sou · H1B339 · 2013-06-03 00:00:00 — Varje part ska vidta nödvändiga lagstiftningsåtgärder och andra åt- gärder för att i sin nationella lagstiftning straffbelägga uppsåtlig och orättmätig medhjälp till något av de brott som kriminaliseras i enlighet med detta protokoll med uppsåt att ett sådant brott ska begås. Kapitel III – Förhållandet mellan konventionen och detta protokoll Artikel 8 – Förhållandet mellan konventionen och detta protokoll 1.Artiklarna 1, 12, 13, 22, 41, 44, 45 och 46 i konventionen ska i tillämpliga delar gälla detta protokoll. 2.Parterna ska utvidga tillämpningsområdet för de åtgärder som anges i artiklarna 14–21 och 23–35 i konventionen på artiklarna 2–7 i detta protokoll. Kapitel IV – Slutbestämmelser Artikel 9 – Uttryck för samtycke till att vara bunden Detta protokoll ska stå öppet för undertecknande av de stater som har undertecknat konventionen. De kan uttrycka sitt samtycke till att vara bundna antingen genom a)undertecknande utan förbehåll för ratifikation, godtagande eller godkännande, eller b)undertecknande med förbehåll för ratifikation, godtagande eller godkännande, följt av ratifikation, godtagande eller godkännande. 2.En stat får inte underteckna detta protokoll utan förbehåll för ratifikation, godtagande eller godkännande eller deponera ett rati- fikations-, godtagande- eller godkännandeinstrument, om den inte redan har deponerat eller deponerar ett ratifikations-, godtagande- eller godkännandeinstrument avseende konventionen. 3.Ratifikations-, godtagande- och godkännandeinstrument ska depo- neras hos generalsekreterare. Artikel 10 – Ikraftträdande 1.Detta protokoll träder i kraft i den månad som följer efter utgången av en period efter den dag då fem stater har uttryckt sitt samtycke till att vara bundna av proto- kollet i enlighet med bestämmelserna i artikel 9. 2.För en stat som senare uttrycker sitt samtycke till att vara bunden av detta protokoll, träder det i kraft i den månad som följer efter utgången av en period efter den dag då staten undertecknade protokollet utan förbehåll för ratifikation, godtagande eller godkännande eller deponerade sitt ratifikations-, godtagande- eller godkännandeinstrument. Artikel 11 – Anslutning 1.Sedan detta protokoll har trätt i kraft får en stat som har anslutit sig till konventionen också ansluta sig till det. 2.Anslutning ska göras genom deponering hos gene- ralsekreterare av ett anslutningsinstrument, som börjar gälla i den månad som följer efter utgången av en period efter dagen för deponeringen. Artikel 12 – Förbehåll och förklaringar 1.Förbehåll och förklaringar som en part gör med avseende på en bestämmelse i konventionen ska också gälla detta protokoll, om inte parten förklarar något annat vid undertecknandet eller depo- neringen av sitt ratifikations-, godtagande-, godkännande eller anslut- ningsinstrument. 2.En stat får när den undertecknar detta protokoll eller deponerar sitt ratifikations-, godtagande-, godkännande- eller anslutnings- instrument genom ett skriftligt meddelande ställt till generalsekreterare förklara att den begagnar sig av möjligheten att kräva ytterligare rekvisit enligt vad som anges i artiklarna 3, 5 och 6 i protokollet. får en part, med avseende på bestämmel- serna i protokollet göra förbehåll som avses i artikel 22.2 och artikel 41.1 i konventionen, oavsett eventuella förbehåll som denna part har gjort enligt konventionen. Inget annat förbehåll får göras. 3.En stat får när den undertecknar detta protokoll eller deponerar sitt ratifikations-, godtagande-, godkännande- eller anslutnings- instrument genom ett skriftligt meddelande ställt till generalsekreterare förklara att den begagnar sig av möjligheten att kräva sådana ytterligare rekvisit som avses i artikel 5.2 a och arti- kel 6.2 a i detta protokoll. Artikel 13 – Förbehållens status och återtagande 1.En part som har gjort ett förbehåll i enlighet med artikel 12 ska helt eller delvis återta detta så snart som omständigheterna medger. Återtagandet börjar gälla den dag då generalsekreteraren mottar meddelandet. Om det i detsamma anges att återtagandet av ett för- behåll ska börja gälla som anges där, och denna dag infaller efter den dag då generalsekreteraren mottog meddelandet, ska åter- tagandet börja gälla den senare dagen. 2.Europarådets generalsekreterare får regelbundet fråga de parter som har gjort ett eller flera förbehåll som avses i artikel 12 om ut- sikterna att de återtar förbehållen. Artikel 14 – Territoriell tillämpning 1.En part kan när den undertecknar detta protokoll eller deponerar sitt ratifikations-, godtagande-, godkännande- eller anslutnings- instrument ange för vilket eller vilka territorier protokollet ska tillämpas. 2.En part kan genom en förklaring ställd till generalsekreterare utsträcka tillämpningen av proto- kollet till ett annat territorium som anges i förklaringen. I förhåll- ande till ett sådant territorium träder protokollet i kraft i den månad som följer efter utgången av en period efter den dag då generalsekreteraren mottog förklaringen. 3.En förklaring som avgivits enligt de båda föregående punkterna kan, med avseende på ett territorium som anges i förklaringen, återtas genom ett meddelande ställt till generalsekre- terare. Återtagandet börjar gälla i den månad som följer efter utgången av en period efter den dag då generalsekreteraren mottog meddelandet. Artikel 15 – Uppsägning 1.En part får när som helst säga upp detta protokoll genom ett meddelande ställt till generalsekreterare. 2.Uppsägningen börjar gälla i den månad som följer efter utgången av en period efter den dag då generalsekreteraren mottog meddelandet. Artikel 16 – Meddelanden generalsekreterare ska meddela medlems- stater, de icke-medlemsstater som har deltagit i utarbetandet av detta protokoll samt de stater som har anslutit sig till det eller in- bjudits att ansluta sig till det om a)undertecknanden, b)deponering av ratifikations-, godtagande-, godkännande- och anslutningsinstrument, c)dag för protokollets ikraftträdande enligt artiklarna 9–11, d)andra handlingar, meddelanden eller underrättelser som rör protokollet. Till bekräftelse härav har undertecknade, därtill vederbörligen be- myndigade, undertecknat detta protokoll. Upprättat i på engelska och franska, vilka båda texter är lika giltiga, i ett enda exemplar, som ska depo- neras i arkiv. generalsekreterare ska översända en bestyrkt kopia till varje medlemsstat i , de icke-medlemsstater som har deltagit i utarbetandet av detta protokoll samt till de stater som har inbjudits att ansluta sig till det. SN 2923/12 2010/0273 (COD) OCH RÅDETS DIREKTIV (EU) nr /2012 om angrepp mot informationssystem och om ersättande av rådets rambeslut /222/RIF om angrepp mot informationssystem och om ersättande av rådets rambeslut /222/RIF OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 83.1, med beaktande av Europeiska kommissionens förslag1, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande2, med beaktande av yttrande, i enlighet med det ordinarie lagstiftningsförfarandet3, och av följande skäl: (1)Syftet med detta direktiv är att tillnärma medlemsstaternas straffrättsliga lagstiftning på området angrepp mot informa- tionssystem, genom att fastställa minimiregler om fastställan- de av brottsrekvisit och påföljder inom detta område, och att förbättra samarbetet mellan behöriga myndigheter, inbegripet polismyndigheter och andra specialiserade brottsbekämpande organ i medlemsstaterna samt unionen behöriga specialise- rade organ såsom Eurojust, Europol och dess europeiska it- 3Europaparlamentets ståndpunkt av den (ännu ej offentliggjord i EUT) och rådets beslut av den... brottscentrum samt Europeiska byrån för nät- och informa- tionssäkerhet (). (1a) Informationssystem är av central betydelse för det politiska, sociala och ekonomiska samspelet i unionen. Samhället är starkt och i allt högre grad beroende av sådana system. Att dessa system fungerar smidigt och säkert i unionen är en förut- sättning för utvecklingen av den inre marknaden och för en konkurrenskraftig och innovativ ekonomi. Säkerställande av lämpliga skyddsnivåer för informationssystem bör ingå i ett effektivt övergripande ramverk med förebyggande åtgärder, tillsammans med straffrättsliga åtgärder mot it-brott. (2)Angrepp mot informationssystem, särskilt angrepp som är kopplade till organiserad brottslighet, är ett växande problem både inom unionen och på global nivå, och oron ökar för ter- roristattacker eller politiskt motiverade angrepp mot de infor- mationssystem som ingår i medlemsstaternas och unionens kritiska infrastruktur. Detta utgör ett hot mot arbetet för att skapa ett säkrare informationssamhälle och ett område med frihet, säkerhet och rättvisa och kräver därför motåtgärder på unionsnivå och bättre samordning och samarbete på inter- nationell nivå. (2a) Inom unionen finns det en rad kritiska infrastrukturer för vilka driftstörningar eller förstörelse skulle kunna få bety- dande gränsöverskridande konsekvenser. Det har visat sig att behovet av att förbättra förmågan att skydda kritisk infra- struktur i unionen innebär att åtgärderna mot angrepp mot informationssystem bör kompletteras med allvarliga straffrätts- liga påföljder som återspeglar angreppens svårhetsgrad. Med kritisk infrastruktur avses anläggningar, system eller delar av dessa belägna i medlemsstaterna som är nödvändiga till exem- pel för att upprätthålla centrala samhällsfunktioner, hälsa, säker- het, försörjningstrygghet och ekonomiska eller sociala välfärd såsom kraftverk, transportnät eller nätverk av myndigheter och där driftstörning eller förstörelse av dessa skulle få betydande konsekvenser i en medlemsstat till följd av att man inte lyckas upprätthålla dessa funktioner. (3)Det finns bevis för en utveckling mot allt farligare och mer återkommande storskaliga angrepp mot informationssystem som ofta kan vara av vital betydelse för stater eller särskilda funktioner i den offentliga eller privata sektorn. Till denna tendens kommer alltmer sofistikerade metoder, såsom skapan- de och användning av s.k. botnät, som omfattar flera skeden i en brottslig gärning, där varje skede i sig kan utgöra ett all- varligt hot mot allmänna intressen. Direktivet syftar här bland annat till att införa straffrättsliga påföljder i det skede där bot- nätet skapas, då ett stort antal datorer kan tas över och fjärr- styras till följd av att de har infekterats via sabotageprogram genom riktade it-angrepp. I ett senare skede kan de smittade datorerna, som utgör botnätet, utan användarnas vetskap akti- veras för storskaliga it-angrepp, som i allmänhet kan orsaka allvarlig skada, som anges i detta direktiv. Medlemsstaterna får fastställa vad som utgör allvarlig skada enligt nationell lag- stiftning och praxis, vilket bland annat kan innebära störning av systemtjänster av stort allmänintresse, orsakande av stora ekonomiska kostnader eller förlust av personuppgifter eller känslig information. (3a) Storskaliga angrepp kan orsaka betydande ekonomiska ska- dor på grund av avbrott i informationssystemens drift och i kommunikationen och förlust eller förvanskning av hemlig information som är viktig ur kommersiell synpunkt eller andra uppgifter. Särskild uppmärksamhet bör ägnas åt att öka med- vetenheten hos innovativa små och medelstora företag om hot och svagheter, med tanke på att de i allt större utsträck- ning är beroende av att informationssystem fungerar korrekt och är tillgängliga, och de ofta begränsade resurser de har för informationssäkerhet. (4)Gemensamma definitioner på detta område är viktiga för att säkerställa att detta direktiv tillämpas enhetligt i medlemssta- terna. (5)Det finns ett behov av att fastställa en gemensam inställning i fråga om brottsrekvisit, genom att gemensamt kriminalisera olagligt intrång i informationssystem, olaglig systemstörning, olaglig datastörning och olaglig avlyssning. (5a) Avlyssning omfattar, men är inte nödvändigtvis begränsat till, avlyssning och övervakning av kommunikationsinnehåll och framskaffande av uppgifter, antingen direkt genom åtkomst till och användning av informationssystem eller indirekt med tekniska hjälpmedel, genom användning av olika typer av elektroniska avlyssningsanordningar. (6)Medlemsstaterna bör fastställa påföljder för angrepp mot infor- mationssystem. De påföljder som fastställs bör vara effektiva, proportionella och avskräckande och bör inbegripa fängelse- straff och/eller ekonomiska påföljder. (6a) I direktivet föreskrivs straffrättsliga påföljder åtminstone i fall som inte är ringa. Medlemsstaterna får fastställa vad som utgör ett ringa fall i enlighet med deras nationella lagstiftning och praxis. Ett fall kan anses vara ringa till exempel när den skada och/eller risk som gärningen medför för offentliga eller privata intressen, såsom ett datasystems eller datorbehand- lingsbara uppgifters integritet eller en persons integritet, rättigheter och andra intressen, är obetydlig eller av sådan art att åläggande av straffrättsliga påföljder inom den lagstadgade gränsen eller åläggande av straffrättsligt ansvar inte är nöd- vändigt. (6b) Identifiering och rapportering av hot och risker från it- angrepp och svagheter i informationssystem bör ingå i ett effektivt förebyggande av och effektiva motåtgärder mot it- angrepp och i förbättrad säkerhet för informationssystem. Effekten kan förstärkas genom incitament att rapportera säker- hetsbrister. Medlemsstaterna bör sträva efter att ge möjlighe- ter att på ett lagligt sätt upptäcka och rapportera säkerhets- brister. (7)Det är lämpligt att föreskriva strängare påföljder när ett an- grepp mot ett informationssystem görs inom ramen för en sådan kriminell organisation som avses i rådets rambeslut /841/RIF av om kampen mot organiserad brottslighet4, eller när angreppet är storskaligt och därmed påverkar ett betydande antal informationssystem 4 EUT L 300, 11.11.2008, s. 42. eller orsakar avsevärd skada, inklusive när angreppet syftar till att skapa ett botnät eller genomförs via ett botnät och där- med orsakar allvarlig skada. Det är också lämpligt att före- skriva strängare påföljder när ett sådant angrepp riktas mot kritisk infrastruktur. (7a) Införandet av effektiva åtgärder mot identitetsstöld och andra identitetsrelaterade brott utgör en annan viktig del i en sam- lad ansats mot it-brottslighet. Behovet av unionsåtgärder mot denna typ av brottsligt beteende kan också övervägas vid ut- värderingen av behovet av ett övergripande horisontellt unions- instrument. (8)Enligt rådets slutsatser av den 27–bör det utarbetas en ny strategi i samarbete med kommissionen och medlemsstaterna, med hänsyn till konvention om it-brottslighet. Konventionen är den viktigaste rättsliga referensramen när det gäller att bekämpa it-brotts- lighet, inklusive angrepp mot informationssystem. Detta direk- tiv bygger på den konventionen. Det bör därför ses som en prioritet att alla medlemsstaters ratificering av konventionen slutförs . (9)Med hänsyn till de olika metoder som kan användas för att angripa informationssystem och till den snabba utvecklingen av hård- och programvara, hänvisar detta direktiv till verktyg som kan användas för att begå brott som förtecknas i detta direktiv. Verktyg i denna mening är exempelvis sabotagepro- gram, inklusive sådana som kan skapa botnät, som används för angrepp mot informationssystem. Även om ett verktyg är lämpat eller till och med särskilt lämpat för de brott som för- tecknas i detta direktiv kan verktyget vara tillverkat för lag- liga ändamål. Eftersom det finns ett behov av att undvika kriminalisering av fall där sådana verktyg tillverkas och saluförs för lagliga ändamål, t.ex. för test av informationsteknikpro- dukters funktionssäkerhet eller informationssystems säkerhet, måste, utöver det allmänna kravet på uppsåt, också ett krav på direkt uppsåt uppfyllas, att dessa verktyg är avsedda att an- vändas för att begå något av de brott som förtecknas i detta direktiv. (10a) Detta direktiv syftar inte till att ålägga straffrättsligt ansvar när de objektiva kriterierna för brott som förtecknas i detta direktiv är uppfyllda, men som begås utan brottsligt uppsåt, till exempel när en person inte visste att det rörde sig om obe- hörig åtkomst eller vid föreskrivna test eller skydd av infor- mationssystem, dvs. när en person har fått i uppdrag av ett företag eller en leverantör att testa styrkan hos dess säker- hetssystem. Avtalsenliga skyldigheter eller överenskommel- ser om att begränsa åtkomst till informationssystem genom användarpolicy eller användarvillkor samt arbetsmarknads- tvister om åtkomst till och användning av arbetsgivarens infor- mationssystem för privata ändamål, bör inte föranleda straff- rättsligt ansvar enligt detta direktiv, om åtkomsten under dessa omständigheter skulle bedömas vara otillåten och således ut- göra den enda grunden för lagföring. Detta direktiv påverkar inte den lagligt garanterade rätten till åtkomst till informa- tion i enlighet med nationell lagstiftning och unionslagstiftning, men får inte fungera som undantag för att motivera olaglig och godtycklig åtkomst till information. (10b) It-angrepp kan underlättas av olika omständigheter, till exem- pel när förövaren i tjänsten har åtkomst till de säkerhetssystem som är inbyggda i de drabbade informationssystemen. Inom ramen för den nationella lagstiftningen bör sådana omstän- digheter på lämpligt sätt beaktas vid lagföring. (10c) Medlemsstaterna bör ange försvårande omständigheter i sin nationella lagstiftning i enlighet med de tillämpliga regler om försvårande omständigheter som fastställts genom deras rättssystem. De bör se till att rätten vid lagföring kan beakta dessa försvårande omständigheter. Rätten ska göra en prövning av dessa omständigheter tillsammans med övriga omständigheter i det enskilda fallet. (10d) Detta direktiv reglerar inte de villkor som ska vara uppfyllda för att man ska kunna utöva behörighet över något av de brott som avses i artiklarna 3–8, exempelvis att det ska föreligga en anmälan från offret på den plats där brottet begicks eller en formell underrättelse från den stat där brottet begicks, eller om det förhåller sig så att gärningsmannen inte har lagförts på den plats där gärningen har begåtts. (10e) Stater och offentliga organ är, inom ramen för detta direktiv, skyldiga att till fullo garantera respekten för de mänskliga rättigheterna och grundläggande friheterna, i enlighet med gällande unionsförpliktelser och internationella förpliktelser. (11)Genom detta direktiv stärks betydelsen av nätverk, såsom G8 eller nätverk av kontaktpunkter, som är tillgäng- liga veckans . Sådana kontakt- punkter bör kunna ge konkret stöd och till exempel kunna underlätta utbyte av tillgänglig relevant information eller till- handahålla teknisk rådgivning eller rättslig information i ut- redningar eller rättegångar rörande brott med anknytning till informationssystem och data som rör den begärande med- lemsstaten. För att nätverken ska kunna fungera smidigt bör varje kontaktpunkt kunna kommunicera med kontaktpunkter i andra medlemsstater omgående, bland annat med hjälp av utbildad och utrustad personal. Med hänsyn till hur snabbt storskaliga it-angrepp kan genomföras, bör medlemsstaterna ha kapacitet att snabbt besvara brådskande förfrågningar från detta nät av kontaktpunkter. I sådana fall kan det vara lämp- ligt att förfrågan om information åtföljs av en telefonkontakt, för att se till att den anmodade medlemsstaten behandlar för- frågan snabbt och ger återkoppling . (11a) Samarbete mellan de offentliga myndigheterna och den pri- vata sektorn och det civila samhället är mycket viktigt för att förebygga och motverka angrepp mot informationssystem. Det är nödvändigt att främja och förbättra samarbetet mellan tjänsteleverantörer, producenter, brottsbekämpande organ och rättsliga myndigheter som rättsstatsprincipen beaktas fullt ut. Samarbetet kan inbegripa t.ex. stöd från tjänste- leverantörernas sida när det gäller att säkra potentiella bevis, bidra till fastställandet av gärningsmännens identitet och, som en sista utväg, i enlighet med nationell rätt, inklusive natio- nell lagstiftning och rättspraxis, helt eller delvis stänga ned informationssystem eller funktioner som har angripits eller använts för olagliga ändamål. Medlemsstaterna bör också över- väga att inrätta nätverk för samarbete och partnerskap med tjänsteleverantörer och producenter för utbyte av uppgifter om de brott som omfattas av detta direktiv. (12)Det finns behov av att samla in jämförbara data om de brott som avses i detta direktiv. Relevanta data bör göras tillgäng- liga för behöriga specialiserade organ, t.ex. Europol och Euro- peiska byrån för nät- och informationssäkerhet i enlighet med deras uppdrag och informationsbehov, för att skaffa en mer heltäckande bild av problemet med it-brottslighet och nätverks- och informationssäkerhet på unionsnivå och där- igenom medverka till utformningen av mer effektiva mot- åtgärder. Medlemsstaterna bör översända uppgifter om gär- ningsmännens tillvägagångssätt till Europol för utarbetande av hotbedömningar och strategiska analyser i samband med it-brottslighet i enlighet med rådets beslut /371/RIF. Information kan bidra till bättre insikt om nuvarande och fram- tida hot och därmed bidra till att bättre och mer målinriktade beslut fattas om bekämpande och förebyggande av angrepp mot informationssystem. (12a) I enlighet med detta direktiv ska kommissionen överlämna en rapport om tillämpningen av direktivet och lägga fram nöd- vändiga förslag till lagstiftning som kan leda till att detta direktivs räckvidd utvidgas med hänsyn till utvecklingen på området för it-brottslighet. Exempel på sådan utveckling är tekniska lösningar som bland annat möjliggör effektivare verk- ställighet på området för angrepp mot informationssystem, eller som gör det lättare att förebygga eller minimera kon- sekvenserna av sådana angrepp. Kommissionen bör för detta ändamål beakta tillgängliga analyser och rapporter som ut- arbetats av relevanta aktörer, särskilt Europol och . (12b) För att man effektivt ska kunna bekämpa it-brottslighet är det nödvändigt att öka informationssystemens motstånds- kraft genom lämpliga åtgärder för att bättre skydda dem mot it-angrepp. Medlemsstaterna bör vidta nödvändiga åtgärder för att skydda kritisk infrastruktur från it-angrepp, och skyd- det av deras informationssystem med tillhörande data bör ingå i det. Att se till att juridiska personer har en tillräckligt hög skydds- och säkerhetsnivå på informationssystem, t.ex. i samband med tillhandahållande av offentligt tillgängliga elektro- niska kommunikationstjänster i enlighet med gällande unions- lagstiftning om integritet och elektronisk kommunikation samt om dataskydd, är en viktig del i en övergripande strategi för att effektivt motverka it-brottslighet. Lämpliga skydds- nivåer bör tillhandahållas mot hot och svagheter som rimligen kan identifieras i enlighet med den senaste utvecklingen inom den specifika sektorn och de konkreta situationerna för data- behandlingen. De kostnader och bördor som ett sådant skydd medför bör stå i förhållande till den sannolika skadan av ett it-angrepp för de drabbade. Medlemsstaterna uppmanas att fastställa relevanta åtgärder i fråga om ansvar inom ramen för nationell lagstiftning när det är uppenbart att en juridisk per- son inte har haft en lämplig skyddsnivå mot it-angrepp. (13)Stora klyftor och skillnader i medlemsstaternas lagstiftning och straffrättsliga förfaranden på detta område kan försvåra kampen mot organiserad brottslighet och terrorism, och komplicera ett effektivt polisiärt och rättsligt samarbete när det gäller angrepp mot informationssystem.