CS    CS CS 
CS    CS  EVROPSKÁ KOMISE 
V Bruselu dne 30.9.2010 
SEK(2010) 1123 v kone čném znění 
  
PRACOVNÍ DOKUMENT ÚTVAR Ů KOMISE 
SHRNUTÍ POSOUZENÍ DOPAD Ů 
 
Průvodní dokument k 
 
návrhu 
 
 
SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY 
   
o útocích proti informa čním systém ům a zrušení rámcového rozhodnutí Rady 
2005/222/SVV 
   
{COM(2010) 517 final} 
{SEC(2010) 1122 final}  
CS 2   CS SHRNUTÍ POSOUZENÍ DOPAD Ů  
1. V YMEZENÍ PROBLÉMU  
Od doby p řijetí rámcového rozhodnutí o útocích proti informa čním systém ům („RR o 
útocích“) se po čet útoků proti informa čním systém ům výrazn ě zvýšil. Jedna z p ředních firem 
pro bezpe čnost na internetu oznámila, že se v roce 2008 zna čně zvýšilo ohrožení d ůvěrných 
informací (oproti ve řejně dostupným informacím), a to z 624 267 na 1 656 227 nov ě 
identifikovaných hrozeb v roce 20081. Kromě toho byla zaznamenána řada útoků dosud 
nevídaného rozsahu a úrovn ě nebezpečí, například v Estonsku v roce 2007 a v Litv ě v roce 
2008. V b řeznu 2009 na po čítačové systémy vlád a soukr omých organizací 103 zemí 
zaútočila síť manipulovaných po čítačů a extrahovala citlivé a tajné dokumenty2. Útok byl 
proveden za pomoci tzv. botnet ů3, sítě napadených po čítačů, které lze ovládat na dálku. 
V současné době jsme svědky šíření botnetu s názvem „Conficker“ (známého rovn ěž jako 
Downup, Downadup a Kido), který se ší ří a působí v bezprecedentním m ěřítku od listopadu 
2008 a ovliv ňuje miliony po čítačů po celém sv ětě4. 
Kvůli nedostate čné spolupráci členských stát ů, zejména donucovacích a justi čních orgán ů v 
EU, je obtížné reagovat na tyto útoky koordinovan ě a efektivn ě. Přestože zpráva o provedení 
rámcové sm ěrnice o útocích ukázala, že v ětšina členských stát ů zřídila stálá kontaktní místa 
vyžadovaná článkem 11 RR o útocích, jejich schopnos t odpovídat a reagovat na naléhavé 
žádosti o spolupráci z ůstává problematická5. 
Existence kontaktních bod ů není zárukou jejich řádného fungování. P ři oznamování Komisi 
některé členské státy uvedly, že z řídily kontaktní místa, ale neprovozují je 24 hodin denn ě, jak 
vyžaduje RR o útocích. Znamená to, že tato kontaktní místa nemohou odpov ědět na naléhavé 
žádosti mimo ú řední hodiny. Nízká výkonnost kontaktn ích míst nebo jejich neschopnost řešit 
žádosti o spolupráci podané soukromým sektorem často negativn ě ovlivňuje spolupráci 
veřejného sektoru se soukromým. 
Dosud není k dispozici dostatek údaj ů o kybernetických útocích a o policejních a justi čních 
krocích navazujících na takové útoky. N ěkteré členské státy údaje o k ybernetických útocích 
neshromaž ďují. Státy, které je shromaž ďují, tak ne činí způsobem, který by umož ňoval 
srovnání, protože používají rozd ílné statistické metodiky.  
                                                 
1 http://eval.symantec.com/mktginfo/enterprise/white_papers/b-
whitepaper_internet_security_threat_report_xiv_04-2009.en-us.pdf, p.10. 
2
 ww.theglobeandmail.com/servlet/story/RTGAM.20090328.wspy0328/BNStory/International/home?cid=al_gam_mostemail 
3 P o j m e m  „ b o t n e t “  s e  r o z u m í  s í ť počítačů, které byly napadeny škodlivým softwarem (po čítačovým 
virem). Sí ť napadených po čítačů („zombies“) lze aktivovat za ú čelem provedení konkrétních akcí, 
například útok ů na počítačové systémy (po čítačové útoky). Po čítače „zombies“ m ůže ovládat jiný 
počítač, často bez v ědomí uživatel ů napadeného po čítače. „Řídící“ počítač je rovněž znám jako „ řídící a 
kontrolní st ředisko“. Osoby, které toto st ředisko ovládají, pat ří mezi pachatele trestných činů, protože 
používají napadené po čítače k útokům na počítačové systémy. Vypátrání t ěchto pachatel ů je velice 
obtížné, protože po čítače, které vytvá řejí botnet a provád ějí útoky, se mohou nacházet jinde než 
pachatel sám. 
4 http://www.lemonde.fr/technologies /article/2009/03/31/virus-confi cker-catastrophe-ou-poisson-d-
avril_1174916_651865.html 
5 Zpráva Komise Rad ě založená na článku 12 rámcového rozhodnutí Rady ze dne 24. února 2005 o 
útocích proti informa čním systém ům, KOM(2008) 0448 v kone čném znění. 
CS 3   CS Mezi oběti rozsáhlých útok ů na informa ční systémy pat ří široká ve řejnost, sestávající 
z uživatel ů informačních systém ů, i centrální a místní státní správa, mezinárodní organizace a 
soukromé subjekty.  
Útoky mohou být vedeny ze t řetích zemí na cíle v EU nebo opa čným směrem. 
2. S UBSIDIARITA  
Kybernetická trestná činnost je skute čně mezinárodním problémem, s nímž lze jen málokdy 
bojovat v čistě vnitrostátním kontextu. Obecn ě se uznává, že k p ředcházení a potírání tohoto 
druhu trestné činnosti je t řeba přijímat opat ření na úrovni EU a na mezinárodní úrovni. 
Většina útok ů překračuje hranice EU. Týká se všech členských stát ů a existují d ůkazy, že 
významná část těchto útok ů zahrnuje činnosti sm ěřované z jednoho členského státu do 
druhého. Informa ční systémy jsou často vzájemn ě technicky propojené a závislé, bez ohledu 
na hranice. Odborníci se shodují, že je proto nutné p řijímat opat ření na mezinárodní úrovni i 
na úrovni EU a že cíle efektivního boje s takovou trestnou činností nelze uspokojivým 
způsobem dosáhnout na úrovni samotných členských stát ů.  
Pokud by se p řijímala pouze vnitrostátní opat ření, hrozilo by, že boj s kybernetickou činností 
bude v Evrop ě roztříštěný a neefektivní. Rozdílné vnitrostátní p řístupy a nedostatek 
systematické p řeshraniční spolupráce podstatn ě snižují ú činnost vnitrostátních opat ření. 
Částečně je to dáno vzájemným propojením informa čních systém ů, protože nízká úrove ň 
bezpečnosti v jednom stát ě potenciáln ě zvyšuje zranitelné stránky v jiných státech. 
3. J AKÉ JSOU CÍLE OPAT ŘENÍ? 
3.1 Obecné, specifické a operativní cíle 
Celkovým cílem opat ření EU je potírat a stíhat trestnou činnost, ať už organizovanou či 
nikoli, v souladu s článkem 67 Smlouvy o fungování Evropské unie, bojem s rozsáhlými 
kybernetickými útoky proti informa čním systém ům.  
A Specifický cíl: Stíhat a usv ědčovat pachatele rozsáhlých útok ů sbližováním 
trestního práva v oblasti útok ů proti informa čním systém ům 
B. Specifický cíl: Zlepšení p řeshraniční spolupráce donucovacích agentur  
C. Specifický cíl: Zavedení ef ektivního systému sledování a sb ěru údajů 
4. J AKÉ MOŽNOSTI POLITIKY SE NABÍZEJÍ ? 
4.1 Varianta 1: Status quo / Žádné nové opat ření ze strany EU 
Z této možnosti vyplývá, že EU nep řijme žádná další opat ření na boj s tímto konkrétním 
typem kybernetické trestné činnosti. Pokra čovala by probíhající opat ření, zejména programy 
na posílení ochrany kritické informa ční infrastruktury a zl epšování spolupráce ve řejného a 
soukromého sektoru v boji proti kybernetické trestné činnosti.  
CS 4   CS 4.2 Varianta 2: Vypracování programu na zvýšení úsilí o odrážení útok ů na 
informační systémy prost řednictvím nelegislativních opat ření  
Nelegislativní opat ření by doplnila program na ochranu kritické informa ční infrastruktury tím, 
že by se zam ěřila na p řeshraniční prosazování práva a spolupráci mezi ve řejným a 
soukromým sektorem a usnadnila by další koordinovaná opat ření na úrovni EU. 
Nelegislativní opat ření by zahrnovala taková opat ření, jako je posílení existující sít ě 
kontaktních míst s nep řetržitým provozem pro donucovací orgány, z řízení evropské sít ě 
kontaktních míst pro spolupráci mezi ve řejným a soukromým sektorem, do níž by byli 
zapojeni odborníci na kybernetickou trestnou činnost a donucovací orgány, a vypracování 
standardní evropské dohody o úrovni služeb pr o spolupráci se subjekty soukromého sektoru 
při prosazování práva. 
4.3 Varianta 3: Cílená aktualizace RR o útocích s cílem řešit konkrétní hrozbu, 
kterou představují rozsáhlé útoky proti informa čním systém ům  
Při použití této varianty by byly zavedeny konkr étní cílené (tedy omezené) právní p ředpisy na 
předcházení zvlášt ě nebezpe čným rozsáhlým útok ům proti informa čním systém ům. Tyto 
cílené právní p ředpisy by byly propojeny s opat řeními na posílení operativní p řeshraniční 
spolupráce v oblasti útok ů proti informa čním systém ům a se zvýšením již stanovených 
minimálních trest ů. Tato varianta by m ěla podobu aktualizace stávajícího RR o útocích 
doplněného řadou nelegislativních opat ření, například zvýšením p řipravenosti, bezpe čnosti a 
odolnosti ochrany kritické informa ční infrastruktury a posílením nástroj ů a postup ů pro 
spolupráci v oblasti p řeshraničního prosazování práva a vým ěny osvědčených postup ů. 
4.4 Varianta 4: Zavedení uceleného souboru právních p ředpisů EU proti 
kybernetické trestné činnosti 
Zjištění, že je t řeba rychle p řijmout opat ření bránící rozvoji sofistikovaných útok ů proti 
informačním systém ům, vyvolává otázku, zda by nebylo vhodné zavést rovn ěž širší právní 
předpisy EU o kybernetické trestné činnosti obecn ě. Tyto právní p ředpisy by se nezabývaly 
pouze útoky proti informa čním systém ům, ale i takovými tématy, jako jsou finan ční 
kybernetická trestná činnost, nelegální internetový obsah, získávání/ukládání/p ředávání 
elektronických d ůkazů a podrobn ější pravidla o soudní pravomoc i. Tato legislativa EU by 
platila soub ěžně s úmluvou Rady Evropy o kybernetické trestné činnosti, která by byla 
doplněna novými ustanoveními, která se v EU pokládají za nutná.  
4.5 Varianta 5: Aktualizace Úmluvy Ra dy Evropy o kybernetické trestné činnosti 
Tato varianta by vyžadovala  rozsáhlá jednání o p řepracování sou časné úmluvy, což je 
zdlouhavý proces, který neodpovídá časovému rámci akce navrhovanému v posouzení 
dopadů. Zdá se, že o nové projednávání úml uvy není na mezinárodní úrovni zájem. 
Aktualizaci úmluvy tedy nelze považovat za  použitelnou variantu, protože neodpovídá 
požadovanému časovému rámci akce.  
CS 5   CS 5. P OSOUZENÍ DOPAD Ů 
Možné varianty  Hospodářské 
dopady  Sociální dopad
 Dopady na základní 
práva
 Dopad 
na třetí 
země Význam 
pro cíle A, B, C
 Soulad s mezinárodním právem
 
Varianta 1: Status quo 
/ Žádné nové opat ření 
ze strany EU  0 0 0 - 
0 0 
Varianta 2: Vypracování programu na zvýšení úsilí o odrážení útok ů na 
informační systémy 
prostřednictvím 
nelegislativních opatření
 -/+ ++ -/+  
++ A + 
B ++ 
C + -/+ 
Varianta 3: Cílená 
aktualizace RR o útocích s cílem řešit 
konkrétní hrozbu, 
kterou představují 
rozsáhlé útoky proti informačním 
systémům
 --/++ -/+++ -/++  
+++ A +++ 
B +++ C +++ ++ 
Varianta 4: Zavedení 
uceleného souboru právních p ředpisů EU 
proti kybernetické 
trestné činnosti
 ---/+++ +++ --/++  
++ A ++ 
B ++ C ++ -/++ 
Upřednostňovaná 
varianta (varianty 2 a 3): kombinace nelegislativních opatření s cílenou 
aktualizací RR o 
útocích
 --/+++ +++ -/++  
+++ A +++ 
B +++ C +++ ++ 
6. C O VYPLÝVÁ ZE SROVNÁNÍ R ŮZNÝCH VARIANT ? 
6.1 Varianta 1: Zachování sou časného stavu  
Tato varianta nevyhnuteln ě povede k oslabení pozi ce soukromých subjekt ů, členských stát ů a 
Unie jako celé p ři řešení kybernetické trestné činnosti, s ohledem na její povahu a r ůst. I při 
zachování úrovn ě opatření, která existují v sou časné době, by bylo t řeba zajistit koordinaci na 
evropské úrovni.  
CS 6   CS 6.2 Varianta 2: Vypracování programu na zvýšení úsilí o odrážení útok ů na 
informační systémy prost řednictvím nelegislativních opat ření  
Tato varianta má všechny výhody a nevýhody právn ě nevynutitelného nástroje. Pozitivní 
stránkou je možnost popsat každou politickou možnost zp ůsobem, který odpovídá 
osvědčeným vnitrostátním postup ům, a tak usnadnit identifikaci nejefektivn ějších opat ření. 
Tato varianta je však mén ě efektivní, pokud jde o dosahování cíl ů. 
6.3 Varianta 3: Cílená aktualizace RR o útocích s cílem řešit hrozbu, kterou 
představují rozsáhlé útoky proti informa čním systém ům  
Tato varianta nabízí v časnou a cílenou reakci na zjišt ěné problémy. Řeší trestněprávní témata, 
která jsou nezbytná k efek tivnímu stíhání pachatel ů tohoto trestného činu. Krom ě toho 
zlepšuje mezinárodní spolupráci zavedením mechanismu okamžité mezinárodní pomoci 
v případě naléhavých žádostí o spolupráci a prost řednictvím doprovodných opat ření 
podporuje spolupráci se s oukromým sektorem, nap říklad formou setkání odborník ů. Tato 
varianta rovn ěž zavádí řadu přitěžujících okolností, mezi n ěž patří například rozsáhlost útoku, 
útoky spáchané za utajení skute čné totožnosti pachatele a p ůsobící újmu skute čnému nositeli 
totožnosti. 
Za účelem měření rozsahu problému se zavádí povinnost sledování. 
6.4 Varianta 4: Zavedení uceleného souboru právních p ředpisů EU proti 
kybernetické trestné činnosti 
Tato varianta, podobn ě jako varianta 3, p řináší přidanou hodnotu zavedením závazných 
ustanovení, p ři jejím plném provedení se proto o čekává vysoká úrove ň efektivity. Rovn ěž se 
očekává, že tato varianta zvýší na maximum poz itivní dopad legislativních i nelegislativních 
nástrojů v širším okruhu kybernetických trestných činů, ne pouze u rozsáhlých útok ů. Kromě 
toho by se zabývala trestn ěprávním rámcem a zárove ň by zlepšila p řeshraniční spolupráci p ři 
prosazování práva. Tento ucelený p řístup však v této fázi  neodráží konsensus zú častněných 
stran, přestože by jeho provedení dovedl o boj s kybernetickou trestnou činností o krok dále 
než všechny ostatní varianty. 
7. U PŘEDNOST ŇOVANÁ VARIANTA  
Po analýze hospodá řského a sociálního dopadu a dopadu na základní práva se jako 
nejvhodnější k dosažení vymezených cíl ů jeví varianty 2 a 3.  
Upřednostňovaná varianta by byla kombinací variant po litiky 2 a 3, protože tyto varianty se 
doplňují, a proto by nejlépe splnila vymezené cíle, pokud jde o podstatu i časový rámec.  
8. S LEDOVÁNÍ A HODNOCENÍ  
Do dvou let od vstupu této sm ěrnice v platnost by m ěla být zve řejněna zpráva o provád ění. 
Zpráva by se m ěla zaměřit na přesné provád ění směrnice členskými státy.  
CS 7   CS Kromě toho by se m ěla provád ět pravidelná hodnocení, aby se zjistilo, jak a do jaké míry 
směrnice přispěla k dosažení v ní vymezených cíl ů. První hodnocení by m ělo být provedeno 
do pěti let po vstupu sm ěrnice v platnost, poté bude Komise zve řejňovat hodnotící zprávy 
každých p ět let a zahrne do nich informace o provád ění. Na základ ě závěrů a doporu čení 
hodnocení by Komise m ěla uvažovat o dalších zm ěnách nebo dalším možném vývoji 
směrnice.