Podle zprávy Europolu o posouzení hrozeb organizované trestné činnosti na internetu (IOCTA) za rok 2016 je kyberkriminalita čím dál agresivnější a konfrontačnější. Projevuje se to u různých forem kyberkriminality, včetně útoků na informační systémy . Mezi závažné formy útoků zmiňované Europolem patří využití škodlivého softwaru a sociálního inženýrství k infiltraci do informačního systému a získání kontroly nad ním nebo k odposlechu komunikací a provádění rozsáhlých síťových útoků, včetně útoků na kritickou infrastrukturu. Tyto útoky jsou považovány za hlavní hrozby pro naši společnost.

·Maximální trest odnětí svobody na dobu nejméně 5 let se vyžaduje u trestných činů podle článků 4 a 5 spáchaných v rámci zločinného spolčení (čl. 9 odst. 4 písm. a)), jejichž spácháním byla způsobena závažná škoda (čl. 9 odst. 4 písm. b)) nebo byly spáchány proti informačnímu systému kritické infrastruktury (čl. 9 odst. 4 písm. c)).

Termín „počítačové údaje“ zahrnují právní předpisy AT, BG, CY, CZ, DE, EE, EL IE, FI, HR, LT, MT, NL, PT, RO a UK (Gibraltaru). Informace poskytnuté ES, FR, IT, LU, LV, PL, SE, SK a UK (s výjimkou Gibraltaru) nebyly průkazné. V případě SE však specifická podoba odkazujících článků činí tuto definici nadbytečnou. Ze zbývajících členských států vztahuje HU definici počítačových údajů jen na trestné činy popsané v článcích 4 a 5 směrnice a BE i SI postrádají v definici počítačových údajů „program vhodný k zajištění provedení některé funkce informačním systémem“.

Definice směrnice vychází z definice „počítačového systému“ uvedené v čl. 1 písm. a) Budapešťské úmluvy a přidává jako součást informačního systému samotné počítačové údaje. CY, EL, IE, FI, HR, MT, PT a UK (Gibraltar) zavedly právní ustanovení s definicí informačního systému. Informace poskytnuté DE, ES, FR, LU, LV, PL, SE a SK nejsou průkazné. Příslušné právní definice zbylých členských států, tj. AT, BE, BG, CZ, EE, HU, IT, LT, NL, RO, SI a UK (s výjimkou Gibraltaru), „počítačové údaje“ výslovně nezmiňují. Z toho vyplývá, že odkazují na čl. 1 písm. a) Budapešťské úmluvy se stejným rozsahem definice počítačového systému.

Do dne provedení informovalo Komisi o plném provedení směrnice 22 členských států. V listopadu 2015 zahájila Komise řízení o nesplnění povinnosti z důvodu neoznámení vnitrostátních prováděcích opatření s pěti zbývajícími členskými státy: BE, BG, EL, IE a SI . K 31. květnu 2017 stále probíhala řízení o nesplnění povinnosti z důvodu neoznámení vnitrostátních prováděcích opatření s BE, BG a IE.

S výjimkou LU, které neposkytlo průkazné informace o provedení čl. 2 písm. c), nečinilo provedení definice „právnické osoby“ žádné problémy. Důvodem je, že tato definice již v právních předpisech členských států bývá obsažena, a to většinou v ustanoveních občanského nebo obchodního práva. Pouze CY zavedl v rámci opatření přijatých k provedení směrnice zvláštní ustanovení.

d) Neoprávněný

Pokud jde o pojem „neoprávněný“ uvedený v čl. 2 písm. d), oznámily provedení pouze CY, IE, RO a UK (Gibraltar), což znamená, že zbylých 23 členských států nepřijalo pro tuto definici žádná prováděcí opatření. Je však nutné přihlédnout k tomu, že ve všech členských státech existuje obecná zásada vyloučení trestní odpovědnosti za jakékoli jednání vykonané s příslušnými právy.

2.2 Konkrétní trestné činy (články 3 až 7 směrnice)

a) Neoprávněný přístup k informačním systémům

Neoprávněný přístup k informačnímu systému (článek 3 směrnice) je zahrnut ve vnitrostátních právních předpisech AT, CY, CZ, EL, ES, IE, FI, FR, LT, LU, NL, PL, PT, SE a SK.

U zbývajících členských států, tj. BE, BG, DE, EE, HR, HU, IT, LV, MT, RO, SI a UK, nerozlišuje příslušný vnitrostátní popis trestného činu mezi získáním přístupu k celému informačnímu systému a jen k jeho části, přestože ve směrnici je to výslovně stanoveno. V případě DE se též provedení nevztahuje výlučně na přístup k počítačovému hardwaru. AT a LU pak stanoví další požadavky ohledně zvláštního úmyslu (úmysl získat informace či způsobit znevýhodnění nebo podvodný úmysl) a LV stanoví požadavky ohledně příčiny značné škody. V případě BE, BG, FR, HR, LU, MT, PT, RO, SI a UK je oblast působnosti vnitrostátních ustanovení širší než oblast působnosti směrnice, protože tato ustanovení nestanoví obcházení jakéhokoli bezpečnostního opatření jako podmínku určení trestní odpovědnosti. Zbývající členské státy buď výslovně odkazují na trestný čin spáchaný porušením bezpečnostního opatření (CY, EL a SK), nebo k popisu tohoto aspektu používají podobnou terminologii (AT, CZ, DE, EE, ES, FI, HU, IT, LT, LV, NL, PL a SE).

b) Neoprávněné zasahování do informačního systému

Článek 4 směrnice se týká neoprávněného zasahování do informačního systému. Směrnice uvádí seznam 8 možných činů (vložení počítačových údajů, jejich přenos, poškození, vymazání, znehodnocení, pozměnění, potlačení, znepřístupnění) a 2 možné výsledky daného činu (závažné narušení nebo přerušení fungování informačního systému). BE, CY, CZ, EL, IE, FR, HR, LU, MT, PT, SE a UK (s výjimkou Gibraltaru) zavedly odpovídající legislativní opatření. BG uvádí jen vložení viru, zbylé členské státy (AT, DE, EE, ES, HU, IT, LV, NL, PL, RO, SI, SK a UK) výslovně neuvádějí jeden až čtyři z možných činů. V této souvislosti je patrné, že nejvíce problémů vzniklo u pojmu „znehodnocení“ (chybí v 8 případech) a „znepřístupnění“ (chybí v 9 případech).

c) Neoprávněné zasahování do údajů

Článek 5 směrnice se týká neoprávněného zasahování do údajů a uvádí výčet následujících 6 činů: vymazání, poškození, znehodnocení, pozměnění, potlačení nebo znepřístupnění údajů. CY, EL, IE a MT toto ustanovení provedly doslovně; BE, CZ, LT, PT a SE upravují všechny tyto možné činy obecnějšími termíny. Prováděcí opatření ostatních členských států nezahrnují všech šest možností, ale jen pět alternativ (FI a SK) nebo méně (AT, BG, DE, EE, FR, HR, HU, IT, LU, NL, PL, RO, SI a UK). Nejvíce problémů se vzniklo u pojmu „poškození“ (chybí v 8 případech), „znehodnocení“ (ve 13 případech), „potlačení údajů“ (v 11 případech) a „znepřístupnění údajů“ (ve 13 případech). Nad rámec znění směrnice podmiňuje FI trestní odpovědnost „úmyslem způsobit škodu nebo finanční ztrátu“ a LT a LV pak „jednáním za účelem způsobit značnou škodu nebo podstatnou újmu“.

d) Neoprávněné sledování údajů

Článek 6 se týká neoprávněného sledování údajů a upravuje případy neveřejného přenosu počítačových údajů a elektromagnetického záření z informačního systému nesoucího takové údaje. CY, CZ, DE, ES, IE, FI, HR, LV, MT, RO, SE, SK a UK (Gibraltar) zavedly právní předpisy, které článek 6 provádějí v plném rozsahu. Některé státy obecnou působnost směrnice u sledování počítačových údajů omezují, a to na zprávy (AT a BG), sledování osoby (EE) nebo korespondenci (FR a HU). U následujících členských států se navíc provedení ve vnitrostátním právu nevztahuje na sledování elektromagnetického záření: BE, BG, EE, FR, HU, IT, LT, LU, NL, PL, PT, SI a UK (s výjimkou Gibraltaru). Některé členské státy také vyžadují zvláštní úmysl (například získat informace či hospodářskou výhodu nebo způsobit znevýhodnění – viz AT, EL, HU) nebo zvláštní doplňující jednání (například zaznamenávání sledovaného obsahu nebo seznamování se s ním – viz BG a HU).

e) Nástroje použité k páchání trestných činů

Článek 7 kriminalizuje řadu případů, kdy jsou ke spáchání trestných činů uvedených v článcích 3 až 6 používány nástroje, jako jsou počítačové programy nebo přístupové kódy: výrobu takových nástrojů, jejich prodej, opatření si k užití, dovoz, distribuci nebo jiné formy zpřístupnění. AT, BE, CY, DE, EL, IE a SK zavedly odpovídající vnitrostátní právní předpisy. Některé členské státy neupravují všechny uvedené trestné činy (EE, IT, MT, PL a SI). Některé státy neuvádějí pachatele, na nějž se vztahuje článek 7, jako osobu odlišnou od pachatele trestných činů uvedených v článcích 3 až 6 (CZ a SI). Některé státy vyžadují zvláštní úmysl (způsobit škodu nebo jednat podvodně – viz FI, IT a LU), konkrétní výsledek, jako je porušení tajemství (BG) nebo přinejmenším stadium přípravy uvedených trestných činů (SE). Zjištěny byly také nesrovnalosti mezi článkem 7 a vnitrostátními opatřeními v podobě neprovedení všech možných činů uvedených ve výčtu. To je případ BG, CZ, EE, ES, FR, HR, HU, IT, LT, LU, LV, PL, PT, RO, SI a UK. Z nich LU výslovně zmiňuje pět ze šesti možných činů uvedených ve směrnici, ostatní státy jich výslovně zmiňují jen čtyři nebo ještě méně.

Možnost opatření si k užití provedlo pouze ES.

2.3 Obecná pravidla týkající se daných trestných činů (články 8 až 12 směrnice)

a) Návod, pomoc nebo jiná forma účastenství