[pic] | KOMISJA WSPÓLNOT EUROPEJSKICH |

Bruksela, dnia 14.7.2008

KOM(2008) 448 wersja ostateczna

SPRAWOZDANIE KOMISJI DLA RADY

na podstawie art. 12 decyzji ramowej Rady z dnia 24 lutego 2005 r. w sprawie ataków na systemy informatyczne

1. WPROWADZENIE

1.1. Kontekst

Celem niniejszego sprawozdania jest ocena prawidłowości przeniesienia przez państwa członkowskie decyzji ramowej Rady 2005/222/WSiSW w sprawie ataków na systemy informatyczne[1] (dalej zwanej „DR”) do własnego prawa krajowego.

Głównym celem[2] DR jest usprawnienie współpracy między organami sądowymi i innymi właściwymi organami, włącznie z policją i innymi wyspecjalizowanymi organami ścigania państw członkowskich, poprzez zbliżanie przepisów prawa karnego w państwach członkowskich w dziedzinie ataków na systemy informatyczne. Z tego powodu DR ma uzupełniać i rozbudowywać inne instrumenty unijne i międzynarodowe (w szczególności konwencję Rady Europy o cyberprzestępczości[3]).

Od czasu przyjęcia DR odnotowano kolejne przestępcze ataki na systemy informatyczne, co ponownie podkreśla konieczność ściślejszej koordynacji działań europejskich w odpowiedzi na tego rodzaju ataki. Masowy atak typu denial of service (odmowa usługi) na infrastrukturę informatyczną Estonii w maju 2007 r. przypomniał we właściwym czasie o tym, jak uciążliwy i destrukcyjny może być wpływ tego rodzaju ataków.

W rezultacie potrzeba pełnego i poprawnego przeniesienia przez każde z państw członkowskich przepisów DR do swojego prawa krajowego stała się jeszcze pilniejsza, niż w chwili przyjęcia DR. O aktualności niniejszego sprawozdania dodatkowo świadczy bezpośrednie odniesienie do kwestii zwalczania cyberprzestępczości w konkluzjach z ostatniego posiedzenia Rady ds. Wymiaru Sprawiedliwości i Spraw Wewnętrznych[4], która również czeka na sprawozdanie Komisji na temat wprowadzenia w życie przepisów DR.

1.2. Powiadomienia i odpowiedzi

Artykuł 12 ust. 2 DR zobowiązuje państwa członkowskie do przekazania w terminie do 16 marca 2007 r. tekstów wszelkich przepisów przenoszących do prawa krajowego obowiązki nałożone na nie na podstawie DR. W powyższym terminie tylko jedno państwo (Szwecja) przekazało Komisji tekst krajowy, przy czym niekompletny. Z tego względu Komisja rozesłała państwom członkowskim monit z prośbą o przesłanie tekstów wszelkich przepisów krajowych przenoszących przepisy decyzji ramowej do ich prawa krajowego wraz z wszelkimi innymi informacjami dotyczącymi wprowadzenia w życie tego środka, jakie uznają za istotne.

Do dnia 1 czerwca 2008 r. Komisja otrzymała powiadomienia lub odpowiedzi na monit od 23 państw członkowskich. Nie otrzymano odpowiedzi od Hiszpanii, Malty, Polski[5] i Słowacji . Ponadto odpowiedzi uzyskane od Irlandii , Grecji i Zjednoczonego Królestwa , co przyznają rządy tych państw, nie pozwalają na ocenę stanu wprowadzenia DR w życie w tych państwach z uwagi na jego opóźnienie.

Wspomniane siedem państw członkowskich nie dopełniło zatem obowiązku powiadomienia wynikającego z art. 12 ust. 2 DR. W rezultacie niniejsze sprawozdanie ocenia przepisy wyłącznie pozostałych 20 państw członkowskich.

1.3. Metoda i kryteria oceny

Niniejsze sprawozdanie opiera się na informacjach dostarczonych przez państwa członkowskie. Niektóre niezbędne dane nie zostały jednak przekazane. Z tego względu ocena oraz wnioski przedstawione w niniejszym sprawozdaniu opierają się częściowo na informacjach niepełnych.

Na mocy art. 34 ust. 2 lit. b) Traktatu o Unii Europejskiej decyzje ramowe wiążą pastwa członkowskie w odniesieniu do rezultatu, który ma zostać osiągnięty, pozostawiają jednak organom krajowym swobodę wyboru formy i środków. W celu przeprowadzenia obiektywnej oceny pod kątem pełnego wprowadzenia w życie decyzji ramowej przez państwa członkowskie opracowano wiele ogólnych kryteriów w oparciu o dyrektywy. Kryteria te mogą być stosowane z uwzględnieniem niezbędnych zmian w odniesieniu do decyzji ramowej. W szczególności, przepisy wprowadzające w życie DR muszą być skuteczne w realizacji jej celów, muszą spełniać wymogi jasności i pewności prawnej, muszą zapewniać pełne zastosowanie tekstu w odpowiednio jasny i precyzyjny sposób oraz muszą zostać wprowadzone w życie w przewidzianym terminie.

Sprawozdanie koncentruje się w głównej mierze na formalnym poziomie wprowadzenia w życie przepisów z dziedziny prawa karnego. Faktyczne stosowanie tych przepisów nie wchodzi jednak w zakres niniejszego sprawozdania.

2. OCENA

2.1. Ogólne uwagi dotyczące wprowadzenia w życie

DR została wprowadzona w życie w 20 państwach członkowskich w bardzo zróżnicowany sposób. W większości państw brzmienie przepisów prawa krajowego jest zbliżone do brzmienia DR. W pozostałych państwach przyjęto bardziej pośrednią i ogólną metodę wprowadzenia w życie. W wielu przypadkach oznacza to, iż zastosowane pojęcia i wyrażenia prawne nie są łatwo porównywalne. W miarę możliwości w niniejszym sprawozdaniu wzięto pod uwagę ogólne przepisy prawa karnego państw członkowskich, ze wskazaniem wszelkich szczególnych trudności, jakie wynikają z zastosowania takiej metody.

2.2. Definicje (art. 1)

20 państw członkowskich nie przedstawiło jasnych i pełnych informacji na temat tego, jak definicje wskazane w DR zastosowano w ich prawie krajowym. Jak jednoznacznie wynika jednak z ogólnego kontekstu, definicje zastosowane w ich prawie krajowym odpowiadają definicjom DR.

2.3. Nielegalny dostęp do systemów informatycznych (art. 2)

Zdaniem Komisji wszystkie 20 państw członkowskich włączyło do prawa krajowego główne zobowiązanie, tj. zadbało o to, by umyślny bezprawny dostęp do całości lub części systemu informatycznego był karalny jako przestępstwo.

Ostatnie zdanie pierwszego ustępu daje państwom członkowskim możliwość uznania takiego działania za przestępstwo wyłącznie „w przypadkach, które nie są przypadkami mniejszej wagi”. Z możliwości tej, w mniej lub bardziej widoczny sposób, skorzystały następujące państwa, uznając, że opisane poniżej modele odpowiadają koncepcji „przypadków, które nie są przypadkami mniejszej wagi”:

- w Austrii kryterium prawnym odpowiedzialności karnej jest wystąpienie zamiaru szpiegowania danych oraz wykorzystania ich w celach zarobkowych bądź w celu spowodowania szkód;

- Republika Czeska uznała za przestępstwo nielegalny dostęp tylko w odniesieniu do przypadków, gdzie dane zostają w dalszej kolejności wykorzystane niezgodnie z przeznaczeniem lub uszkodzone;

- w Finlandii wymogiem odpowiedzialności karnej jest „zagrożenie” danych, do których uzyskany zostaje dostęp;

- na Łotwie nielegalny dostęp jest przestępstwem tylko w przypadku, gdy „dochodzi w ten sposób do powstania znacznych szkód”

Aby móc ocenić zgodność powyższych modeli z DR, należy dokonać konkretnej interpretacji pojęcia „przypadków, które nie są przypadkami mniejszej wagi”. Taka interpretacja jest konieczna dla ustalenia, czy przynajmniej zasadniczy obszar kryminalizacji przewidziany przez DR został formalnie uwzględniony przez państwa członkowskie. Artykuł 2 ma na celu ochronę poufności systemów informatycznych. Stosownie do tego, w opinii Komisji pojęcie „przypadku mniejszej wagi” musi dotyczyć przypadków, gdy nielegalny dostęp ma mniejsze znaczenie lub gdy naruszenie poufności systemu informatycznego jest naruszeniem mniejszego stopnia. Odpowiednie przepisy austriackie, czeskie, fińskie i łotewskie , o których mowa powyżej, odnoszą się jednak szczegółowo do okoliczności, np. gdy występuje konkretny zamiar popełnienia czynu przestępczego, konkretne ryzyko lub szkody, czego nie można uznać za zgodne z powyższym rozumieniem. Z tego względu Komisja ma poważne zastrzeżenia co do zgodności omawianych przepisów austriackich, czeskich, fińskich i łotewskich z wyrażoną w DR koncepcją „przypadków, które nie są przypadkami mniejszej wagi”.

W ogólniejszym ujęciu, taka rozbieżność interpretacji i zastosowania omawianej możliwości nieuznawania określonych czynów za przestępstwa stanowi poważne zagrożenie dla celu zbliżania zasad prawa karnego w państwach członkowskich w dziedzinie ataków na systemy informatyczne.

Wobec powyższego Komisja uznaje, iż jedynie 16 z 20 państw członkowskich wykazało prawidłowe wprowadzenie w życie art. 2 DR.

Artykuł 2 ustęp 2 pozwala państwom członkowskim zdecydować, czy działanie, o którym mowa w ust. 1, ma zostać objęte oskarżeniem jedynie w przypadkach, kiedy przestępstwo popełniane jest z naruszeniem zabezpieczenia. Z możliwości tej skorzystało siedem z 20 państw członkowskich ( Austria, Finlandia, Litwa, Łotwa, Niemcy, Węgry i Włochy ).

2.4. Nielegalna ingerencja w system (art. 3)

W ocenie Komisji wszystkie 20 państw członkowskich uwzględniło główne zobowiązanie, tj. zadbało o to, by umyślne poważne naruszenie lub przerwanie funkcjonowania systemu informatycznego poprzez wprowadzanie, przekazywanie, uszkadzanie, usuwanie, niszczenie, zmienianie, zatajanie lub uczynienie niedostępnymi danych komputerowych było karalne jako przestępstwo.

Dla potwierdzenia takiej oceny konieczna może być jednak dodatkowa analiza praktyki w tych państwach członkowskich, które przyjęły stosunkowo ogólne przepisy w celu wprowadzenia w życie omawianego artykułu. Dotyczy to Danii , która utrzymuje, iż wszystkie kryteria wymienione w artykule spełnia bardzo ogólny przepis odnoszący się do zniszczenia, uszkodzenia lub usunięcia wszelkiego rodzaju mienia. Choć metoda taka jest, co do zasady, możliwa do przyjęcia, to zakres jej zastosowania do ataków na dostępność może zostać zakwestionowany, szczególnie w przypadkach, gdy szkody mogą mieć charakter wyłącznie czasowy[6].

Ostatnie zdanie art. 3 daje państwom członkowskim możliwość uznania takiego działania za przestępstwo wyłącznie w „przypadkach, które nie są przypadkami mniejszej wagi”. Z możliwości tej skorzystało sześć państw członkowskich, które, w mniej lub bardziej wyraźny sposób, wskazały, iż omawianym okolicznościom odpowiadają następujące modele:

- prawo austriackie uznaje za przestępstwo ingerencję wyłącznie w przypadkach „ciężkich”;

- prawo czeskie wymaga zamiaru spowodowania szkody lub straty[7];

- prawo niemieckie wymaga, by system, którego dotyczy ingerencja, był systemem „o istotnym znaczeniu dla osoby trzeciej”;

- prawo estońskie uzależnia odpowiedzialność karną od kryterium „spowodowania […] istotnych szkód”;

- prawo litewskie uznaje za przestępstwo wyłącznie przypadki „prowadzące […] do powstania szkód”;

- prawo łotewskie uznaje za przestępstwo ingerencję wyłącznie w przypadku, gdy „doszło do uszkodzenia lub zniszczenia systemów zabezpieczeń bądź do znacznych strat”;

Również w tym przypadku ocena zgodności powyższych modeli z DR wymaga uściślenia definicji „przypadków, które nie są przypadkami mniejszej wagi”. Konieczność taka omówiona została już w odniesieniu do art. 2 w pkt 2.3 powyżej.

Artykuł 3 ma na celu ochronę integralności systemów informatycznych. Stosownie do tego w opinii Komisji pojęcie „przypadku mniejszej wagi” musi dotyczyć przypadków, gdy ingerencja w system ma sama w sobie niewielkie znaczenie lub gdy integralność systemu informatycznego zostaje naruszona w niewielkim stopniu. Odnośne przepisy austriackie, czeskie, estońskie i litewskie , o których mowa powyżej, wydają się zmierzać do dokładnie takiego stanu rzeczy, a zatem należy je uznać za zgodne z wymogiem wyłączenia z penalizacji jedynie przypadków ingerencji mniejszej wagi.

Odnośny przepis niemiecki odwołuje się jednak do kwestii znaczenia dla osoby trzeciej, a przepis łotewski do przypadków uszkodzenia systemów zabezpieczeń lub znacznych strat. Komisja uznaje, że związek tych przepisów z integralnością systemów informatycznych jest niewystarczający do oceny ich zgodności z przewidzianą w DR możliwością wyłączenia z penalizacji „przypadków, które nie są przypadkami mniejszej wagi” oraz że jest to niezgodne z wyrażonym w DR celem dotyczącym zbliżania przepisów prawa karnego w państwach członkowskich w dziedzinie ataków na systemy informatyczne.

W bardziej ogólnym ujęciu, tego rodzaju rozbieżność interpretacji i zastosowania możliwości nieuznania za przestępstwo określonych czynów stanowi poważne zagrożenie dla celu dotyczącego zbliżania zasad prawa karnego w państwach członkowskich w dziedzinie ataków na systemy informatyczne.

Wobec powyższego Komisja uznaje, iż jedynie 18 z 20 państw członkowskich wykazało prawidłowe wprowadzenie w życie art. 3 DR.

2.5. Nielegalna ingerencja w dane (art. 4)

W ocenie Komisji wszystkie 20 państw członkowskich uwzględniło główne zobowiązanie do zadbania o to, by umyślne usunięcie, uszkodzenie, pogorszenie, zmiana, zatajanie lub uczynienie niedostępnymi danych komputerowych w systemie informatycznym było karalne jako przestępstwo. Wiele państw członkowskich wprowadziło w życie art. 3 i 4 w ramach tego samego przepisu krajowego. Również tutaj Komisja nie jest przekonana, czy w przypadku Danii bardzo ogólny przepis dotyczący zniszczenia, uszkodzenia lub usunięcia wszelkiego rodzaju mienia może uwzględniać czyny związane z danymi komputerowymi, o których mowa w omawianym artykule. Kwestia ta została już pokrótce omówiona w ramach uwag na temat art. 3 w pkt 2.4.

Ostatnie zdanie art. 3 daje państwom członkowskim możliwość uznania za przestępstwo takiego działania wyłącznie w „przypadkach, które nie są przypadkami mniejszej wagi”. Z możliwości tej skorzystały trzy państwa członkowskie, które, w mniej lub bardziej wyraźny sposób, wskazały, iż omawianym okolicznościom odpowiadają następujące modele:

- prawo czeskie wymaga zamiaru spowodowania szkody lub utraty[8];

- prawo estońskie wymaga „spowodowania […] istotnych szkód”;

- prawo łotewskie (art. 243 prawa karnego) stosuje kryterium „uszkodzenia lub zniszczenia systemów zabezpieczeń bądź spowodowania znacznych strat”.

Jak wskazano powyżej w pkt 2.4 w odniesieniu do identycznych przepisów wprowadzających w życie art. 3 DR, Komisja uważa, że przepisy czeskie są zgodne z DR w tym względzie, a w przypadku przepisów estońskich należy zakładać tę zgodność. Podobnie jak stwierdzono powyżej, nie można uznać, że Łotwa wypełniła swoje zobowiązania na mocy omawianego artykułu DR.

Komisja uznaje, iż 19 z 20 państw członkowskich wykazało prawidłowe wprowadzenie w życie art. 4 DR.

2.6. Kierowanie, pomaganie i podżeganie oraz usiłowanie (art. 5)

Komisja uznaje, że 18 z 20 państw członkowskich spełniło co do zasady główne zobowiązanie, tj. zadbało o to, by kierowanie przestępstwami, pomaganie przy popełnianiu przestępstw i podżeganie do przestępstw oraz usiłowanie popełnienia przestępstwa były karalne. Finlandia i Portugalia zgłosiły jedynie przepisy krajowe dotyczące usiłowania, i w konsekwencji nie wykazały przepisów krajowych dotyczących kierowania, pomagania i podżegania. Szwecja nie przewiduje karania mniejszej wagi przypadków kierowania, pomagania, podżegania i usiłowania. Takie podejście jest niezgodne z wymogami DR.

Państwom członkowskim przysługuje możliwość niezastosowania się do wymogu zapewnienia karalności wszelkich przypadków usiłowania popełnienia przestępstwa polegającego na nielegalnym dostępie do systemów informatycznych. Niemcy i Słowenia powiadomiły, iż korzystają z tej możliwości.

Komisja uznaje zatem, że art. 5 został prawidłowo wprowadzony w życie w 17 z 20 państw członkowskich.

2.7. Sankcje i okoliczności obciążające (art. 6–7)

W ocenie Komisji wszystkie 20 państw członkowskich zadbało o to, by przestępstwa, o których mowa w art. 2 i 5 DR, podlegały skutecznym, proporcjonalnym i odstraszającym sankcjom karnym[9]. Sankcje przewidziane za nielegalną ingerencję w system i nielegalną ingerencję w dane spełniają również szczegółowe wymogi określone w art. 6 ust. 2 DR.

Bardziej zróżnicowana jest sytuacja dotycząca zobowiązania do uwzględnienia „okoliczności obciążających” w odniesieniu do przestępstwa popełnianego w ramach organizacji przestępczej (art. 7):

- przepisy, o których powiadomiła Austria w oczywisty sposób nie wypełniają tego zobowiązania w świetle DR;

- w prawie duńskim brak jest bezpośredniego odniesienia do organizacji przestępczych;

- w Finlandii odnośne przepisy nie zawierają odniesienia do organizacji przestępczych;

- w przypadku Portugalii konieczne są pewne korekty prawa w celu jego pełnego dostosowania do DR.

Pozostałe państwa członkowskie ( Bułgaria, Łotwa, Szwecja i Włochy ) nie odnoszą się do kryterium „okoliczności obciążających” w przepisach, o których powiadomiły Komisję. Z przekazanych tekstów wynika jednak, że zobowiązanie do stosowania surowszych sankcji w przypadku przestępstw z udziałem organizacji przestępczych zostało już w pełni uwzględnione – choć nie bezpośrednio – w krajowych przepisach Bułgarii, Łotwy i Włoch . W tych państwach członkowskich przepisy obowiązujące w we wszystkich przypadkach omawianych przestępstw określają surowsze sankcje minimalne, niż te, o których mowa w art. 7 DR. Rząd szwedzki utrzymuje, że w prawie szwedzkim przestępstwa popełniane w ramach organizacji przestępczych objęte są całkowicie okolicznością obciążającą jako „przestępstwa ciężkie”, oraz przedstawia w tej sprawie szczegółowe wyjaśnienia.

Wobec powyższego Komisja uznaje, że art. 6 został prawidłowo wprowadzony w życie przez wszystkie 20 państw członkowskich, a 16 z nich wypełniło zobowiązania wynikające z art. 7 DR.

2.8. Odpowiedzialność osób prawnych i sankcje wobec osób prawnych (art. 8 i 9)

W opinii Komisji 16 z 20 państw członkowskich w oczywisty sposób podjęło niezbędne kroki w celu zagwarantowania, że osoby prawne będą pociągane do odpowiedzialności za przestępstwa, o których mowa w art. 2, 3, 4 i 5, w okolicznościach opisanych w art. 8 ust. 1.

Republika Czeska[10] , Luksemburg[11] i Łotwa nie dopełniły obowiązku powiadomienia Komisji o takich przepisach.

Estonia utrzymuje, że jej przepisy dotyczące odpowiedzialności cywilnej obejmują wszystkie przypadki opisane w art. 8 ust. 1, choć nie przedstawiła Komisji żadnych szczegółowych informacji na ten temat. Nie istnieją wymogi co do charakteru przedmiotowej odpowiedzialności, a krajowe przepisy dotyczące odpowiedzialności administracyjnej i cywilnej – o ile są w pełni zgodne z art. 8 – w teorii można uznać za wystarczające. Estonia nie wyjaśniła, w jaki sposób jej prawo o odpowiedzialności cywilnej w pełni uwzględnia zobowiązania wynikające z DR.

Artykuł 8 ustęp 2 zobowiązuje państwa członkowskie do zadbania o to, by osoby prawne mogły zostać pociągnięte do odpowiedzialności w przypadku, gdy brak nadzoru lub kontroli przez osobę, o której mowa w ust. 1, umożliwił popełnienie przestępstw z przysporzeniem korzyści tej osobie prawnej przez osobę pozostającą pod jej władzą. W opinii Komisji 10 z 20 państw członkowskich spełniło ten wymóg. Obok Estonii, Luksemburga, Łotwy i Republiki Czeskiej , w przypadku których wnioski na temat art. 8 ust. 1 dotyczą także art. 8 ust. 2, odnośnych przepisów w sprawie odpowiedzialności osób prawnych nie przedstawiły również Dania, Finlandia, Francja i Portugalia . Francja oświadczyła, iż odpowiedzialność taka wynika z zasad dotyczących odpowiedzialności cywilnej, nie przedstawiając jednak wyjaśnień co do właściwego zakresu takiej odpowiedzialności.

Zgodnie z art. 9 państwa członkowskie podejmują również niezbędne kroki w celu zapewnienia objęcia skutecznymi, proporcjonalnymi i odstraszającymi sankcjami karnymi osób prawnych pociąganych do odpowiedzialności zgodnie z art. 8 ust. 1 i art. 8 ust. 2. Wszystkie 14 państw członkowskich, które przedstawiły środki prawidłowo wprowadzające w życie art. 8 ust. 1, oraz 10 państw członkowskich, które wypełniły zobowiązania wynikające z art. 8 ust. 2., wypełniło również powyższe zobowiązania.

Wobec powyższego Komisja uznaje, iż jedynie 12 z 20 państw członkowskich wykazało prawidłowe wprowadzenie w życie art. 8 i 9 DR.

2.9. Jurysdykcja (art. 10)

W opinii Komisji 17 z 20 państw członkowskich wypełniło zobowiązanie ustanowienia swojej jurysdykcji w sprawie przestępstw, o których mowa w art. 2, 3, 4 i 5 DR (w oparciu o szczegółowe kryteria określone w art. 10). Choć porównanie utrudnione jest przez zróżnicowanie metod legislacyjnych w sprawie jurysdykcji pomiędzy poszczególnymi państwami członkowskimi, Komisja uważa, iż omawiany artykuł został dobrze wprowadzony w życie. Łotwa i Portugalia nie dopełniły obowiązku powiadomienia Komisji o swoich przepisach krajowych wprowadzających w życie art. 10.

Możliwość niezastosowania lub zastosowania jedynie w konkretnych przypadkach lub okolicznościach przepisów w sprawie jurysdykcji określonych w ust. 1 lit. b) i ust. 1 lit. c), jaką daje państwom członkowskim ust. 5, została wykorzystana, co odnotowano w powiadomieniu, przez Francję (w przypadku ust. 1 lit. b)) oraz przez Austrię, Finlandię, Litwę, Niemcy i Węgry (w przypadku ust. 1 lit. c)). Jak się wydaje, również Włochy wykorzystały ust. 1 lit. b) i ust. 1 lit c), a Estonia i Rumunia ust. 1 lit. c), choć nie zostało to przez nie formalnie potwierdzone. Austria powiadomiła Komisję, iż wciąż rozważa, czy w dalszym ciągu będzie korzystać z tej możliwości.

Wobec powyższego Komisja uznaje, iż art. 10 został prawidłowo wprowadzony w życie w 17 z 20 państw członkowskich.

2.10. Wymiana informacji (art. 11)

Państwa członkowskie zobowiązane są zadbać o wykorzystanie istniejącej sieci operacyjnych punktów kontaktowych dostępnych 24 godziny na dobę i siedem dni w tygodniu. Komisja nie otrzymała żadnych informacji, które pozwoliłyby ocenić, czy ten warunek DR został spełniony przez Belgię, Niderlandy, Niemcy, Portugalię, Republikę Czeską, Słowenię i Włochy .

W związku z obowiązkiem powiadomienia Sekretariatu Generalnego Rady i Komisji o wyznaczonym punkcie kontaktowym (art. 11 ust. 2), Komisja nie otrzymała jednoznacznego powiadomienia od Austrii, Bułgarii, Portugalii i Włoch .

Wobec powyższego Komisja uznaje, iż jedynie 11 z 20 państw członkowskich wykazało wypełnienie wszystkich zobowiązań określonych w art. 11.

3. WNIOSKI

3.1. Poziom wprowadzenia w życie

Niniejsze sprawozdanie stanowi pierwsze spojrzenie na kwestię wprowadzenia w życie DR przez państwa członkowskie. Potwierdza ono duże zróżnicowanie sposobów wprowadzania w życie ustawodawstwa karnego przez państwa członkowskie, a także wynikającą z tego faktu trudność w dokonaniu pełnej oceny ustawodawstwa krajowego bez wglądu w jego praktyczne zastosowanie.

Komisja odnotowuje, że DR wciąż jest wprowadzana w życie w państwach członkowskich. Istotny postęp osiągnięto praktycznie we wszystkich 20 ocenianych w niniejszym sprawozdaniu państwach członkowskich, gdzie poziom wprowadzenia DR w życie uznano za względnie dobry.

Co oczywiste, poważne obawy Komisji budzi siedem państw członkowskich, które wciąż nie powiadomiły o żadnych środkach wdrożeniowych. Komisja wzywa te spośród państw członkowskich, które jeszcze nie przeniosły DR do swego prawa krajowego, do jak najszybszego skorygowania tej sytuacji. Komisja wzywa również państwa członkowskie do ponownej analizy własnego ustawodawstwa pod kątem przyspieszenia starań mających na celu przeciwdziałanie atakom na systemy informatyczne.

3.2. Dalszy rozwój wydarzeń

Ataki, jakie miały miejsce w całej Europie od czasu przyjęcia DR, uświadamiają wiele rodzących się zagrożeń, a w szczególności pojawienie się zjawiska masowych jednoczesnych ataków na systemy informatyczne oraz wzrost przestępczego wykorzystania tzw. botnetów[12]. Ataki takie nie znajdowały się w centrum uwagi w chwili przyjęcia DR. W odpowiedzi na taki rozwój wydarzeń, Komisja rozważy podjęcie działań zmierzających do znalezienia lepszych sposobów reagowania na zagrożenie, jakie niosą ze sobą botnety. W rozważaniach takich może zostać uwzględniona szczegółowa penalizacja określonych działań umożliwiających przestępcze wykorzystanie botnetów oraz surowsze minimalne sankcje karne dla przestępstw w formie masowych i szczególnie niebezpiecznych ataków na systemy informatyczne.

Komisja rozważa również podjęcie działań w celu skutecznego promowania i wykorzystywania we właściwym czasie całodobowych i całotygodniowych punktów kontaktowych, o których mowa w art. 11. O konieczności podjęcia szybkich wspólnych działań – często z udziałem prywatnych podmiotów – na poziomie międzynarodowym w celu przeciwdziałania masowym atakom na systemy informatyczne wyraźnie świadczą poważne incydenty, do jakich doszło w 2007 r. W celu promowania lepszej koordynacji i spójności takiego systemu reagowania państwa członkowskie powinny rozważyć w dalszym ciągu możliwość wykorzystania tych samych punktów kontaktowych, co w przypadku sieci Rady Europy/G 8[13]. Komisja rozważy szczególnie kwestię sporządzenia unijnych wytycznych w sprawie zastosowania różnych sieci międzynarodowych do celów związanych z przestępczością wykorzystującą nowoczesne technologie.

[1] Dz.U. L 69 z 16.3.2005, str. 67.

[2] Motyw 1.

[3] Wersja w języku angielskim: http://conventions.coe.int/Treaty/en/Treaties/Html/185.htm. Wersja w języku polskim: http://www.coe.org.pl/re_konw/ETS_185.doc.

[4] 8 i 9 listopada 2007 r., zob.: http://www.consilium.europa.eu/ueDocs/cms_Data/docs/pressdata/en/jha/97023.pdf

[5] Wprawdzie Polska przekazała swoje powiadomienie, ale zrobiła to późno, w dniu 1 lipca 2008 r., i nie może ono być obecnie wzięte pod uwagę, zważywszy na ściśle określone terminy publikacji, niemniej będzie ono uwzględniane później przy wszelkich działaniach następujących po opublikowaniu niniejszego sprawozdania.

[6] Jak podkreślono w powiadomieniu dla Komisji przesłanym przez inne państwo członkowskie.

[7] Zgodnie z oświadczeniem rządu czeskiego wymóg taki zostanie pominięty wraz z przyjęciem nowego prawa karnego.

[8] Zgodnie z oświadczeniem rządu czeskiego wymóg taki zostanie pominięty wraz z przyjęciem nowego prawa karnego.

[9] Należy zauważyć, że Austria wydaje się wątpić, czy jej własne sankcje za nielegalną ingerencję w system są wystarczająco odstraszające.

[10] Rząd czeski oświadczył, iż posiada określone zasady dotyczące odpowiedzialności cywilnej w tym kontekście, nie dostarczając jednak tekstu ani opisu treści takich przepisów.

[11] Wniosek dotyczący przepisów uwzględniających to zobowiązanie przedstawiono parlamentowi luksemburskiemu w 2007 r., ale Komisji nic nie wiadomo o jego przyjęciu.

[12] Termin „botnet” można w skrócie zdefiniować jako grupę komputerów zainfekowanych złośliwym oprogramowaniem pozwalającym na sprawowanie zdalnej kontroli nad wszystkimi komputerami w ramach botnetu.

[13] Art. 35 konwencji.