prop · H10392 · 2014-02-19 00:00:00 — Vid bedömande av om brottet är grovt ska det särskilt beaktas om gärningen har orsakat allvarlig skada eller avsett ett stort antal uppgifter eller annars varit av särskilt farlig art. Omständigheten ska vara täckt av den tilltalades uppsåt. Med allvarlig skada avses främst betydande ekonomiska skador. Vid sidan av de rent ekonomiska effekterna kan det emellertid även finnas andra skador som särskilt bör beaktas. Allvarliga skadeverkningar som ett rubbat förtroende har fört med sig för en verksamhet kan beaktas som en allvarlig skada i bestämmelsens mening. Även annan allvarlig skada än ekonomisk som drabbar enskilda till följd av dataintrånget bör kunna beaktas. Det kan handla om skada till följd av ett intrång som innebär åtkomst till synnerligen känsliga personuppgifter som kan komma att missbrukas med allvarliga konsekvenser för den enskilde. Som exempel kan nämnas uppgifter som kan röja identiteten avseende en person som har fingerade personuppgifter eller adressuppgifter för personer som medgetts kvarskrivning. Med att gärningen avsett ett stort antal uppgifter avses bl.a. omfattande spridning av datavirus eller andra sabotageprogram. Även fall där ett stort antal uppgifter har raderats eller ändrats eller om någon har berett sig tillgång till en stor mängd uppgifter kan medföra att brottet bedöms som grovt. Ett annat exempel är omfattande tillgänglighetsattacker eller andra storskaliga attacker som inneburit betydande ingrepp i viktiga kommunikationer genom att gärningsmannen allvarligt har stört eller hindrat att ett stort antal uppgifter kan användas på avsett sätt. förhållande att gärningen avsett ett stort antal uppgifter bör dock inte alltid medföra att gärningen bedöms som grovt dataintrång. Omständigheterna vid t.ex. en tillgänglighetsattack kan vara sådana att den endast fått begränsade konsekvenser. Med att gärningen annars varit av särskilt farlig art avses bl.a. fall där själva förfarandet i sig eller det mål som gärningen riktat sig mot är att se som en försvårande omständighet. Så kan vara fallet om tillvägagångsättet varit förslaget och gjort brottsligheten svårupptäckt. Också när gärningar begås med raffinerade metoder såsom t.ex. användningen av botnät, det vill säga övertagande och fjärrstyrning av ett stort antal datorer genom att infektera dem via sabotageprogram genom riktade angrepp, kan det vara fråga om särskilt farlig art. Det bör även beaktas om brottet begåtts mot ett kritiskt infrastruktursystem som upprätthåller viktiga samhällsfunktioner, t.ex. inom hälso- och sjukvård eller allmänna kommunikationsmedel. Även bankers informations- och betalningssystem tillhör särskilt skyddsvärda mål. Uppräkningen är inte uttömmande utan även andra försvårande omständigheter ska beaktas. Domstolen ska göra en helhetsbedömning av samtliga omständigheter i det enskilda fallet. Förhållandet mellan dataintrång och övriga brott får avgöras enligt sedvanliga konkurrensregler. Det innebär normalt att när det är fråga om konkurrens mellan dataintrångsbrottet och ett annat brott med samma skyddsintresse, så ska domstolen enbart döma för det brott som har den strängare straffskalan. För övriga konkurrenssituationer som kan förekomma får domstolen göra en prövning i varje enskilt fall enligt gällande konkurrensprinciper. 10 § För försök, förberedelse eller stämpling till människorov, människohandel eller olaga frihetsberövande och för underlåtenhet att avslöja ett sådant brott döms det till ansvar enligt 23 kap. Detsamma gäller för försök eller förberedelse till olaga tvång som är grovt, dataintrång som om det fullbordats inte skulle ha varit att anse som ringa, eller grovt dataintrång. Paragrafen har ändrats på så sätt att grovt dataintrång har lagts till i sista meningen. Ändringen innebär att det uttryckligen framgår att försök och förberedelse till grovt dataintrång är straffbart. Ändringen har behandlats i avsnitt 7. Paragrafen har också ändrats språkligt. L 218/8 Europeiska unionens officiella tidning OCH RÅDETS DIREKTIV 2013/40/EU av om angrepp mot informationssystem och om ersättande av rådets rambeslut /222/RIF OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel 83.1, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de natio nella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommit téns yttrande (1), i enlighet med det ordinarie lagstiftningsförfarandet (2), och av följande skäl: (1)Målen för detta direktiv är att tillnärma medlemsstaternas straffrättsliga lagstiftning vad gäller angrepp mot infor mationssystem, genom att fastställa minimiregler om fastställande av brottsrekvisit och påföljder, och att för bättra samarbetet mellan behöriga myndigheter, inbegri pet polismyndigheter och andra specialiserade brotts bekämpande organ i medlemsstaterna samt behöriga spe cialiserade unionsbyråer och -organ såsom Eurojust, Eu ropol och dess europeiska it-brottscentrum samt Europe iska byrån för nät- och informationssäkerhet (). (2)Informationssystem är av central betydelse för det poli tiska, sociala och ekonomiska samspelet i unionen. hället är i högsta grad och i växande utsträckning bero ende av sådana system. Att dessa system fungerar smidigt och säkert i unionen är en förutsättning för utvecklingen av den inre marknaden och för en konkurrenskraftig och innovativ ekonomi. Säkerställande av en lämplig skydds nivå för informationssystem bör ingå i ett effektivt över gripande ramverk med förebyggande åtgärder, tillsam mans med straffrättsliga åtgärder mot it-relaterad brotts lighet. (3)Angrepp mot informationssystem, särskilt angrepp som är kopplade till organiserad brottslighet, är ett växande problem både inom unionen och på global nivå, och oron ökar för terroristattacker eller politiskt motiverade angrepp mot de informationssystem som ingår i med lemsstaternas och unionens kritiska infrastruktur. (1) EUT C 218, 23.7.2011, s. 130. (2) ståndpunkt av (ännu ej offent liggjord i EUT) och rådets beslut av . utgör ett hot mot arbetet för att skapa ett säkrare infor mationssamhälle och ett område med frihet, säkerhet och rättvisa och kräver därför åtgärder på unionsnivå och bättre samarbete och samordning på internationell nivå. (4)Inom unionen finns det en rad kritiska infrastrukturer för vilka driftstörningar, eller vars förstörelse, skulle kunna få betydande gränsöverskridande konsekvenser. Det har vi sat sig att behovet av att förbättra förmågan att skydda kritisk infrastruktur i unionen innebär att åtgärderna mot angrepp mot informationssystem bör kompletteras med stränga straffrättsliga påföljder som återspeglar angrep pens svårhetsgrad. Med kritisk infrastruktur kan avses anläggningar, system eller delar av dessa belägna i med lemsstaterna som är nödvändiga för att upprätthålla cen trala samhällsfunktioner, hälsa, säkerhet, trygghet och människors ekonomiska eller sociala välfärd, såsom kraft verk, transportnät eller myndighetsnätverk, och där stör ningar i driften eller förstörelse av dessa skulle få bety dande konsekvenser i en medlemsstat till följd av att man inte lyckas upprätthålla dessa funktioner. (5)Det finns tecken på en utveckling mot allt farligare och återkommande storskaliga angrepp mot informations system som ofta är av vital betydelse för medlemsstater eller särskilda funktioner i den offentliga eller privata Denna tendens är förenad med utvecklingen av alltmer sofistikerade metoder, såsom skapande och an vändning av s.k. botnät, som omfattar flera skeden i en brottslig gärning, där varje skede i sig kan utgöra ett allvarligt hot mot allmänna intressen. Detta direktiv syftar bland annat till att införa straffrättsliga påföljder för ska pandet av botnät, det vill säga övertagande och fjärrs tyrning av ett stort antal datorer genom att infektera dem via sabotageprogram genom riktade it-angrepp. När de väl har skapats kan de infekterade datorerna, som utgör botnätet, utan användarnas vetskap aktiveras för storskaliga it-angrepp, som i allmänhet kan orsaka allvarlig skada, på det sätt som avses i detta direktiv. Medlemsstaterna får fastställa vad som utgör allvarlig skada enligt deras nationella rätt och praxis, exempelvis störning av systemtjänster av stort allmänintresse, orsa kande av stora ekonomiska kostnader eller förlust av personuppgifter eller känslig information. (6)Storskaliga it-angrepp kan orsaka betydande ekonomiska skador på grund av avbrott i informationssystemens drift och i kommunikationen och förlust eller förvanskning av hemlig information som är viktig ur kommersiell syn punkt eller andra uppgifter. Särskild uppmärksamhet bör ägnas åt att öka medvetenheten hos innovativa små och medelstora företag om vilka hot sådana angrepp utgör och deras sårbarhet för angrepp av detta slag, med tanke på att de i allt större utsträckning är beroende av att informationssystem fungerar korrekt och är tillgäng liga, och de ofta begränsade resurser de har för infor mationssäkerhet. Europeiska unionens officiella tidning L 218/9 (7)Gemensamma definitioner på detta område är viktiga för att säkerställa att detta direktiv tillämpas enhetligt i med lemsstaterna. (8)Det finns ett behov av att fastställa en gemensam inställ ning i fråga om brottsrekvisit, genom att gemensamt kriminalisera olagligt intrång i informationssystem, olag lig systemstörning, olaglig datastörning och olaglig av lyssning. (9)Avlyssning omfattar, men är inte nödvändigtvis begrän sad till, avlyssning, kontroll eller övervakning av kom munikationsinnehåll och anskaffande av uppgifter, an tingen direkt genom åtkomst till och användning av in formationssystem eller indirekt med tekniska hjälpmedel, genom användning av olika typer av elektroniska avlyss ningsanordningar eller avlyssning med tekniska hjälpme del. (10)Medlemsstaterna bör fastställa påföljder för angrepp mot informationssystem. De påföljder som fastställs bör vara effektiva, proportionella och avskräckande och bör in begripa fängelsestraff och/eller böter. (11)I detta direktiv föreskrivs straffrättsliga påföljder åtmin stone i fall som inte är ringa. Medlemsstaterna får fast ställa vad som utgör ett ringa fall enligt deras nationella rätt och praxis. Ett fall kan anses vara ringa till exempel när den skada och/eller risk som gärningen medför för offentliga eller privata intressen, såsom ett datasystems eller datorbehandlingsbara uppgifters integritet eller en persons integritet, rättigheter och andra intressen, är obe tydlig eller av sådan art att åläggande av straffrättsliga påföljder inom den lagstadgade gränsen eller åläggande av straffrättsligt ansvar inte är nödvändigt. (12)Identifiering och rapportering av hot och risker från itangrepp och svagheter i informationssystem bör ingå i ett effektivt förebyggande av och effektiva åtgärder mot it-angrepp och för att förbättra säkerheten i infor mationssystem. Effekten kan förstärkas genom incitament att rapportera säkerhetsbrister. Medlemsstaterna bör sträva efter att ge i lag föreskrivna möjligheter att upp täcka och rapportera säkerhetsbrister. (13)Det är lämpligt att föreskriva strängare påföljder när ett angrepp mot ett informationssystem görs inom ramen för en sådan kriminell organisation som avses i rådets rambeslut /841/RIF av om kampen mot organiserad brottslighet (1), när it-angreppet är storskaligt och därmed påverkar ett betydande antal informationssystem, inklusive när angreppet syftar till att skapa ett botnät, eller när it-angreppet orsakar allvarlig skada, inklusive när det genomförs via ett botnät. (1) EUT L 300, 11.11.2008, s. 42. också lämpligt att föreskriva strängare påföljder när ett sådant angrepp riktas mot kritisk infrastruktur i med lemsstaterna eller unionen. (14)Införandet av effektiva åtgärder mot identitetsstöld och andra identitetsrelaterade brott utgör en annan viktig del i en samlad ansats mot it-relaterad brottslighet. Behovet av unionsåtgärder mot denna typ av brottsligt beteende kan också övervägas vid utvärderingen av behovet av ett övergripande horisontellt unionsinstrument. (15)Enligt rådets slutsatser av den 27–bör det utarbetas en ny strategi i samarbete med med lemsstaterna och kommissionen, med hänsyn till rådets konvention om it-relaterad brottslighet. Konventionen är den viktigaste rättsliga referensramen när det gäller att bekämpa it-relaterad brottslighet, inklu sive angrepp mot informationssystem. Detta direktiv byg ger på den konventionen. Det bör därför ses som en prioritet att alla medlemsstater slutför ratificeringen av konventionen . (16)Med hänsyn till de olika metoder som kan användas för att angripa informationssystem och till den snabba ut vecklingen av hård- och programvara, hänvisar detta di rektiv till verktyg som kan användas för att begå brott som anges i detta direktiv. Verktyg i denna mening är exempelvis sabotageprogram, inklusive sådana som kan skapa botnät, som används för it-angrepp. Även om ett verktyg är lämpat eller särskilt lämpat för att utföra ett av de brott som anges i detta direktiv kan verktyget vara tillverkat för lagliga ändamål. Eftersom det finns ett be hov av att undvika kriminalisering av fall där sådana verktyg tillverkas och saluförs för lagliga ändamål, t.ex. för test av it-produkters funktionssäkerhet eller infor mationssystems säkerhet, måste, utöver det allmänna kra vet på uppsåt, också ett krav på direkt uppsåt uppfyllas, att dessa verktyg är avsedda att användas för att begå ett eller flera av de brott som anges i detta direktiv. (17)Detta direktiv ålägger inte straffrättsligt ansvar när de objektiva kriterier för brott som anges i detta direktiv är uppfyllda men då gärningarna begås utan brottsligt uppsåt, till exempel när en person inte visste att det rörde sig om obehörig åtkomst eller vid föreskrivna test eller skydd av informationssystem, till exempel när en person har fått i uppdrag av ett företag eller en leverantör att testa styrkan hos dess säkerhetssystem. Avtalsenliga skyl digheter eller överenskommelser om att begränsa åt komst till informationssystem genom en användarpolicy eller användarvillkor samt arbetsmarknadstvister om åt komst till och användning av arbetsgivarens infor mationssystem för privata ändamål, bör inte föranleda straffrättsligt ansvar enligt detta direktiv, om åtkomsten under dessa omständigheter skulle bedömas vara otillåten och således utgöra den enda grunden för lagföring. Detta direktiv påverkar inte den rätt till åtkomst till infor mation som följer av nationell rätt och unionsrätt, men får inte fungera som undantag för att motivera olaglig och godtycklig åtkomst till information. L 218/10 Europeiska unionens officiella tidning (18)It-angrepp kan underlättas av olika omständigheter, till exempel när förövaren har åtkomst till de säkerhets system som är inbyggda i de drabbade informationssyste men i tjänsten. Inom ramen för nationell rätt bör sådana omständigheter på lämpligt sätt beaktas vid lagföring. (19)Medlemsstaternas nationella rätt bör innehålla regler om försvårande omständigheter i enlighet med de tillämpliga regler om försvårande omständigheter som fastställts ge nom deras rättsystem. De bör se till att rätten vid på följdsbestämningen har möjlighet ta hänsyn till dessa försvårande omständigheter. Det är upp till rätten att bedöma dessa omständigheter, tillsammans med övriga faktiska sakomständigheter i det enskilda fallet. (20)Detta direktiv reglerar inte villkoren för utövandet av behörighet när det gäller de brott som avses i direktivet, exempelvis att det ska föreligga en anmälan från offret på den plats där brottet begicks, en formell underrättelse från den stat där brottet begicks, eller att åtal inte väckts mot gärningsmannen på den plats där gärningen har begåtts. (21)Stater och offentliga organ är, inom ramen för detta direktiv, skyldiga att till fullo garantera respekten för de mänskliga rättigheterna och grundläggande friheterna, i enlighet med gällande internationella förpliktelser. (22)Genom detta direktiv stärks betydelsen av nätverk, såsom G8 eller nätverk av kontaktpunkter, som är tillgängliga dygnet runt . Sådana kon taktpunkter bör kunna ge konkret stöd och till exempel underlätta utbyte av tillgänglig relevant information och tillhandahålla teknisk rådgivning eller rättslig information i utredningar eller rättegångar rörande brott med anknyt ning till informationssystem och data som rör den begä rande medlemsstaten. För att säkerställa att nätverken fungerar smidigt bör varje kontaktpunkt kunna kom municera med kontaktpunkter i andra medlemsstater omgående, bland annat med hjälp av utbildad och utrus tad personal. Med hänsyn till hur snabbt storskaliga itangrepp kan genomföras, bör medlemsstaterna ha kapa citet att snabbt besvara brådskande förfrågningar från detta nät av kontaktpunkter. I sådana fall kan det vara lämpligt att förfrågan om information åtföljs av en tele fonkontakt, för att se till att den anmodade medlems staten behandlar förfrågan snabbt och ger återkoppling . (23)Samarbete mellan, å ena sidan, de offentliga myndighe terna och, å andra sidan, den privata sektorn och det civila samhället är mycket viktigt för att förebygga och motverka angrepp mot informationssystem. Det är nöd vändigt att främja och förbättra samarbetet mellan tjäns televerantörer, producenter, brottsbekämpande organ och rättsliga myndigheter som rättsstatsprincipen beaktas fullt ut. Samarbetet kan inbegripa t.ex. stöd från tjänsteleverantörernas sida när det gäller att säkra poten tiella bevis, bidra till fastställandet av gärningsmännens identitet och, som en sista utväg, i enlighet med nationell rätt och praxis, helt eller delvis stänga ned informations system eller funktioner som har angripits eller använts för olagliga ändamål. Medlemsstaterna bör också över väga att inrätta nätverk för samarbete och partnerskap med tjänsteleverantörer och producenter för utbyte av uppgifter om de brott som omfattas av detta direktiv. (24)Det finns behov av att samla in jämförbara uppgifter om de brott som avses i detta direktiv. Relevanta uppgifter bör göras tillgängliga för behöriga specialiserade unions byråer och -organ, t.ex. Europol och i enlighet med deras uppdrag och informationsbehov, för att få en mer heltäckande bild av problemet med it-relaterad brottslig het och nätverks- och informationssäkerhet på unions nivå och därigenom medverka till utformningen av mer effektiva åtgärder. Medlemsstaterna bör översända upp gifter om gärningsmännens tillvägagångssätt till Europol och dess europeiska it-brottscentrum för utarbetande av hotbedömningar och strategiska analyser i samband med it-relaterad brottslighet i enlighet med rådets beslut /371/RIF av om inrättande av Europeiska polisbyrån (Europol) (1). Tillhandahållandet av information kan bidra till bättre insikt om nuvarande och framtida hot och därmed bidra till att bättre och mer målinriktade beslut fattas om bekämpande och förebyg gande av angrepp mot informationssystem. (25)Kommissionen bör överlämna en rapport om tillämp ningen av detta direktiv och lägga fram nödvändiga för slag till lagstiftning som skulle kunna leda till att dess tillämpningsområde utvidgas med hänsyn till utveck lingen på området för it-relaterad brottslighet. Exempel på sådan utveckling är tekniska lösningar som till ex empel möjliggör en effektivare bekämpning av angrepp mot informationssystem, eller som gör det lättare att förebygga eller minimera konsekvenserna av sådana an grepp. Kommissionen bör för detta ändamål beakta till gängliga analyser och rapporter som utarbetats av rele vanta aktörer, särskilt Europol och . (26)För att man effektivt ska kunna bekämpa it-relaterad brottslighet är det nödvändigt att öka informationssyste mens motståndskraft genom lämpliga åtgärder för att bättre skydda dem mot it-angrepp. Medlemsstaterna bör vidta nödvändiga åtgärder för att skydda de informations system som utgör del av deras kritiska infrastruktur från it-angrepp, och skyddet av deras informationssystem med tillhörande data bör ingå i det. En viktig del i en heltäc kande strategi för att effektivt motverka it-relaterad brottslighet är att se till att juridiska personer har en tillräckligt hög skydds- och säkerhetsnivå på infor mationssystem, t.ex. i samband med tillhandahållande av offentligt tillgängliga elektroniska kommunikations tjänster i enlighet med gällande unionslagstiftning om integritet och elektronisk kommunikation samt om (1) EUT L 121, , s. 37. Europeiska unionens officiella tidning L 218/11 Lämpliga skyddsnivåer bör tillhandahållas mot hot och svagheter som på ett rimligt sätt kan identifieras i enlighet med den senaste utvecklingen inom den speci fika sektorn och de konkreta situationerna för databe handlingen. De kostnader och bördor som ett sådant skydd medför bör stå i proportion till den sannolika skadan av ett it-angrepp för de drabbade. Medlemssta terna uppmanas att fastställa relevanta åtgärder i fråga om ansvar inom ramen för nationell rätt när det är uppenbart att en juridisk person inte har haft en lämplig skyddsnivå mot it-angrepp. (27)Stora luckor och skillnader i medlemsstaternas lagstift ning och straffrättsliga förfaranden när det gäller angrepp mot informationssystem kan försvåra kampen mot orga niserad brottslighet och terrorism, och kan komplicera ett effektivt polisiärt och rättsligt samarbete på detta om råde. De moderna informationssystemens nationsöver skridande och gränslösa natur innebär att angrepp mot sådana system ofta har en gränsöverskridande dimension, vilket understryker det akuta behovet av ytterligare insat ser för att tillnärma den straffrättsliga lagstiftningen på detta område. För övrigt bör adekvata åtgärder för ge nomförande och tillämpning av rådets rambeslut /948/RIF av om förebyg gande och lösning av tvister om utövande av jurisdiktion i straffrättsliga förfaranden (1) göra det lättare att sam ordna åtal i fall av angrepp mot informationssystem. Medlemsstaterna bör också i samarbete med unionen verka för bättre internationellt samarbete i fråga om sä kerheten i informationssystem, datornätverk och datorbe handlingsbara uppgifter. Vederbörlig hänsyn till säkerhe ten vid dataöverföring och lagring av uppgifter bör tas med i alla internationella avtal som rör uppgiftsutbyte. (28)Bättre samarbete mellan behöriga brottsbekämpande or gan och rättsliga myndigheter i hela unionen är nödvän digt för att man ska kunna bekämpa it-relaterad brotts lighet på ett effektivt sätt. I detta sammanhang bör ökade insatser för att ge adekvat utbildning till de berörda myn digheterna för ökad förståelse av it-relaterad brottslighet och dess konsekvenser, och för att främja samarbete och utbyte av bästa metoder, exempelvis genom de behöriga specialiserade unionsbyråerna och -organen, uppmuntras. Sådan utbildning bör bland annat syfta till att öka med vetenheten om de olika nationella rättssystemen, de even tuella rättsliga och tekniska svårigheter som kan uppstå vid brottsutredningar eller fördelningen av befogenheter mellan de relevanta nationella myndigheterna. (29)Detta direktiv respekterar de mänskliga rättigheterna och de grundläggande friheterna och står i överensstämmelse med de principer som erkänns särskilt i Europeiska unio nens stadga om de grundläggande rättigheterna och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, inklusive (1) EUT L 328, 15.12.2009, s. 42. skyddet av personuppgifter, rätten till privatliv, yttrande- och informationsfrihet, rätten till en rättvis rättegång, oskuldspresumtion och rätten till försvar, samt med le galitetsprincipen och principen om proportionalitet mel lan brottet och påföljden. Detta direktiv syftar särskilt till att säkerställa att dessa rättigheter och principer respek teras fullt ut och måste genomföras i enlighet med detta.