DA    DA DA 
DA    DA  EUROPA-KOMMISSIONEN 
Bruxelles, den 30.9.2010 
SEK(2010) 1123 endelig 
  
ARBEJDSDOKUMENT FRA KOMMISSIONENS TJENESTEGRENE 
RESUMÉ AF KONSEKVENSANALYSEN  
 
Ledsagedokument til 
 
forslag til 
 
 
EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV 
   
om angreb på informationssystemer og om  ophævelse af Rådets rammeafgørelse 
2005/222/RIA 
   
{COM(2010) 517 final} 
{SEC(2010) 1122 final}  
DA 2   DA RESUMÉ AF KONSEKVENSANALYSEN  
1. P ROBLEMSTILLING  
Antallet af angreb på informationssystemer er steget væsentligt siden vedtagelsen af 
rammeafgørelsen om angreb på informationssyst emer (herefter "rammeafgørelsen"). Et af de 
ledende internetsikkerhedsfirmaer  har rapporteret, at truslern e mod fortrolige oplysninger (i 
modsætning til offentligt tilgængelige oplysninger) bl ev øget betydeligt i 2008, idet der var en 
stigning fra 624 267 til 1 656 227 konstaterede nye trusler i 20081. Endvidere er der 
observeret en række angreb af hidtil uset stort og farligt omfang såsom angrebene i Estland og Litauen i henholdsvis 2007 og 2008. I marts 2009 blev edb-systemer i regeringsorganer og 
private organisationer i 103 lande angrebet af et netværk af in ficerede computere, der uddrog 
fortrolige og klassificerede dokumenter
2. Det blev gjort ved brug af "botnet"3, dvs. netværk af 
inficerede computere, der kan styres på afst and. Endelig er verden  for tiden vidne til 
udbredelsen af et botnet kaldet "Conficker"  (også kendte som Dow nup, Downadup og Kido), 
der har spredt sig og virket i et hidtil uset omfang siden november 2008 og har indvirket på 
millioner af computere verden over4. 
For det andet gør det en koordineret og effektiv indsats over for disse angreb vanskelig, at der 
er utilstrækkeligt samarbejde mellem medlemsstaterne og særligt de retshåndhævende og 
retslige myndigheder inden for EU. Selv  om rapporten om gennemførelsen af 
rammeafgørelsen viser, at størstedelen af  medlemsstaterne har indført permanente 
kontaktpunkter som krævet i henhold til artikel 11 i rammeafgørelsen, er der stadig problemer 
med deres reaktionsevne og evne til at be svare hastende anmodninger om samarbejde5. 
Det, at der findes et kontaktpunkt, er ingen garanti for, at det fungerer hensigtsmæssigt. I 
deres meddelelser til Kommissionen har en række af medlemsstaterne  anført, at selv om deres 
respektive kontaktpunkter var etableret, var de  ikke i drift døgnet rundt som krævet i henhold 
til rammeafgørelsen. Det betyde r, at de ikke ka n reagere på hasteanmodninger uden for 
normal kontortid. Samarbejde mellem det offentlige og det private bliver ofte hæmmet af 
kontaktpunkternes ringe effektivitet eller dere s manglende evne til at behandle anmodninger 
om samarbejde fra den private sektor. 
For det tredje findes der stadig  kun få oplysninger om it-angreb og om politiets og retsvæsnets 
opfølgning på angrebene. Ikke alle medlemsstater ne indsamler data om it-angreb. De, der gør, 
                                                 
1 http://eval.symantec.com/mktginfo/enterprise/white_papers/b-
whitepaper_internet_security_threat_report_xiv_04-2009.en-us.pdf , s.10. 
2 www.theglobeandmail.com/servlet/story/RTGAM.20090328.wspy 0328/BNStory/International/home?cid=al_gam_mostemail . 
3 Udtrykket "botnet" betyder et netværk af computer e, der er blevet inficeret  at ondsindet software 
(computervirus). Et sådant netværk af inficerede computere ("zombier") kan aktiveres, så de udfører 
nærmere bestemte handlinger, såsom at angribe informationssystemer (it-angreb). "Zombierne" kan styres fra en anden computer — ofte uden at brugerne af de inficerede computere har kendskab til det. 
Den "styrende" computer kaldes også "kommando- og kontrolcentret". De personer, der kontrollerer 
centret, er blandt gerningsmændene, idet de bruger de inficerede computere til at angribe 
informationssystemer. Det er meget vanskeligt at opspore gerningsmændene, fordi de computere, der 
udgør botnettet og udfører angrebet, kan befinde sig et andet sted end gerningsmanden selv. 
4 http://www.lemonde.fr/technologies /article/2009/03/31/virus-confi cker-catastrophe-ou-poisson-d-
avril_1174916_651865.html . 
5 Beretning fra Kommissionen til Rådet i henhold til ar tikel 12 i Rådets rammeafgørelse af 24. februar 
2005 om angreb på informationssystemer, KOM(2008) 0448 endelig. 
DA 3   DA indsamler dem på en sådan måde, at det på  grund af afvigende statistiske metoder i 
medlemsstaterne ikke er mu ligt at sammenligne dem.  
Befolkningen, dvs. brugere af informationssystem erne, den statslige og lokale forvaltning, 
internationale organisationer og private virksomh eder er blandt ofrene for omfattende angreb 
på informationssystemer.  
Angreb på mål inden for EU kan fo retages fra tredjelande og omvendt. 
2. N ÆRHEDSPRINCIPPET  
It-kriminalitet er et egentligt internationalt problem, der kun sjældent kan løses i en rent 
national sammenhæng. Det er almindeligt accep teret, at handling er nødvendig i EU og 
internationalt for at forebygge og bekæmpe den. De fleste angreb sker på tværs af EU's 
grænser. Alle medlemsstaterne er berørt af dem, og der er tegn på, at en væsentlig del af dem indebærer aktiviteter fra en medlemsstat til en anden. Informationssystemerne er ofte teknisk 
forbundet indbyrdes og afhængige af hinanden på tværs af landegrænserne. Der er derfor 
enighed blandt de sagkyndige om , at der kræves såvel intern ational som EU-handling, og at 
det formål effektivt at bekæmpe denne type  kriminalitet ikke i tilstrækkeligt omfang kan 
opnås af medlemsstaterne hver for sig.  
En national tilgang til it-kriminalitet indebærer en  risiko for fragmentering og ineffektivitet i 
hele EU. Forskelle i de nationale metoder og mangel på et sy stematisk samarbejde på tværs af 
landegrænserne gør de indenlan dske modforanstaltninger bet ydeligt mindre effektive. Det 
skyldes til dels den indbyrdes forbindelse mellem informationssystemerne, idet et lavt 
sikkerhedsniveau i et land kan føre til, at andre lande bliver mere udsatte. 
3. H
VAD ER MÅLENE ? 
3.1 Generelle, specifikke og operationelle mål 
Det overordnede mål med EU-handling er at bekæmpe og retsforfølge kriminalitet, både 
organiseret og anden kriminalitet, i overensst emmelse med artikel 67 i traktaten om Den 
Europæiske Unions funktionsmåde ved at bekæmpe omfattende it-angreb på 
informationssystemer.  
A. Specifikt mål: Retsforføl gelse og domfældelse af forb rydere, der er ansvarlige 
for omfattende angreb, gennem tilnærmelse af strafferetten med hensyn til angreb på informationssystemer.  
B. Specifikt mål: Forbedring af samarbejdet på tværs af landegrænserne mellem 
de retshåndhævende myndigheder.  
C. Specifikt mål: Indførel se af effektive overvågning ssystemer og indsamling af 
data.  
DA 4   DA 4. HVILKE LØSNINGSMODELLER FINDES DER ? 
4.1 Løsning 1: Status quo/ingen nye EU-foranstaltninger 
Denne løsning indebærer, at EU ikke vil træ ffe yderligere foranstaltninger til at bekæmpe 
denne særlige type it-kriminalitet. De igangv ærende foranstaltninger fortsættes, navnlig 
programmet til styrkelse af beskyttelsen af kritisk informationsinfrastruktur og forbedring af samarbejdet mellem det offentlige og det private om bekæmpelse af it-kriminalitet.  
4.2 Løsning 2: Udvikling af et program til at øge indsatsen for at imødegå angreb 
på informationssystemer ved hjælp af ik ke-lovgivningsmæssige foranstaltninger  
Ikke-lovgivningsmæssige foranstaltninger ville i forlængelse af programmet til beskyttelse af 
kritisk informationsinfrastruktur fokusere på  retshåndhævelse og samarbejde mellem det 
offentlige og det private og skulle fremme en yderligere koordineret indsats på EU-niveau. Et ikke-lovgivningsmæssigt forslag kunne omfatte  foranstaltninger såso m styrkelse af det 
eksisterende døgnbemandede netværk af kontaktpunkter for de retshåndhævende 
myndigheder, oprettelse af et EU-netværk af offentlige og private kontaktpunkter for 
eksperter i it-kriminalitet og politiet samt udarbejdelse af en EU-standardaftale om 
serviceniveauet for samarbejde mellem de  retshåndhævende myndigheder og den private 
sektor. 
4.3 Løsning 3: Målrettet ajourføring af ra mmeafgørelsen med henblik på takling af 
den særlige trussel fra omfattende angreb på informationssystemer  
Følges denne løsning, skal der indføres særlig målrettet (dvs . begrænset) lovgivning for at 
bekæmpe særligt farlige omfattende angreb på informationssystemer. Den målrettede 
lovgivning ville skulle knyttes t il foranstaltninger ti l at styrke operationelt samarbejde på 
tværs af landegrænserne til bekæmpelse af angr eb på informationssystemer og forhøje de 
minimumsstraffe, der allerede er fastsat. Denne  løsning ville bestå i en ajourføring af den 
gældende rammeafgørelse samt en række ikke -lovgivningsmæssige foranstaltninger, såsom 
forbedring af beredskab, sikkerhed og modstands dygtighed til beskyttelsen af den kritiske 
informationsinfrastruktur og en forstærkning af instrumenter og procedurer til samarbejde om 
retshåndhævelse på tværs af landegrænserne og udveksling af erfaringer om den bedste 
praksis. 
4.4 Løsning 4: Omfattende ny EU-lovgivnin g til bekæmpelse af  it-kriminalitet 
Nu, hvor der er konstateret et behov for hurtigt  at træffe foranstaltn inger mod udvikling af 
avancerede angreb på informationssystemer, opstår spørgsmålet, om det også ville være 
relevant at indføre mere vidtrækkende EU-l ovgivning om it-kriminalitet generelt. Regler 
herom ville ikke alene skulle omfatte angreb på informationssystemer, men også spørgsmål som økonomisk it-kriminalitet, ulovligt internetindhold, indsamling/lagring/overførsel af elektroniske beviser og mere detaljerede re gler om jurisdiktionskompetence. Denne EU-
lovgivning ville gælde parallelt med Europaråde ts konvention om it-kriminalitet, som særligt 
ville blive suppleret med nye bestemmelser, der i EU anses for at  være nødvendige.  
4.5 Løsning 5: Ajourføring af Europarå dets konvention om it-kriminalitet 
Denne løsning ville kræve betydelig genforha ndling af den nuværende konvention, hvilket er 
en langsommelig proces og uforeneligt med den tidsramme for handling, som foreslås i 
konsekvensanalysen. Der er tilsyneladende in gen international vilje  til at genforhandle 
DA 5   DA konventionen. En ajourføring af konventionen ligger uden for den nødvendige tidsramme for 
handling og kan derfor ikke anses for at være en mulig løsning.  
5. K ONSEKVENSANALYSE  
Løsningsmodeller  Økono-
miske 
konse-
kvenser  Samfunds-
mæssige 
konsekvenser  Konsekvenser 
for de 
grundlæggende 
rettigheder  Konsekvenser 
for tredjelande  Relevans 
for 
målene 
under A, 
B, C Overens-
stemmelse 
med 
folkeretten  
Løsning 1: Status 
quo/ingen nye EU-foranstaltninger
 0 0 0 - 
0 0 
Løsning 2: Udvikling af et program til at øge indsatsen for at 
imødegå angreb på 
informations-systemer ved hjælp af ikke-lovgivnings-
mæssige foran-
staltninger
 -/+ ++ -/+  
++ 
A + 
B ++ 
C + -/+ 
Løsning 3: 
Målrettet ajour-føring af ramme-afgørelsen med henblik på takling af truslen fra 
omfattende angreb 
på informations-systemer
 --/++ -/+++ -/++  
+++ A +++ 
B +++ C +++
 ++ 
Løsning 4: 
Omfattende ny EU-lovgivning til bekæmpelse af it-
kriminalitet
 ---/+++ +++ --/++  
++ A ++ 
B ++ C ++
 -/++ 
Fortrukken løsning 
(løsning 2 og 3) 
Kombination af ikke-lovgivnings-mæssige foran-staltninger og en 
målrettet 
ajourføring af rammeafgørelsen
 --/+++ +++ -/++  
+++ A +++ 
B +++ 
C +++  ++ 
DA 6   DA 6. H VORVED UDSKILLER LØSNINGERNE SIG FRA HINANDEN ? 
6.1 Løsning 1: Status quo  
Denne løsning vil uundgåeligt føre til, at private,  medlemsstaterne og EU som helhed vil være 
ringere stillet med hensyn til at takle it-krimina litet på grund af dens art og væksten i den. 
Selv hvis de eksisterende foranstaltninger blev ført videre på samme niveau, ville det kræve 
koordinering på EU-plan.  
6.2 Løsning 2: Udvikling af et program til at øge indsatsen for at imødegå angreb 
på informationssystemer ved hjælp af ik ke-lovgivningsmæssige foranstaltninger  
Denne løsning har alle de fordele og ulem per, som er forbundet med et "soft law"-
reguleringsmiddel. Det positive aspekt er, at det ville være muligt at beskrive hver af 
løsningsmodellerne på en måde, der stemmer beds t overens med den bedste nationale praksis, 
og derved gøre det lettere at finde frem til de foranstaltninger, der er mest effektive. 
Denne løsning er imidlertid mindre effektiv til at nå målene. 
6.3 Løsning 3: Målrettet ajourføring af ra mmeafgørelsen med henblik på takling af 
truslen fra omfattende angreb på informationssystemer  
Denne løsning giver en målrettet indgriben ove r for de konstaterede problemer på det rette 
tidspunkt. Den takler de stra fferetlige spørgsmål, der er nødvendige for effektivt at 
retsforfølge gerningsmændene til denne forbrydelse. Den forbedrer endvidere det internationale samarbejde ved at indføre en me kanisme til straks at yde international bistand i 
tilfælde af hasteanmodninger om samarbejde og fremmer samarbejdet med den private sektor gennem ledsageforanstaltninger, såsom eksper tmøder. Ved denne løsning indføres der en 
række skærpende omstændigheder, såsom den omstændighed, at et angreb er særligt 
omfattende, eller at det er begået ved at skjule  gerningsmandens rigtige identitet og skade den, 
som identiteten egentlig tilhører. 
For at gøre det muligt at måle problemets om fang, indføres der endelig forpligtelser til 
overvågning. 
6.4 Løsning 4: Omfattende ny EU-lovgivnin g til bekæmpelse af  it-kriminalitet 
Denne løsning har ligesom løsning 3 den fordel, at den fastsætter bindende bestemmelser, og 
der må derfor forventes et højere effektivitetsni veau, hvis den bliver gennemført fuldt ud. Det 
forventes også, at den positive virkning af  både de lovgivningsmæssige og de ikke-
lovgivningsmæssige reguleringsmidler vil bliv e udnyttet i størst mulig t omfang i forbindelse 
med et bredere spektrum af spørgsmål angående  it-kriminalitet end bare omfattende angreb. 
Derudover ville den takle de st rafferetlige regler og samtidig forbedre samarbejde om 
retshåndhævelsen på tværs af la ndegrænserne. Denne samlede t ilgang er der imidlertid på 
nuværende stadium ikke enighed om blandt alle interesserede parter, se lv om gennemførelsen 
af den ville udgøre et større fremskridt i kampen  mod it-kriminalitet end alle andre løsninger. 
DA 7   DA 7. D EN FORETRUKNE LØSNINGSMODEL  
På baggrund af analysen af økonomiske konse kvenser, de samfundsmæssige konsekvenser og 
konsekvenserne for de grundlæggende rettighede r udgør løsning 2 og 3 den bedste tilgang til 
problemerne, hvis de fastsatte mål skal nås.  
Alt i alt ville den foretrukne lø sning være en kombination af løsning 2 og 3, da de supplerer 
hinanden og derfor bedst opfylde r de fastsatte mål, både med hensyn til indhold og timing.  
8. O VERVÅGNING OG EVALUERING  
Der bør offentliggøres en rapport om gennemfø relsen senest to år  efter direktivets 
ikrafttræden. Rapporten bør særligt omhandle den nøjagtige gennemførelse, medlemsstaterne 
har foretaget af direktivet.  
Derudover bør der regelmæssigt foretages evalueri nger med henblik på at vurdere, hvordan og 
i hvilket omfang direktivet har bidraget til at nå målsætninge rne. Den første evaluering bør 
foretages inden fem år efter di rektivets ikrafttræden. Kommi ssionen vil siden offentliggøre 
rapporter hvert femte år dereft er, og de vil omfatte oplysni nger om gennemførelsen. På 
grundlag af konklusionerne og henstillingerne i evalueringerne bør Kommissionen tage 
stilling til, om der skal foretages flere ændringer i direktivet, eller om der er en anden mulig udvikling i forhold til det.