NL    NL NL 
NL    NL  EUROPESE COMMISSIE 
Brussel, 30.9.2010 
SEC(2010) 1123 definitief 
  
WERKDOCUMENT VAN DE DIENSTEN VAN DE COMMISSIE 
SAMENVATTING VAN DE  EFFECTBEOORDELING  
 
Begeleidend document bij het 
 
voorstel voor een 
 
 
RICHTLIJN VAN HET EUROPEES  PARLEMENT EN DE RAAD 
   
over aanvallen op informatiesystemen en to t intrekking van Kad erbesluit 2005/222/JBZ 
van de Raad 
   
{COM(2010) 517 final} 
{SEC(2010) 1122 final}  
NL 2   NL SAMENVATTING VAN DE  EFFECTBEOORDELING  
1. O MSCHRIJVING VAN HET PROBLEEM  
Het aantal aanvallen op informatiesystemen is sinds de goedkeuring van het kaderbesluit over 
aanvallen op informatiesystemen (hierna "kad erbesluit aanvallen" genoemd) fors toegenomen. 
Volgens een toonaangevend bedrijf op het gebi ed van internetbeveiliging is het aantal 
bedreigingen van vertrouwelijke informatie (teg enover openbaar beschikbare informatie) in 
2008 aanzienlijk toegenomen; het aantal nieuwe be dreigingen dat werd geregistreerd steeg dat 
jaar van 624 267 tot 1 656 2271. Bovendien is een aantal aanvallen van ongekend grote en 
gevaarlijke schaal waargenomen, zo als die in Estland (2007) en Litouwen (2008). In maart 
2009 werden er in 103 landen computersystemen van overheids- en particuliere organisaties 
aangevallen door een netwerk va n besmette computers, waarbi j gevoelige en gerubriceerde 
documenten werden buitgemaakt2. Hiertoe werd gebrui kgemaakt van "botnets"3, netwerken 
van besmette computers, die op af stand bestuurbaar zijn. Ten slo tte verspreidt zich momenteel 
een botnet genaamd "Conficker" (ook bekend als Downup, Downadup en Kido). De groei en 
activiteit van dit netw erk zijn qua schaal en omvang ongekend: sinds november 2008 zijn 
wereldwijd al miljoenen computers aangetast4. 
Ten tweede is het moeilijk om op gecoördineerde  en doeltreffende wijze op deze aanvallen te 
reageren, doordat de lidstaten, en met name de rechtshandhavingsinstanties en justitiële 
autoriteiten binnen de EU, onvol doende samenwerken. Hoewel u it het uitvoeringsverslag over 
het kaderbesluit aanvallen blijkt dat de meeste  lidstaten overeenkomstig artikel 11 van het 
kaderbesluit aanvallen permanente meldpunten  hebben ingesteld, zijn er nog steeds 
problemen wat betreft hun alerthei d en vermogen om te reageren op dringende verzoeken om 
samenwerking5. 
Dat een meldpunt bestaat, wil niet zeggen dat het ook goed werkt. In hun kennisgevingen aan 
de Commissie verklaarde een aantal lidstaten dat hun resp ectieve meldpunten weliswaar 
waren ingesteld, maar – anders dan vereist in het kaderbesluit aanvallen – niet 24 uur per dag 
operationeel waren. Buiten kantooruren blijk en zij geen gehoor te kunnen geven aan 
dringende verzoeken. Publiek-private sa menwerking wordt vaak gehinderd doordat 
meldpunten weinig doeltreffendheid zijn of niet kunnen ingaan op sa menwerkingsverzoeken 
uit de particuliere sector.  
                                                 
1 http://eval.symantec.com/mktginfo/enterprise/white_papers/b-
whitepaper_internet_security_threat_report_xiv_04-2009.en-us.pdf, blz.10. 
2
 ww.theglobeandmail.com/servlet/story/RTGAM.20090328.wspy0328/BNStory/International/home?cid=al_gam_mostemail 
3 Onder de term botnet wordt een netwerk verstaan van computers die zijn besmet met kwaadaardige 
software (een computervirus). Een dergelijk netwerk van besmette computers ("zombies") kan worden 
ingezet voor specifieke acties, zoals aanvallen op informatiesystemen (cyberaanvallen). Deze zombies 
kunnen door een andere computer worden bestuurd – di kwijls zonder dat de gebruikers van de besmette 
computers hier erg in hebben. De besturingscomputer wordt ook wel aangeduid als het "command-and-
control centre". De personen die dit centrum besturen behoren tot de daders, aangezien zij de besmette 
computers gebruiken voor aanvallen op informatiesystemen. Het is bijzonder moeilijk om de daders op te sporen, doordat de computers die deel uitmaken van het botnet en de aanval uitvoeren, zich ergens 
anders kunnen bevinden dan de dader zelf. 
4 http://www.lemonde.fr/technologies /article/2009/03/31/virus-confi cker-catastrophe-ou-poisson-d-
avril_1174916_651865.html 
5 Verslag van de Commissie aan de Raad op basis van artikel 12 van het kaderbesluit van de Raad van 24 
februari 2005 over aanvallen op informatiesystemen, COM(2008)448 def. 
NL 3   NL Ten derde zijn er nog steeds weinig gegevens beschikbaar over cyberaanvallen en over de 
politiële en justitiële follow-up van dergelijk e aanvallen. Niet alle lidstaten verzamelen 
gegevens over cyberaanvallen. Van de lidsta ten die dit wel doen, zijn  de gegevens niet 
onderling vergelijkbaar, doordat zij uiteenlopende statisti sche methoden gebruiken.  
Tot de slachtoffers van grootschalige aanvall en op informatiesystemen behoren onder meer 
het algemene publiek dat gebruikmaakt van inform atiesystemen, evenals centrale en lokale 
overheden, internationale organisati es en particuliere entiteiten.  
Doelen binnen de EU kunnen worden aangeva llen vanuit derde landen en omgekeerd. 
2. S UBSIDIARITEIT  
Cybercriminaliteit is een typi sch internationaal pr obleem, waartegen op treden op nationaal 
niveau maar zelden volstaat. Algemeen word t aangenomen dat er maatregelen op EU- en 
internationaal niveau no dig zijn om dit probleem op te losse n en te voorkomen. Bij de meeste 
aanvallen worden de grenzen van de EU overs chreden. De aanvallen hebben hun weerslag op 
alle lidstaten en er zijn aanwijzingen dat het bi j een aanzienlijk deel ervan gaat om activiteiten 
tussen lidstaten onderling. In technisch opzicht zijn informatiesystemen vaak over grenzen 
heen met elkaar verbonden en onderling afha nkelijk. Onder deskundigen bestaat dan ook een 
consensus dat er op internationaal en EU-niveau  maatregelen nodig zijn en dat de bestrijding 
van cybercriminaliteit een doelstelling is die de lidstaten alleen niet toereikend kunnen 
verwezenlijken.  
Een nationale aanpak van cybercriminaliteit kan tot fragmentering en inefficiëntie binnen 
Europa leiden. Verschillen tussen de nationale werkwijzen en het ontbreken van stelselmatige 
grensoverschrijdende samenwerking beperk en de doeltreffendheid  van de nationale 
tegenmaatregelen aanzienlijk. D it is ten dele te wijten aan de onderlinge verbondenheid van 
informatiesystemen, aangezien een zwakke beve iliging in één land de kwetsbaarheid in 
andere landen kan vergroten.  
3. W AT ZIJN DE DOELSTELLINGEN ? 
3.1 Algemene, specifieke en op erationele doelstellingen 
Het algemene doel van het EU-optreden is het bestrijden en vervolgen van al dan niet 
georganiseerde criminaliteit, overeenkomstig artikel 67 van het Verdrag betreffende de 
werking van de Europese Unie , door grootschalige aanvallen op informatiesystemen tegen te 
gaan.  
A Specifieke doelstelling: criminelen die verantwoordelijk zijn voor grootschalige 
aanvallen vervolgen en veroordelen d oor onderlinge aanpassing van het 
strafrecht op het gebied van aanvallen op informatiesystemen 
B Specifieke doelstelling: grensoverschrijdende samenwerking tussen 
rechtshandhavingsinstanties verbeteren  
C Specifieke doelstelling: doeltreffende  systemen opzetten voor bewaking en 
gegevensverzameling  
NL 4   NL 4. W AT ZIJN DE BELEIDSOPTIES ? 
4.1 Optie 1 – Status quo/geen nieuwe EU-maatregelen 
Deze optie houdt in dat de EU geen verd ere maatregelen treft om deze vorm van 
cybercriminaliteit te bestrijden. Lopende maat regelen, met name de programma's voor betere 
bescherming van de vitale informatiestructuur en betere publiek-privat e samenwerking bij de 
aanpak van cybercriminaliteit  zouden worden voortgezet.  
4.2 Optie 2 – Ontwikkeling van een programma om aanvallen op 
informatiesystemen krachtiger tegen te gaan met niet-wetgevende maatregelen  
Naast het programma ter bescherming van de v itale informatie-infrastructuur zouden niet-
wetgevende maatregelen met name grensovers chrijdende wetshandhaving en publiek-private 
samenwerking bevorderen; deze maatregelen zouden ook nader gecoördineerd optreden op EU-niveau mogelijk moeten maken. Een niet-wet gevend voorstel zou onder meer maatregelen 
kunnen omvatten gericht op de versterking van het bestaande 24/7-netwerk van meldpunten 
voor wetshandhavingsinstanties, de oprichtin g van een EU-netwerk van publiek-private 
meldpunten voor deskundigen op het gebied van cybercriminaliteit en rechtshandhaving, en 
de formulering van een EU-standaardovereenko mst inzake het dienstverleningsniveau voor 
samenwerking op het gebied van rechts handhaving met particuliere partijen.  
4.3 Optie 3 – Gerichte herziening van het kaderbesluit aanvallen om het specifieke 
gevaar van grootschalige aanvallen op informatiesystemen aan te pakken  
Deze optie houdt de invoering in van specifieke gerichte (d.w .z. beperkte) wetgeving ter 
bestrijding van bijzonder gevaarlijke grootsc halige aanvallen op informatiesystemen. Deze 
gerichte wetgeving zou gepaard gaan met maatregelen om de operationele 
grensoverschrijdende samenwerking ter bestr ijding van aanvallen op informatiesystemen op 
te voeren en met een verhoging van de best aande minimumstraffen. Deze optie zou een 
herziening van het bestaande kaderbesluit aanvallen inhouden, plus  een aantal niet-
wetgevende maatregelen voor meer  alertheid, veiligheid en flexibiliteit bij de bescherming 
van de vitale informatie-infrastructuur en voor betere instrumenten en procedures voor 
grensoverschrijdende samenwerking inzake rechtshandhaving en uitwisseling van goede 
praktijken. 
4.4 Optie 4 – Invoering van alomvattende EU-wetgeving tegen cybercriminaliteit 
Door de toename van geavanceerde aanvallen op informatiesystemen zijn dringend 
maatregelen geboden. In dat licht rijst de vraag of er niet oo k bredere EU-wetgeving inzake 
cybercriminaliteit in het algemeen moet worden  ingevoerd. Een dergelijke wetgeving zou niet 
alleen betrekking hebben op aanvallen op in formatiesystemen, maar ook op zaken als 
financiële cybercriminaliteit, illegale internetcontent, het verzamelen/bewaren/doorgeven van elektronisch bewijsmateriaal en meer gedetaille erde rechtsmachtsregels. Een dergelijke EU-
wetgeving zou van kracht kunnen zijn naast he t Verdrag inzake cybercriminaliteit van de 
Raad van Europa, dat met name zou word en aangevuld met nieuwe, binnen de EU 
noodzakelijk geachte voorschriften.  
4.5 Optie 5 – Herziening van het Verdrag in zake cybercriminaliteit van de Raad 
van Europa 
Deze optie houdt een grondige heronderhandeling van het huidige Verdrag in. Dit 
veronderstelt een langdurig pro ces en is niet te rijmen met de actietermijnen die in de 
NL 5   NL effectbeoordeling worden voorgesteld. Er lijkt geen  internationale bereidheid te zijn om 
opnieuw te onderhandelen over het Verdrag. Gelet op de termijn waarop actie geboden is, kan 
herziening van het Verdrag niet als een haalbare optie worden aangemerkt.  
5. E FFECTBEOORDELING  
Opties  Economische 
gevolgen  Maatschappelijke gevolgen
 Gevolgen voor de grondrechtenGevolgen 
voor derde 
landen
 Relevantie 
voor doelstellingen 
A, B en C
 Consistentie 
met internationaal 
recht
 
Optie 1: Status quo/geen nieuwe 
EU-maatregelen
 0 0 0 - 
0 0 
Optie 2: Ontwikkeling van een programma om aanvallen op informatiesystemen 
krachtiger tegen te 
gaan met niet-wetgevende maatregelen
 -/+ ++ -/+  
++ A + 
B ++ 
C + -/+ 
Optie 3: Gerichte 
herziening van het kaderbesluit 
aanvallen om het 
gevaar van grootschalige aanvallen op informatiesystemen 
aan te pakken 
 --/++ -/+++ -/++  
+++ A +++ 
B +++ C +++ ++ 
Optie 4: Invoering 
van alomvattende 
EU-wetgeving tegen cybercriminaliteit
 ---/+++ +++ --/++  
++ A ++ 
B ++ 
C ++ -/++ 
Voorkeursoptie 
(opties 2 en 3): Combinatie van 
niet-wetgevende 
maatregelen en een gerichte herziening van het kaderbesluit aanvallen
 --/+++ +++ -/++  
+++ A +++ 
B +++ C +++ ++ 
NL 6   NL 6. W ELKE OPTIES BIEDEN DE MEESTE VOORDELEN ? 
6.1 Optie 1 – Status quo  
Deze optie brengt de particuliere  partijen, de lidstaten en de Unie als geheel onvermijdelijk in 
een kwetsbaarder positie wat betreft de aanpak van cybercriminaliteit, gelet op de aard en groei van het verschijnsel. Ook voortzetting va n de bestaande maatregelen zou Europese 
coördinatie vergen.  
6.2 Optie 2 – Ontwikkeling van een programma ter versterking van de 
inspanningen om aanvallen op in formatiesystemen tegen te gaan 
met niet-
wetgevende maatregelen  
Deze optie biedt alle voor- en nadelen van een "soft law"-instrument. Positief is dat elke 
beleidsoptie zo kan worden beschreven dat deze overeenkomt met de beste nationale 
praktijken, zodat de efficiëntste maatrege len gemakkelijker kunnen worden vastgesteld. 
Deze optie is wat betreft de verwezenlijking van doelstelli ngen echter minder doeltreffend. 
6.3 Optie 3 – Gerichte herziening van het kaderbesluit aanvallen om het specifieke 
gevaar van grootschalige aanvallen op informatiesystemen aan te pakken  
Deze optie voorziet in een tijdige en gerichte  respons op de gesignaleerde problemen. Er 
wordt werk gemaakt van de strafrechtelijke kwesties die moeten worden geregeld om de daders van dit soort criminaliteit doeltreffend te vervolgen. Ook wordt de internationale 
samenwerking verbeterd door de invoering  van een mechanisme voor onmiddellijke 
internationale bijstand bij dr ingende verzoeken om samenwerking en wordt de samenwerking 
met de particuliere sector bevorderd door bege leidende maatregelen, zo als bijeenkomsten van 
deskundigen. Bij deze optie wordt ook een aantal verzwarende omstandigheden ingevoerd, zoals grootschalige aanvallen en aan vallen waarbij de dader zijn ware identiteit verhult en de 
rechtmatige bezitter van een identiteit schade berokkent. 
Ten slotte worden toezichtverplichtingen in gevoerd om de omvang van het probleem te 
kunnen vaststellen. 
6.4 Optie 4 – Invoering van alomvattende EU-wetgeving tegen cybercriminaliteit 
Deze optie heeft evenals optie 3 als voordeel da t er bindende voorschriften worden opgesteld 
en zal – volledig uitgevoerd – naar verw achting dan ook doeltreffe nder uitpakken. Verder 
zouden bij deze optie waarschijnlijk zowel de wetgevende als de niet-wetgevende 
instrumenten tot optimale effecten leiden, en  ook voor andere vormen van cybercriminaliteit 
dan grootschalige aanvallen. Bovend ien zou er werk worden ge maakt van het strafrechtelijk 
kader en zou de grensoversch rijdende samenwerking bij r echtshandhaving erop vooruitgaan. 
Over deze holistische aanpak bestaat onder de belanghebbenden vooralsnog echter geen 
consensus, hoewel uitvoering ervan de strijd  tegen cybercriminaliteit op een hoger plan zou 
brengen. 
NL 7   NL 7. D E VOORKEURSOPTIE  
Op basis van de analyse van de economisch en  maatschappelijke gevolgen en van de analyse 
van de impact op de grondrechten, vormen opties 2 en 3 de beste aanpak van het probleem; de 
doelstellingen zouden ermee kunne n worden verwezenlijkt.  
Over het geheel genomen zou de voorkeursoptie een combinatie zijn van de beleidsopties 2 en 
3, aangezien deze elkaar aanvullen en het be ste aansluiten bij de doelstellingen, zowel 
inhoudelijk als qua timing.  
8. T OEZICHT EN EVALUATIE  
Uiterlijk twee jaar na de inwerkingtreding van de richtlijn dient een uitvoeringsverslag te 
worden gepubliceerd. Uit dit ve rslag moet blijken hoe de lidst aten de richtlijn precies ten 
uitvoer hebben gelegd.  
Verder dient regelmatig te worden nagegaan hoe en in hoeverre de richtlijn heeft bijgedragen 
tot de verwezenlijking van zijn doelstellingen. De eer ste evaluatie dient uiterlijk vijf jaar na de 
inwerkingtreding van de richtlijn te worden verricht. De Commissie zal nadien om de vijf jaar 
een evaluatieverslag uitbrengen met daarin in formatie over de tenuitvoerlegging. Op grond 
van de conclusies en aanbevelingen van de eval uaties dient de Commissie zich te beraden op 
eventuele wijzigingen of andere ontwikkelingen van de richtlijn.