjoni adegwati tad-Deċiżjoni Qafas tal-Kunsill 2009/948/ĠAI tat-30 ta’ Novembru 2009 dwar il-prevenzjoni u r-riżoluzzjoni ta’ kunflitt ta’ ġurisidizzjoni fi proċedimenti kriminali (5). L-Istati Membri f’kooperazzjoni mal-Unjoni Ewropea għandhom jipprovaw ukoll itejbu l-kooperazzjoni internazzjonali relatata mas-sigurtà tas-sistemi tal-informazzjoni, in-netwerks tal-kompjuter u d-data tal-kompjuter. Għandha tingħata l-konsiderazzjoni dovuta lis-sigurtà tat-trasferiment u l-ħżin tad-data fi kwalunkwe ftehim internazzjonali li jinvolvi l-iskambju tad-data.
(28)
Il-kooperazzjoni mtejba bejn il-korpi kompetenti tal-infurzar tal-liġi u l-awtoritajiet ġudizzjarji madwar l-Unjoni hija essenzjali sabiex iċ-ċiberkriminalità tiġi miġġielda b’mod effettiv. F’dan il-kuntest għandu jiġi inkoraġġut l-intensifikar tal-isforzi biex jiġi pprovdut taħriġ adegwat lill-awtoritajiet rilevanti sabiex jiżdied il-ftehim taċ-ċiberkriminalità u l-impatt tagħha, u biex jitrawmu l-kooperazzjoni u l-iskambju tal-aħjar prattika, pereżempju permezz tal-aġenziji u korpi tal-Unjoni speċjalizzati kompetenti. Tali taħriġ għandu fost l-oħrajn ikollu l-għan li jżid l-għarfien dwar is-sistemi legali nazzjonali differenti, l-isfidi legali u tekniċi possibbli ta’ investigazzjonijiet kriminali, u d-distribuzzjoni tal-kompetenzi bejn l-awtoritajiet nazzjonali rilevanti.
(29)
Din id-Direttiva tipprevedi r-rispett tad-drittijiet tal-bniedem u l-libertajiet fundamentali u tosserva l-prinċipji rrikonoxxuti b’mod partikolari mill-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea u l-Konvenzjoni Ewropea għall-Protezzjoni tad-Drittijiet tal-Bniedem u l-Libertajiet Fundamentali, inkluża l-protezzjoni tad-data personali, id-dritt għall-privatezza, il-libertà tal-espressjoni u l-informazzjoni, id-dritt għal proċess imparzjali, il-preżunzjoni tal-innoċenza u d-dritt tad-difiża, kif ukoll il-prinċipji ta’ legalità u proporzjonalità ta’ reati kriminali u ta’ pieni. B’mod partikolari, din id-Direttiva għandha l-għan li tiggarantixxi rispett sħiħ għal dawn id-drittijiet u l-prinċipji u għandha tiġi implimentata kif meħtieġ.
(30)
Il-protezzjoni tad-data personali hija dritt fundamentali taħt l-Artikolu 16(1) tat-TFUE u l-Artikolu 8 tal-Karta dwar id-Drittijiet Fundamentali. Għalhekk, kwalunkwe proċessar ta’ data personali fil-kuntest tal-implimentazzjoni ta’ din id-Direttiva għandu jikkonforma bis-sħiħ mal-leġislazzjoni tal-Unjoni rilevanti dwar il-protezzjoni tad-data
(31)
F’konformità mal-Artikolu 3 tal-Protokoll dwar il-pożizzjoni tar-Renju Unit u l-Irlanda fir-rigward tal-Ispazju ta’ Libertà, Sigurtà u Ġustizzja, anness mat-Trattat dwar l-Unjoni Ewropea u mat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, dawk l-Istati Membri nnotifikaw ix-xewqa tagħhom li jieħdu sehem fl-adozzjoni u fl-applikazzjoni ta’ din id-Direttiva.
(32)
F’konformità mal-Artikoli 1 u 2 tal-Protokoll dwar il-pożizzjoni tad-Danimarka, anness mat-Trattat dwar l-Unjoni Ewropea u mat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, id-Danimarka mhijiex qed tieħu sehem fl-adozzjoni ta’ din id-Direttiva u mhijiex marbuta biha jew soġġetta għall-applikazzjoni tagħha.
(33)
Ladarba l-għanijiet tad-Direttiva, b’ mod partikolari fir-rigward tal-attakki kontra s-sistemi tal-informazzjoni jiġu imposti fl-Istati Membri kollha pieni kriminali effettivi, proporzjonati u dissważivi u li tittejjeb u tiġi promossal-kooperazzjoni bejn awtoritajiet ġudizzjarji u awtoritajiet oħra kompetenti, ma jistgħux jinkisbu b’mod suffiċjenti mill-Istati Membri, u għalhekk, minħabba l-iskala jew l-effetti tagħhom, jistgħu jinkisbu aħjar fil-livell tal-Unjoni, l-Unjoni tista’ tadotta miżuri f’konformità mal-prinċipju tas-sussidjarjetà kif stabbilit fl-Artikolu 5 tat-Trattat tal-Unjoni Ewropea. F’konformità mal-prinċipju tal-proporzjonalità kif stabbilit f’dak l-Artikolu, din id-Direttiva ma tmurx lil hinn minn dak li huwa meħtieġ sabiex jinkisbu dawk l-għanijiet.
(34)
Din id-Direttiva għandha l-għan li temenda u tespandi d-dispożizzjonijiet tad-Deċiżjoni Qafas tal-Kunsill 2005/222/ĠAI tal-24 ta’ Frar 2005 dwar attakki kontra s-sistemi tal-informazzjoni (6). Billi l-emendi li jridu jsiru huma ta’ għadd u natura sostanzjali, id-Deċiżjoni Qafas 2005/222/ĠAI għandha, fl-interessi taċ-ċarezza, tiġi sostitwita fl-intier tagħha fir-rigward tal-Istati Membri li jipparteċipaw fl-adozzjoni ta’ din id-Direttiva,
ADOTTAW DIN ID-DIRETTIVA:
Artikolu 1
Suġġett
Din id-Direttiva tistabbilixxi r-regoli minimi fir-rigward tad-definizzjoni ta’ reati kriminali u sanzjonijiet fil-qasam tal-attakki kontra s-sistemi tal-informazzjoni. Għandha wkoll l-għan li tiffaċilita l-prevenzjoni ta’ reati bħal dawn u li ttejjeb il-kooperazzjoni bejn l-awtoritajiet ġudizzjarji u awtoritajiet kompetenti oħra.
Artikolu 2
Definizzjonijiet
Għall-finijiet ta’ din id-Direttiva, għandhom japplikaw id-definizzjonijiet li ġejjin:
(a)
“sistema tal-informazzjoni” tfisser tagħmir jew grupp ta’ tagħmir interkonness jew relatat, li minnhom, wieħed jew aktar, skont programm, jipproċessaw awtomatikament data tal-kompjuter, kif ukoll data tal-kompjuter maħżuna, ipproċessata, irkuprata jew trasmessa b’dak it-tagħmir jew grupp ta’ tagħmir għall-finijiet tal-operazzjoni, użu, protezzjoni u manutenzjoni tiegħu jew tagħhom;
(b)
“data tal-kompjuter” tfisser ir-rappreżentazzjoni ta’ fatti, informazzjoni jew kunċetti f’forma adatta għall-ipproċessar f’sistema tal-informazzjoni, inkluż programm adatt biex iġiegħel sistema tal-informazzjoni twettaq funzjoni;
(c)
“persuna ġuridika” tfisser entità li jkollha l-istatus ta’ persuna ġuridika taħt il-liġi applikabbli, iżda ma tinkludix Stati jew korpi pubbliċi li jaġixxu fl-eżerċizzju ta’ awtorità Statali, jew organizzazzjonijiet internazzjonali pubbliċi;
(d)
“mingħajr dritt” tfisser aġir imsemmi f’din id-Direttiva, li jinkludi aċċess, interferenza jew interċettazzjoni, li ma jkunux awtorizzati mis-sid jew minn detentur ieħor tad-dritt tas-sistema jew ta’ parti minnha, jew li ma jkunux permessi taħt il-liġi nazzjonali.
Artikolu 3
Aċċess illegali għal sistemi ta’ informazzjoni
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiġi żgurat li, meta jsir intenzjonalment, l-aċċess mingħajr dritt għat-totalità jew għal kwalunkwe parti minn sistema tal-informazzjoni ikun punibbli bħala reat kriminali fejn isir permezz tal-ksur ta’ miżura tas-sigurtà, għall-inqas għal każijiet li mhumiex minuri.
Artikolu 4
Interferenza illegali f’sistema
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li t-tfixkil serju jew l-interruzzjoni tal-funzjonament ta’ sistema tal-informazzjoni bl-inseriment ta’ data tal-kompjuter, bit-trasmissjoni, ħsara, tħassir, deterjorament, alterazzjoni jew soppressjoni ta’ tali data, jew billi wieħed jirrendi tali data inaċċessibbli, intenzjonalment u mingħajr dritt, ikunu punibbli bħala reati kriminali, għall-inqas għal każijiet li mhumiex minuri.
Artikolu 5
Interferenza illegali fid-data
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li t-tħassir, il-ħsara, id-deterjorazzjoni,l-alterazzjoni, is-soppressjoni ta’ data tal-kompjuter fuq sistema tal-informazzjoni,jew ir-rendiment ta’tali data inaċċessibbli, intenzjonalment u mingħajr dritt, ikunu punibbli bħala reati kriminali meta jsiru, mill-anqas fejn il-każ mhuwiex minuri.
Artikolu 6
Interċettazzjoni illegali
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li l-interċettazzjoni, b’mezzi tekniċi, ta’ trasmissjonijiet mhux pubbliċi ta’ data tal-kompjuter għal, minn jew fis-sistema tal-informazzjoni, li jinkludu emissjonijiet elettromanjetiċi minn sistema tal-informazzjoni li ġġorr tali data tal-kompjuter, intenzjonalment u mingħajr dritt, hija punibbli bħala reat kriminali, għall-inqas għal każijiet li mhumiex minuri.
Artikolu 7
Għodod użati biex isiru reati
L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li l-produzzjoni intenzjonali, bejgħ, akkwist għall-użu, importazzjoni, distribuzzjoni jew li b’xi mod ieħor wieħed jagħmel disponibbli, ta’ waħda mill-għodod li ġejjin, mingħajr dritt u bl-intenzjoni li tintuża biex isir kwalunkwe reat imsemmi fl-Artikoli 3 sa 6, huma punibbli bħala reati kriminali, għall-inqas għal każijiet li mhumiex minuri:
(a)
programm tal-kompjuter, imfassal jew adattat primarjament għall-iskop li jsir kwalunkwe reat msemmi fl-Artikoli 3 sa 6;
(b)
password tal-kompjuter, kodiċi għall-aċċess, jew data simili li biha wieħed ikun jista’ jaċċedi għal sistema tal-informazzjoni jew għal kwalunkwe parti minnha.
Artikolu 8
L-inċitament, l-għajnuna u assistenza u t-tentattiv
1. L-Istati Membri għandhom jiżguraw li l-inċitament, l-għajnuna u l-assistenza biex isir reat imsemmi fl-Artikoli 3 sa 7 jkunu punibbli bħala reat kriminali.
2. L-Istati Membri għandhom jiżguraw li t-tentattiv biex isir reat imsemmi fl-Artikoli 4 u 5 jkun punibbli bħala reat kriminali.
Artikolu 9
Pieni
1. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li r-reati msemmija fl-Artikoli 3 sa 8 jkunu punibbli b’pieni kriminali effettivi, proporzjonati u dissważivi.
2. L-Istati Membri għandhom jieħdu l-passi meħtieġa biex jiżguraw li r-reati msemmijin fl-Artikoli 3 sa 7 jkunu punibbli b’ terminu ta’ priġuneria massimu ta’ mill-inqas sentejn, għall-inqas għal każijiet li mhumiex minuri.
3. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li r-reati msemmija fl-Artikoli 4 u 5, meta mwettqa intenzjonalment, ikunu punibbli b’terminu ta’ priġuneria massimu ta’ mill-inqas tliet snin fejn ikunu ġew affettwati għadd sostanzjali ta’ sistemi tal-informazzjoni permezz tal-użu ta’ għodda, imsemmija fl-Artikolu 7, imfassla jew adattata primarjament għal dak l-iskop..
4. L-Istati Membri għandhom jieħdu l-passi meħtieġa biex jiżguraw li r-reati msemmijin fl-Artikoli 4 sa 5 jkunu punibbli b’ terminu ta’ priġuneria massimu ta’ mill-inqas ħames snin fejn:
(a)
isiru fil-qafas ta’ organizzazzjoni kriminali, kif definita fid-Deċiżjoni Qafas 2008/841/ĠAI, irrispettivament tal-livell ta’ pieni prevista, jew
(b)
jikkawżaw dannu serju, jew
(c)
isiru kontra sistema ta’ informazzjoni li tifforma parti minn infrastruttura kritika.
5. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li meta r-reati msemmijin fl-Artikoli 4 u 5 jsiru bl-użu skorrett tad-data personali ta’ persuna oħra, bl-għan li tinkiseb il-fiduċja ta’ parti terza, u b’hekk jiġi kkaġunat dannu għall-identità tas-sid leġittimu, dan jista’, skont id-dispożizzjonijiet rilevanti tal-liġi nazzjonali, jitqies bħala ċirkostanzi aggravanti, sakemm dawk iċ-ċirkostanzi ma jkunux diġà koperti minn reat ieħor, punibbli taħt il-liġi nazzjonali.
Artikolu 10
Responsabbiltà tal-persuni ġuridiċi
1. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li l-persuni ġuridiċi jistgħu jinżammu responsabbli għar-reati msemmija fl-Artikoli 3 sa 8, li jkunu saru għall-benefiċċju tagħhom minn kwalunkwe persuna, li taġixxi jew waħedha jew bħala parti mill-korp tal-persuna ġuridika, li għandha pożizzjoni ta’ tmexxija fi ħdan il-persuna ġuridika, fuq il-bażi ta’ waħda minn dawn li ġejjin:
(a)
is-setgħa ta’ rappreżentanza tal-persuna ġuridika;
(b)
awtorità li tieħu deċiżjonijiet f’isem il-persuna ġuridika;
(c)
awtorità li teżerċita kontroll fi ħdan il-persuna ġuridika.
2. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li persuni ġuridiċi jistgħu jinstabu responsabbli fejn in-nuqqas ta’ sorveljanza jew kontroll minn xi persuna msemmija fil-paragrafu 1 tkun ippermettiet, minn persuna taħt l-awtorità tagħha, xi wieħed mir-reati msemmija fl-Artikoli 3 sa 8 għall-benefiċċju ta’ dik il-persuna ġuridika.
3. Ir-responsabbiltà tal-persuni ġuridiċi taħt il-paragrafi 1 u 2 m’għandhiex teskludi l-proċedimenti kriminali kontra l-persuni fiżiċi li jagħmlu, jinċitaw, jew li jkunu kompliċi f’xi wieħed mir-reati msemmija fl-Artikoli 3 sa 8.
Artikolu 11
Sanzjonijiet kontra persuni ġuridiċi
1. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li persuna ġuridika miżmuma responsabbli taħt l-Artikolu 10(1) tkun punibbli b’sanzjonijiet effettivi, proporzjonati u dissważivi, li għandhom jinkludu multi kriminali jew mhux kriminali u li jistgħu jinkludu sanzjonijiet oħra, bħal:
(a)
l-esklużjoni mid-dritt għal benefiċċji pubbliċi jew għajnuna pubblika;
(b)
l-iskwalifika temporanja jew permanenti mill-prattika ta’ attivitajiet kummerċjali;
(c)
it-tqegħid taħt is-sorveljanza tal-qorti;
(d)
l-istralċ ġudizzjarju;
(e)
l-għeluq temporanju jew permanenti ta’ stabbilimenti li setgħu ntużaw biex isir ir-reat.
2. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa sabiex jiżguraw li persuna ġuridika miżmuma responsabbli taħt l-Artikolu 10(2) tkun punibbli b’pieni effettivi, proporzjonati u dissważivi jew miżuri oħra.
Artikolu 12
Ġurisdizzjoni
1. L-Istati Membri għandhom jistabbilixxu l-ġurisdizzjoni tagħhom fir-rigward tar-reati msemmija fl-Artikoli 3 sa 8 fejn ir-reat ikun sar:
(a)
interament jew parzjalment ġewwa t-territorju tagħhom; jew
(b)
minn wieħed miċ-ċittadini tagħhom, għall-inqas f’każijiet fejn l-att huwa reat kriminali fil-post fejn ikun sar.
2. Meta jistabbilixxi l-ġurisdizzjoni f’konformità mal-punt (a) tal-paragrafu 1, Stat Membru għandu jiżgura li għandu ġurisdizzjoni fejn:
(a)
it-trasgressur jagħmel ir-reat meta jkun fiżikament preżenti fit-territorju tiegħu, kemm jekk ir-reat ikun kontra sistema tal-informazzjoni fit-territorju tiegħu kif ukoll jekk le; jew
(b)
ir-reat ikun kontra sistema tal-informazzjoni fit-territorju tiegħu, kemm jekk it-trasgressur jagħmel ir-reat meta jkun fiżikament preżenti fit-territorju tiegħu kif ukoll jekk le.
3. Stat Membru għandu jinforma lill-Kummissjoni fejn jiddeċiedi li jistabbilixxi ġurisdizzjoni ulterjuri dwar reat imsemmi fl-Artikoli 3 sa 8 li sar barra mit-territorju tiegħu, inkluż fejn:
(a)
ir-residenza abitwali tat-trasgressur tinsab fit-territorju tiegħu; jew
(b)
ir-reat ikun sar għall-benefiċċju ta’ persuna ġuridika stabbilita fit-territorju.
Artikolu 13
Skambju ta’ informazzjoni
1. Għall-finijiet tal-iskambju ta’ informazzjoni dwar ir-reati msemmija fl-Artikoli 3 sa 8, l-Istati Membri għandhom jiżguraw li jkollhom punt ta’ kuntatt nazzjonali operattiv u jagħmlu użu min-netwerk eżistenti ta’ punti ta’ kuntatt operattivi li jkunu disponibbli 24 siegħa kuljum u sebat ijiem fil-ġimgħa. L-Istati Membri għandhom jiżguraw ukoll li jkollhom proċeduri fis-seħħ sabiex meta jkun hemm talbiet urġenti għall-għajnuna, l-awtorita’ kompetenti tindika f’massimu ta’ tmien sigħat mir-riċezzjon, għall-inqas jekk hux ser ikun hemm tweġiba għat-talba, kif ukoll il-forma u ż-żmien stmat għal tali tweġiba.
2. L-Istati Membri għandhom jinfurmaw lill-Kummissjoni bil-punt ta’ kuntatt mill-paragrafu 1. Il-Kummissjoni għandha tibgħat dik l-informazzjoni lill-Istati Membri l-oħrajn u lill-aġenziji u korpi tal-Unjoni speċjalizzati kompetenti.
3. L-Istati Membri għandhom jieħdu l-miżuri meħtieġa biex jiżguraw li jkunu disponibbli kanali adegwati ta’ rappurtar sabiex ikun iffaċilitat ir-rappurtar tar-reati msemmijin fl-Artikoli 3 sa 6 lill-awtoritajiet nazzjonali kompetenti mingħajr dewmien bla bżonn.
Artikolu 14
Monitoraġġ u statistika
1. L-Istati Membri għandhom jiżguraw li tkun stabbilita sistema għar-reġistrazzjoni, il-produzzjoni u l-għoti ta’ data statistika dwar ir-reati msemmija fl-Artikoli 3 sa 7.
2. Id-data statistika msemmija fil-paragrafu 1 għandha, bħala minimu, tkopri data eżistenti dwar l-għadd ta’ reati msemmijin fl-Artikoli 3 sa 7 rreġistrati mill-Istati Membri, u l-għadd ta’ persuni, imħarrka u li nstabu ħatja fir-rigward tar-reati msemmijin fl-Artikoli 3 sa 7.
3. L-Istati Membri għandhom jibagħtu d-data miġbura taħt dan l-Artikolu lill-Kummissjoni. Il-Kummissjoni għandha tiżgura li tiġi ppubblikata reviżjoni konsolidata tar-rapporti statistiċi u li din tiġi ppreżentata lill-aġenziji u korpi tal-Unjoni speċjalizzati kompetenti.
Artikolu 15
Sostituzzjoni tad-Deċiżjoni Qafas 2005/222/ĠAI
Id-Deċizjoni Qafas 2005/222/ĠAI hija b’dan sostitwita fir-rigward tal-Istati Membri li jipparteċipaw fl-adozzjoni ta’ din id-Direttiva, mingħajr preġudizzju għall-obbligi tal-Istati Membri relatati mal-limitu ta’ żmien għat-traspożizzjoni tad-Deċizjoni Qafas fil-liġi nazzjonali.
Fir-rigward tal-Istati Membri li jipparteċipaw fl-adozzjoni ta’ din id-Direttiva, ir-referenzi għad-Deċiżjoni Qafas 2005/222/ĠAI għandhom jiġu interpretati bħala referenzi għal din id-Direttiva.
Artikolu 16
Traspożizzjoni
1. L-Istati Membri għandhom idaħħlu fis-seħħ il-liġijiet, ir-regolamenti u d-dispożizzjonijiet amministrattivi meħtieġa sabiex jikkonformaw ma’ din id-Direttiva sal-4 ta’ Settembru 2015.
2. L-Istati Membri għandhom jittrasmettu lill-Kummissjoni t-test tal-miżuri li jittrasponu fil-liġijiet nazzjonali tagħhom l-obbligi imposti fuqhom taħt din id-Direttiva.
3. Meta l-Istati Membri jadottaw dawk il-miżuri, dawn għandhom jinkludu referenza għal din id-Direttiva jew għandhom ikunu akkumpanjati b’tali referenza fl-okkażjoni tal-pubblikazzjoni uffiċjali tagħhom. Il-metodi kif issir tali referenza għandhom jigu stabbiliti mill-Istati Membri.
Artikolu 17
Rappurtar
Il-Kummisjoni għandha, sal-4 ta’ Settembru 2017, tippreżenta rapport lill-Parlament Ewropew u lill-Kunsill, li jivvaluta kemm l-Istati Membri ħadu l-miżuri meħtieġa sabiex jikkonformaw ma’ din id-Direttiva, akkumpanjat, jekk meħtieġ, bi proposti leġislattivi. Il-Kummissjoni għandha wkoll tqis l-iżviluppi tekniċi u legali fil-qasam taċ-ċiberkriminalità, partikolarment fir-rigward tal-kamp ta’ applikazzjoni ta’ din id-Direttiva.
Artikolu 18
Dħul fis-seħħ
Din id-Direttiva għandha tidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tagħha f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea.
Artikolu 19
Indirizzati
Din id-Direttiva hija indirizzata lill-Istati Membri f’konformità mat-Trattati.
Magħmul fi Brussell, it-12 ta’ Awwissu 2013.