[pic] | KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER |

Bruxelles, den 22.5.2007

SEK(2007) 641

ARBEJDSDOKUMENT FRA KOMMISSIONENS TJENESTEGRENE Ledsagende dokument til

MEDDELELSE FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET, RÅDET OG REGIONSUDVALGET Hen imod en generel politik til bekæmpelse af cyberkriminalitet RESUMÉ AF KONSEKVENSANALYSEN

{KOM(2007) 267 endelig}{SEK(2007) 642}

RESUMÉ

1. INDLEDNING

Brugen af internettet er eksploderet i de seneste år, og med fremkomsten af nye fænomener og nye teknikker er der skabt en situation med stigende usikkerhed.

I lovgivnings- og arbejdsprogrammet for 2007 har Kommissionen anført, at det er blevet nødvendigt med en omfattende ajourføring af Kommissionens cyberkriminalitetspolitik, og at der derfor vil blive udarbejdet en meddelelse om europæisk cyberkriminalitetspolitik.

Under den første høring blev det klart, at der mangler data og statistikker, og det var en af hovedårsagerne til, at Kommissionen i 2006 bestilte en ekstern undersøgelse [1] (i det følgende benævnt: den eksterne undersøgelse), som danner hovedgrundlaget for konsekvensanalysen.

Under udarbejdelsen har Kommissionen også set på en række lovgivnings- og ikke-lovgivningsmæssige foranstaltninger, især hvad angår eventuelle "huller" inden for de eksisterende reguleringsrammer. Det skal understreges, at der er blevet lagt særlig vægt på Europarådets konvention om cyberkriminalitet [2] (i det følgende benævnt konventionen), og rammeafgørelsen om angreb på informationssystemer [3], da de anses for at være de mest omfattende med hensyn til materielret og procesret.

Med udgangspunkt heri er Kommissionen ved at udarbejde et nyt generelt politisk initiativ, der består af en meddelelse om bekæmpelse af cyberkriminalitet på EU-plan. I den foreliggende konsekvensanalyse vil der derfor først og fremmest blive set på strategiske spørgsmål.

I den forbindelse vil Kommissionen gerne understrege, at den vil sørge for, at den politik, der skal bekæmpe og retsforfølge cyberkriminalitet, vil blive defineret og implementeret på en måde, som fuldt ud respekterer grundlæggende rettigheder, især ytringsfrihed, respekt for privatliv og familieliv og beskyttelse af personoplysninger. Det vil ske i overensstemmelse med Kommissionens meddelelse om overholdelse af charteret i Kommissionens lovgivningsforslag, der blev vedtaget i 2005 [KOM(2005) 172].

2. PROBLEMER OG MÅL

Den hurtige udvikling af internettet og andre informationssystemer har givet anledning til en fuldstændig ny økonomisk sektor og til nye hurtige strømme af informationer, produkter og tjenesteydelser på tværs af EU's indre og ydre grænser. Det har åbenlyst givet forbrugere og borgere mange fordele. Men udviklingen har også åbnet op for mange nye muligheder for kriminalitet. Der er nu tydelige mønstre af nye kriminelle aktiviteter, der er rettet mod internettet, eller hvor der bruges informationssystemer som et kriminelt værktøj. Disse kriminelle aktiviteter er under konstant udvikling, og lovgivning og operationel retshåndhævelse har helt klart vanskeligheder med at holde trit med udviklingen. Med den grænseoverskridende karakter af denne nye form for kriminalitet bliver det også nødvendigt med et bedre grænseoverskridende politisamarbejde.

Følgende otte strategiske problemområder er blevet taget op for at undersøge det overordnede problem nærmere.

- Stadig større sårbarhed over for cyberkriminalitet for samfundet, erhvervslivet og borgerne.

- Stadig hyppigere og mere sofistikerede lovovertrædelser i form af cyberkriminalitet.

- Mangel på en sammenhængende politik og lovgivning på EU-plan til bekæmpelse af cyberkriminalitet.

- Specifikke vanskeligheder med operationelt politisamarbejde om cyberkriminalitet.

- Behov for at udvikle kompetence og tekniske værktøjer: Uddannelse og forskning.

- Mangel på en funktionel samarbejdsstruktur for interessenter inden for den offentlige og den private sektor.

- Uklar ansvarsfordeling.

- Manglende bevidsthed om risiciene ved cyberkriminalitet.

Det skal bemærkes, at de høringer, der er foretaget i forbindelse med denne rapport, viste en markant enighed blandt alle interessenter – enten der var tale om politimyndigheder eller private virksomheder – om de nuværende problemer i EU på dette område.

2.1. Hvem rammes?

Cyberkriminalitet rammer alle sektorer i samfundet, og en politik til bekæmpelse heraf vil derfor være synlig praktisk taget overalt. Da der er et meget stort antal borgere, der har private computere, vil de fleste – allerede i kraft af at være potentielle ofre – også kunne blive berørt af ethvert initiativ til bekæmpelse af cyberkriminalitet.

Der er imidlertid også klare tegn på, at der er en stigende kriminel aktivitet, der er direkte rettet mod specifikke grupper af ofre. En effektiv cyberkriminalitetspolitik vil derfor være en klar fordel for disse grupper. Virksomheder, der arbejder med informationssamfundet , og informationssamfundet generelt, kan også spille en større rolle i den forbindelse, da der vil kunne forventes meget positive økonomiske effekter, hvis sikkerheden styrkes, eller hvis der opnås et bedre sikkerhedsklima.

2.2. Har EU ret til at handle?

I betragtning af omfanget og størrelsen af de sikkerhedstrusler, der er, er der et vedvarende og måske stigende behov for at afværge truslerne fra cyberkriminalitet. Sikkerhedsproblemer i forbindelse med cyberkriminalitet har en global dimension og kan derfor ikke behandles udelukkende på nationalt plan. Truslen er international, og det må i det mindste en del af reaktionen også være. Der er ingen tvivl om, at bekæmpelsen af cyberkriminalitet fortsat primært skal foregå på nationalt plan og vil være mest effektiv dér, men der er også et klart behov for at samle og eventuelt supplere de nationale bestræbelser på europæisk plan.

2.3. Mål

Det overordnede strategiske mål for den foreslåede politik, der tager udgangspunkt i ovennævnte problemer, kan skitseres således:

At styrke og bedre koordinere kampen mod cyberkriminalitet på nationalt, europæisk og internationalt plan.

Dette overordnede strategiske mål kan inddeles i følgende fem strategiske delmål anført i en foreløbig prioriteret orden:

- At forbedre grænseoverskridende retshåndhævelse overfor cyberkriminalitet generelt og alvorlige former for cyberkriminalitet specielt og at forbedre udveksling af oplysninger, efterretninger og bedste praksis mellem politimyndigheder i medlemsstaterne og uden for EU.

- At identificere og skabe operationelle instrumenter til samarbejde og fælles målsætning mellem den offentlige og den private sektor og at forbedre udvekslingen mellem den offentlige og den private sektor på EU-plan af oplysninger, efterretninger og bedste praksis hvad angår bekæmpelse af cyberkriminalitet .

- At etablere en politisk platform og strukturer til udvikling af en sammenhængende EU-politik til bekæmpelse af cyberkriminalitet i samarbejde med medlemsstaterne og kompetente EU-organisationer og internationale organisationer og at gøre eksisterende retlige og institutionelle rammer mere effektive, blandt andet ved at indføre en klar ansvarsfordeling for alle relevante aktører.

- At imødegå den stigende trussel fra alvorlige former for cyberkriminalitet ved at forbedre færdigheder, viden og tekniske værktøjer, herunder styrkelse af relevant uddannelse og forskning.

- At øge bevidstheden om truslen fra cyberkriminalitet, især blandt forbrugere og andre sårbare grupper af potentielle ofre.

3. STRATEGISKE POLITISKE OPTIONER

Enhver politik til bekæmpelse af cyberkriminalitet vil i sagens natur være mangesidet. For at være effektiv må politiet kombinere traditionel retshåndhævelse med andre instrumenter, for eksempel selvregulering og oprettelse af samarbejdsstrukturer for forskellige interessenter. Ovenfor er der anført en række problemområder og strategiske mål for dette initiativ. For at nå disse mål er det nødvendigt med en række forskellige, kombinerede tiltag. Kommissionen har på grundlag af omfattende høringer opstillet fire generelle politiske optioner, som hver især består af en række specifikke tiltag:

3.1. Generel politisk option 1: Status quo/intet større nyt tiltag overhovedet

Denne option vil betyde, at Kommissionen ikke på nuværende tidspunkt iværksætter et generelt horisontalt tiltag på dette område. Det vil indebære følgende:

- Kommissionen vil fortsætte med at vurdere behovet for målrettet lovgivning eller politisk indsats og træffe passende foranstaltninger, når der er behov herfor.

- Kommissionen vil følge igangværende projekter i EU og på internationalt plan til bekæmpelse af cyberkriminalitet.

- Kommissionen vil fortsætte med at igangsætte nye projekter på målrettede interesseområder for at bekæmpe cyberkriminalitet, men vil ikke tage politiske initiativer af horisontal art.

3.2. Generel politisk option 2: Generel lovgivning

Denne option vil betyde, at der vedtages en politik, hvor der gradvis indføres generelle reguleringsrammer for bekæmpelse af cyberkriminalitet. En sådan politik vil indebære følgende:

- Kommissionen foreslår systematisk harmoniserede eller ensartede definitioner på kriminalitet, især for EU, men også på internationalt plan.

- Kommissionen foreslår fælles minimumsstandarder for kriminalisering og straf i EU.

- Der oprettes formelle platforme for offentligt-privat samarbejde og for uddannelse og forskning.

- Der oprettes et formelt netværk for retshåndhævelse.

3.3. Generel politisk option 3: Oprettelse af uformelle net for den offentlige og den private sektor

Denne option vil betyde, at Kommissionen, alene eller sammen med andre institutioner, formelt opretter net eller grupper for eksperter inden for cyberkriminalitet, og at den kombinerer dette med indførelse af en frivillig ordning med sikkerhedscertificering for operatører, producenter og forbrugere. Det vil indebære følgende:

- Der oprettes et uformelt organ for eksperter i retshåndhævelse inden for cyberkriminalitet.

- Der oprettes en uformel platform/et uformel net for offentlige og private eksperter inden for cyberkriminalitet.

3.4. Generel politisk option 4: En sammenhængende strategisk tilgang

Denne option vil betyde, at der indføres en sammenhængende strategi til bekæmpelse af cyberkriminalitet på EU-plan. Det primære vil være, at der indføres en strategisk ramme for politikken på EU-plan til bekæmpelse af cyberkriminalitet, som har til formål at opnå en bedre rådgivning om konkrete tiltag og en optimal udnyttelse af eksisterende midler. Andre vigtige elementer i denne strategi vil være:

- Et bedre politisamarbejde på EU-plan.

- Indførelse af en strategisk struktur for offentligt-privat samarbejde til bekæmpelse af cyberkriminalitet.

- Fremme af etableringen af en ramme for globalt, internationalt samarbejde på det relevante område.

- Målrettede lovgivningsforanstaltninger, når det er nødvendigt.

4. VURDERING AF DE POLITISKE OPTIONER OG VALG AF POLITISK OPTION

4.1. Vurdering

De generelle politiske optioner blev vurderet på grundlag af følgende kriterier:

- Sociale virkninger

- Økonomiske virkninger

- Omkostninger for den offentlige forvaltning

- Sammenhæng med politiske mål

- Merværdi og respekt for subsidiaritetsprincippet

- Gennemførlighed

Konklusionerne af vurderingen var i korte træk:

4.1.1. Generel politisk option 1

Denne option blev anset for at være klart utilstrækkelig i forhold til de eksisterende udfordringer. Indvirkningen af optionen "intet nyt tiltag" er i princippet begrænset, men det er vanskeligt at vurdere, om denne option vil kunne få en nævneværdig indvirkning, da det naturligvis er umuligt at vide, hvilke former for kriminalitet der vil opstå fremover. Den potentielle, langsigtede negative indvirkning af scenariet med "intet nyt tiltag" er meget stor, i betragtning af det nuværende og stigende omfang af denne form for kriminalitet.

4.1.2. Generel politisk option 2

Konklusionen var, at denne politiske option ville kræve stor omhyggelighed og skulle ses i et langsigtet perspektiv. Det vil være nødvendigt med detaljerede undersøgelser om juridisk gennemførlighed og langvarige politiske drøftelser. Denne option vil kunne få meget stor indvirkning, men eftersom der er meget lille sandsynlighed for, at der vil ske virkelige fremskridt på kort sigt, er den usikker i et kortsigtet perspektiv. Det er også et spørgsmål, om de politiske mål vil kunne opfyldes ligeså effektivt med den nuværende gennemførelse af de politiske tiltag, som det ser ud politisk og teoretisk. Hvis det er denne politiske option, der vælges, vil der være risiko for, at der ikke bliver taget tilstrækkeligt hensyn til den operationelle side af bekæmpelsen af cyberkriminalitet ved strategiske valg og beslutninger. I betragtning af de store, hermed forbundne virkninger vil det også være nødvendigt at præcisere, hvilken rolle Kommissionen skal spille i den forbindelse. Det vil muligvis også kunne hævdes, at der vil kunne opnås tilsvarende resultater med ikke så vidtgående foranstaltninger.

4.1.3. Generel politisk option 3

Denne politiske option blev anset for at være meget interessant ud fra et strategisk synspunkt, selv om det er svært at forudse, hvilken merværdi og hvilke konkrete indvirkninger den vil kunne få. Der er risiko for, at de nye netstrukturer kun vil give få konkrete resultater. Kommissionen er egentligt ideelt placeret til at koordinere selvregulerende tiltag på dette område, men inden for rammerne af denne politiske option mere som koordinator og formidler end som strategisk leder.

4.1.4. Generel politisk option 4

Denne politiske option blev anset for at tilbyde en række særdeles relevante strategiske tiltag. Der ser kun ud til at være meget få negative indvirkninger eller større forhindringer. Som noget negativt kan det anføres, at de direkte indvirkninger vil være temmelig beskedne. Det gælder dog kun i et kortsigtet perspektiv. Med passende gennemførelsesforanstaltninger vil der kunne opnås særdeles stor indvirkning. Det er dog svært at forudse, hvilken konkret indvirkning der helt nøjagtigt bliver tale om, eftersom den strategiske del først vil blive operationel på et senere tidspunkt. Først da vil konsekvenserne kunne analyseres.

Det skal igen understreges, at den direkte indvirkning af de foreslåede strategier er begrænset, og at de specifikke tiltag, der sættes i gang senere inden for rammerne af en af disse strategier, vil blive vurderet separat. Der er altså her kun tale om en foreløbig vurdering.

4.2. Valg af politisk option

Analysen har klart peget på option 4 som den bedste løsning. Option 4 er også klart den option, som bedst svarer til de generelle mål, der er anført under punkt 2.4.

Optionen intet tiltag overhovedet på dette område forekommer ikke at være holdbar. En passiv tilgang vil sandsynligvis resultere i, at der fortsat vil være utallige bilaterale samarbejdsprojekter om bekæmpelse af cyberkriminalitet, som ingen mulighed har for at drage fordel af en horisontal udveksling af bedste praksis eller synergieffekter. En generel lovgivning , som skaber nye EU-organer, som harmoniserer definitioner af kriminalitet, og som gør det klart, hvilket ansvar og hvilke opgaver hver især har, kan være interessant, men en analyse af den politiske situation har klart vist, at der er meget ringe udsigt til at få vedtaget forslag til generel og horisontal lovgivning. Endvidere var der meget få af de interessenter, der blev hørt, som mente, at det burde prioriteres højt for øjeblikket. Generel lovgivning kan dog altid være relevant i et langsigtet perspektiv. Oprettelse af nye, uformelle strukturer for retshåndhævelse på EU-plan eller offentligt-privat samarbejde kan også være en god idé i et langsigtet perspektiv, men alle interessenter ser ud til at være enige om, at de eksisterende strukturer er tilstrækkelige, men at de omgående må gøres mere effektive. Resultatet af analysen er derfor, at det er option 4 ( en sammenhængende strategi) , der bør foretrækkes. Det skal bemærkes, at denne option ikke udelukker dannelse af en formel struktur (option 3), eller at der senere vedtages generel lovgivning (option 2). Den foretrukne option betyder nemlig, at dørene holdes åbne for nye tiltag.

De forberedende analyser og drøftelserne har klart vist, at det er med optionen den "sammenhængende strategi", at der er størst sandsynlighed for, at de strategiske mål i politikken vil kunne nås. En sådan strategi vil uden tvivl kunne få en markant positiv indvirkning i kampen mod grænseoverskridende cyberkriminalitet, eftersom det vil blive præciseret og uddybet, hvilke kompetencer og roller alle involverede har i denne kamp. Den vil også bidrage til en bedre dialog og forståelse mellem den offentlige og den private sektor, hvilket vil kunne give mange positive sideeffekter. Ud fra et økonomisk synspunkt vil den foretrukne option kunne føre til vigtige synergieffekter, færre skader som følge af kriminelle aktiviteter og færre omkostninger for de enkelte sikkerhedsprogrammer.

Der vil imidlertid sandsynligvis også gå nogle år, inden man ser de forventede virkninger af den valgte option. Det er derfor svært at vurdere alle potentielle indvirkninger på nuværende tidspunkt. Så meget desto mere fordi der endnu ikke er truffet beslutning om de konkrete detaljer i politikken. Det vil derfor være nødvendigt at vurdere de specifikke indvirkninger af konkrete elementer i politikken på et senere tidspunkt.

[1] En undersøgelse til vurdering af indvirkningen af en meddelelse om cyberkriminalitet foretaget af Yellow Window Management Consulting (Kontrakt nr. DG 2006/JLS D 2/03).

[2] Europarådets konvention om cyberkriminalitet, 2001: http://conventions.coe.int/Treaty/en/Treaties/Html/185.htm

[3] Rammeafgørelsen om angreb på informationssystemer (2005/222/RIA).