Directive 2013/40/EU of the European Parliament and of the Council of 12 August 2013 on attacks against information systems and replacing Council Framework Decision 2005/222/JHA
Date: 2013-08-12

num: Articolo 1
title: Oggetto
paragraphs: La presente direttiva stabilisce norme minime per la definizione dei reati e delle sanzioni nel settore degli attacchi contro i sistemi di informazione. Essa mira inoltre a facilitare la prevenzione di tali reati e a migliorare la cooperazione tra autorità giudiziarie e altre autorità competenti.
num: Articolo 2
title: Definizioni
paragraphs: Ai fini della presente direttiva s’intende per:
a) «sistema di informazione»: un’apparecchiatura o gruppo di apparecchiature interconnesse o collegate, uno o più dei quali svolge un trattamento automatico di dati informatici secondo un programma, nonché i dati informatici immagazzinati da tale apparecchiatura o gruppo di apparecchiature, trattati, estratti o trasmessi dagli stessi ai fini della loro gestione, uso, protezione e manutenzione;
b) «dati informatici»: una rappresentazione di fatti, informazioni o concetti in una forma che può essere trattata in un sistema di informazione, compreso un programma atto a far svolgere una funzione a un sistema di informazione;
c) «persona giuridica»: un’entità che ha lo status di persona giuridica in forza del diritto applicabile; la definizione non include gli Stati o gli organismi pubblici che agiscono nell’esercizio dell’autorità statale o le organizzazioni pubbliche internazionali;
d) «senza diritto»: una condotta di cui alla presente direttiva, ivi inclusi l’accesso, l’interferenza o l’intercettazione, che non è autorizzata da parte del proprietario o da un altro titolare di diritti sul sistema o su una sua parte, ovvero non consentiti a norma del diritto nazionale.
num: Articolo 3
title: Accesso illecito a sistemi di informazione
paragraphs: Gli Stati membri adottano le misure necessarie per garantire che, se intenzionale, l’accesso senza diritto a un sistema di informazione o a una parte dello stesso, sia punibile come reato qualora sia commesso in violazione di una misura di sicurezza, almeno per i casi che non sono di minore gravità.
num: Articolo 4
title: Interferenza illecita relativamente ai sistemi
paragraphs: Gli Stati membri adottano le misure necessarie a garantire che l’atto di ostacolare gravemente o interrompere il funzionamento di un sistema di informazione mediante l’immissione di dati informatici, la trasmissione, il danneggiamento, la cancellazione, il deterioramento, l’alterazione o la soppressione di tali dati o rendendo tali dati inaccessibili, compiuto intenzionalmente e senza diritto, sia punito come reato almeno per i casi che non sono di minore gravità.
num: Articolo 5
title: Interferenza illecita relativamente ai dati
paragraphs: Gli Stati membri adottano le misure necessarie a garantire che l’atto di cancellare, danneggiare, deteriorare, alterare, sopprimere dati informatici in un sistema di informazione, o di rendere tali dati inaccessibili, compiuto intenzionalmente e senza diritto, sia punibile come reato, almeno per i casi che non sono di minore gravità.
num: Articolo 6
title: Intercettazione illecita
paragraphs: Gli Stati membri adottano le misure necessarie affinché l’intercettazione, tramite strumenti tecnici, di trasmissioni non pubbliche di dati informatici verso, da o all’interno di un sistema di informazione, incluse le emissioni elettromagnetiche da un sistema di informazione che trasmette tali dati informatici, compiuta intenzionalmente e senza diritto, sia punibile come reato, almeno per i casi che non sono di minore gravità.
num: Articolo 7
title: Strumenti utilizzati per commettere i reati
paragraphs: Gli Stati membri adottano le misure necessarie affinché la fabbricazione, la vendita, l’approvvigionamento per l’uso, l’importazione, la distribuzione o la messa a disposizione in altro modo intenzionali di uno dei seguenti strumenti, compiuti senza diritto e con l’intenzione di utilizzarli al fine di commettere uno dei reati di cui agli articoli da 3 a 6, siano punibili come reato, almeno per i casi che non sono di minore gravità:
a)
un programma per computer, destinato o modificato principalmente al fine di commettere uno dei reati di cui agli articoli da 3 a 6;
b)
una password di un computer, un codice d’accesso, o dati simili che permettono di accedere in tutto o in parte a un sistema di informazione.
num: Articolo 8
title: Istigazione, favoreggiamento, concorso e tentativo
paragraphs: 1. Gli Stati membri garantiscono che l’istigazione o il favoreggiamento e il concorso nella commissione di un reato di cui agli articoli da 3 a 7 siano punibili come reato.
2. Gli Stati membri garantiscono che il tentativo di commettere un reato di cui agli articoli 4 e 5 sia punibile come reato.
num: Articolo 9
title: Sanzioni
paragraphs: 1. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli da 3 a 8 siano punibili con sanzioni effettive, proporzionate e dissuasive.
2. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli da 3 a 7 siano punibili con una pena detentiva massima non inferiore a due anni, almeno per i casi che non sono di minore gravità.
3. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli 4 e 5, se commessi intenzionalmente, siano punibili con una pena detentiva massima non inferiore a tre anni, se un numero significativo di sistemi di informazione è stato colpito avvalendosi di uno degli strumenti di cui all’articolo 7, destinato o modificato principalmente a tal fine.
4. Gli Stati membri adottano le misure necessarie ad assicurare che i reati di cui agli articoli 4 e 5 siano punibili con una pena detentiva massima non inferiore a cinque anni, qualora:
a)
siano commessi nell’ambito di un’organizzazione criminale quale definita nella decisione quadro 2008/841/GAI, indipendentemente dalla sanzione ivi prevista;
b)
causino danni gravi; o
c)
siano commessi ai danni di un sistema di informazione di un’infrastruttura critica.
5. Gli Stati membri adottano le misure necessarie ad assicurare che, qualora i reati di cui agli articoli 4 e 5 siano commessi abusando dei dati personali di un’altra persona allo scopo di guadagnare la fiducia di terzi, in tal modo arrecando un danno al legittimo proprietario dell’identità, ciò possa, conformemente al diritto nazionale, essere considerato una circostanza aggravante, purché tale circostanza non sia già contemplata da un altro reato punibile a norma del diritto nazionale.
num: Articolo 10
title: Responsabilità delle persone giuridiche
paragraphs: 1. Gli Stati membri adottano le misure necessarie ad assicurare che le persone giuridiche possano essere ritenute responsabili dei reati di cui agli articoli da 3 a 8, commessi a loro vantaggio da qualsiasi persona, che agisca a titolo individuale o in quanto membro di un organismo della persona giuridica, e che detenga una posizione dominante in seno alla persona giuridica basata:
a)
sul potere di rappresentanza della persona giuridica;
b)
sul potere di prendere decisioni per conto della persona giuridica;
c)
sul potere di esercitare il controllo in seno alla persona giuridica.
2. Gli Stati membri adottano le misure necessarie ad assicurare che le persone giuridiche possano essere ritenute responsabili qualora la mancata sorveglianza o il mancato controllo da parte di una persona di cui al paragrafo 1 abbia permesso la commissione, da parte di una persona sotto la sua autorità, di uno dei reati di cui agli articoli da 3 a 8 a vantaggio di tale persona giuridica.
3. La responsabilità delle persone giuridiche a norma dei paragrafi 1 e 2 non esclude l’avvio di procedimenti penali contro le persone fisiche che siano autori o istigatori o abbiano concorso in uno dei reati di cui agli articoli da 3 a 8.
num: Articolo 11
title: Sanzioni applicabili alle persone giuridiche
paragraphs: 1. Gli Stati membri adottano le misure necessarie ad assicurare che una persona giuridica ritenuta responsabile a norma dell’articolo 10, paragrafo 1, sia punibile con sanzioni effettive, proporzionate e dissuasive, che comprendano sanzioni pecuniarie penali o non penali e che possano comprendere altre sanzioni, quali:
a)
l’esclusione dal godimento di un beneficio o aiuto pubblico;
b)
l’interdizione temporanea o permanente dall’esercizio di attività commerciali;
c)
l’assoggettamento a sorveglianza giudiziaria;
d)
provvedimenti giudiziari di scioglimento;
e)
la chiusura temporanea o permanente degli stabilimenti che sono stati usati per commettere il reato.
2. Gli Stati membri adottano le misure necessarie ad assicurare che una persona giuridica ritenuta responsabile a norma dell’articolo 10, paragrafo 2, sia punibile con sanzioni o altre misure effettive, proporzionate e dissuasive.
num: Articolo 12
title: Competenza giurisdizionale
paragraphs: 1. Gli Stati membri stabiliscono la propria competenza giurisdizionale relativamente ai reati di cui agli articoli da 3 a 8 quando il reato sia stato commesso:
a)
in tutto o in parte sul loro territorio; o
b)
da un loro cittadino, quanto meno nei casi in cui l’atto costituisce un reato nel luogo in cui è stato commesso.
2. Nello stabilire la propria competenza giurisdizionale conformemente al paragrafo 1, lettera a), uno Stato membro assicura di avere competenza giurisdizionale qualora:
a)
l’autore abbia commesso il reato mentre era fisicamente presente nel suo territorio, indipendentemente dal fatto che il reato sia stato o meno commesso contro un sistema di informazione nel suo territorio; o
b)
il reato sia stato commesso contro un sistema di informazione nel suo territorio, indipendentemente dal fatto che l’autore del reato fosse o meno fisicamente presente nel suo territorio al momento della commissione del reato.
3. Uno Stato membro informa la Commissione ove decida di stabilire la competenza giurisdizionale per un reato di cui agli articoli da 3 a 8 commesso al di fuori del suo territorio, anche qualora:
a)
l’autore del reato risieda abitualmente nel suo territorio; o
b)
il reato sia commesso a vantaggio di una persona giuridica che ha sede nel suo territorio.
num: Articolo 13
title: Scambio di informazioni
paragraphs: 1. Per lo scambio di informazioni relative ai reati di cui agli articoli da 3 a 8, gli Stati membri garantiscono di predisporre un punto di contatto operativo nazionale e di utilizzare la rete esistente di punti di contatto operativi disponibili ventiquattr’ore su ventiquattro e sette giorni su sette. Gli Stati membri garantiscono inoltre di predisporre procedure tali da consentire all’autorità competente, in caso di richieste urgenti di assistenza, di indicare, entro otto ore dalla richiesta, almeno se la richiesta sarà soddisfatta e la forma e il tempo stimato per tale risposta.
2. Gli Stati membri informano la Commissione in merito al proprio punto di contatto di cui al paragrafo 1. La Commissione trasmette tali informazioni agli altri Stati membri e alle competenti agenzie e organismi specializzati dell’Unione.
3. Gli Stati membri adottano le misure necessarie ad assicurare che siano disponibili idonei canali di comunicazione per agevolare le comunicazioni alle autorità nazionali competenti sui reati di cui all’articolo da 3 a 6 senza indebito ritardo.
num: Articolo 14
title: Monitoraggio e statistiche
paragraphs: 1. Gli Stati membri provvedono a predisporre un sistema di registrazione, produzione e fornitura di dati statistici sui reati di cui agli articoli da 3 a 7.
2. I dati statistici di cui al paragrafo 1 riguardano come minimo i dati esistenti sul numero dei reati di cui agli articoli da 3 a 7 registrati dagli Stati membri e il numero di persone che sono state oggetto di un procedimento giudiziario e che sono state condannate per i reati di cui agli articoli da 3 a 7.
3. Gli Stati membri trasmettono alla Commissione i dati raccolti a norma del presente articolo. La Commissione provvede alla pubblicazione di una revisione consolidata delle relazioni statistiche e a trasmetterla alle competenti agenzie e organismi specializzati dell’Unione.
num: Articolo 15
title: Sostituzione della decisione quadro 2005/222/GAI
paragraphs: La decisione quadro 2005/222/GAI è sostituita in relazione agli Stati membri che partecipano all’adozione della presente direttiva, fatti salvi gli obblighi degli Stati membri relativi al termine per il recepimento della decisione quadro nel diritto nazionale.
In relazione agli Stati membri che partecipano all’adozione della presente direttiva, i riferimenti alla decisione quadro 2005/222/GAI si intendono fatti alla presente direttiva.
num: Articolo 16
title: Recepimento
paragraphs: 1. Gli Stati membri mettono in vigore le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva entro il 4 settembre 2015.
2. Gli Stati membri comunicano alla Commissione il testo delle disposizioni che recepiscono nei rispettivi diritti nazionali gli obblighi imposti dalla presente direttiva.
3. Le disposizioni adottate dagli Stati membri contengono un riferimento alla presente direttiva o sono corredate di tale riferimento all’atto della pubblicazione ufficiale. Le modalità del riferimento sono stabilite dagli Stati membri.
num: Articolo 17
title: Relazione
paragraphs: Entro il 4 settembre 2017 la Commissione presenta al Parlamento europeo e al Consiglio una relazione che valuta in quale misura gli Stati membri abbiano adottato le misure necessarie per conformarsi alla presente direttiva, corredata, se del caso, di proposte legislative. La Commissione tiene altresì conto degli sviluppi tecnici e giuridici in materia di criminalità informatica, con particolare riguardo all’ambito di applicazione della presente direttiva.
num: Articolo 18
title: Entrata in vigore
paragraphs: La presente direttiva entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.