PL    PL PL 
PL    PL  KOMISJA EUROPEJSKA 
Bruksela, dnia 30.9.2010 
SEC(2010) 1123 wersja ostateczna 
  
DOKUMENT ROBOCZY S ŁUŻB KOMISJI 
STRESZCZENIE OCENY SKUTKÓW  
 
dokument uzupe łniający 
 
Wniosek 
 
 
DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY 
   
w sprawie ataków na systemy informatyczne i uchylaj ąca decyzj ę ramową Rady 
2005/222/WSiSW 
   
{COM(2010) 517 final} 
{SEC(2010) 1122 final}  
PL 2   PL STRESZCZENIE OCENY SKUTKÓW  
1. O PIS ZAGADNIENIA  
Od czasu przyj ęcia decyzji ramowej o atakach na systemy informatyczne („DR o atakach”) 
liczba ataków na systemy informatyczne znacz ąco wzros ła. Jedna z firm nale żących do 
liderów na rynku bezpiecze ństwa internetowego poda ła, że zagrożenia dla poufnych 
informacji (tj. niedost ępnych publicznie) znacz ąco wzros ły w 2008 r. – liczba ustalonych 
nowych zagro żeń wzrosła w tym roku z 624 267 do 1 656 2271. Ponadto odnotowano liczne 
ataki na uprzednio nieznan ą, dużą i niebezpieczn ą skalę, takie jak ataki w Estonii i na Litwie, 
odpowiednio w 2007 i 2008 r. W marcu 2009 r. systemy komputerowe rz ądów i organizacji 
prywatnych 103 pa ństw zosta ły zaatakowane za po średnictwem sieci zainfekowanych 
komputerów w celu pobrania szcze gólnie chronionych i poufnych dokumentów2. Ataki 
przeprowadzono za po średnictwem tzw. botnetów3, sieci zainfekowanyc h komputerów, które 
można zdalnie kontrolowa ć. Jako ostatnie nale ży wymieni ć obecnie obserwowane na świecie 
zjawisko rozpowszechniania botnetów nazywanych „Conficker” (znanych tak że jako 
Downup, Downadup i Kido), które rozprzestrzeniaj ą się i działają w bezprecedensowej skali i 
zakresie od listopada 2008 r., zara żając miliony komputerów na ca łym świecie4. 
Po drugie, niedostateczna wspó łpraca między państwami cz łonkowskimi, a w szczególno ści 
organami ścigania i s ądowymi na terytorium UE, utrudnia skoordynowane i skuteczne 
reagowanie na te ataki. Podczas gdy spra wozdanie z wykonania DR o atakach pokazuje, że 
większość państw członkowskich wprowadzi ła stałe punkty kontaktowe wymagane przez art. 
11 tej decyzji, pozostaje problem ich gotowo ści do wspó łpracy i zdolno ści do reagowania na 
pilne wnioski w tym zakresie5. 
Samo istnienie punktu kontaktowego nie gwarantuje jego prawid łowego funkcjonowania. W 
swoich zawiadomieniach przes łanych Komisji liczne pa ństwa członkowskie zaznaczy ły, że 
ustanowiły wprawdzie punkty kontakto we, ale nie funkcjonuj ą one nieprzerwanie przez 24 
godziny na dob ę, tak jak tego wymaga DR o atakach. Oznacza to, że nie mog ą one 
odpowiedzie ć na pilne wnioski po za godzinami pracy. Wspó łpracę publiczno-prywatn ą 
utrudnia cz ęsto niska wydajno ść punktów kontaktowych  lub ich niezdolno ść do postępowania 
ze składanymi przez sektor prywatny wnioskami o wspó łpracę. 
                                                 
1 http://eval.symantec.com/mktginfo/enterprise/white_papers/b-
whitepaper_internet_security_threat_report_xiv_04-2009.en-us.pdf, s.10. 
2 ww.theglobeandmail.com/servlet/story/RTGAM.20090328.wspy 0328/BNStory/International/home?cid=al_gam_mostemail 
3 Poj ęcie botnetu oznacza sie ć komputerów zara żonych złośliwym oprogramowaniem (wirusami 
komputerowymi). Taka sie ć zainfekowanych komputerów (tzw. zombie) mo że zostać uruchomiona do 
wykonywania szczególnych zada ń, takich jak ataki na systemy informatyczne (cyberataki). Owe 
komputery „zombie” mo żna kontrolowa ć – często bez wiedzy u żytkowników zainfekowanych 
komputerów – z innego komputera. Taki komputer kontrolujacy nazywany jest równie ż „centrum 
dowodzenia i kontroli” (ang. „command-and-control centre”). Osoby kontroluj ące to centrum zaliczane 
są do przest ępców, poniewa ż używają zainfekowanych komputerów do atakowania systemów 
informatycznych. Bardzo trudno jest namierzy ć sprawców, poniewa ż komputery sk ładające się na 
botnet i wykorzystywane do ataku mog ą znajdowa ć się w innymi miejscu ni ż sam przest ępca. 
4 http://www.lemonde.fr/technologies /article/2009/03/31/virus-confi cker-catastrophe-ou-poisson-d-
avril_1174916_651865.html 
5 Sprawozdanie Komisji dla Rady na podstawie art. 12 decyzji ramowej Rady z dnia 24 lutego 2005 r. w 
sprawie ataków na systemy informatyczn e, COM (2008) 0448 wersja ostateczna. 
PL 3   PL Po trzecie, nadal dost ępnych jest niewiele danych o cyberatakach, jak równie ż o działaniach 
podejmowanych w ich nast ępstwie przez policj ę i sądy. Nie wszystkie pa ństwa członkowskie 
gromadzą dane odnosz ące się do cyberataków. Te, które to czyni ą, robią to w sposób 
uniemożliwiający porównania ze wzgl ędu na zró żnicowane metody statystyczne stosowane 
przez poszczególne pa ństwa.  
Ofiarami ataków na wielk ą skalę na systemy informatyczne padaj ą przeciętni użytkownicy 
systemów informatycznych, jak równie ż organy rz ądu centralnego i loka lnego, organizacje 
międzynarodowe i podmioty prywatne.  
Ataki mog ą być kierowane z pa ństw trzecich na cele na terytorium UE i vice versa . 
2. Z ASADA POMOCNICZO ŚCI 
Cyberprzest ępczość to problem o prawdziwie mi ędzynarodowym wymiarze, który rzadko 
udaje się zwalcza ć w czysto krajowym kontek ście. Powszechnie przyjmuje si ę, że dla 
zapobieżenia temu problemowi oraz rozwi ązania tego proble mu konieczne s ą działania unijne 
I międzynarodowe Wi ększość ataków w UE ma charak ter transgraniczny. Dotykaj ą one 
wszystkich pa ństw członkowskich i istniej ą dowody wskazuj ące, że znaczna cz ęść z wiąże się 
z działaniami podejmowanymi w jednym pa ństwie członkowskim i ukierunkowanymi na 
drugie pa ństwo członkowskie. Systemy informatyczne s ą często technicznie wzajemnie 
połączone i zale żne w wymiarze transgranicz nym. Dlatego eksperci s ą zgodni co do tego, że 
potrzebne s ą działania międzynarodowe jak i unijne, oraz że cel, jakim jest skuteczne 
zwalczanie takich przest ępstw, nie mo że zostać osiągnięty w wystarczaj ącym stopniu przez 
państwa członkowskie dzia łające samodzielnie.  
Przyjęcie podej ścia krajowego do cyberprzest ępczości niesie ze sob ą ryzyko rozdrobnienia 
wysiłków i ich nieskuteczno ści w poszczególnych pa ństwach Europy. Ró żnice w krajowych 
strategiach oraz brak systematycznej wspó łpracy transgranicznej znacz ąco ograniczaj ą 
efektywno ść krajowych środków przeciwdzia łania. Wynika to po cz ęści z tego, że systemy 
informatyczne s ą ze sobą połączone, oraz z tego, że niski poziom bezpiecze ństwa w jednym 
państwie może zwiększyć stopień narażenia systemów pozosta łych państw na zagro żenia. 
3. J AKIE SĄ CELE ? 
3.1 Cele ogólne, szczegó łowe i operacyjne 
Ogólnym celem dzia łań UE jest zwalczanie i ściganie przest ępstw pope łnianych w formie 
zorganizowanej lub innej, zgodnie z art. 67 Traktatu o funkcjonowaniu Unii Europejskiej, 
poprzez walk ę z przeprowadzanymi na wielk ą skalę cyberatakami na systemy informatyczne.  
A. Cel szczegó łowy: ściganie i skazywanie przest ępców odpowiedzialnych za ataki 
na wielk ą skalę, poprzez zbli żenie prawa karnego w dziedzinie ataków na 
systemy informatyczne  
B. Cel szczegó łowy: poprawa wspó łpracy transgranicznej mi ędzy organami 
ścigania (O Ś)  
C. Cel szczegó łowy: ustanowienie skutecznych systemów monitorowania i 
gromadzenia danych  
PL 4   PL 4. J AKIE SĄ WARIANTY STRATEGICZNE ? 
4.1 Wariant 1 – S tatus quo /brak nowych dzia łań ze strony UE 
Wariant ten zak łada, że UE nie podejmie żadnych dalszych dzia łań w celu zwalczania tego 
konkretnego rodzaju cyberprzest ępczości. Trwaj ące już działania byłyby kontynuowane, w 
szczególno ści programy na rzecz wzmocnienia ochrony krytycznej infrastruktury 
informatycznej oraz poprawy wspó łpracy publiczno-prywatnej w zwalczaniu 
cyberprzest ępczości.  
4.2 Wariant 2 – Stworzenie programu maj ącego zintensyfikowa ć wysiłki na rzecz 
przeciwdzia łania atakom na systemy informatyczne za po średnictwem środków 
nielegislacyjnych  
Środki nielegislacyjne zosta łyby zastosowane obok programu na  rzecz ochrony krytycznej 
infrastruktury informatycznej i skoncentrowa łyby się na egzekwowaniu prawa w wymiarze 
transgranicznym oraz wspó łpracy publiczno-prywat nej – powinno to u łatwić dalszą 
koordynacj ę działań na szczeblu UE. Wniosek nieustawodawczy móg łby obejmowa ć takie 
działania jak udoskonalenie istniej ącej całodobowej sieci punktów kontaktowych dla organów 
ścigania; ustanowienie unijnej sieci prywatno-publicznych p unktów kontaktowych ekspertów 
w dziedzinie cyberprzest ępczości i organów ścigania oraz opracowanie standardowej unijnej 
umowy o gwarantowanym poziomie świadczonych us ług na potrzeby wspó łpracy organów 
ścigania z operatorami z sektora prywatnego. 
4.3 Wariant 3 – Ukierunkowana aktualizacja DR o atakach maj ąca stanowi ć 
odpowied ź na szczególne zagro żenie wynikaj ące z ataków na wielk ą skalę na 
systemy informatyczne  
Wariant ten przewiduje wprowadzenie specj alnie ukierunkowanych (tzn. o ograniczonym 
zakresie) przepisów maj ących zapobiega ć szczególnie gro źnym atakom na wielk ą skalę na 
systemy informatyczne. Takie specjalne przepisy by łyby powi ązane ze środkami na rzecz 
zacieśnienia transgranicznej wspó łpracy operacyjnej w zwalczan iu ataków na systemy 
informatyczne oraz zwi ększenia ju ż przewidzianych kar mini malnych. Realizacja tego 
wariantu mia łaby form ę aktualizacji obowi ązującej DR o atakach uzupe łnionej o szereg 
środków nielegislacyjnych, takich jak zwi ększenie gotowo ści, bezpiecze ństwa i odporno ści 
zabezpiecze ń krytycznej infrastruktury informat ycznej oraz udoskonalenie instrumentów i 
procedur transgranicznej wspó łpracy organów ścigania oraz wymiany najlepszych praktyk. 
4.4 Wariant 4 – Wprowadzenie kompleksowych przepisów UE przeciwko 
cyberprzest ępczości 
W związku z ustaleniem potrzeby podj ęcia szybkich dzia łań przeciwko nasileniu 
wyrafinowanych ataków na syst emy informatyczne pojawia si ę pytanie, czy nie nale żałoby 
także wprowadzi ć szerszych unijnych przepisów dotycz ących cyberprzest ępczości w ogóle. 
Przepisy te dotyczy łyby nie tylko ataków na syst emy informatyczne, lecz tak że takich kwestii 
jak cyberprzest ępstwa finansowe, nielegalne tre ści w Internecie, 
gromadzenie/przechowywanie/p rzekazywanie dowodów elektroni cznych oraz bardziej 
szczegółowe normy jurysdykcyjne. Takie unijne przepisy mia łyby zastosowanie obok 
Konwencji Rady Europy o cyberprzest ępczości, która w szczególno ści zostałaby uzupe łniona 
o nowe przepisy uznawane za pot rzebne na terytorium UE.  
PL 5   PL 4.5 Wariant 5 – Aktualizacja Konwencji Rady Europy o cyberprzest ępczości 
Wariant ten wymaga łby istotnej renegocjacji obecnej konwencji, co jest procesem 
długotrwałym i wykraczaj ącym poza ramy czasowe dzia łania zaproponowanego w ocenie 
skutków. Jak si ę wydaje, na szczeblu mi ędzynarodowym brakuje woli do renegocjacji 
konwencji. Dlatego te ż nie można uznać aktualizacji konwencji za wariant realny, poniewa ż 
wykracza poza przewidziane ramy czasowe dzia łania.  
5. O CENA SKUTKÓW  
Warianty Skutki 
gospodarcze Skutki 
społeczne Wpływ na 
prawa podstawowe Skutki 
dla państw 
trzecich Znaczenie 
dla celów A, B i C Spójność 
z pr. międzyn. 
Wariant 1: status 
quo/brak nowych 
działań ze strony UE 0 0 0 - 
0 0 
Wariant 2: stworzenie programu maj ącego 
zintensyfikowa ć 
wysiłków na rzecz 
przeciwdzia łania atakom 
na systemy 
informatyczne za 
pośrednictwem środków 
nielegislacyjnych -/+ ++ -/+  
++ A + 
B ++ 
C + -/+ 
Wariant 3: 
ukierunkowana aktualizacja DR o atakach maj ąca stanowi ć 
odpowiedzi na 
zagrożenie wynikaj ące z 
ataków na wielk ą skalę 
na systemy informatyczne --/++ -/+++ -/++  
+++ A +++ 
B +++ C +++ ++ 
Wariant 4: 
wprowadzenie kompleksowych 
unijnych przepisów 
wymierzonych przeciwko cyberprzest ępczości ---/+++ +++ --/++  
++ A ++ 
B ++ C ++ -/++ 
Wariant preferowany 
(warianty 2 i 3): połączenie środków 
nielegislacyjnych ze 
ukierunkowan ą 
aktualizacj ą DR o 
atakach --/+++ +++ -/++  
+++ A +++ 
B +++ C +++ ++ 
PL 6   PL 6. J AK WYPADA PORÓWNANIE WARIANTÓW STRATEGICZNYCH ? 
6.1 Wariant 1 – Utrzymanie status quo   
Wariant ten prowadzi łby nieodwo łalnie do os łabienia pozycji podmiotów prywatnych, pa ństw 
członkowskich i Unii jako ca łości w walce z cyberprzest ępczością, biorąc pod uwag ę 
charakter i rozwój tego zjawiska. Nawet utrz ymanie poziomu obecnie realizowanych dzia łań 
wymagałoby koordynacji na szczeblu europejskim.  
6.2 Wariant 2 – Stworzenie programu maj ącego zintensyfikowa ć wysiłki na rzecz 
przeciwdzia łania atakom na systemy informatyczne za po średnictwem środków 
nielegislacyjnych  
Wariant ten posiada wszystkie zalety i wady zwi ązane z instrumentem prawa mi ękkiego. 
Aspekt pozytywny to mo żliwość opisania ka żdego wariantu strategi cznego w sposób zgodny 
z najlepszymi praktykami krajowymi, a tym samym u łatwienie identyfikacji środków 
najlepszych pod k ątem efektywno ści. 
Jednak wariant ten jest mniej skuteczny pod k ątem osiągnięcia celów. 
6.3 Wariant 3 – Ukierunkowana aktualizacja DR o atakach maj ąca stanowi ć 
odpowied ź na zagro żenie wynikaj ące z ataków na wielk ą skalę na systemy 
informatyczne  
Wariant ten zapewnia szybk ą i precyzyjn ą reakcję na zidentyfikowane problemy. 
Podejmowane s ą w nim zagadnienia zwi ązane z prawem karnym w celu skutecznego ścigania 
sprawców tych przest ępstw. Przyczynia si ę on równie ż do poprawy wspó łpracy 
międzynarodowej, wprowadzaj ąc mechanizm niezw łocznego udzielania mi ędzynarodowej 
pomocy w przypadku pilnych wniosków o wspó łpracę oraz wspiera wspó łpracę z sektorem 
prywatnym poprzez wprowadzenie środków towarzysz ących, takich jak s potkania ekspertów. 
W ramach tego wariantu przewidziano tak że szereg okoliczno ści obciążających, 
przeprowadzenie ataku na wielk ą skalę, jak równie ż ataki pope łniane przez sprawców 
ukrywających swoj ą prawdziw ą tożsamość i narażające na podejrzenia prawowitego 
właściciela tożsamości. 
Wreszcie, by umo żliwić ustalenie rozmiarów pr oblemu, przewidziano obowi ązki w zakresie 
monitorowania. 
6.4 Wariant 4 – Wprowadzenie kompleksowych przepisów UE przeciwko 
cyberprzest ępczości 
Wariant ten, podobnie jak wariant 3, ma warto ść dodaną polegającą na ustanowieniu 
wiążących przepisów i dlatego mo żna oczekiwa ć wyższej skuteczno ści w przypadku jego 
pełnej realizacji. Mo żna się również spodziewa ć maksymalizacji pozytywnego oddzia ływania 
zarówno legislacyjnych jak i niel egislacyjnych instrumentów w szerszym zakresie zagadnie ń 
związanych z cyberprzest ępczością, a więc nie tylko w odniesieniu do ataków na wielk ą 
skalę. Poza tym uwzgl ędniałby on prawnokarne ramy prawne, a równocze śnie poprawia łby 
transgraniczn ą współpracę organów ścigania. Jednak takie ca łościowe podej ście na obecnym 
etapie nie odpowiada stanowisku uzgodnione mu przez zainteresowane podmioty, chocia ż 
jego realizacja oznacza łaby krok dalej w walce z cyberprzest ępczością w porównaniu z 
wszystkimi pozosta łymi wariantami. 
PL 7   PL 7. P REFEROWANY WARIANT STRATEGICZNY  
Po przeanalizowaniu wp ływu gospodarczego, spo łecznego i wp ływu na prawa podstawowe, 
najlepsze podej ście do omawianych problemów pod k ątem osiągnięcia założonych celów 
wydają się stanowić warianty 2 i 3.  
Ogólnie rzecz bior ąc, wariant preferowany stanowi łoby połączenie wariantów strategicznych 
2 i 3, poniewa ż stanowią one wzajemne uzupe łnienie i dlatego najlepiej odpowiadaj ą 
założonym celom, zarówno w zakresie tre ści, jak i terminów.  
8. M ONITOROWANIE I OCENA  
W terminie 2 lat do daty wej ścia w życie dyrektywy powinno zosta ć opublikowane 
sprawozdanie na temat jej wdra żania. W sprawozdaniu tym nale żałoby zwróci ć uwagę na 
kwestię dokładnego wdro żenia dyrektywy przez pa ństwa członkowskie.  
Ponadto nale żałoby przeprowadza ć regularne oceny w celu ustale nia, w jaki sposób i w jakim 
zakresie dyrektywa przyczyni ła się do osiągnięcia jej celów. Pierwsza ocena powinna zosta ć 
przeprowadzona w przeci ągu pięciu lat od daty wej ścia w życie dyrektywy. Nast ępnie 
Komisja b ędzie publikowa ć sprawozdania z oceny co 5 lat; sprawozdania zawiera ć będą także 
informacje o wdra żaniu. Na podstawie wniosków i zalece ń wynikających z ocen Komisja 
powinna rozwa żyć wszelkie dalsze zmiany lub i nne ewentualne kroki w zwi ązku z 
dyrektyw ą.