[pic] | КОМИСИЯ НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ |

Брюксел, 14.7.2008

COM(2008) 448 окончателен

ДОКЛАД ОТ КОМИСИЯТА ДО СЪВЕТА

въз основа на член 12 от Рамково решение на Съвета от 24 февруари 2005 година относно атаките срещу информационните системи

1. ВЪВЕДЕНИЕ

1.1. Контекст

Целта на този доклад е да оцени дали държавите-членки са въвели правилно Рамково решение 2005/222/ПВР на Съвета от 24 февруари 2005 г. относно атаките срещу информационните системи[1] (по-нататък „РР“) в националните си законодателства.

Основната цел[2] на РР е да подобри сътрудничеството между съдебните и другите компетентни власти, в това число полицията и други специализирани правоприлагащи служби на държавите-членки, чрез сближаване на правилата в наказателното право в сферата на атаките срещу информационни системи. Предвид тази цел РР е предназначено да допълни и доразвие други инструменти на ЕС и международни инструменти (в частност Конвенцията на Съвета на Европа за престъпления в кибернетичното пространство[3]).

От приемането на РР насам последователните криминални атаки срещу информационни системи постоянно напомнят за нуждата от по-тясно европейско сътрудничество в отговор на тези атаки. Масивната атака с отказ на услуга срещу информационната инфраструктура на Естония през май 2007 г. послужи като навременно напомняне за смущаващите и разрушителни резултати от тези атаки.

Следователно необходимостта от пълно и точно въвеждане на РР от всяка държава-членка се е увеличила от момента на неговото приемане. Своевременността на този доклад се засилва още повече от изричното посочване на борбата с престъпността в киберпространството на скорошната среща на Съвета по правосъдие и вътрешни работи[4], който отбеляза също, че очаква да получи доклада на Комисията относно прилагането на РР.

1.2. Уведомления и отговори

Член 12, параграф 2 от РР задължава държавите-членки да предоставят до 16 март 2007 г. текстовете на разпоредбите от тяхното национално законодателство, които транспонират задълженията, произтичащи от РР. До тази дата само една държава (Швеция) беше предоставила на Комисията текст на национална разпоредба и дори той беше непълен. Затова Комисията изпрати напомняне до държавите-членки с искане да изпратят до Комисията текста на всички национални разпоредби, транспониращи рамковото решение, и информация относно прилагането на тази мярка.

До 1 юни 2008 г. Комисията получи уведомления или отговори на напомнянето от 23 държави-членки. Отговори не бяха получени от Малта , Полша[5] , Словакия и Испания . В допълнение, отговорите от Ирландия , Гърция и Обединеното кралство , както е признато от съответните правителства, не позволяват да се направи оценка на прилагането в тези държави, тъй като там прилагането е закъсняло.

Така гореспоменатите седем държави-членки не са изпълнили задължението си за уведомление съгласно член 12, параграф 2 от РР. Следователно този доклад дава оценка на правото само на останалите 20 държави-членки.

1.3. Метод и критерии за оценка

Настоящият доклад се основава на информацията, предоставена от държавите-членки. Но някои от необходимите данни липсват. Следователно оценката и последващите заключения в този доклад се основават частично на непълна информация.

Съгласно член 34, параграф 2, буква б) от Договора за Европейския съюз рамковите решения са обвързващи за държавите-членки по отношение на резултата, който трябва да бъде постигнат, но оставят на националните власти избора на формата и средствата. За да се оцени обективно дали едно рамково решение е приложено напълно от държава-членка, бяха разработени някои общи критерии по отношение на директивите. Тези критерии могат да се приложат mutatis mutandis спрямо рамковите решения. В частност правилата за прилагане на рамковото решение трябва да действат ефективно, като вземат предвид неговите цели, трябва да удовлетворяват изискванията за яснота и правна сигурност, трябва да осигуряват пълно прилагане на текста по достатъчно ясен и точен начин и трябва да бъдат приложени в рамките на посочения краен срок.

Този доклад се спира главно на формалното ниво на прилагане на разпоредбите на РР в областта на наказателното право. Действителното прилагане на тези разпоредби е извън обхвата на този доклад.

2. ОЦЕНЯВАНЕ

2.1. Общи въпроси на прилагането

РР се прилага по много различни начини в 20-те държави-членки. В повечето от тях формулировките в националното право са близки до тези, използвани в РР. В други се използва по индиректен и общ метод на прилагане. В много случаи това означава, че използваните правни понятия и изрази не могат лесно да се сравняват. Доколкото е възможно, този доклад ще вземе предвид общото наказателно право на държавите-членки и ще посочи особените трудности, свързани с този подход.

2.2. Определения (член 1)

Двадесетте държави-членки не предоставиха ясна или пълна информация относно това как определенията, посочени в РР, се прилагат в тяхното национално право. Въпреки това общият контекст ясно показва, че определенията в техните национални законодателства съответстват добре на РР.

2.3. Неправомерен достъп до информационни системи (член 2)

Комисията смята, че всичките 20 държави-членки са включили в законодателството си основното задължение да осигурят наказуемостта на всеки умишлен неправомерен достъп до цялата информационна система или до части от нея като престъпно деяние.

Последното изречение от първия параграф оставя възможност на държавите-членки да третират това поведение като престъпно деяние само в случаите, в които „престъплението не се счита за леко“. Следните държави-членки, повече или по-малко експлицитно, са използвали тази възможност на базата на моделите, описани по-долу, които съответстват на случаи, в които „престъплението не се счита за леко“:

- В Австрия правният критерий за престъпно деяние е наличието на умисъл за извършване на шпионаж на данни и за използване на получените данни с цел извличане на печалба или причиняване на вреда;

- Чешката република третира неправомерния достъп като престъпно деяние само в случаите, когато впоследствие данните са използвани неправомерно или са повредени;

- Във Финландия условието за наказателна отговорност като престъпно деяние е данните, до които е получен достъп, да бъдат „изложени на опасност“;

- В Латвия неправомерният достъп се счита за престъпно деяние само „ако чрез него е нанесена съществена вреда“.

Необходима е специфично тълкуване на случаите, в които „престъплението не се счита за леко“, за да се оцени дали тези модели са в съответствие с РР. Това тълкуване е необходимо, за да се установи дали поне основната идея на формулировката за престъпно деяние, която РР има предвид, е формално застъпена от държавите-членки. Член 2 има за цел да защити поверителността на информационните системи. В съответствие с това Комисията счита, че определението „леко престъпление“ трябва да се отнася до случаи на неправомерен достъп от нищожно значение или когато нарушаването на поверителността на информационната система е в незначителна степен. Въпреки това съответните разпоредби от австрийския , чешкия , финландския и латвийския закон се отнасят до гореописаните подробни обстоятелства, напр. наличието на умисъл за престъпление или на специфични рискове и щети, което не може да се смята за съответстващо на предното определение. Затова Комисията има сериозни съмнения, че разпоредбите на Австрия , Чешката република , Финландия и Латвия съответстват на концепцията на РР за обстоятелствата, които се приемат за „случаите, в които престъплението не се счита за леко“.

По-общо казано, такова разминаване между тълкуването и прилагането на възможността за изключване на някои действия от определението за престъпно деяние поставя сериозен риск пред целта за сближаване на правилата на държавите-членки в наказателното право в сферата на атаките срещу информационни системи.

Затова Комисията смята, че само 16 от 20-те държави-членки са показали, че правилно прилагат член 2 от РР.

Член 2, параграф 2 позволява на всяка държава-членка да реши дали деянието, посочено в параграф 1, се счита за престъпно деяние само в случаите, когато то се извършва в нарушение на мярка за сигурност. Тази възможност се прилага в седем от 20-те държави-членки ( Австрия , Финландия , Германия , Унгария , Италия , Латвия и Литва ).

2.4. Неправомерна намеса в система (член 3)

Комисията смята, че всичките 20 държави-членки спазват основното задължение да предприемат необходимите мерки за постигане на разумна степен на сигурност, че всяко умишлено спиране или възпрепятстване на функционирането на информационна система чрез неправомерно въвеждане, пренасяне, увреждане, изтриване, влошаване, променяне, скриване или предоставяне на забранени за достъп компютърни данни е наказуемо като престъпно деяние.

Въпреки това за да се потвърди тази оценка, е необходим по-нататъшен анализ на практиката на тези държави-членки, които са избрали относително общи разпоредби за прилагане на този подробен член от РР. Такъв е случаят с Дания , която твърди, че една много обща правна разпоредба относно унищожаване, вреда или преместване на всички видове собственост застъпва всички критерии, изброени в този член. Този подход, по принцип, е приемлив, но степента, в която такава разпоредба може да се прилага по отношение на атаки срещу достъпността, може да се постави под въпрос, особено когато вредата е само временна[6].

Последното изречение от член 3 оставя възможност на държавите-членки да третират това поведение като престъпно деяние само в случаите, в които „престъплението не се счита за леко“. Тази възможност е използвана от шест държави-членки, които повече или по-малко експлицитно твърдят, че тези обстоятелства се застъпват от следните модели:

- Австрийското право счита намесата за престъпно деяние само в „сериозни“ случаи;

- Чешкото право изисква умисъл за предизвикване на вреда или загуба[7];

- Според правото на Германия информационната система, която е обект на намеса, трябва да бъде „от съществено значение за трета страна“;

- Законът на Естония разглежда деянието като престъпно, при условие че е изпълнен критерият за „нанасяне на значителна вреда“;

- Законът на Литва счита за престъпни само случаите „когато… е нанесена вреда“;

- Законът на Латвия счита намесата за престъпно деяние, само когато „са увредени или разрушени защитните системи или е причинена мащабна загуба“.

Отново е необходимо по-подробно определение на случаите, в които „престъплението не се счита за леко“, за да се оцени дали гореизброените модели са в съответствие с РР. Тази необходимост вече беше описана в раздел 2.3 по-горе по отношение на член 2 .

Член 3 има за цел да защити целостта на информационните системи. В съответствие с това Комисията счита, че определението „леко престъпление“ трябва да се отнася до случаи на неправомерна намеса от нищожно значение или когато нарушаването на целостта на информационната система е в незначителна степен. Съответните разпоредби от правото на Австрия , Чешката република , Естония и Литва , които са посочени по-горе, са насочени към точно такива обстоятелства и трябва да се считат в съответствие с изискването за изключване от инкриминация само на незначителни случаи на намеса.

В същото време съответната разпоредба от правото на Германия посочва значението за трета страна, а разпоредбата на Латвия — увреждането на защитни системи или мащабна загуба. Комисията смята, че връзката на тези разпоредби с целостта на информационните системи е недостатъчна, за да се оцени дали те са в съответствие с възможността от РР за инкриминация само на „случаите, в които престъплението не се счита за леко“, и че това е в разрез с целта на РР за сближаване на правилата на държавите-членки в наказателното право в сферата на атаките срещу информационни системи.

По-общо казано, такова разминаване между тълкуването и прилагането на възможността някои действия да не се инкриминират поставя сериозен риск пред целта за сближаване на правилата на държавите-членки в наказателното право в сферата на атаките срещу информационни системи.

Затова Комисията смята, че само 18 от 20-те държави-членки са показали, че правилно прилагат член 3 от РР.

2.5. Неправомерна намеса в данни (член 4)

Комисията смята, че всичките 20 държави-членки са включили в законодателството си основното задължение да предприемат необходимите мерки за постигане на разумна степен на сигурност, че всяко умишлено изтриване, увреждане, влошаване, променяне, скриване или предоставяне на забранени за достъп компютърни данни в дадена информационна система е наказуемо като престъпно деяние. Много от държавите-членки са приложили член 3 и член 4 в една единствена национална разпоредба. В случая с Дания Комисията отново не е убедена, че общата разпоредба относно унищожение, вреда или преместване на всички видове собственост застъпва деянията по отношение на компютърните данни, които са изброени в този член. За кратко описание на този въпрос виж коментарите относно член 3 в раздел 2.4.

Последното изречение от този член оставя възможност на държавите-членки да третират това поведение като престъпно деяние само в случаите, в които „престъплението не се счита за леко“. Тази възможност е използвана от три държави-членки, които повече или по-малко експлицитно твърдят, че тези обстоятелства се застъпват от следните модели:

- Чешкото право изисква умисъл за предизвикване на вреда или загуба[8];

- Законът на Естония изисква „нанасяне на значителна вреда“;

- Законът на Латвия (Член 243 от наказателното право) прилага критерия за „увреждане или разрушаване на защитните системи или причиняване на мащабна загуба“.

Както беше посочено в раздел 2.4 по отношение на еднаквите разпоредби за прилагане на член 3 от РР, Комисията счита, че в това отношение правото на Чешката република е в съответствие с РР, а правото на Естония трябва да се смята в съответствие с РР. Както преди, не може да се счита, че Латвия е изпълнила задълженията си по този член от РР.

Комисията смята, че само 19 от 20-те държави-членки са показали, че правилно прилагат член 4 от РР.

2.6. Подбудителство, подпомагане, съдействие и опит за извършване на престъпление (член 5)

Комисията смята, че 18 от 20-те държави-членки са спазили по принцип основното задължение да гарантират, че подбудителството, подпомагането и съдействието, както и опитът за извършване на престъпление са наказуеми. Финландия и Португалия са уведомили само за националните си разпоредби по отношение на опита за извършване на престъпления и следователно не са показали как задълженията относно подбудителството, подпомагането и съдействието са застъпени от националното право. Швеция няма разпоредби за наказуемост в леки случаи на подбудителство, подпомагане и съдействие, както и опит за извършване. Този подход не е в съответствие с изискванията на РР.

Държавите-членки имат възможност да решат да не прилагат задължението за гарантиране, че всеки опит за извършване на престъплението неправомерен достъп до информационна система е наказуем. Германия и Словения съобщиха, че се възползват от тази възможност.

Затова Комисията смята, че член 5 е приложен правилно в 17 от 20-те държави-членки.

2.7. Наказания и утежняващи вината обстоятелства (членове 6 и 7)

Комисията смята, че всичките 20 държави-членки са взели необходимите мерки за постигане на разумна степен на сигурност, че престъпните деяния, посочени в членове 2—5 от РР, са наказуеми с ефективни, съразмерни и възпиращи наказания[9]. Наказанията, предвидени за неправомерна намеса в информационни системи и неправомерна намеса в данни, също така изпълняват специфичните изисквания на член 6, параграф 2 от РР.

По отношение на задължението за вземане предвид на „утежняващи вината обстоятелства“ за престъпления, извършени в рамките на престъпна организация (член 7), ситуацията е по-разнообразна.

- Разпоредбите, за които Австрия е уведомила, без съмнение не изпълняват задълженията от РР;

- Правото на Дания не споменава директно престъпни организации;

- Във Финландия съответните правни разпоредби не споменават престъпни организации;

- Португалия трябва да извърши някои поправки в правните си разпоредби, за да изпълни изцяло изискванията на РР.

Други държави-членки ( България , Италия , Латвия и Швеция ) не споменават критерия „престъпни организации“ в разпоредбите, за които са уведомили Комисията. Въпреки това изпратените текстове показват, че задължението за прилагане на по-строги наказания за престъпления, свързани с престъпни организации, вече е напълно изпълнено – макар и индиректно – от националните разпоредби на България , Италия и Латвия . В тези държави-членки действащите разпоредби за всички случаи на въпросните престъпления предвиждат по-строгите минимални наказания, посочени в член 7 от РР. Правителството на Швеция твърди, че престъпленията, извършени в рамките на престъпни организации, напълно са застъпени от утежняващото вината обстоятелство „сериозно престъпление“ от шведското право и предоставиха подробно обяснение за това.

Затова Комисията счита, че член 6 е приложен правилно от всичките 20 държави-членки и че 16 от тях изпълняват задълженията си съгласно член 7 от РР.

2.8. Отговорност на юридически лица и наказания спрямо юридически лица (членове 8 и 9)

Комисията смята, че 16 от 20-те държави-членки без съмнение са предприели необходимите мерки за постигане на разумна степен на сигурност, че юридическите лица ще бъдат държани отговорни за престъпните деяния, посочени в членове 2, 3, 4, и 5 при условията, описани в член 8, параграф 1.

Чешката република[10] , Латвия и Люксембург[11] не са изпълнили задължението си да уведомят Комисията за такива разпоредби.

Естония твърди, че нейните разпоредби относно гражданската отговорност застъпват всички случаи, описани в член 8, параграф 1, но не е представила детайлно тези разпоредби пред Комисията. Не съществува задължение относно характера на този вид отговорност, затова националните разпоредби по отношение на административната и гражданската отговорност – когато са напълно в съответствие с член 8 – на теория могат да бъдат достатъчни. Въпреки това Естония не е обяснила как нейното право по отношение на гражданската отговорност напълно покрива задълженията от РР.

Член 8, параграф 2 задължава държавите-членки да гарантират, че юридическо лице може да бъдат държано отговорно в случаите, в които липсата на наблюдение или контрол от страна на лице, посочено в параграф 1, е направила възможно извършването на нарушение в полза на това юридическо лице от лице на негово подчинение. Комисията счита, че 10 от 20-те държави-членки са спазили това изискване. Освен Чешката република , Естония , Латвия и Люксембург , за които заключенията по отношение на член 8, параграф 1 важат и за член 8, параграф 2, Дания , Финландия , Франция и Португалия също не са представили съответните разпоредби относно отговорността на юридически лица. Франция твърди, че тази отговорност се покрива от разпоредбите по отношение на гражданската отговорност, но не е предоставила обяснение на точното съдържание на тази отговорност.

Според член 9 всяка държава-членка предприема необходимите мерки, за да постигне разумна степен на сигурност, че юридическо лице, подведено под отговорност съгласно член 8, параграфи 1 и 2, ще бъде наказано с ефективни, съразмерни и разубеждаващи мерки. Всичките 14 държави-членки, които са представили мерки, прилагащи правилно член 8, параграф 1, и 10-те държави-членки, които са изпълнили задълженията си по отношение на член 8, параграф 2, са изпълнили също така и тези задължения.

Затова Комисията смята, че само 12 от 20-те държави-членки са показали, че правилно прилагат член 8 и член 9 от РР.

2.9. Юрисдикция (член 10)

Комисията смята, че 17 от 20-те държави-членки са изпълнили задължението си да създадат своя юрисдикция спрямо престъпните деяния, посочени в членове 2, 3, 4 и 5 от РР (въз основа на специфичните критерии, посочени в член 10). Въпреки че различните законодателни методи в различните държави-членки по отношение на юрисдикцията правят сравнението по-трудно, Комисията счита, че този член е приложен добре. Латвия и Португалия не са изпълнили задължението си да информират Комисията за националните си разпоредби, прилагащи член 10.

Възможността, предоставена в параграф 5, според която държавата-членка би могла да реши да не прилага или да прилага само в конкретни случаи или при конкретни обстоятелства правилата за юрисдикцията, определени в параграф 1, букви б) и в), е използвана от Франция (по отношение на параграф 1, буква б)) и от Австрия , Финландия , Германия , Унгария и Литва (за параграф 1, буква в)), като тези държави са уведомили за това. Италия също е използвала възможността, предоставена от параграф 1, букви б) и в), а Естония и Румъния — възможността, предоставена от параграф 1, буква в), но те не са уведомили официално за това. Австрия уведоми Комисията, че все още обмисля дали да продължи да се възползва от тази възможност.

Затова Комисията смята, че член 10 е приложен правилно в 17 от 20-те държави-членки.

2.10. Обмен на информация (член 11)

Държавите-членки са задължени да гарантират, че ще използват съществуващата мрежа от оперативни точки за контакт, които са на разположение 24 часа в денонощието и седем дни в седмицата. Комисията не е получила информация, която да ѝ позволи да оцени дали такъв е случаят по отношение на РР в Белгия , Чешката република , Германия , Италия , Нидерландия , Португалия и Словения .

По отношение на задължението за информиране на генералния секретариат на Съвета и Комисията за определената точка за контакт (член 11, параграф 2) Комисията не е получила ясно уведомление от страна на Австрия , България , Италия и Португалия .

Затова Комисията смята, че само 11 от 20-те държави-членки са показали, че напълно спазват всички задължения, посочени в член 11.

3. ЗАКЛЮЧЕНИЯ

3.1. Степен на изпълнение

Настоящият доклад е първи опит за анализ на прилагането от страна на държавите-членки на РР. Той потвърждава широкото разнообразие на начините, по които държавите-членки са приложили наказателното законодателство и възникващите трудности при пълната оценка на националното право, без да се взема под внимание неговото приложение на практика.

Комисията отбелязва, че РР все още е в процес на прилагане в държавите-членки. Съществен прогрес е направен от практически всички 20 държави-членки, оценени в този доклад — степента на изпълнение в тях се оценява като относително добра.

Очевидно основна грижа за Комисията са седемте държави-членки, които все още предстои да уведомят за мерките по прилагането. Комисията приканва държавите-членки, които все още не са приложили РР в своите национални разпоредби, да поправят това положение възможно най-скоро. Комисията също така приканва държавите-членки внимателно да преосмислят своето законодателство с цел да повишат усилията си за противопоставяне на атаките срещу информационни системи.

3.2. Бъдещо развитие

Неотдавнашните атаки в цяла Европа след приемането на РР очертаха няколко нови вида заплахи, по-специално възникването на масови едновременни атаки срещу информационни системи и увеличаване на нелегалната употреба на така наречените „ботнет“[12]. Тези атаки не представляваха център на внимание, когато РР беше прието. В отговор на това развитие Комисията ще обмисли действия, насочени към противопоставяне на заплахата от тях. Тези действия е възможно да включат разглеждането на дадени действия, улесняващи незаконната употреба на „ботнет“, като престъпни деяния и по-строги минимални наказания за престъпления, извършени под формата на масивни и особено опасни атаки срещу информационни системи.

Комисията също обмисля действия, които да повишат ефективната и навременна употреба на точките за контакт, които са на разположение 24 часа в денонощието и седем дни в седмицата, посочени в член 11. Нуждата от бързи общи действия, често включващи и частни оператори, на международно ниво за противопоставяне на масивните атаки срещу информационни системи беше подчертана от сериозни инциденти през 2007 г. За да засилят по-добрата координация и последователност на тази система за противодействие, държавите-членки следва да продължат да обмислят дали да се използват същите точки за контакт, които се използват в мрежите на Съвета на Европа/Г-8[13]. В частност Комисията ще обмисли установяването на насоки на ниво ЕС относно употребата на различни международни мрежи във връзка с въпросите за високотехнологичните престъпления.

[1] ОВ L 69, 16.3.2005 г., стр. 67.

[2] Съображение 1.

[3] http://conventions.coe.int/Treaty/en/Treaties/Html/185.htm.

[4] 8 и 9 ноември 2007 г., вж. http://www.consilium.europa.eu/ueDocs/cms_Data/docs/pressdata/en/jha/97023.pdf

[5] Уведомлението, представено от Полша със закъснение на 1 юли 2008 г., не може да бъде взето предвид поради определения срок за публикуване на доклада, но то ще бъде разгледано на по-късен етап при действия, последващи публикуването на доклада.

[6] Както е подчертано в уведомлението до Комисията от други държави-членки.

[7] Правителството на Чешката република заяви, че това изискване ще бъде премахнато при приемането на новото наказателно право.

[8] Правителството на Чешката република заяви, че това изискване ще бъде премахнато при приемането на новото наказателно право.

[9] Следва да се отбележи, че Австрия поставя въпроса дали нейните наказания за неправомерна намеса в информационни системи са достатъчно възпиращи.

[10] Чешкото правителство посочи, че съществуват разпоредби относно гражданската отговорност в този контекст, но то нито уведоми за текста на тези разпоредби, нито описа тяхното съдържание.

[11] Предложение за разпоредби, включващи това задължение, беше представено пред парламента на Люксембург през 2007 г., но Комисията не разполага със сведения дали те са приети.

[12] „Ботнет“ накратко означава сбор от заразени машини, стартиращи програми под обща команда.

[13] Член 35 от Конвенцията.