SKRIFTLIG FORESPØRGSEL P-0780/03

af Elly Plooij-van Gorsel (ELDR) til Kommissionen

(7. marts 2003)

Om: Præsident Bush' beføjelser til cyberangreb

Indtil for nylig var opmærksomheden omkring mulige cyberangreb og konsekvenserne heraf minimal. I Europa og også i Europa-Parlamentet blev det primære ansvar med hensyn til computerudstyrs sårbarhed således placeret hos erhvervslivet og organisationerne selv. Siden terrorangrebene i USA den 11. september 2001 og de vedvarende advarsler om mulige cyberangreb er opmærksomheden omkring sikkerheden steget stærkt.

I denne sammenhæng skal vi ikke kun frygte at blive påført skade gennem cyberangreb udført af Irak eller af islamiske grupperinger såsom Unix Security Guards of Anti-India Crew. I kampen mod internetterrorisme har præsident Bush for et halvt år siden undertegnet en særlig lov, som giver ham mulighed for selv at udføre cyberangreb. Disse angreb behøver ikke kun at være rettet mod Irak, de kan også berøre det samlede World Wide Web og hele dets funktion. Med andre ord: Bush kan sætte nettet fuldstændig ud af funktion, hvis han ønsker det. Det forudsættes, at kun militært relevante mål må angribes. Det store problem med online-angreb er, at der i tilknytning hertil kan opstå stor collateral damage. Som følge af internettets stærkt sammenkædede karakter kan også andre lande og virksomheder blive påført skade af en sådan aktion. Et denial-of-service-angreb, som er en klassisk metode til at sætte et netværk ud af spillet, har også konsekvenser for de netværk, der befinder sig mellem angriberen og målet.

1. Er Kommissionen bekendt med denne nye lov, som giver præsident Bush beføjelse til at udføre cyberangreb, og hvad er i bekræftende fald Kommissionens mening herom?

2. Hvorledes agter Kommissionen at beskytte de europæiske borgere mod sådanne angreb og konsekvenserne heraf?

3. Hvem skal ifølge Kommissionens opfattelse betale for den skade, som sådanne angreb kan medføre, og hvordan skal betalingen inddrives?

Svar afgivet på Kommissionens vegne af Erkki Liikanen

(7. april 2003)

Kommissionen er bekendt med en artikel i Washington Post af 7. februar 2003, hvori det hævdes, at præsident Bush ifølge embedsmænd i den amerikanske administration har underskrevet et hemmeligt direktiv i juli 2002, kendt som National Security Presidential Directive 16. Ifølge Washington Post pålægger dette direktiv den amerikanske regering at udarbejde nationale retningslinjer for, hvornår og hvordan USA skal iværksætte cyberangreb på fjendtlige elektroniske net. Ifølge artiklen forestiller militærstrateger sig, at edb-eksperter skal hacke sig ind i fjendens elektroniske net og for eksempel lukke radarer ned, sætte elektricitetsværker ud af drift eller blokere telefonnettet.

Kommissionen har ikke kendskab til nogen offentliggørelse af dette direktiv eller nogen officiel bekræftelse fra den amerikanske regering.

Tiltag til forsvar mod cyberkrigsførelse har ligheder med tiltag for at fremme cybersikkerhed og bekæmpe computerrelateret kriminalitet, og Kommissionen har været meget aktivt involveret i udviklingen af en politik på disse områder.

Den 26. januar 2001 vedtog Kommissionen en meddelelse med titlen Et sikrere informationssamfund: Højnelse af sikkerheden i informationsinfrastrukturerne og bekæmpelse af computerrelateret kriminalitet(1). Heri anerkendes informations- og kommunikationsinfrastrukturernes, herunder internettets, betydning som et kritisk led i økonomien, og der foreslås en række specifikke tiltag.

I overensstemmelse med denne meddelelse fremlagde Kommissionen den 19. april 2002 et forslag til Rådets rammeafgørelse om angreb på informationssystemer(2). Ifølge forslaget skal medlemsstaterne optage ulovlig adgang til informationssystemer og ulovlig forstyrrelse af informationssystemer som strafbare lovovertrædelser i deres nationale lovgivning. Forslaget indeholder også bestemmelser om strafferetlige sanktioner, regler for juridiske personers ansvar og tilhørende sanktioner samt et krav om, at medlemsstaterne tilslutter sig det eksisterende netværk af operationelle kontaktpunkter vedrørende højteknologikriminalitet, der er i funktion døgnet rundt, alle ugens dage. Parlamentet afgav udtalelse om forslaget i oktober 2002(3), og Rådet nåede til politisk enighed om teksten til de centrale artikler den 28. februar 2003.

Handlingsplanen eEurope 2005 sigter mod at stimulere sikkerhedstjenester og dermed bidrage til at skabe en sikker informationsinfrastruktur. Også i den tidligere eEurope-handlingsplan var forbedring af cybersikkerheden et højt prioriteret område.

I februar 2003 fremlagde Kommissionen forslag om oprettelse af et europæisk agentur for net- og informationssikkerhed(4). Målet for agenturet er at fungere som et ekspertisecenter, hvor både medlemsstaterne og Kommissionen kan søge råd i spørgsmål om cybersikkerhed. Agenturet skal også yde bistand til myndighederne i medlemsstaterne, bl.a. til de forskellige IT-alarmhold (CERT).

Desuden har Kommissionen netop iværksat det sjette rammeprogram for forskning og teknologisk udvikling (FTU), hvor F & U om sikkerheds- og pålidelighedsfremmende teknologier er et centralt element under området informationssamfundsteknologier (IST). Også i det femte rammeprogram blev der lagt stor vægt på sikkerhedsteknologi og informationsinfrastrukturers pålidelighed, herunder forskning i systemers indbyrdes afhængighed.

I de fleste tilfælde vil gerningsmændene kunne drages til ansvar for angreb på informationssystemer i henhold til medlemsstaternes civil- og strafferet. Når rammeafgørelsen om angreb på informationssystemer er gennemført, vil strafbare angreb også omfatte f.eks. overbelastningsangreb (denial of service) i alle medlemsstater.

I tilfælde af handlinger, der udføres af en fremmed stat eller på en fremmed stats vegne (herunder krigshandlinger), kan der opstå spørgsmål om, hvorvidt denne stat nyder immunitet, hvad angår sådanne handlinger, over for andre staters domstole. Svaret på dette spørgsmål afhænger imidlertid af, præcis hvordan international ret på dette område udvikler sig, og af de specifikke omstændigheder omkring den pågældende handling.

(1) KOM(2000) 890 endelig udg.

(2) EFT C 203 E af 27.8.2002.

(3) A5-0328/2002 endelig udg.

(4) KOM(2003) 63 endelig udg.