Jotta tämänkaltaisen rikollisuuden torjunta olisi tehokasta, jäsenvaltioiden on päätettävä yhteisesti, millaista toimintaa pidetään tietojärjestelmähyökkäyksenä. Niiden on myös lähennettävä seuraamusten suuruusluokkia ja käytännön keinoja rikosten ilmoittamiseksi ja tietojen vaihtamiseksi viranomaisten välillä. Tätä varten Euroopan parlamentti ja neuvosto antoivat 12. elokuuta 2013 tietojärjestelmiin kohdistuvista hyökkäyksistä direktiivin 2013/40/EU (”direktiivi”), joka korvasi neuvoston puitepäätöksen 2005/222/YOS.

Europolin vuonna 2016 laatiman internetiä hyödyntävää järjestäytynyttä rikollisuutta koskevan uhkakuva-arvion (IOCTA) mukaan kyberrikollisuus on muuttumassa yhä aggressiivisempaan ja hyökkäävämpään suuntaan. Kehitys on nähtävissä monissa kyberrikollisuuden muodoissa, kuten tietojärjestelmiin kohdistuvissa hyökkäyksissä. Europolin mainitsemia vakavia hyökkäysmuotoja ovat muun muassa haittaohjelmien käyttö ja käyttäjän manipulointi tietojärjestelmään soluttautumiseksi ja sen kaappaamiseksi tai viestinnän salakuuntelemiseksi sekä laaja-alaiset verkkohyökkäykset esimerkiksi elintärkeään infrastruktuuriin. Hyökkäyksiä pidetään merkittävinä uhkina yhteiskuntaamme kohtaan.

·’Oikeushenkilö’ 2 artiklan c alakohdassa. Määritelmän tarkoituksena on varmistaa luonnollisten ja oikeushenkilöiden vastuu ja rajata sen ulkopuolelle valtiot, julkiset elimet ja julkisoikeudelliset kansainväliset järjestöt.

Mitä tulee tietojenvaihtoon, 13 artiklan 1 kohdan mukaan jäsenvaltioiden on varmistettava, että niillä on toimiva kansallinen yhteyspiste käytettävissä ympärivuorokautisesti ja kaikkina viikonpäivinä, jotta ne voivat vastata kiireellisiin ulkomailta tuleviin avunpyyntöihin 8 tunnin kuluessa.

·Vähintään viiden vuoden enimmäisvankeusrangaistusta edellytetään 4 ja 5 artiklassa mainituista rikoksista, joiden tekijänä on rikollisjärjestö (9 artiklan 4 kohdan a alakohta), jotka aiheuttavat vakavaa vahinkoa (9 artiklan 4 kohdan b alakohta) tai jotka kohdistuvat elintärkeään infrastruktuuriin kuuluvaan tietojärjestelmään (9 artiklan 4 kohdan c alakohta).

Termi ’data’ määritellään jäsenvaltioiden AT, BG, CY, CZ, DE, EE, EL IE, FI, HR, LT, MT, NL, PT, RO ja UK (Gibraltar) lainsäädännössä, kun taas jäsenvaltioiden ES, FR, IT, LU, LV, PL, SE, SK ja UK (Gibraltaria lukuun ottamatta) ilmoittamat tiedot eivät olleet tyhjentävät. Kuitenkin SE:n tapauksessa erityisesti määritelmään viittaaviin artikloihin viittaaminen tekee määritelmästä tarpeettoman. Mitä tulee muihin jäsenvaltioihin, HU viittaa datan määritelmään vain direktiivin 4 ja 5 artiklassa mainittujen rikosten yhteydessä, kun taas sekä BE:ltä että SI:ltä puuttuu datan määritelmästä kokonaan maininta ”ohjelmasta, jonka avulla tietojärjestelmä pystyy suorittamaan jonkin toiminnon”.

Direktiivin määritelmä perustuu Budapestin yleissopimuksen 1 artiklan a alakohdassa annettuun määritelmään termille ’tietojärjestelmä’, ja siinä lisätään itse data tietojärjestelmän osaksi. CY, EL, IE, FI, HR, MT, PT ja UK (Gibraltar) ovat antaneet oikeudellisia säännöksiä, joihin sisältyy tietojärjestelmän määritelmä, kun taas jäsenvaltioiden DE, ES, F, LU, LV, PL, SE ja SK ilmoittamat tiedot eivät olleet tyhjentävät. Jäljellä olevien jäsenvaltioiden AT, BE, BG, CZ, EE, HU, IT, LT, NL, RO, SI ja UK (Gibraltaria lukuun ottamatta) vastaavissa oikeudellisissa määritelmissä ei erikseen mainita ’dataa’. Tämä merkitsee viittausta Budapestin yleissopimuksen 1 artiklan a alakohtaan, jonka määritelmä tietojärjestelmälle on yhtä kattava.

Tällä kertomuksella vastataan direktiivin 17 artiklan vaatimukseen, jonka mukaan komission on annettava Euroopan parlamentille ja neuvostolle kertomus, jossa arvioidaan, missä määrin jäsenvaltiot ovat toteuttaneet direktiivin noudattamiseksi tarvittavat toimenpiteet. Kertomuksessa on siis tarkoitus antaa tiivis mutta informatiivinen katsaus tärkeimmistä toimenpiteistä, joilla jäsenvaltiot ovat saattaneet direktiivin osaksi kansallista lainsäädäntöään.

c) Oikeushenkilö

Lukuun ottamatta LU:ta, joka ei ilmoittanut tyhjentävää tietoa 2 artiklan c alakohdan saattamisesta osaksi kansallista lainsäädäntöä, ’oikeushenkilön’ määritelmän saattaminen osaksi kansallista lainsäädäntöä ei aiheuttanut ongelmia. Tämä johtuu siitä, että se löytyy yleisesti jo jäsenvaltioiden siviili- ja kauppaoikeussäännöksistä. Vain CY:llä on direktiivin täytäntöönpanotoimissa sitä koskeva erityissäännös.

d) Oikeudettomasti

Mitä tulee 2 artiklan d alakohdan ilmaisun ’oikeudettomasti’ määritelmään, vain CY, IE, RO ja UK (Gibraltar) ilmoittivat sen saattamisesta osaksi kansallista lainsäädäntöä, kun taas 23 jäsenvaltiolta tätä määritelmää koskevat täytäntöönpanotoimet puuttuivat kokonaan. On kuitenkin todettava, että kaikissa jäsenvaltioissa on yleinen periaate, jonka mukaan rikosoikeudellista vastuuta ei synny toimista, joiden tekemiseen on ollut asianmukainen lupa.

2.2 Määritellyt rikokset (direktiivin 3–7 artikla)

a) Laiton tunkeutuminen tietojärjestelmään

Direktiivin 3 artikla, joka viittaa laittomaan tunkeutumiseen tietojärjestelmään, on katettu jäsenvaltioiden AT, CY, CZ, EL, ES, IE, FI, FR, LT, LU, NL, PL, PT, SE ja SK lainsäädännössä.

Muiden jäsenvaltioiden (BE, BG, DE, EE, HR, HU, IT, LV, MT, RO, SI ja UK) kohdalla vastaava kansallinen rikoskuvaus ei tee eroa sen välillä, onko kyse tunkeutumisesta koko tietojärjestelmään vai osaan siitä, vaikka tästä on nimenomaisesti direktiivissä säädetty. Lisäksi DE:n täytäntöönpano ei kata yksinkertaista tietokonelaitteistoihin tunkeutumista, ja AT ja LU mainitsevat erityistä tarkoitusperää (tarkoitus saada tietoa tai tehdä haittaa tai vilpillinen tarkoitusperä) koskevia lisävaatimuksia ja LV merkittävää haittaa koskevia lisävaatimuksia. Jäsenvaltioiden BE, BG, FR, HR, LU, MT, PT, RO, SI ja UK tapauksessa kansallisten säännösten soveltamisala on laajempi kuin direktiivin, sillä näissä säännöksissä rikosoikeudellinen vastuun syntyminen ei edellytä minkään turvatoimenpiteen kiertämistä. Muut jäsenvaltiot viittaavat joko kirjaimellisesti siihen, että turvatoimenpiteen kiertäminen kuuluu rikoksen tunnusmerkistöön (CY, EL ja SK) tai käyttävät samantyyppistä terminologiaa kuvaamaan tätä näkökohtaa (AT, CZ, DE, EE, ES, FI, HU, IT, LT, LV, NL, PL ja SE).

b) Laiton järjestelmän häirintä

Direktiivin 4 artiklassa viitataan laittomaan järjestelmän häirintään. Direktiivissä luetellaan kahdeksan mahdollista toimea (datan syöttö, siirtäminen, vahingoittaminen, tuhoaminen, turmeleminen, muuttaminen, poistaminen tai saattaminen käyttökelvottomaksi) ja kaksi mahdollista mainitun toimen seurausta (tietojärjestelmän toiminnan vakava estäminen tai keskeyttäminen). BE, CY, CZ, EL, IE, FR, HR, LU, MT, PT, SE ja UK (Gibraltaria lukuun ottamatta) ovat antaneet direktiiviä vastaavat lainsäädäntötoimet. BG viittaa ainoastaan viruksen syöttämiseen, kun taas loput jäsenvaltiot (AT, DE, EE, ES, HU, IT, LV, NL, PL, RO, SI, SK ja UK) jättävät erikseen mainitsematta 1–4 mahdollista toimea. Tässä yhteydessä voidaan havaita, että useimmat ongelmat koskivat termejä ’turmeleminen’ (puuttui 8 tapauksessa) ja ’saattaminen käyttökelvottomaksi’ (puuttui 9 tapauksessa).

c) Laiton datan vahingoittaminen

Direktiivin 5 artikla kattaa laittoman datan vahingoittamisen ja siinä luetellaan kuusi mahdollista toimea: datan tuhoaminen, vahingoittaminen, turmeleminen, muuttaminen, poistaminen tai saattaminen käyttökelvottomaksi. CY, EL, IE ja MT ovat saattaneet säännöksen kirjaimellisesti osaksi lainsäädäntöään; BE, CZ, LT, PT ja SE käyttivät yleisluontoisempia termejä kattamaan kaikki mahdolliset toimet. Muiden jäsenvaltioiden täytäntöönpanotoimet eivät kata jokaista mahdollisuutta, vaan viittaavat vain viiteen vaihtoehtoon (FI ja SK) tai vieläkin harvempiin (AT, BG, DE, EE, FR, HR, HU, IT, LU, NL, PL, RO, SI ja UK). Useimmat ongelmat koskivat termejä ’vahingoittaminen’ (puuttui 8 kertaa), ’turmeleminen’ (13 kertaa), ’poistaminen’ (11 kertaa) ja ’saattaminen käyttökelvottomaksi’ (13 kertaa). FI täydentää direktiivin sanamuotoa vaatimuksella, jonka mukaan rikosoikeudellisen vastuun syntyminen edellyttää, että ”aikomuksena on tuottaa haittaa tai taloudellista vahinkoa”, kun taas LT ja LV edellyttävät, että ”toimesta aiheutuu suurta vahinkoa tai merkittävää haittaa”.

d) Viestintäsalaisuuden loukkaus (tietojen laiton hankkiminen)

Direktiivin 6 artiklassa viitataan tietojen laittomaan hankkimiseen, ja artikla keskittyy luottamukselliseen datan siirtämiseen ja dataa sisältävästä tietojärjestelmästä lähtevään sähkömagneettiseen säteilyyn. CY, CZ, DE, ES, IE, FI, HR, LV, MT, RO, SE, SK ja UK (Gibraltar) ovat antaneet lainsäädäntöä, joka kattaa täysin 6 artiklan. Direktiivin yleinen datan hankkimiseen liittyvä soveltamisala rajoittuu viesteihin (AT ja BG), henkilön tarkkailuun (EE) tai tiedonvaihtoon (FR ja HU). Lisäksi seuraavien jäsenvaltioiden täytäntöönpanotoimet eivät kata sähkömagneettista säteilyä: BE, BG, EE, FR, HU, IT, LT, LU, NL, PL, PT, SI ja UK (Gibraltaria lukuun ottamatta). Eräät jäsenvaltiot myös edellyttävät erityistä tarkoitusperää (kuten tiedonsaantia, taloudellista hyötyä tai haitan aiheuttamista – ks. AT, EL, HU) tai erityisiä lisätoimia (esimerkiksi tallettaminen tai saadun tiedon salaisen luonteen tiedostaminen – ks. BG ja HU).

e) Rikosten tekemiseen käytettävät välineet

Direktiivin 7 artiklassa säädetään rangaistavaksi lukuisia toimia, joissa 3–6 artiklassa mainittujen rikosten tekemiseen käytetään jotakin välinettä, kuten tietokoneohjelmia tai tunnuslukuja. Rangaistavia toimia ovat tällaisten välineiden tuottaminen, myynti, käyttöön hankkiminen, tuonti, jakelu ja muu saataville asettaminen. AT BE, CY, DE, EL, IE ja SK ovat antaneet vastaavaa kansallista lainsäädäntöä. Jotkin jäsenvaltiot eivät kata kaikkia mainittuja rikoksia (EE, IT, MT, PL ja SI). Toiset taas eivät viittaa 7 artiklan tekijään 3–6 artiklassa mainittujen rikosten mukaisesta rikoksentekijästä poikkeavana henkilönä (CZ ja SI). Eräät edellyttävät erityistä tarkoitusperää (vahingon tuottaminen tai vilpillinen toiminta – ks. FI, IT ja LU), tiettyä seurausta, kuten salassapitovelvollisuuden loukkaamista (BG) tai ainakin mainittujen rikkomusten valmistelua (SE). Lopulta 7 artiklan täytäntöönpanossa löytyi puutteita kaikkien lueteltujen toimien osalta. Näin asia oli jäsenvaltioiden BG, CZ, EE, ES, FR, HR, HU, IT, LT, LU, LV, PL, PT, RO, SI ja UK kohdalla. Näistä LU:n lainsäädännössä mainitaan erikseen viisi kuudesta direktiivissä luetellusta mahdollisesta toimesta, kun taas muut jäsenvaltiot viittaavat selkeästi vain neljään tai harvempaan.

Käyttöön hankkiminen on saatettu osaksi vain ES:n kansallista lainsäädäntöä.

2.3 Mainittuja rikoksia koskevat yleiset säännöt (direktiivin 8–12 artikla)