SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY 2013/40/EU
ze dne 12. srpna 2013
o útocích na informační systémy a nahrazení rámcového rozhodnutí Rady 2005/222/SVV
EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 83 odst. 1 této smlouvy,
s ohledem na návrh Evropské komise,
po postoupení návrhu legislativního aktu vnitrostátním parlamentům,
s ohledem na stanovisko Evropského hospodářského a sociálního výboru (1),
v souladu s řádným legislativním postupem (2),
vzhledem k těmto důvodům:
(1)
Cílem této směrnice je sblížit ustanovení trestního práva členských států v oblasti útoků na informační systémy prostřednictvím stanovení minimálních pravidel týkajících se definice trestných činů a příslušných sankcí a zlepšit spolupráci mezi příslušnými orgány, včetně policie a dalších specializovaných donucovacích orgánů členských států, jakož i mezi příslušnými specializovanými agenturami a institucemi Unie, jako je Eurojust, Europol a jeho Evropské centrum pro boj proti kyberkriminalitě a Evropská agentura pro bezpečností sítí a informací (ENISA).
(2)
Informační systémy jsou klíčovým prvkem politické, sociální a hospodářské interakce v Unii. Společnost je na takových systémech značně závislá a tato závislost se neustále zvyšuje. Hladké fungování a bezpečnost těchto systémů v Unii jsou nezbytné pro rozvoj vnitřního trhu a konkurenceschopného a inovativního hospodářství. Zajištění odpovídajících úrovní ochrany informačních systémů by mělo být součástí účinného komplexního rámce preventivních opatření doprovázejících kroky v oblasti trestního práva podnikané v reakci na kybernetickou kriminalitu.
(3)
Útoky na informační systémy, zejména útoky spojené s organizovanou trestnou činností, představují rostoucí hrozbu jak v Unii, tak i v celosvětovém měřítku, a zvyšuje se obava z potenciálních teroristických anebo politicky motivovaných útoků na informační systémy, které jsou součástí kritické infrastruktury členských států a Unie. Tato skutečnost ohrožuje vytváření bezpečnější informační společnosti a oblasti svobody, bezpečnosti a práva, a proto je třeba na ni reagovat na úrovni Unie a dosáhnout intenzivnější spolupráce a koordinace na mezinárodní úrovni.
(4)
V Unii existuje řada kritických infrastruktur, jejichž narušení nebo zničení by mělo závažné přeshraniční dopady. Z nutnosti zvýšit schopnost ochrany kritické infrastruktury v Unii je zřejmé, že opatření pro boj proti kybernetickým útokům by měla být doprovázena přísnými trestními sankcemi odpovídajícími závažnosti takových útoků. Kritickou infrastrukturou můžeme rozumět prostředky, systémy a jejich části nacházející se v členském státě, které jsou zásadní pro zachování nejdůležitějších společenských funkcí, zdraví, bezpečnosti, zabezpečení nebo dobrých hospodářských či sociálních podmínek obyvatel, jako jsou elektrárny, dopravní sítě nebo vládní sítě, a jejichž narušení nebo zničení by mělo pro členský stát závažný dopad v důsledku selhání těchto funkcí.
(5)
Existují důkazy o směřování k čím dál tím nebezpečnějším a opakovaným rozsáhlým útokům na informačním systémy, které mají často kritický význam pro členské státy nebo pro konkrétní funkce ve veřejném nebo soukromém sektoru. Tuto tendenci doprovází rozvoj čím dál tím vyspělejších metod, jako je vytváření a používání tzv. „botnetů“, což se vyznačuje několika stádii trestného činu, kdy by každé samotné stádium mohlo představovat vážné nebezpečí pro veřejné zájmy. Tato směrnice usiluje mimo jiné o zavedení trestních sankcí za vytváření „botnetů“, tedy skutku, kdy na základě cílených kybernetických útoků dojde v důsledku napadení škodlivým softwarem k dálkovému ovládání značného počtu počítačů. Jakmile dojde k takovému propojení, může být napadená síť počítačů, která tvoří „botnet“, aktivována bez vědomí uživatelů počítačů s cílem spustit rozsáhlé kybernetické útoky, které jsou obvykle schopné způsobit závažnou škodu, jak je uvedeno v této směrnici. Členské státy by měly mít možnost stanovit, co se rozumí závažnou škodou podle jejich vnitrostátního práva a praxe, jako jsou například narušení systémových služeb značného veřejného významu, nebo vznik velkých finančních nákladů či způsobení ztrát osobních údajů nebo citlivých informací.
(6)
Rozsáhlé kybernetické útoky mohou způsobit závažné hospodářské škody, a to jak v důsledku přerušení informačních systémů a komunikací, tak i v důsledku ztráty nebo pozměnění důvěrných informací nebo jiných údajů důležitých z obchodního hlediska. Zvláštní pozornost je třeba věnovat tomu, aby se v důsledku větší závislosti inovativních malých a středních podniků na řádném fungování a dostupnosti informačních systémů a často omezených zdrojů, jež mají k dispozici pro účely informační bezpečnosti, zvyšovalo jejich povědomí o hrozbách souvisejících s takovými útoky a jejich zranitelnosti vůči těmto útokům.
(7)
Pro zajištění konzistentního přístupu členských států k uplatňování této směrnice jsou v této oblasti důležité společné definice.
(8)
Je třeba dosáhnout společného přístupu k základním prvkům trestných činů zavedením společných trestných činů neoprávněného přístupu k informačním systémům, neoprávněného zasahování do informačních systémů, neoprávněného zasahování do údajů a neoprávněného sledování.
(9)
Sledování zahrnuje mimo jiné poslech, monitorování nebo kontrolu obsahu komunikace a získávání obsahu údajů, a to buď přímo přístupem a využitím informačních systémů, nebo nepřímo pomocí technických prostředků pro elektronický či jiný odposlech.
(10)
Členské státy by měly stanovit sankce za útoky na informační systémy. Tyto sankce by měly být účinné, přiměřené a odrazující a jejich součástí by měl být trest odnětí svobody nebo peněžitý trest.
(11)
Tato směrnice stanoví trestní sankce alespoň pro případy, které se nepovažují za méně závažné. Členské státy by měly mít možnost stanovit, co se rozumí méně závažným případem v souladu s jejich vnitrostátním právem a praxí. Za méně závažný případ lze považovat například situaci, kdy škoda vzniklá v důsledku trestného činu nebo ohrožení veřejných nebo soukromých zájmů nastalé v důsledku trestného činu, jako je například nedotknutelnost počítačového systému nebo počítačových údajů nebo nedotknutelnost osoby, jejích práv či jiných zájmů, jsou zanedbatelné nebo takové povahy, že uložení trestní sankce v rámci zákonné hranice trestních sazeb nebo uložení trestní odpovědnosti není nutné.
(12)
Zjišťování a oznamování hrozeb a rizik vyplývajících z kybernetických útoků a zranitelnost informačních systémů s nimi související představují rozhodný faktor pro účinné předcházení kybernetickým útokům a reakci na ně a pro zdokonalování bezpečnosti informačních systémů. Poskytování pobídek k oznamování bezpečnostních nedostatků by mohlo přispět k tomuto zdokonalování. Členské státy by měly vynaložit úsilí k poskytnutí příležitostí pro zákonné odhalování a oznamování bezpečnostních nedostatků.
(13)
Je vhodné zavést přísnější sankce v případě, že je útok na informační systém spáchán v rámci zločinného spolčení vymezeného v rámcovém rozhodnutí Rady 2008/841/SVV ze dne 24. října 2008 o boji proti organizované trestné činnosti (3), nebo pokud se jedná o rozsáhlý kybernetický útok, který má dopad na velký počet informačních systémů, včetně případu, kdy má útok vytvořit „botnet“, nebo pokud kybernetický útok způsobí závažnou škodu, včetně případu, kdy je útok proveden prostřednictvím „botnetu“. Je rovněž vhodné stanovit přísnější sankce, pokud je útok veden na kritickou infrastrukturu členského státu nebo Unie.
(14)
Dalším důležitým prvkem integrovaného přístupu k boji proti kybernetické kriminalitě je zavedení účinných opatření proti krádeži totožnosti a jiným trestným činům týkajícím se totožnosti. Případnou akci na úrovni Unie proti tomuto druhu trestné činnosti by bylo možné zvážit také v rámci vyhodnocení potřeby existence komplexního horizontálního nástroje Unie.
(15)
V závěrech ze zasedání Rady ve dnech 27. a 28. listopadu 2008 bylo uvedeno, že by se ve spolupráci s členskými státy a Komisí měla vypracovat nová strategie, která by přihlížela k obsahu Úmluvy Rady Evropy o kyberkriminalitě z roku 2001. Tato úmluva představuje právní referenční rámec pro boj s kybernetickou kriminalitou, včetně útoků na informační systémy. Tato směrnice z úmluvy vychází. Bezodkladné dokončení procesu ratifikace uvedené úmluvy ze strany všech členských států by proto mělo být považováno za prioritu.
(16)
S ohledem na různé způsoby, jimiž lze útoky provést, a na rychlý vývoj hardwaru a softwaru odkazuje tato směrnice na nástroje, které lze používat k páchání trestných činů stanovených v této směrnici. Tyto nástroje by mohly zahrnovat škodlivý software, včetně softwaru schopného vytvářet botnety, používaný k páchání kybernetických útoků. I pokud je takový nástroj vhodný nebo obzvláště vhodný k páchání trestných činů stanovených v této směrnici, je možné, že byl vyroben pro zákonný účel. Je potřeba zabránit kriminalizaci v případech, kdy jsou tyto prostředky vyrobeny a uvedeny na trh pro zákonný účel, jako je testování spolehlivosti výrobků informačních technologií nebo bezpečnosti informačních systémů, a proto musí být kromě požadavku obecného úmyslu splněn také požadavek přímého úmyslu použít tyto prostředky pro účely spáchání některého z trestných činů stanovených v této směrnici.
(17)
Cílem této směrnice není stanovit trestní odpovědnost v případech, kdy jsou naplněny znaky skutkové podstaty trestných činů stanovených v této směrnici, avšak tyto činy jsou spáchány bez protiprávního úmyslu, například pokud určitá osoba nevěděla, že se jedná o neoprávněný přístup, nebo v případě nařízeného testování či ochrany informačních systémů, například svěřila-li společnost či prodejce určité osobě úkol provést test odolnosti jejich bezpečnostního systému. V rámci této směrnice smluvní závazky nebo dohody o omezení přístupu k informačním systémům prostřednictvím uživatelské politiky nebo služebních podmínek, jakož i pracovněprávní spory ohledně přístupu k informačním systémům zaměstnavatele a jejich využívání k soukromým účelům by neměly vést ke vzniku trestní odpovědnosti v případech, kdy by přístup za těchto podmínek byl považován za neoprávněný, a představoval by tak jediný základ pro trestní řízení. Touto směrnicí není dotčeno právo na přístup k informacím, jak je stanoveno ve vnitrostátním právu a v právu Unie, toto právo však zároveň nesmí sloužit jako odůvodnění neoprávněného nebo svévolného přístupu k informacím.
(18)
Kybernetické útoky by mohly být usnadněny různými okolnostmi, například pokud má pachatel v rámci svého zaměstnání přístup k bezpečnostním systémům spojeným se zasaženými informačními systémy. V rámci vnitrostátního práva by tyto okolnosti měly být v průběhu trestního řízení odpovídajícím způsobem zohledněny.
(19)
Členské státy by ve svém vnitrostátním právu měly v souladu s příslušnými pravidly týkajícími se přitěžujících okolností danými jejich právním řádem stanovit přitěžující okolnosti. Měly by zajistit, aby soudci mohli k těmto přitěžujícím okolnostem přihlédnout při stanovení druhu trestu a jeho výměry pachateli. Je na uvážení soudce, aby tyto okolnosti posoudil spolu s ostatními skutečnostmi daného případu.
(20)
Tato směrnice neupravuje, pokud jde o trestné činy v ní uvedené, podmínky pro provádění trestního stíhání, jako je oznámení oběti učiněné v místě, kde byl trestný čin spáchán, oznámení ze strany státu, na jehož území byl trestný čin spáchán, nebo nestíhání pachatele v místě, kde byl trestný čin spáchán.
(21)
V rámci této směrnice musí státy a veřejnoprávní subjekty plně zajišťovat respektování lidských práv a základních svobod v souladu se stávajícími mezinárodními závazky.
(22)
Tato směrnice posiluje význam sítí, jako je síť G8 nebo síť kontaktních míst Rady Evropy s nepřetržitým provozem. Tato kontaktní místa by měla být schopna poskytovat účinnou pomoc, a usnadňovat tak například výměnu příslušných dostupných informací poskytování technické pomoci či právních informací pro účely vyšetřování nebo soudních řízení ohledně trestných činů týkajících se informačních systémů a souvisejících údajů dožadujícího členského státu. Za účelem zajištění bezproblémového fungování sítí by mělo být každé kontaktní místo schopno urychleně komunikovat s kontaktním místem jiného členského státu za podpory mimo jiné vyškoleného a technicky vybaveného personálu. Vzhledem k rychlosti, kterou lze provést rozsáhlé kybernetické útoky, by členské státy měly mít možnost rychle reagovat na naléhavé žádosti z této sítě kontaktních míst. V těchto případech se může jevit účelné, aby žádost o informace obsahovala kontaktní telefonní číslo, díky němuž může dožadovaný členský stát zajistit, že žádost bude zpracována okamžitě a že do osmi hodin bude poskytnuta odpověď.
(23)
Pro předcházení útokům na informační systémy a boj proti nim je velmi důležitá spolupráce veřejných orgánů na jedné straně a soukromého sektoru a občanské společnosti na straně druhé. Je nezbytné upevnit a zlepšit spolupráci mezi poskytovateli služeb, výrobci, donucovacími orgány a justičními orgány, a to při plném dodržování právních norem. Taková spolupráce by mohla zahrnovat podporu ze strany poskytovatelů služeb úsilí o zajištění potenciálních důkazů, při poskytování prvků přispívajících k identifikaci pachatelů a v krajním případě při úplném nebo částečném přerušení fungování informačních systémů nebo funkcí, jež byly ohroženy nebo zneužity pro protiprávní účely, provedeném v souladu s vnitrostátním právem a praxí. Členské státy by měly rovněž uvážit zřízení sítí pro spolupráci a partnerství, do nichž by byli zapojeni poskytovatelé služeb a výrobci za účelem výměny informací týkajících se trestných činů v oblasti působnosti této směrnice.
(24)
Je třeba shromažďovat srovnatelné údaje o trestných činech stanovených v této směrnici. Pro získání ucelenější představy o problému kybernetické kriminality a o bezpečnosti sítí a informací na úrovni Unie a pro nalezení účinnějších forem reakce, by relevantní údaje měly být zpřístupněny příslušným specializovaným agenturám a institucím Unie, jako je Europol a agentura ENISA, v souladu s jejich úkoly a informačními potřebami. Členské státy by měly předávat informace o způsobu, jímž pachatelé páchají trestnou činnost, Europolu a jeho Evropskému centru pro boj proti kyberkriminalitě za účelem provedení posouzení hrozeb a strategických analýz kybernetické kriminality v souladu s rozhodnutím Rady 2009/371/SVV ze dne 6. dubna 2009 o zřízení Evropského policejního úřadu (Europol) (4). Poskytování informací může napomoci lepšímu porozumění stávajících budoucích hrozeb, a přispět tak k vhodnějšímu a cílenému rozhodování o boji proti útokům zaměřeným na informační systémy a k jejich předcházení.
(25)
Komise by měla předložit zprávu o uplatňování této směrnice a připojit nezbytné legislativní návrhy, jež by mohly vést k rozšíření její oblasti působnosti, přičemž zohlední vývoj v oblasti kybernetické činnosti kriminality. Tento vývoj by mohl zahrnovat technologický vývoj, který například umožní účinnější prosazování práva v oblasti útoků na informační systémy či usnadní prevenci nebo zmírňování dopadů těchto útoků. Komise by za tímto účelem měla zohlednit dostupné analýzy a zprávy vypracované příslušnými aktéry a zejména Europolem a agenturou ENISA.
(26)
Má-li být boj proti kybernetické kriminalitě účinný, je nutné zvýšit odolnost informačních systémů přijetím vhodných opatření s cílem účinněji je chránit před kybernetickými útoky. Členské státy by měly přijmout opatření nezbytná k ochraně své kritické infrastruktury před kybernetickými útoky, přičemž by v daném rámci měly zvážit ochranu svých informačních systémů a souvisejících údajů. Základní součástí komplexního přístupu účinnému boji proti kybernetické kriminalitě je zajištění odpovídající úrovně ochrany bezpečnosti informačních systémů právnickými osobami, například v souvislosti poskytováním veřejně dostupných služeb elektronických komunikací v souladu se stávajícími právními předpisy Unie v oblasti ochrany soukromí a elektronických komunikací a ochrany údajů. Je třeba poskytnout dostatečnou úroveň ochrany před přiměřeně rozpoznatelnými hrozbami a ochranu zranitelným místům v souladu se stavem techniky v konkrétním odvětví a s ohledem na konkrétní situaci zpracování údajů. Náklady a zátěž vzniklé v souvislosti s touto ochranou by měly odpovídat pravděpodobné výši škody, která by dotčeným subjektům v důsledku kybernetického útoku vznikla. Členské státy se vybízí, aby pro případy, kdy právnická osoba jednoznačně nezajistila odpovídající úroveň ochrany proti kybernetickým útokům, stanovily příslušná opatření k zajištění odpovědnosti podle jejich vnitrostátního práva.
(27)
Výrazné nedostatky a rozdíly v právu a v trestních řízeních členských států v oblasti útoků na informační systémy mohou bránit boji s organizovanou trestnou činností a terorismem a mohou komplikovat efektivní policejní a justiční spolupráci v této oblasti. Z nadnárodní hranicemi neomezené povahy moderních informačních systémů vyplývá, že útoky na tyto systémy mají přeshraniční rozměr, což podtrhuje naléhavou potřebu dalších opatření na sbližování ustanovení trestního práva v této oblasti. Kromě toho by koordinace stíhání případů útoků na informační systémy měla být usnadněna odpovídajícím prováděním uplatňováním rámcového rozhodnutí Rady 2009/948/SVV ze dne 30. listopadu 2009 předcházení kompetenčním sporům při výkonu pravomoci v trestním řízení a jejich řešení (5). Členské státy by ve spolupráci s Unií měly také usilovat o zlepšení mezinárodní spolupráce týkající se bezpečnosti informačních systémů, počítačových sítí a počítačových údajů. V případě jakékoli mezinárodní dohody zahrnující výměnu údajů by měla být věnována řádná pozornost bezpečnosti předávání a uchovávání údajů.
(28)
Lepší spolupráce mezi příslušnými donucovacími orgány a justičními orgány v celé Unii je pro efektivitu boje proti kybernetické kriminalitě nezbytná. V této souvislosti je třeba podpořit zvýšení úsilí s cílem poskytnout příslušným orgánům odpovídající odbornou přípravu v zájmu většího povědomí o kybernetické kriminalitě a jejím dopadu a posílit spolupráci a výměnu osvědčených postupů, například prostřednictvím příslušných specializovaných agentur a institucí Unie. Tato odborná příprava by měla být mimo jiné zaměřena na zvyšování povědomí o odlišnostech jednotlivých vnitrostátních právních řádů, možných právních a technických výzvách v rámci vyšetřování v trestních věcech a o rozdělení pravomocí mezi příslušné vnitrostátní orgány.
(29)
Tato směrnice respektuje lidská práv a základní svobody a ctí zásady uznané zejména Listinou základních práv Evropské unie a Evropskou úmluvou o ochraně lidských práv a základních svobod, včetně ochrany osobních údajů, práva na soukromí, svobody projevu a informací, práva na spravedlivý proces, presumpce neviny a práva na obhajobu i zásady zákonnosti a přiměřenosti trestných činů a trestů. Cílem této směrnice je zejména zajistit plné dodržování těchto práv a zásad a v souladu s nimi musí být provedena.
(30)
Ochrana osobních údajů je jedním ze základních práv podle čl. 16 odst. 1 Smlouvy o fungování Evropské unie a článku 8 Listiny základních práv Evropské unie. Veškeré zpracovávání osobních údajů v souvislosti s prováděním této směrnice by proto mělo být plně v souladu s příslušnými právními předpisy Unie v oblasti ochrany údajů.
(31)
V souladu s článkem 3 Protokolu o postavení Spojeného království a Irska s ohledem na prostor svobody, bezpečnosti a práva, připojeného ke Smlouvě o Evropské unii a ke Smlouvě o fungování Evropské unie, oznámily tyto členské státy své přání účastnit se přijímání a používání této směrnice.
(32)
V souladu s články 1 a 2 Protokolu o postavení Dánska, připojeného ke Smlouvě o Evropské unii a ke Smlouvě o fungování Evropské unie, se Dánsko neúčastní přijímání této směrnice, a tato směrnice pro ně není závazná ani použitelná.
(33)
Jelikož cílů této směrnice, totiž zajistit, aby se na útoky na informační systémy ve všech členských státech vztahovaly účinné, přiměřené a odrazující trestní sankce, a zlepšit a podpořit spolupráci mezi justičními a jinými příslušnými orgány, nemůže být uspokojivě dosaženo na úrovni členských států, a proto jich může být z důvodu jejich rozsahu účinků, lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení těchto cílů.
(34)
Cílem této směrnice je pozměnit a rozšířit působnost ustanovení rámcového rozhodnutí Rady 2005/222/SVV ze dne 24. února 2005 o útocích proti informačním systémům (6). Vzhledem k tomu, že změn, které je třeba provést, je značný počet a jsou podstatné, mělo by být rámcové rozhodnutí 2005/222/SVV v zájmu přehlednosti nahrazeno v plném rozsahu ve vztahu k členským státům, které se účastní přijímání této směrnice,
PŘIJALY TUTO SMĚRNICI:
Článek 1
Předmět
Tato směrnice stanoví minimální pravidla týkající se vymezení trestných činů a sankcí ve vztahu k útokům na informační systémy. Jejím cílem je rovněž usnadnit předcházení těmto trestným činům a zlepšit spolupráci mezi justičními a jinými příslušnými orgány.
Článek 2
Definice
Pro účely této směrnice se rozumí:
a)
„informačním systémem“ jakýkoli přístroj nebo skupina vzájemně propojených nebo přidružených přístrojů, z nichž jeden nebo více provádí na základě programu automatické zpracování počítačových údajů, jakož i počítačové údaje uložené, zpracované, opětovně vyhledané nebo přenesené tímto přístrojem či skupinou přístrojů za účelem jeho či jejich provozu, použití, ochrany a údržby;
b)
„počítačovými údaji“ jakékoli zachycení skutečností, informací nebo pojmů ve formě vhodné ke zpracování informačním systémem, včetně programu vhodného k zajištění provedení některé funkce informačním systémem;
c)
„právnickou osobou“ každý subjekt, který má postavení právnické osoby podle příslušného práva, avšak nejedná se o státy, nebo veřejnoprávní subjekty při výkonu veřejné moci nebo organizace mezinárodního práva veřejného;
d)
„neoprávněným“ jednání uvedené v této směrnici včetně přístupu, zásahu nebo sledování, které není povoleno majitelem či jiným držitelem práv k systému nebo k jeho části nebo které není povoleno vnitrostátním právem.
Článek 3
Neoprávněný přístup k informačním systémům
Členské státy přijmou nezbytná opatření k zajištění toho, aby neoprávněný přístup k celému informačnímu systému nebo k některé jeho části je-li spáchán úmyslně, byl trestným činem, je-li tím porušeno bezpečnostního opatření, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 4
Neoprávněné zasahování do informačních systémů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslné a neoprávněné závažné narušení nebo přerušení fungování informačního systému vložením počítačových údajů či jejich přenosem, poškozením, vymazáním, znehodnocením, pozměněním, potlačením nebo znepřístupněním bylo trestným činem, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 5
Neoprávněné zasahování do údajů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslné a neoprávněné vymazání, poškození, znehodnocení, pozměnění nebo potlačení počítačových údajů v informačním systému, nebo jejich znepřístupnění bylo trestným činem, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 6
Neoprávněné sledování údajů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslné a neoprávněné sledování neveřejných přenosů počítačových údajů do, z nebo uvnitř informačního systému prováděné technickými prostředky, včetně elektromagnetického záření z informačního systému nesoucího takové počítačové údaje, bylo trestným činem, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
Článek 7
Nástroje použité k páchání trestných činů
Členské státy přijmou nezbytná opatření k zajištění toho, aby úmyslná výroba, prodej, opatření si k užití, dovoz, distribuce nebo jiné formy zpřístupnění některého z následujících nástrojů byly trestným činem, jsou-li provedeny neoprávněně a se záměrem použít tyto nástroje pro účely spáchání některého z trestných činů uvedených v článcích 3 až 6, a to alespoň tehdy, pokud se nejedná o méně závažný případ:
a)
počítačového programu, který byl vytvořen nebo přizpůsoben prvotně pro účely spáchání některého z trestných činů uvedených v článcích 3 až 6;
b)
počítačového hesla, přístupového kódu nebo obdobných údajů, které umožňují přístup k celému informačnímu systému nebo k jeho části.
Článek 8
Návod, pomoc nebo jiná forma účastenství a pokus
1. Členské státy zajistí trestnost návodu, pomoci či jiné formy účastenství na spáchání trestných činů uvedených v článcích 3 až 7.
2. Členské státy zajistí trestnost pokusu trestných činů uvedených v článcích 4 až 5.
Článek 9
Sankce
1. Členské státy přijmou opatření nezbytná k zajištění toho, aby pro trestné činy uvedené v článcích 3 až 8 byly stanoveny účinné, přiměřené a odrazující trestní sankce.
2. Členské státy přijmou opatření nezbytná k zajištění toho, aby pro trestné činy uvedené v článcích 3 až 7 byl stanoven trest odnětí svobody s horní hranicí trestní sazby nejméně dva roky, a to alespoň tehdy, pokud se nejedná o méně závažný případ.
3. Členské státy přijmou opatření nezbytná k zajištění toho, aby byl pro trestné činy uvedené v článcích 4 a 5 stanoven trest odnětí svobody s horní hranici trestní sazby nejméně tři roky, jsou-li spáchány úmyslně a pokud došlo k útoku s dopadem na velký počet informačních systémů za použití nástroje uvedeného v článku 7, vytvořeného nebo přizpůsobeného prvotně pro tento účel.
4. Členské státy přijmou opatření nezbytná k zajištění toho, aby pro trestné činy uvedené v článcích 4 a 5 byl stanoven trest odnětí svobody s horní hranicí trestní sazby nejméně pět let, pokud:
a)
byly spáchány v rámci zločinného spolčení vymezeného v rámcovém rozhodnutí Rady 2008/841/SVV bez ohledu na trestní sazbu stanovenou v uvedeném rozhodnutí;
b)
jejich spácháním byla způsobena závažná škoda, nebo
c)
byly spáchány proti informačnímu systému kritické infrastruktury.
5. Členské státy přijmou opatření nezbytná k zajištění toho, aby v případě, že trestné činy uvedené v článcích 4 a 5 byly spáchány prostřednictvím zneužití osobních údajů jiné osoby s cílem získat důvěru třetí strany, čímž vznikla újma skutečnému nositeli totožnosti, mohla být tato skutečnost v souladu s vnitrostátním právem považována za přitěžující okolnost, není-li takováto okolnost již zahrnuta ve skutkové podstatě jiného činu, který je podle vnitrostátního práva trestný.
Článek 10
Odpovědnost právnických osob
1. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby mohly být činěny odpovědnými za trestné činy uvedené v článcích 3 až 8, spáchané v jejich prospěch osobou jednající samostatně nebo jako člen orgánu dané právnické osoby, která v rámci této právnické osoby působí ve vedoucím postavení na základě oprávnění:
a)
jednat jménem této právnické osoby;
b)
přijímat rozhodnutí jménem této právnické osoby;
c)
vykonávat kontrolu v rámci této právnické osoby.
2. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby mohly být činěny odpovědnými v případech, kdy nedostatek dohledu nebo kontroly ze strany osoby uvedené v odstavci 1 umožnil spáchání trestných činů uvedených v článcích 3 až 8 ve prospěch této právnické osoby osobou jí podřízenou.
3. Odpovědnost právnických osob podle odstavců 1 a 2 nevylučuje trestní stíhání fyzických osob, které jsou pachateli, návodci, pomocníky či podílníky trestných činů uvedených v článcích 3 až 8.
Článek 11
Sankce vůči právnickým osobám
1. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby odpovědné podle čl. 10 odst. 1 podléhaly účinným, přiměřeným a odrazujícím sankcím, které zahrnují pokuty trestní nebo jiné povahy, a které mohou zahrnovat i jiné sankce, jako například:
a)
zbavení oprávnění pobírat veřejné výhody nebo podpory;
b)
dočasný nebo trvalý zákaz provozování obchodní činnosti;
c)
uložení soudního dohledu;
d)
zrušení této právnické osoby rozhodnutím soudu;
e)
dočasné nebo trvalé uzavření provozoven použitých ke spáchání trestného činu.
2. Členské státy přijmou opatření nezbytná k zajištění toho, aby právnické osoby odpovědné podle čl. 10 odst. 2 podléhaly účinným, přiměřeným a odrazujícím sankcím nebo jiným opatřením.
Článek 12
Soudní příslušnost
1. Členské státy stanoví svou soudní příslušnost ve vztahu k trestným činům uvedeným v článcích 3 až 8, které byly spáchány:
a)
zcela nebo částečně na jejich území nebo
b)
jejich státními příslušníky, alespoň v případech, kdy je daný skutek trestným činem v místě, kde byl spáchán.
2. Při stanovení své soudní příslušnosti podle odst. 1 písm. a) členský stát zajistí, aby tato příslušnost zahrnovala případy, kdy:
a)
pachatel spáchal trestný čin v době své fyzické přítomnosti na jeho území, a to bez ohledu na to, zda byl trestný čin namířen proti informačnímu systému na jeho území či nikoli, nebo
b)
trestný čin byl namířen proti informačnímu systému na jeho území, a to bez ohledu na to, zda pachatel spáchal trestný čin v době své fyzické přítomnosti na jeho území či nikoli.
3. Členský stát informuje Komisi, pokud se rozhodne rozšířit soudní příslušnost ve vztahu k trestným činům uvedeným v článcích 3 až 8, které byly spáchány mimo jeho území, mimo jiné pokud:
a)
má pachatel obvyklé bydliště na jeho území nebo
b)
je trestný čin spáchán ve prospěch právnické osoby usazené na jeho území.
Článek 13
Výměna informací
1. Za účelem výměny informací týkajících se trestných činů uvedených v článcích 3 až 8 členské státy zajistí, aby měly k dispozici funkční národní kontaktní místo, a aby využívaly stávající síť funkčních kontaktních míst s nepřetržitým provozem. Členské státy rovněž zajistí, aby byly zavedeny postupy, které příslušnému orgánu v případě naléhavých žádostí o pomoc umožní podat nejpozději osm hodin od obdržení žádosti informaci alespoň o tom, zda bude na žádost o pomoc reagovat, a dále uvést formu a předpokládaný termín této reakce.
2. Členské státy informují Komisi o kontaktních místech uvedených v odstavci 1, která určily. Komise tyto informace předá ostatním členským státům a příslušným specializovaným agenturám a institucím Unie.
3. Členské státy přijmou opatření nezbytná k zajištění toho, aby měly za účelem usnadnění neprodleného oznamování trestných činů uvedených v článcích 3 až 6 příslušné vnitrostátní orgány k dispozici vhodné informační kanály.
Článek 14
Sledování a statistika
1. Členské státy zajistí, aby byl zaveden systém pro záznam, produkci a poskytování statistických údajů o trestných činech uvedených v článcích 3 až 7.
2. Statistické údaje uvedené v odstavci 1 musí zahrnovat alespoň stávající údaje o počtu trestných činů uvedených v článcích 3 až 7 zaznamenaných členskými státy a o počtu osob stíhaných a odsouzených za spáchání trestných činů uvedených v článcích 3 až 7.
3. Údaje shromážděné podle tohoto článku předávají členské státy Komisi. Komise zajistí, že komplexní přehled těchto statistických zpráv bude zveřejněn a předložen příslušným specializovaným agenturám a institucím Unie.
Článek 15
Nahrazení rámcového rozhodnutí 2005/222/SVV
Rámcové rozhodnutí 2005/222/SVV se nahrazuje ve vztahu k členským státům, které se účastní přijímání této směrnice, aniž jsou dotčeny povinnosti členských států týkající se lhůt pro provedení rámcového rozhodnutí ve vnitrostátním právu.
Ve vztahu k členským státům, které se účastní přijímání této směrnice, se odkazy na rámcové rozhodnutí 2005/222/SVV považují za odkazy na tuto směrnici.
Článek 16
Provedení
1. Členské státy uvedou v účinnost právní a správní předpisy nezbytné pro dosažení souladu s touto směrnicí do 4. září 2015.
2. Členské státy předloží Komisi znění vnitrostátních právních předpisů, kterými ve svém vnitrostátním právu provádějí povinnosti, jež pro ně vyplývají z této směrnice.
3. Tyto předpisy přijaté členskými státy musí obsahovat odkaz na tuto směrnici nebo musí být takový odkaz učiněn při jejich úředním vyhlášení. Způsob odkazu si stanoví členské státy.
Článek 17
Podávání zpráv
Do 4. září 2017 předloží Komise Evropskému parlamentu a Radě zprávu, ve které zhodnotí, do jaké míry členské státy přijaly opatření nezbytná k dosažení souladu s touto směrnicí, a případně připojí legislativní návrhy. Komise v této souvislosti rovněž zohlední technický a právní vývoj v oblasti kybernetické kriminality, a to zejména s ohledem na oblast působnosti této směrnice.
Článek 18
Vstup v platnost
Tato směrnice vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
Článek 19
Určení
Tato směrnice je určena členským státům v souladu se Smlouvami.
V Bruselu dne 12. srpna 2013.
AZ EURÓPAI PARLAMENT ÉS A TANÁCS 2013/40/EU IRÁNYELVE
(2013. augusztus 12.)
az információs rendszerek elleni támadásokról és a 2005/222/IB tanácsi kerethatározat felváltásáról
AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,
tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 83. cikke (1) bekezdésére,
tekintettel az Európai Bizottság javaslatára,
a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően,
tekintettel az Európai Gazdasági és Szociális Bizottság véleményére (1),
rendes jogalkotási eljárás keretében (2),
mivel:
(1)
Ezen irányelv célja, hogy a bűncselekmények tényállására és vonatkozó szankcióikra vonatkozó minimumszabályok megállapítása révén közelítse a tagállamok büntetőjogát az információs rendszerek elleni támadások terén, és hogy javítsa a tagállamok illetékes hatóságai, így a rendőrség és az egyéb bűnüldözési szakszolgálatok, valamint az Unió illetékes szakosított ügynökségei és szervei - például az Eurojust, az Europol és annak a számítástechnikai bűnözés elleni európai központja, valamint az Európai Hálózat- és Információbiztonsági Ügynökség (ENISA) - közötti együttműködést.
(2)
Az információs rendszerek a politikai, a társadalmi és a gazdasági interakció kulcstényezői az Unióban. A társadalom nagy- és egyre növekvő mértékben függ e rendszerektől. E rendszerek zökkenőmentes működése és biztonsága az Unióban létfontosságú a belső piac és a versenyképes és innovatív gazdaság fejlődése szempontjából. Az információs rendszerek megfelelő szintű védelmének biztosítása részét kell, hogy képezze a számítástechnikai bűnözésre adott büntetőjogi válaszokat kísérő megelőző intézkedések hatékony és átfogó keretének.
(3)
Az Unióban és világszinten egyaránt növekvő veszélyt jelentenek az információs rendszerek elleni támadások és különösen a szervezett bűnözéshez kapcsolódó támadások, valamint egyre nagyobb aggodalmat okoz a tagállamok és az Unió kritikus infrastruktúrájának részét képező információs rendszerek elleni terror- vagy politikai indíttatású támadások lehetősége. Ez veszélyezteti a biztonságosabb információs társadalom, valamint a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség megvalósítását, ezért uniós szinten kell fellépni ellene, nemzetközi szinten pedig jobb együttműködésre és koordinációra van szükség.
(4)
Az Unióban számos olyan kritikus infrastruktúra van, amelyek működési zavara vagy megsemmisítése több tagállamban is komoly következményekkel járna. A kritikus infrastruktúra védelmére irányuló uniós képességek növelésének igényéből nyilvánvalóvá vált, hogy az informatikai támadások elleni intézkedéseket olyan szigorú büntetőjogi szankcióknak kell kiegészíteniük, amelyek tükrözik az ilyen támadások súlyosságát. Kritikus infrastruktúra alatt a tagállamokban található azon eszközöket, rendszereket, illetve azok részeit lehetne érteni, amelyek elengedhetetlenek a létfontosságú társadalmi feladatok, az egészségügy, a biztonság, a védelem, valamint az emberek gazdasági és szociális jólétének fenntartásához - ilyenek például az erőművek, a közlekedési hálózatok és a kormányzati hálózatok -, és amelyek megzavarása vagy megsemmisítése e feladatok folyamatos ellátásának hiánya miatt jelentős következményekkel járna valamely tagállamban.
(5)
Bizonyított az olyan, egyre veszélyesebb, ismétlődő és átfogó támadások előfordulása, amelyeket a tagállamok szempontjából, vagy a köz- és magánszféra bizonyos feladatai tekintetében gyakran kulcsfontossággal bíró információs rendszerek ellen intéznek. Ezt a tendenciát egyre kifinomultabb módszerek megjelenése, például az ún. „botnetek” létrehozása és használata kíséri, ami egy bűncselekmény több szakaszát foglalja magában, amely szakaszok külön-külön is komoly veszélyt jelenthetnek a közérdekre. Ennek az irányelvnek többek között az a célja, hogy büntetőjogi szankciókat állapítson meg a botnetek létrehozására, vagyis azon cselekményre vonatkozóan, amellyel célzott informatikai támadások révén jelentős számú számítógép felett veszik át a távvezérelt irányítást oly módon, hogy rosszindulatú számítástechnikai programokkal fertőzik meg őket. A botnetként működő fertőzött számítógép-hálózat létrehozását követően a számítógépek tulajdonosainak tudta nélkül aktiválható, hogy olyan átfogó informatikai támadást hajtsanak végre róla, amely az ezen irányelvben említetteknek megfelelően általában súlyos károkat képes okozni. A tagállamok számára lehetővé kell tenni annak meghatározását, hogy nemzeti joguk és gyakorlatuk alapján mi minősül súlyos kárnak, amilyen például a fontos és közérdekű rendszerszolgáltatások megzavarása, jelentős költségek okozása, vagy személyes adatok, illetve különleges adatokinformációk elvesztése.
(6)
Az átfogó informatikai támadások jelentős gazdasági károkat okozhatnak, az információs rendszerek és a kommunikáció megszakítása, valamint a kereskedelmi szempontból fontos bizalmas információ vagy más adatok elvesztése, illetve megváltoztatása révén. Különös figyelmet kell fordítani az innovatív kis- és középvállalkozások ilyen támadások veszélyeivel kapcsolatos tájékozottságának növelésére, valamint az említett vállalkozások ilyen támodásokkal szembeni sebezhetőségére, mivel e vállalkozások nagymértékben függnek az információs rendszerek megfelelő működésétől és hozzáférhetőségétől, az információbiztonságra fordítható forrásaik pedig sok esetben korlátozottak.
(7)
A tagállamok ezen irányelv alkalmazására vonatkozó következetes megközelítésének biztosítása érdekében fontosak a közös fogalommeghatározások e területen.
(8)
Közös megközelítést kell kialakítani a bűncselekmények tényállási elemeire vonatkozóan az információs rendszerhez való jogosulatlan hozzáférés, a rendszereket, illetve adatokat érintő jogellenes beavatkozás, valamint a jogellenes adatszerzés egységesen meghatározott bűncselekménytípusainak bevezetése révén.
(9)
Adatszerzés különösen a kommunikáció tartalmának lehallgatása, ellenőrzése vagy figyelemmel kísérése és az adattartalmak közvetlenül, az információs rendszerhez való hozzáférés és az információs rendszer használata által történő, vagy közvetetten, elektronikus megfigyelő vagy lehallgató eszközök révén történő megszerzése.
(10)
A tagállamoknak szankciókat kell megállapítaniuk az információs rendszerek elleni támadások esetére. E szankcióknak hatékonynak, arányosnak és visszatartó erejűnek kell lenniük, és szabadságvesztést és/vagy pénzbüntetést is magukban kell foglalniuk.
(11)
Ezen irányelv büntetőjogi szankciókat ír elő a bűncselekményeknek legalább azon eseteire, amelyek nem számítanak kevésbé súlyosnak. A tagállamok számára lehetővé kell tenni annak meghatározását, hogy mi minősül a nemzeti joguk és gyakorlatuk alapján kevésbé súlyos esetnek. Egy eset például kevésbé súlyosnak minősülhet, ha a bűncselekmény által okozott kár és/vagy a köz- vagy magánérdekre - például egy számítógépes rendszer vagy bizonyos számítógépes adatok integritására, egy személy integritására, jogaira vagy egyéb érdekeire - jelentett kockázat jelentéktelen, vagy az eset a jellegéből adódóan nem teszi szükségessé büntetőjogi szankciók kiszabását a jogi határokon belül vagy a büntetőjogi felelősségre vonást.
(12)
Az informatikai támadásokban rejlő veszélyek és kockázatok és az információs rendszerek ezzel összefüggő sebezhetőségének felismerése és bejelentése meghatározó eleme az informatikai támadások hatékony megelőzésének és kezelésének, valamint az információs rendszerek biztonsága javításának. A biztonság terén fennálló hiányosságok bejelentését célzó ösztönzők nyújtása révén ennek hatása növelhető. A tagállamoknak arra kell törekedniük, hogy lehetőséget teremtsenek a biztonság terén fennálló hiányosságok jogi feltárására és bejelentésére.
(13)
Helyénvaló súlyosabb szankciókat megállapítani, ha az információs rendszer elleni támadást a szervezett bűnözés elleni küzdelemről szóló, 2008. október 24-i 2008/841/IB tanácsi kerethatározat (3) értelmében vett bűnszervezetben követik el, vagy ha a támadás átfogó, azaz jelentős számú információs rendszert érint vagy súlyos kárt okoz, ideértve azokat a támadásokat is, amelyek célja egy botnet létrehozása, vagy amelyeket botnet révén hajtanak végre, és ezáltal súlyos kárt okoznak. Helyénvaló arra az esetre is súlyosabb szankciókat megállapítani, ha a támadás valamely tagállam vagy az Unió kritikus infrastruktúrája ellen irányul.
(14)
A számítástechnikai bűnözésre alkalmazott integrált megközelítés egy másik fontos eleme a személyazonosság-lopás és a személyazonossághoz kapcsolódó egyéb bűncselekmények elleni hatékony intézkedések meghozatala. Egy átfogó horizontális uniós eszköz szükségességének felmérése során az ilyen típusú büntetendő magatartással szembeni uniós fellépés szükségessége is fontolóra vehető.
(15)
A Tanács 2008. november 27-28-i következtetéseiben jelezte, hogy a tagállamokkal és a Bizottsággal közösen új stratégiát kell kidolgozni, figyelembe véve az Európa Tanács számítástechnikai bűnözésről szóló 2001. évi egyezményét. Ez az egyezmény szolgál a számítástechnikai bűnözés, többek között az információs rendszerek elleni támadásokkal szembeni küzdelem irányadó jogi keretéül. Ez az irányelv az említett egyezményre épül. Kiemelten fontos feladatként kell kezelni azt, hogy valamennyi tagállam esetében mihamarabb lezáruljon az említett egyezmény megerősítésére vonatkozó eljárás.
(16)
Mivel a támadásokat a legkülönbözőbb módokon követik el, a hardverek és a számítástechnikai programok pedig gyorsan fejlődnek, ez az irányelv minden olyan eszközre utal, amelyet az ebben az irányelvben felsorolt bűncselekmények elkövetésére lehet használni. Ilyen eszközök lehetnek például az informatikai támadások elkövetésére használt rosszindulatú számítástechnikai programok, köztük azok, amelyek botnetek létrehozására alkalmasak. Lehetséges, hogy egy ilyen eszközt - még abban az esetben is, ha alkalmas, sőt különösen alkalmas az ezen irányelvben meghatározott bűncselekmények valamelyikének elkövetésére - jogszerű céllal állítottak elő, például az információs technológiai termékek megbízhatóságának vagy az információs rendszerek biztonságának tesztelése céljából. Ebben az esetben nem elegendő, ha a szándék az ezen irányelvben meghatározott valamely bűncselekmény objektív kritériumainak teljesítésére irányul; a szándéknak közvetlenül arra kell irányulnia, hogy az eszközt az ezen irányelvben meghatározott bűncselekmények közül egynek vagy többnek az elkövetésére használják fel.
(17)
Ezen irányelv nem állapít meg büntetőjogi felelősséget abban az esetben, ha az ezen irányelvben felsorolt bűncselekmények objektív kritériumai teljesülnek, azonban a cselekményeket nem jogsértő szándékkal követték el, például ha az érintett személy nem tud arról, hogy az adott hozzáférés jogosulatlan, vagy ha az információs rendszerek tesztelésével vagy védelmével bízták meg, pl. ha egy társaság vagy egy forgalmazó kijelöl valakit a biztonsági rendszerének a tesztelésére. Ezen irányelvvel összefüggésben az információs rendszerekhez való hozzáférést felhasználói szabályzat vagy szolgáltatási feltételek révén korlátozó szerződéses kötelezettségek vagy megállapodások, valamint a munkáltató információs rendszereihez való magáncélú hozzáféréssel és azok magáncélú használatával kapcsolatos munkaügyi jogviták nem vonhatnak maguk után büntetőjogi felelősséget, amennyiben a hozzáférés az említett körülmények között minősülne jogosulatlannak, és ezáltal a büntetőeljárás kizárólagos alapját képezné. Ez az irányelv nem érinti az információhoz való hozzáférésnek a nemzeti és az uniós jogszabályokban meghatározott jogát, ugyanakkor ez a jog nem szolgálhat az információhoz való jogellenes vagy önkényes hozzáférés igazolásául.
(18)
Az informatikai támadásokat számos körülmény megkönnyítheti, például ha az elkövetőnek alkalmazotti minőségében hozzáférése van az érintett információs rendszerek részét képező biztonsági rendszerekhez. A nemzeti jog keretében a büntetőeljárás során megfelelően figyelembe kell venni az említett körülményeket.
(19)
A tagállamoknak a jogrendszerük által a súlyosító körülményekre vonatkozóan megállapított szabályokkal összhangban súlyosító körülményeket kell meghatározniuk a nemzeti jogukban. A tagállamoknak gondoskodniuk kell arról, hogy a bírák az elkövető elítélésekor figyelembe vehessék e súlyosító körülményeket. Továbbra is a bírák mérlegelési jogkörébe tartozik, hogy e körülményeket a konkrét esetek egyéb tényállási elemeivel együtt miként értékelik.
(20)
Ez az irányelv nem szabályozza az általa említett bűncselekményekkel kapcsolatos joghatóság gyakorlásához szükséges feltételeket, mint például az áldozat által a bűncselekmény elkövetésének helyén tett bejelentést, a bűncselekmény elkövetésének helye szerinti államtól érkező feljelentést, vagy azt, hogy az elkövetőt a bűncselekmény elkövetésének helyén nem vonták büntetőeljárás alá.
(21)
Ezen irányelvvel összefüggésben a tagállamok és harmadik országok, valamint közjogi szerveik továbbra is maradéktalanul kötelesek a fennálló uniós és nemzetközi kötelezettségekkel összhangban tiszteletben tartani az emberi jogokat és az alapvető szabadságokat.
(22)
Ez az irányelv megerősíti az olyan hálózatok fontosságát, mint amilyen a G8 és az Európa Tanács kapcsolattartó pontjainak a hét minden napján 24 órában működő hálózata. Ezeknek a kapcsolattartó pontoknak hatékony segítséget kell tudni nyújtaniuk, ezáltal például elősegítve a rendelkezésre álló vonatkozó információk cseréjét vagy a technikai segítségnyújtást és a jogi információk szolgáltatását a megkereső tagállam szempontjából releváns információs rendszereket és a bennük foglalt adatokat érintő bűncselekményekkel kapcsolatos nyomozások vagy eljárások céljából. A hálózatok zavartalan működésének biztosítása érdekében valamennyi kapcsolattartó pontnak kapacitással kell rendelkeznie ahhoz, hogy egy másik tagállam kapcsolattartó pontjával gyorsított kommunikációt folytasson, többek között képzett és felszerelt személyzet révén. A nagyszabású informatikai támadások végrehajtásának sebességét figyelembe véve minden tagállamnak képesnek kell lennie arra, hogy haladéktalanul válaszoljon a kapcsolattartó pontok hálózatától érkező sürgős megkeresésekre. Ilyen esetekben célszerű lehet, ha az információkérést telefonos kapcsolatfelvétel is kíséri annak érdekében, hogy a megkeresett tagállam gyorsan eleget tudjon tenni a megkeresésnek, és 8 órán belül visszajelzést lehessen adni.
(23)
Az információs rendszerek elleni támadások megelőzése és az ellenük folytatott küzdelem során nagyon fontos, hogy a hatóságok együttműködjenek a magánszférával és a civil társadalommal. Ösztönözni és javítani kell a szolgáltatók, a gyártók, a bűnüldöző szervek és az igazságügyi hatóságok közötti együttműködést, a jogállamiság teljes mértékű tiszteletben tartása mellett. Az ilyen együttműködés kiterjedhetne a szolgáltatók által a potenciális bizonyíték megőrzéséhez, az elkövetők azonosítását segítő elemek biztosításához és legvégső esetben az ahhoz nyújtott segítségre is, hogy a nemzeti joggal és gyakorlattal összhangban teljes egészében vagy részben kiiktassák a fertőzött vagy a jogellenes célra használt információs rendszereket vagy funkciókat. A tagállamoknak fontolóra kell venniük azt is, hogy az ezen irányelv hatálya alá tartozó bűncselekményekkel kapcsolatos információk cseréje érdekében együttműködési és partnerségi hálózatokat alakítsanak ki a szolgáltatókkal és a gyártókkal.
(24)
Az ezen irányelvben meghatározott bűncselekményekre vonatkozóan összehasonlítható adatokat kell gyűjteni. A megfelelő adatokat az illetékes szakosított uniós ügynökségek és szervek - például az Europol, valamint az ENISA - rendelkezésére kell bocsátani a feladataikkal és az információszükségleteikkel összhangban, hogy uniós szinten átfogóbb képet lehessen kapni a számítástechnikai bűnözés, illetve a hálózat- és információbiztonság problémájáról, és ezáltal hatékonyabb válaszlépések kialakításához lehessen hozzájárulni. A számítástechnikai bűnözéssel kapcsolatos stratégiai elemzéseknek és az általa való fenyegetettség értékelésének az Európai Rendőrségi Hivatal (Europol) létrehozásáról szóló, 2009. április 6-i 2009/371/IB tanácsi határozattal (4) összhangban történő elvégzése céljából a tagállamoknak az elkövetők által alkalmazott módszerekre vonatkozó információkat be kell nyújtaniuk az Europolhoz és annak a számítástechnikai bűnözés elleni európai központjához. Az információszolgáltatás elősegítheti a jelenlegi és a jövőbeli fenyegetettség jobb megértését, és ezáltal hozzájárulhat az információs rendszerek elleni támadásokkal szembeni küzdelemmel és a megelőzésükkel kapcsolatos megfelelőbb és célzottabb döntéshozatalhoz.
(25)
A Bizottságnak jelentést kell benyújtania ezen irányelv alkalmazásáról, és az ezen irányelv hatályának esetleges kiterjesztésével járó jogalkotási javaslatokat kell tennie, a számítástechnikai bűnözés terén bekövetkező fejlődésre figyelemmel. Ilyen fejlődés lehet az olyan technológiai fejlesztés, amely például az információs rendszerek elleni támadások területén hatékonyabb fellépést tesz lehetővé, vagy amelyek megkönnyítik e támadások megelőzését vagy hatásuk minimalizálását. A Bizottságnak e célból figyelembe kell vennie az érintett szereplők - különösen az Europol és az ENISA - által készített, rendelkezésre álló elemzéseket és jelentéseket.
(26)
A számítástechnikai bűnözés elleni hatékony fellépés érdekében fontos az információs rendszerek ellenállóbbá tétele azáltal, hogy az informatikai támadásokkal szembeni hatékonyabb védelmet célzó, megfelelő intézkedések meghozatalára kerül sor. A tagállamoknak meg kell tenniük a szükséges intézkedéseket a kritikus infrastruktúráik részét képező információs rendszerek informatikai támadásokkal szembeni védelme érdekében, aminek részeként mérlegelniük kell az információs rendszereik és a bennük foglalt adatok védelmét. Az információs rendszerek megfelelő szintű védelmének és biztonságának a jogi személyek általi biztosítása - például a nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtása esetében a magánélet védelméről, az elektronikus hírközlésről és az adatvédelemről szóló, meglévő uniós jogszabályokkal összhangban - nélkülözhetetlen része a számítástechnikai bűnözés elleni hatékony küzdelemre alkalmazott átfogó megközelítésnek. Az ésszerűen feltárható veszélyekkel és sebezhetőséggel szemben megfelelő mértékű védelmet kell biztosítani, az egyes ágazatokra vonatkozó legkorszerűbb technológiákkal és az adott adatfeldolgozási helyzetekkel összhangban. Az e védelemmel járó költségeknek és terheknek az informatikai támadás által az érintettek számára valószínűen okozható kárral arányosaknak kell lenniük. A tagállamokat ösztönözni kell arra, hogy felelősségre vonással járó, megfelelő intézkedéseket hozzanak arra az esetre, ha valamely jogi személy nyilvánvalóan nem biztosított megfelelő szintű védelmet az informatikai támadásokkal szemben.
(27)
A tagállamok jogában és büntetőeljárásaiban az információs rendszerek elleni támadások területére vonatkozó szabályozottság mértékében és módjában fennálló jelentős különbségek akadályozhatják a szervezett bűnözés és a terrorizmus elleni küzdelmet, és megnehezíthetik a hatékony rendőrségi és igazságügyi együttműködést e területen. A modern információs rendszerek transznacionális és határok nélküli jellegéből adódóan az ilyen rendszerek elleni támadások határokon átnyúló természetűek, így hangsúlyozottan sürgős szükség van a büntetőjog e területen történő közelítését célzó további intézkedésekre. Ezen túlmenően az információs rendszerek elleni támadások miatt indított büntetőeljárások összehangolását a joghatóság gyakorlásával kapcsolatos, büntetőeljárások során felmerülő összeütközések megelőzéséről és rendezéséről szóló, 2009. november 30-i 2009/948/IB tanácsi kerethatározat (5) megfelelő átültetésével és alkalmazásával kell elősegíteni. Emellett a tagállamoknak az Unióval együttműködve arra kell törekedniük, hogy javítsák a nemzetközi együttműködést az információs rendszerek, a számítógépes hálózatok és a számítógépes adatok biztonsága területén. Az adatátvitel és az adattárolás biztonságára megfelelő figyelmet kell fordítani minden olyan nemzetközi megállapodásban, amely adatcserére is vonatkozik.
(28)
A számítástechnikai bűnözés elleni hatékony fellépés szempontjából elengedhetetlen az Unió egészében az illetékes bűnüldöző szervek és igazságügyi hatóságok közötti együttműködés javítása. Ezzel összefüggésben ösztönözni kell az arra irányuló fokozott erőfeszítéseket, hogy az érintett hatóságok megfelelő képzésben részesüljenek a számítástechnikai bűnözéssel és annak hatásával kapcsolatos ismeretek bővítése, valamint az együttműködés és a legjobb gyakorlatok cseréjének előmozdítása érdekében, például az illetékes szakosított uniós ügynökségek és szervek útján. Az említett képzésnek többek között a különböző tagállami jogrendszerekkel, a bűnügyi nyomozás lehetséges jogi és technikai kihívásaival és az érintett nemzeti hatóságok közötti hatáskörmegosztással kapcsolatos tájékozottság növelését kell céloznia.
(29)
Ez az irányelv tiszteletben tartja az emberi jogokat és alapvető szabadságokat, és betartja a különösen az Európai Unió Alapjogi Chartájában, valamint az emberi jogok és alapvető szabadságok védelméről szóló európai egyezményben kifejezésre juttatott alapelveket, beleértve a személyes adatok védelmét, a magánélet tiszteletben tartásához való jogot, a véleménynyilvánítás és a tájékozódás szabadságát, a tisztességes eljáráshoz való jogot, az ártatlanság vélelmét és a védelemhez való jogot, valamint a bűncselekmények és a szankciók törvényességének és arányosságának az elveit. Ennek az irányelvnek a célja különösen az említett jogok és alapelvek teljes tiszteletben tartásának biztosítása, ezért azt ennek megfelelően kell végrehajtani.
(30)
A személyes adatok védelme az EUMSZ 16. cikkének (1) bekezdése és az Európai Unió Alapjogi Chartájának 8. cikke értelmében alapvető jog. Ennélfogva a személyes adatok ezen irányelv végrehajtásával összefüggő feldolgozásának maradéktalanul meg kell felelnie a vonatkozó uniós adatvédelmi jogszabályoknak.
(31)
Az Európai Unióról szóló szerződéshez és az Európai Unió működéséről szóló szerződéshez csatolt, az Egyesült Királyságnak és Írországnak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség tekintetében fennálló helyzetéről szóló jegyzőkönyv 3. cikkével összhangban e tagállamok bejelentették, hogy részt kívánnak venni ennek az irányelvnek az elfogadásában és alkalmazásában.
(32)
Az Európai Unióról szóló szerződéshez és az Európai Unió működéséről szóló szerződéshez csatolt, Dánia helyzetéről szóló jegyzőkönyv 1. és 2. cikkével összhangban Dánia nem vesz részt ennek az irányelvnek az elfogadásában, az rá nézve nem kötelező és nem alkalmazandó.
(33)
Mivel ezen irányelv céljait, nevezetesen azt, hogy az információs rendszerek elleni támadásokat minden tagállamban hatékony, arányos és visszatartó erejű szankciókkal büntessék, valamint hogy az igazságügyi és egyéb illetékes hatóságok közötti együttműködést javítsák és ösztönözzék, a tagállamok nem tudják kielégítően megvalósítani, és ezért a léptékük vagy hatásuk miatt azok uniós szinten jobban megvalósíthatók, az Unió intézkedéseket hozhat az Európai Unióról szóló szerződés 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányosság elvének megfelelően ez az irányelv nem lépi túl az e célok eléréséhez szükséges mértéket.
(34)
Ezen irányelv célja az információs rendszerek elleni támadásokról szóló, 2005. február 24-i 2005/222/IB tanácsi kerethatározat (6) rendelkezéseinek módosítása és kiterjesztése. Mivel nagyszámú és lényeges módosításra van szükség, az egyértelműség érdekében a 2005/222/IB kerethatározatot az ezen irányelv elfogadásában részt vevő tagállamok tekintetében teljes egészében fel kell váltani,
ELFOGADTÁK EZT AZ IRÁNYELVET:
1. cikk
Tárgy
Ez az irányelv megállapítja az információs rendszerek elleni támadások terén elkövetett bűncselekmények és szankciók meghatározására vonatkozó minimumszabályokat. Célja továbbá az ilyen bűncselekmények megelőzésének elősegítése, valamint az igazságügyi és egyéb illetékes hatóságok közötti együttműködés javítása.
2. cikk
Fogalommeghatározások
Ezen irányelv alkalmazásában:
a) „információs rendszer”: minden olyan eszköz, illetve összekapcsolt vagy kapcsolódó eszközökből álló eszközcsoport, amelyek közül egy vagy több valamely program alapján automatikus adatfeldolgozást hajt végre számítógépes adatokon, valamint a működése, használata, védelme és karbantartása céljából az ezen eszköz vagy eszközcsoport által tárolt, feldolgozott, helyreállított vagy továbbított számítógépes adatokon;
b) „számítógépes adatok”: tények, információk vagy fogalmak megjelenítése olyan formában, amely alkalmassá teszi azokat egy információs rendszer általi feldolgozásra, beleértve azon programokat is, amelyek alkalmasak valamely funkciónak egy információs rendszer általi elvégeztetésére;
c) „jogi személy”: bármely jogalany, amely az alkalmazandó nemzeti jog szerint jogi személynek minősül; ide nem értve a tagállamokat, harmadik országokat, az állami hatáskört gyakorló közjogi szerveket, valamint a nemzetközi közjogi szervezeteket;
d) „jogosulatlanul”: ezen irányelvben említett olyan magatartás, ideértve a belépést, beavatkozást vagy adatszerzést, amelyet a rendszernek vagy a rendszer részének tulajdonosa vagy egyéb jogosultja nem engedélyezett, vagy amelyet a nemzeti jog nem tesz lehetővé.
3. cikk
Információs rendszerekhez való jogellenes hozzáférés
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a valamely információs rendszerhez vagy annak egy részéhez való, szándékosan és jogosulatlanul történő hozzáférés legalább a súlyosabb esetekben bűncselekménynek minősüljön akkor, ha a bűncselekményt valamely biztonsági intézkedés megsértésével követték el.
4. cikk
Rendszert érintő jogellenes beavatkozás
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a valamely információs rendszer működésének számítógépes adatok szándékos és jogosulatlan bevitele, továbbítása, megrongálása, törlése, minőségi rontása, megváltoztatása vagy elrejtése, vagy ilyen adatok szándékos és jogosulatlan hozzáférhetetlenné tétele révén történő súlyos akadályozása vagy megszakítása, legalább a súlyosabb esetekben bűncselekménynek minősüljön.
5. cikk
Adatot érintő jogellenes beavatkozás
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a valamely információs rendszer számítógépes adatainak szándékos és jogosulatlan törlése, megrongálása, minőségi rontása, megváltoztatása vagy elrejtése, vagy az ilyen adatok szándékos és jogosulatlan hozzáférhetetlenné tétele legalább a súlyosabb esetekben bűncselekménynek minősüljön.
6. cikk
Jogellenes adatszerzés
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy az információs rendszeren belülre, kívülre vagy azon belül továbbított, nem nyilvános számítógépes adatok - többek között az információs rendszerekből érkező, ilyen adatokat hordozó elektromágneses sugárzás - technikai eszközökkel történő, szándékos és jogosulatlan megszerzése, legalább a súlyosabb esetekben bűncselekménynek minősüljön.
7. cikk
A bűncselekmények elkövetéséhez használt eszközök
A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a következő eszközök jogosulatlan és bármely, a 3-6. cikkben említett bűncselekmény elkövetéséhez való felhasználásának szándékával való előállítása, árusítása, használatra történő beszerzése, behozatala, forgalomba hozatala vagy egyéb módon történő hozzáférhetővé tétele legalább a súlyosabb esetekben bűncselekménynek minősüljön:
a)
olyan számítógépes programok, amelyek elsősorban a 3-6. cikkben említett bármely bűncselekmény elkövetésére készültek vagy lettek átalakítva;
b)
olyan számítógépes jelszavak, belépési kódok vagy hasonló adatok, amelyekkel egy információs rendszerhez vagy annak egy részéhez hozzá lehet férni.
8. cikk
Felbujtás, bűnsegély és kísérlet
(1) A tagállamok biztosítják, hogy a 3-7. cikkben említett bűncselekményekre való felbujtás, vagy az azok elkövetéséhez nyújtott bűnsegély bűncselekménynek minősüljön.
(2) A tagállamok biztosítják, hogy a 4. és 5. cikkben említett bűncselekmények elkövetésének kísérlete bűncselekménynek minősüljön.
9. cikk
Szankciók
(1) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 3-8. cikkben említett bűncselekményeket hatékony, arányos és visszatartó erejű büntetőjogi szankciókkal sújtsák.
(2) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 3-7. cikkben említett bűncselekmények szabadságvesztéssel legyenek büntetendők, amelynek felső határa - legalább a súlyosabb esetekben - legalább két év.
(3) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 4. és 5. cikkben említett bűncselekmények - amennyiben azokat szándékosan követték el, és azok egy, a 7. cikkben említett eszköz használata révén jelentős számú információs rendszert érintettek - szabadságvesztéssel legyenek büntetendők, amelynek felső határa legalább három év.
(4) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 4. és 5. cikkben említett bűncselekmények szabadságvesztéssel legyenek büntetendők, amelynek felső határa legalább öt év, amennyiben:
a)
azokat a 2008/841/IB kerethatározat értelmében vett bűnszervezet keretében követték el, függetlenül az e kerethatározatban meghatározott szankciótól;
b)
azok súlyos kárt okoztak; vagy
c)
azokat valamely, a kritikus infrastruktúra részét képező információs rendszer ellen követték el.
(5) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy ha a 4. és 5. cikkben említett bűncselekményeket egy másik személy személyes adataival visszaélve követték el egy harmadik fél bizalmának elnyerése céljából, és ezáltal kárt okoztak a személyazonosság jogos tulajdonosának, akkor ezt a nemzeti joggal összhangban súlyosító körülménynek lehessen tekinteni, kivéve, ha e körülmény a nemzeti jog értelmében már egy másik bűncselekményt valósít meg.
10. cikk
A jogi személyek felelőssége
(1) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a jogi személyek felelősségre vonhatók legyenek a 3-8. cikkben említett azon bűncselekményekért, amelyeket akár saját nevében, akár a jogi személy valamely szervének tagjaként eljárva olyan személy követett el a jogi személy javára, aki a jogi személyen belül vezető tisztséget tölt be, amely a következők egyikén alapul:
a)
a jogi személy képviseletének joga;
b)
a jogi személy nevében történő döntéshozatal joga;
c)
a jogi személyen belüli ellenőrzés joga.
(2) A tagállamok megteszik a szükséges intézkedéseket annak érdekében, hogy a jogi személyek felelősségre vonhatók legyenek, amennyiben az (1) bekezdésben említett személy általi felügyelet vagy ellenőrzés hiánya tette lehetővé, hogy az adott jogi személy javára egy neki alárendelt személy a 3-8. cikkben említett valamely bűncselekményt elkövesse.
(3) A jogi személyeknek az e cikk (1) és (2) bekezdése alapján fennálló felelőssége nem zárja ki a büntetőeljárást azon természetes személyek ellen, akik a 3-8. cikkben említett bármely bűncselekményben tettesként, felbujtóként vagy bűnsegédként működtek közre.
11. cikk
A jogi személyekkel szemben alkalmazandó szankciók
(1) A tagállamok megteszik a szükséges intézkedéseket annak érdekében, hogy a 10. cikk (1) bekezdése alapján felelősségre vont jogi személy olyan hatékony, arányos és visszatartó erejű szankciókkal legyen büntetendő, amelyek magukban foglalnak büntetőjogi és nem büntetőjogi pénzbüntetéseket vagy bírságokat, és amelyek magukban foglalhatnak egyéb szankciókat is, mint például:
a)
az állami kedvezményekből és támogatásokból való kizárás;
b)
a kereskedelmi tevékenység folytatásától való átmeneti vagy végleges eltiltás;
c)
a bírósági felügyelet alá helyezés;
d)
a bíróság által elrendelt felszámolás;
e)
a bűncselekmény elkövetésére használt létesítmények ideiglenes vagy végleges bezárása.
(2) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy a 10. cikk (2) bekezdése alapján felelősségre vont jogi személy hatékony, arányos és visszatartó erejű szankciókkal vagy egyéb intézkedésekkel büntetendő legyen.
12. cikk
Joghatóság
(1) A tagállamok megállapítják joghatóságukat a 3-8. cikkben említett bűncselekmények tekintetében, amennyiben a bűncselekményt:
a)
egészben vagy részben a területükön követték el; vagy
b)
egy állampolgáruk követte el, legalább azokban az esetekben, ha a cselekmény az elkövetés helyén bűncselekménynek minősül.
(2) Az (1) bekezdés a) pontja szerinti joghatóság megállapításakor a tagállamok biztosítják, hogy joghatósággal rendelkezzenek abban az esetben, ha:
a)
az elkövető a bűncselekmény elkövetésekor fizikailag jelen van a területükön, függetlenül attól, hogy a bűncselekmény a területükön található információs rendszer ellen irányul-e; vagy
b)
a bűncselekmény a területükön található információs rendszer ellen irányul, függetlenül attól, hogy az elkövető a bűncselekmény elkövetésekor fizikailag jelen van-e a területükön.
(3) A tagállamok tájékoztatják a Bizottságot, ha úgy döntenek, hogy a 3-8. cikkben említett, a területükön kívül elkövetett bűncselekményekre vonatkozóan további joghatóságot állapítanak meg, többek között amennyiben:
a)
az elkövető szokásos tartózkodási helye a területükön van; vagy
b)
a bűncselekményt a területükön letelepedett jogi személy javára követték el.
13. cikk
Információcsere
(1) A tagállamok a 3-8. cikkben említett bűncselekményekre vonatkozó információk cseréjének céljából gondoskodnak saját operatív nemzeti kapcsolattartó pontjuk létrehozásáról, és arról, hogy igénybe veszik a meglévő, a hét minden napján 24 órában rendelkezésre álló operatív kapcsolattartó hálózatot. A tagállamok olyan eljárások működését is biztosítják, amelyek révén sürgős segítségkérés esetén az illetékes hatóság a kézhezvételtől számított 8 órán belül jelezheti legalább azt, hogy teljesíti-e a segítségkérést, valamint hogy ezt milyen formában és várhatóan mikor teszi.
(2) A tagállamok tájékoztatják a Bizottságot az (1) bekezdésben említett kijelölt kapcsolattartó pontjukról. A Bizottság továbbítja ezeket az információkat a többi tagállamnak, valamint az illetékes szakosított uniós ügynökségeknek és szerveknek.
(3) A tagállamok meghozzák a szükséges intézkedéseket annak érdekében, hogy megfelelő jelentéstételi csatornák álljanak rendelkezésre annak elősegítéséhez, hogy az illetékes nemzeti hatóságok felé indokolatlan késedelem nélkül be lehessen jelenteni a 3-6. cikkben említett bűncselekményeket.
14. cikk
Nyomon követés és statisztika
(1) A tagállamok biztosítják egy olyan rendszer meglétét, amely rögzíti, előállítja és rendelkezésre bocsátja a 3-7. cikkben említett bűncselekményekre vonatkozó statisztikai adatokat.
(2) Az (1) bekezdésben említett statisztikai adatoknak legalább a tagállamok által nyilvántartásba vett, a 3-7. cikkben említett bűncselekmények számára és a 3-7. cikkben említett bűncselekmények miatt büntetőeljárás alá vont és elítélt személyek számára vonatkozó, meglévő adatokat kell tartalmaznia.
(3) A tagállamok továbbítják a Bizottsághoz az e cikknek megfelelően gyűjtött adatokat. A Bizottság gondoskodik a statisztikai jelentések egységes áttekintésének közzétételéről, és annak az illetékes szakosított uniós ügynökségeknek és szerveknek történő megküldéséről.
15. cikk
A 2005/222/IB kerethatározat felváltása
Ez az irányelv az elfogadásában részt vevő tagállamok vonatkozásában a 2005/222/IB kerethatározat helyébe lép, a kerethatározat nemzeti jogba történő átültetésére vonatkozó határidővel kapcsolatos tagállami kötelezettségek érintése nélkül.
Az ezen irányelv elfogadásában részt vevő tagállamok vonatkozásában a felváltott 2005/222/IB kerethatározatra való hivatkozásokat az ezen irányelvre való hivatkozásként kell értelmezni.
16. cikk
Átültetés a nemzeti jogba
(1) A tagállamok hatályba léptetik azokat a törvényi, rendeleti és közigazgatási rendelkezéseket, amelyek szükségesek ahhoz, hogy ennek az irányelvnek 2015. szeptember 4-ig megfeleljenek.
(2) A tagállamok továbbítják a Bizottságnak azon intézkedések szövegét, amelyek az ezen irányelvből eredő kötelezettségeket nemzeti jogukba átültetik.
(3) Amikor a tagállamok elfogadják ezeket az intézkedéseket, azokban hivatkozni kell erre az irányelvre, vagy azokhoz hivatalos kihirdetésük alkalmával ilyen hivatkozást kell fűzni. A hivatkozás módját a tagállamok határozzák meg.
17. cikk
Jelentés
A Bizottság 2017. szeptember 4-ig jelentést nyújt be - szükség esetén jogalkotási javaslatok kíséretében - az Európai Parlamentnek és a Tanácsnak, amelyben értékeli, hogy a tagállamok milyen mértékben tették meg a szükséges intézkedéseket annak érdekében, hogy ezen irányelvnek megfeleljenek. A Bizottság figyelembe veszi a számítástechnikai bűnözés területére vonatkozó technikai és jogi fejleményeket is, különösen ezen irányelv hatályára való tekintettel.
18. cikk
Hatálybalépés
Ez az irányelv az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.
19. cikk
Címzettek
Ennek az irányelvnek a Szerződéseknek megfelelően a tagállamok a címzettjei.
Kelt Brüsszelben, 2013. augusztus 12-én.