MEDDELANDE FRÅN KOMMISSIONEN TILL RÅDET OCH EUROPAPARLAMENTET Brottsbekämpning i vår digitala tidsålder: inrättande av ett Europeiskt centrum mot it-brottslighet /* COM/2012/0140 final */





MEDDELANDE FRÅN KOMMISSIONEN TILL RÅDET OCH EUROPAPARLAMENTET Brottsbekämpning i vår digitala tidsålder: inrättande av ett Europeiskt centrum mot it-brottslighet 1. INLEDNING: EUROPAS SVAR PÅ GRÄNSÖVERSKRIDANDE BROTT Internet (nedan också kallat nätet eller online) har blivit en integrerad och oumbärlig del av vårt samhälle och vår ekonomi. Åttio procent av alla unga européer är uppkopplade på nätet och har därigenom kontakt med omvärlden via sociala nätverk online[1], och e-handeln omsätter ungefär 8 biljoner US-dollar varje år[2].Men eftersom mer och mer av vår vardag och våra affärstransaktioner utspelas online, ökar också den brottsliga verksamheten - mer än en miljon människor i hela världen faller varje dag offer för it-brottslighet[3]. Brottslig verksamhet på nätet varierar från att sälja stulna kreditkort för så lite som en euro, identitetsstöld och sexuella övergrepp mot barn, till omfattande it-attacker mot institutioner och infrastruktur. För samhället är den totala kostnaden för it-brott stor. En färsk rapport tyder på att offren förlorar cirka 388 miljarder US-dollar varje år över hela världen till följd av it-brottslighet, vilket gör den mer lönsam än den globala handeln med marijuana, kokain och heroin tillsammans[4]. Även om dessa uppgifter bör behandlas med försiktighet, eftersom olika sätt att definiera vad it-brottslighet innebär kan leda till en variation av kostnadsberäkningar, finns det emellertid enighet om att it-brott är en mycket lönsam form av kriminell lågriskverksamhet som blir allt vanligare och gör allt större skada. I en tid då främjandet av ekonomisk tillväxt är av största vikt, kommer en upptrappning av bekämpningen av it-brottsligheten att vara nödvändig för att behålla medborgarnas och näringslivets förtroende för säker elektronisk kommunikation och handel. Den kommer också att stödja målen för tillväxt i Europa 2020-strategin[5] och den digitala agendan för Europa[6]. Friheten på internet är den viktigaste faktorn för att förklara den digitala revolutionen under senare år. Vårt öppna internet har varken några nationella gränser eller en global styrningsstruktur. Men samtidigt som främjandet och skyddet av denna frihet online överensstämmer med stadgan om grundläggande rättigheter i EU, måste vi också sträva efter att skydda medborgarna från organiserade kriminella ligor som försöker utnyttja denna öppenhet. Ingen brottslighet är så gränslös som it-brottslighet, vilket kräver att de brottsbekämpande myndigheterna, tillsammans med aktörer inom den offentliga och privata sektorn, antar ett samordnat och samarbetsinriktat tillvägagångssätt över de nationella gränserna. Det är på detta område som EU kan göra stor nytta, vilket redan sker. Europeiska unionen har utvecklat olika initiativ för att hantera it-brott. Dessa inbegriper 2011 års direktiv om bekämpande av sexuellt utnyttjande av barn och barnpornografi på internet, och ett direktiv om angrepp mot informationssystem, med inriktning på att straffbelägga användningen av verktyg för it-brottslighet, framför allt botnät[7], vilka bör antas under 2012. Europol har utökat sin verksamhet mot it-brottslighet och spelar en central roll i den senaste undsättningsinsatsen ”Operation Rescue”, där polisen arresterade 184 misstänkta barnsexförbrytare och identifierade mer än 200 offer för övergrepp efter en av de brottsbekämpande myndigheternas största utredningar i sitt slag över hela världen. De misstänkta brottslingarnas identitet och verksamhet kunde avslöjas tack vare det arbete Europols analytiker lagt ned för att spräcka säkerhetslösningarna i en av nätverkets centrala servrar. Bekämpningen av it-brottslighet, där det viktigaste rättsliga instrumentet är Europarådets konvention om it-brottslighet[8], fortsätter att vara en av de främsta prioriteringarna. Den fastställs i EU:s policycykel för organiserad och grov internationell brottslighet[9], och utgör en integrerad del av EU:s insatser för att utarbeta en övergripande strategi i syfte att stärka säkerheten på internet. EU har också ingått ett nära samarbete med internationella partner, t.ex. den befintliga EU–USA-arbetsgruppen om it-säkerhet och it-brottslighet. Bortsett från dessa framsteg finns det fortfarande flera hinder för en effektiv utredning av it- brottslighet och åtal av brottslingar på europeisk nivå. Dessa hinder är bland annat: gränserna för domstolarnas behörighet, otillräckligt underrättelsesamarbete, tekniska svårigheter med att spåra de gärningsmän som är upphov till it-brotten, olikartat utredande och kriminalteknisk kapacitet, brist på utbildad personal och inkonsekvent samarbete med andra aktörer med ansvar för säkerheten på internet. Genom stabilitetsinstrumentet hanterar EU den snabba utvecklingen av gränsöverskridande hot avseende it-brotten i utvecklings- och övergångsländer där den kapacitet som krävs för att bekämpa denna form av organiserad brottslighet ofta saknas. Som svar på dessa utmaningar framhöll kommissionen sin avsikt att skapa ett europeiskt centrum för frågor mot it-brottslighet EC3 (nedan också kallat centrumet) som en prioritet i strategin för den inre säkerheten[10]. Efter att ha utfört en genomförbarhetsstudie om inrättandet av ett sådant centrum[11] har kommissionen, på rådets begäran[12], föreslagit ett europeiskt centrum mot it-brottslighet som kommer att ingå i Europol och fungera som kontaktpunkt vid bekämpningen av it-brott inom EU. I detta meddelande, som utarbetats mot bakgrund av genomförbarhetsstudien, skisseras de föreslagna huvudfunktionerna i Europeiska centrumet mot it-brottslighet, förklaras varför centrumet bör lokaliseras inom Europol, och hur det kan inrättas. Innan centrumet kan bli till fullo operativt kommer man emellertid att behöva utvärdera resursbehovet och ställa anslag till dess förfogande. Inrättandet av centrumet kommer också, om det är lämpligt, att avspeglas i den kommande revisionen av Europols rättsliga grund. 2. FÖRSLAG TILL INRÄTTANDE AV ETT EUROPEISKT CENTRUM MOT IT-BROTTSLIGHET För att Europeiska centrumet mot it-brottslighet (nedan kallat centrumet) ska ge mervärde, samtidigt som hänsyn tas till subsidiaritetsprincipen föreslås det att centrumet inriktas på följande grupper av it-brott: i) It-brott som begåtts av organiserade kriminella grupper, särskilt de som genererar stor kriminell vinning genom bedrägerier på internet. ii) It-brott som ger uppov till allvarlig skada för offren, till exempel sexuell exploatering av barn på internet. iii) It-brott (inklusive it-angrepp) som drabbar kritisk infrastruktur och informationssystem inom EU[13]. Med beaktande av att it-brottsligheten ständigt förändras bör det också finnas utrymme för att vidta åtgärder både för att tillgodose medlemsstaternas krav och för att hantera uppkomsten av de nya hot som EU utsätts för i samband med it-brotten. 2.1. Centrala funktioner och vilka funktioner som bör finnas i ett Europeiskt centrum mot it-brottslighet Centrumet bör ha fyra huvudfunktioner: (a) Fungera som kontaktpunkt för information som rör europeisk it-brottslighet En samordnande funktion skulle säkerställa insamling av uppgifter om it-brottslighet från bredast möjliga lager av offentliga, privata och öppna källor, och berika den polisiära underrättelseverksamheten. Den bör gradvis överbrygga nuvarande luckor i de uppgifter som finns tillgängliga från de enheter som ansvarar för säkerheten på internet och för att hantera it-brottslighet. De uppgifter som samlas in skulle beröra it-brottslighetens verksamheter och metoder samt misstänkta it-brottslingar. Dessa skulle användas både för att förbättra kunskapen om it-brott och dess förebyggande, upptäckt och straffbelägg, samt uppmuntra lämpliga kopplingar mellan de brottsbekämpande myndigheterna, organisationen för incidenthantering (Cert) och säkerhetsspecialister för informations- och kommunikationsteknik (IKT) från den privata sektorn. Vid utbytet av uppgifter måste man respektera sekretessavtalen och reglerna om tystnadsplikt mellan olika parter. Den samordnande funktionen är också värdefull för att förbättra den polisiära underrättelseverksamheten i samband med it-brott. Kommissionen skulle önska att medlemsstaterna gör det till ett krav att grova it-brott rapporteras till de nationella brottsbekämpande myndigheterna[14]. Detta skulle göra det möjligt för de nationella polismyndigheterna att mer konsekvent lämna uppgifter om grova it-brott till centrumet, vilket i sin tur kunde sprida dessa uppgifter så att kollegor i andra medlemsstater får veta om de strävar mot samma mål och kan dra nytta av varandras uppgifter vid utredningar. Syftet är att bredda lägesbilden av it-brottsligheten i Europa under en längre tid för att framställa högkvalitativa strategiska rapporter om trender och hot, att öka sakkunnigheten på grundval av omfattande uppgifter om brott och att förbättra den operativa underrättelseverksamheten från en uppgiftsbas som bygger på olika uppgiftskällor. (b) Sammanslagning av sakkunskaper om den europeiska it-brottsligheten för att stödja medlemsstaternas kapacitetsuppbyggnad Centrumet bör bistå medlemsstaterna med sakkunskap och utbildning för att förebygga och bekämpa it-brottslighet. Det inriktas främst på brottsbekämpning, men utbildning bör också erbjudas rättsväsendet. De befintliga initiativen från Europol, Cepol och medlemsstaterna kommer att rationaliseras efter en djupgående behovsanalys för att se till att verksamheten samordnas och kompletteras på ett bättre sätt. Utbildningen bör omfatta allt från djupgående teknisk sakkunskap till en bredare kapacitetsuppbyggnad för polistjänstemäns, åklagares och domares förmåga att hantera enskilda it-brott. En kontaktpunkt för it-brott bör inrättas för utbyte av bästa praxis och kunskap, och för att samarbeta med och besvara frågor från medlemsstaterna och internationella brottsbekämpande myndigheter, rättsväsendet, den privata sektorn och det civila samhällets organisationer, t.ex. när det gäller it-angrepp eller nya former av bedrägerier på inernet. Den bör stödja verksamhet i, och ge råd till, expertgrupper på it-brott, inbegripet EU:s arbetsgrupp om it-brottslighet och experter på bekämpning av sexuell exploatering av barn på internet. Den bör även inleda samarbete med det nätverk av kompetenscentrum som håller på att utvecklas vad gäller it-brott, t.ex. 2Centre, och med forskarsamhället. Centrumet bör också hjälpa medlemsstaterna i deras insatser att utveckla en onlineapplikation för rapportering av it-brott, som baseras på gemensamma standarder, för att länka rapporteringsflöden från en rad olika aktörer (företag, nationella/statliga organisationer för incidenthantering, medborgare osv.) med de nationella brottsbekämpande organen och från de nationella brottsbekämpande organen till centrumet. Centrumet bör samarbeta och underlätta utbytet av bästa praxis på hela det straffrättsliga och brottsbekämpande området. Effektivt deltagande av rättsväsendet i bekämningen av it-brottslighet är av största betydelse för att förbättra lagföringen av brottslingar som bedriver grova it-brott mellan medlemsstaterna. (c) Ge stöd till medlemsstaternas utredningar av it-brott Centrumet bör ge operativt stöd till utredningar av it-brott, t.ex. för att uppmuntra inrättandet av gemensamma arbetsgrupper för utredning av it-brott och utbyte av operativa uppgifter i pågående utredningar. Det bör också ge högkvalitativt kriminalteknisk stöd (anläggningar, lagring och verktyg) och tillhandahålla krypteringsexperter för utredningar av it-brott. (d) Bli de europeiska it-brottsutredarnas gemensamma röst på brottsbekämpningsområdet och inom rättsväsendet Med tiden kan centrumet komma att fungera som en samlingspunkt för europeiska utredare av it-brott, förse dem med en gemensam röst vid diskussionerna med IKT-branschen och andra privata företag och med forskarsamhället, intresseorganisationerna för användare och organisationer i det civila samhället om hur man bättre förhindrar it-brott och samordnar riktad forskningsverksamhet. Centrumet skulle vara den naturliga plattformen för Interpols it-brottsutredningar och andra internationella polisenheter som utreder it-brott. Det skulle också kunna samordna bidrag till pågående initiativ för internetförvaltning samt FN:s öppna mellanstatliga expertgrupp om it-brottslighet. Centrumet bör också samarbeta med organisationer såsom Insafe[15] i samband med informationskampanjer som riktar sig till allmänheten och uppdatera dem när centrumet genom analys identifierat förändringar i it-brotten i syfte att främja en försiktig och säker internetanvändning. 2.2. Lokalisering Vilket framgår av genomförbarhetsstudien bör Europeiska centrumet mot it-brottslighet ingå som en del av Europol, och lokaliseras inom dess befintliga strukturer. Detta medför tydliga fördelar. Europol har en erkänd roll bland medlemsstaterna och andra berörda parter, inklusive med Interpol och andra internationella brottsbekämpande myndigheter, och har redan till uppgift att ta itu med it-brottslighet[16]. Europols huvudfunktion är att bidra till ett säkrare Europa till nytta för alla medborgare, genom att stödja EU:s brottsbekämpande myndigheter genom utbyte och analys av kriminalunderrättelsesystem. 2.3. Centrumets konsekvenser vad gäller resurser Genomförbarhetsstudien har granskat olika konsekvenser i resurshänseende. Dessa måste undersökas närmare[17], särskilt mot bakgrund av andra uppgifter som Europol i framtiden kan komma att behöva utföra och mer allmänt när det gäller bemanningen av EU:s organ. Denna bedömning kommer framför allt att ske inom ramen för översynen av Europols rättsliga grund och den pågående diskussionen om kommissionens förslag om en fond för den inre säkerheten. Det förefaller emellertid i detta skede redan uppenbart att utstationering av personal från medlemsstaterna kommer att behövas. Vid bedömningen av beräknade anslagsbehov kommer kommissionen att vägledas av tre överväganden: för det första kan man anta att det kommer att förekomma en måttlig ökning av den totala mängden it-brott i motsats till en kraftig ökning av it-brott. För det andra kommer medlemsstaterna att öka sin egen kapacitet för att bekämpa it-brott. För det tredje kommer centrumet bara att hantera en viss grupp av it-brott. 2.4. Styrelseformer Att placera centrumet inom Europol gör det viktigt att säkerställa att andra viktiga intressenter deltar i den strategiska ledningen av centrumet. Därför föreslår kommissionen att ett programråd för centrumet inrättas inom Europols ledningsstruktur, där ordförandeposten för programrådet innehas av chefen för centrumet. Detta instrument skulle ge andra berörda parter, t.ex. Eurojust, Cepol, medlemsstaterna, företrädda av EU:s arbetsgrupp mot it-brottslighet, Europeiska byrån för nät- och informationssäkerhet (Enisa) och kommissionen, möjlighet att dela med sig av sina respektive sakkunskaper, utan att förorsaka onödiga extra administrativa bördor. Detta programråd skulle kunna ta på sig ansvaret för centrumets verksamhet, vilket skulle säkerställa att verksamheten genomförs i partnerskap, med erkännande av alla berörda parters tillförda sakkunskaper och med iakttagande av samtliga intressenters uppdrag. 2.5. Samarbete med viktiga aktörer Centrumet bör säkerställa ett samordnat agerande mot it-brottslighet, som inte bara möjliggör gemensamt arbete mellan EU:s organ, utan också fungerar som en enda europeisk kontaktpunkt på detta område. (a) Medlemsstater Det främsta syftet är att bistå medlemsstaterna vid deras bekämpning av it-brottslighet. Centrumets helpdesk för it-brott och förväntade resultat, t.ex. mer fokuserade hotbildsanalyser samt mer välinformerat operativt stöd kommer att gynna it-brottsutredare i hela Europa. EU:s arbetsgrupp mot it-brottslighet ska säkerställa att medlemsstaternas betänkligheter representeras i centrumets programråd. Medlemsstaternas måste fortsätta att göra nödvändiga investeringar i sina nationella strukturer för att bekämpa it-brottslighet, så att de har lämpliga plattformar för sin samverkan med centrumet. (b) Europeiska organ och andra aktörer Relevanta organ, bl.a. Eurojust, Cepol, Enisa och Cert-EU, skulle vara direkt involverade i centrumets verksamheter inte bara genom deras deltagande i programrådet, utan när det är lämpligt, också genom det operativa samarbetet med hänsyn till deras respektive uppdrag. (c) Internationella partner I dess strävan att utvecklas till ett informationsnav för Europeisk it-brottslighet, bör centrumet bli en värdefull samtalspartner för internationella partner om frågor om it-brottslighet. Centrumet bör, i samarbete med Interpol och våra strategiska partner runt om i världen, sträva efter att förbättra de samordnade insatserna i bekämpningen av it-brottslighet och säkerställa att brottsbekämpande intressen beaktas vid den framtida utvecklingen av internet. (d) Privata sektorn, forskarsamhället och civila samhällsorganisationer Uppbyggnaden av tilltron till och förtroendet mellan den privata sektorn och de brottsbekämpande myndigheterna är av största betydelse vid bekämpningen av it-brottslighet. För att konsolidera Europols arbete med befintliga och nya partner, bör centrumet bygga pålitliga nätverk och plattformar för informationsutbyte med industrin och andra berörda aktörer såsom forskarsamhället och civila samhällsorganisationer. Dessa bör underlätta informationsutbytet mellan de olika grupperna på en rad områden, t.ex. tidig varning för it-hot och insatser av typen samarbetsinriktade arbetsgrupper mot it-angrepp och andra typer av it-brottslighet. Centrumet bör också bidra till mer omfattande insatser som görs av privata företag med betydande digitala informationsflöden, såsom banker och onlineåterförsäljare, för att bekämpa och ge bättre skydd mot it-brott och för att minimera sårbarheter vid utvecklingen av teknik. Det är av ömsesidigt intresse för de brottsbekämpande myndigheterna och den privata sektorn att bättre kunna mäta it-brottsligheten i realtid samt att sträva efter en mer effektiv avveckling av nätverk som bedriver it-brott genom bättre upptäckt av nya tillvägagångssätt och snabb arrestering av it-brottslingar. 3. EN FÄRDPLAN MOT GENOMFÖRANDET AV ETT EUROPEISKT CENTRUM MOT IT-BROTTSLIGHET 3.1. Verksamhet fram till slutet av 2013 För att i inledningen få fram en operativ kapacitet kommer kommissionen att, i nära samarbete med Europol, undersöka vilka personalresurser och ekonomiska resurser som behövs för att inrätta en genomförandegrupp för centrumet fram till slutet av EU:s nuvarande budgetram. Genomförandegruppens uppgifter skulle t.ex. omfatta utarbetande av centrumets uppdrag och organisatoriska uppbyggnad, men också utvecklingen av indikatorer för att utvärdera dess resultat. De associerade intressenterna kommer att fastställa och komma överens om vilken roll och funktion programrådet ska ha. I syfte att införa en fullständig samordnande funktion för information, bör genomförandegruppen för centrumet skapa länkar till Cert-EU:s förkonfigurationsgrupp och, när det är lämpligt, med Enisa (med hänsyn tagen till organets begränsade resurser). För att förbättra rapporteringen av it-brottsligheten ska en kartläggning genomföras för att skapa en karta över driftskompatibiliteten mellan de befintliga rapporteringssystemen om it-brott online i medlemsstaterna. En kontaktpunkt för it-brott bör inrättas. Denna kontaktpunkt skulle kunna stödjas genom en därför avsedd, säker gemenskapsplattform online. Genom samordning av centrumet och dess programråd skulle man kunna bedöma och effektivisera den nuvarande utbildningsverksamheten som utförs av Europol, Cepol och Europeiska utbildningsgruppen när det gäller it-brottslighet (Ecteg). En bedömning av utbildningsbehovet, där också hänsyn tas till kraven på domare och åklagare, bör genomföras. Utifrån denna översyn skulle en grundläggande kurs mot it-brottslighet, som är öppen för aktörer, kunna utvecklas. Dessutom kommer man att behöva göra en mer exakt bedömning av nödvändiga personalresurser och finansiella resurser, vilka ska tas upp i besluten om nästa fleråriga budgetram. Denna bedömning ska ge vägledning om centrumets eventuella utveckling i framtiden. 4. SLUTSATS När den organiserade brottsligheten utökar sin verksamhet i cyberrymden måste de brottsbekämpande myndigheterna hålla jämna steg. EU kan förse medlemsstaterna och näringslivet med nya verktyg för att ta itu med det ständiga hotet från it-brottsligheten som, per definition, sträcker sig över alla gränser. Förutsatt att de nödvändiga personalresurserna och ekonomiska resurserna kan tryggas kommer ett Europeiskt centrum mot it-brottslighet att inrättas och fungera som en kontaktpunkt i Europas bekämpning av it-brottslighet genom att samla sakkunskaper, ge stöd till straffrättsliga utredningar och främja lösningar på EU-nivå, samtidigt som centrumet ska öka kunskaperna om frågor som rör it-brottsligheten i hela EU. Därmed skulle centrumet bidra till att trygga ett öppet internet och en laglig digital ekonomi och skydda EU:s medborgare och företag online. Rådet uppmanas att godkänna detta förslag och Europaparlamentet och andra berörda parter uppmuntras att bidra till utvecklingen av centrumet. [1] Eurostat, tillgång till och användning av internet, 14 december 2010. [2] McKinsey Global Institute, Internet Matters: the Net's sweeping impact on growth, jobs and prosperity. Report May 2011 accessed on 8 February 2012. [3] Norton Cybercrime Report 2011, Symantec, 7 September 2011, accessed on 6 January 2012. [4] Ibid. [5] Europa 2020 – En strategi för smart och hållbar tillväxt för alla (KOM(2010) 2020 slutlig, 3.3.2010). [6] En digital agenda för Europa, KOM(2010) 245 slutlig, 26.8.2010. [7] Förslag till Europaparlamentets och rådets direktiv om angrepp mot informationssystem KOM (2010)517 slutlig, 30.9.2010. Botnät är nätverk av datorer som har infekterats av sabotageprogram som på avstånd kan aktiveras för att utföra särskilda uppgifter, inklusive it-angrepp. [8] Council of Europe Cybercrime Convention, Budapest, 23 November 2001, kallas också Budapestkonventionen. Konventionen fogas ett tilläggsprotokoll till konventionen om it-brottslighet beträffande kriminaliseringen av rasistiska eller främlingsfientliga handlingar som begåtts via datorsystem. [9] EU:s politiska planering avseende organiserad och grov internationell brottslighet som omfattar åren 2011–2013 har åtta prioriteringar, varav en är att trappa upp kampen mot it-brottslighet och organiserade kriminella gruppers missbruk av internet. [10] ”Under 2013 kommer EU att inrätta ett centrum för frågor om it-brottslighet inom ramen för befintliga strukturer. Detta kommer att ge medlemsstaterna och EU-institutionerna möjlighet att bygga upp en operativ och analytisk kapacitet för utredningar och samarbete med internationella partner” i EU:s strategi för den inre säkerheten i praktiken: Fem steg mot ett säkrare Europa (The EU Internal Security Strategy in action: five steps towards a more secure Europe) KOM(2010) 673 slutlig, 22.11.2010. [11] Feasibility study for a European Cybercrime Centre, Final Report, February 2012. [12] Rådets slutsatser om en handlingsplan för att genomföra den samordnade strategin för att bekämpa it-brottslighet, 3010:e mötet i rådet (allmänna frågor), Luxemburg den 26 april 2010. [13] Enligt definitionen i rådets direktiv 2008/114/EG av den 8 december 2008. Detta direktiv är för närvarande föremål för översyn, den ytterligare utvecklingen kommer att beaktas av centrumet. [14] Såsom dem som anges i artiklarna 3–7 i förslaget till direktiv om angrepp mot informationssystem, KOM (2010) 517 slutlig, 30.9.2010. [15] Europeiskt nätverk av informationscentrum för att främja en säker och ansvarsfull användning av internet och mobila anordningar för ungdomar. [16] Rådets beslut (2009/371/RIF) av den 6 april 2009 om inrättande av Europeiska polisbyrån, artikel 4.1 jämförd med bilagan. [17] Bedömningen måste vara förenlig med de övergripande personal- och budgetmässiga kraven för organ i 2013 års budget och nästa fleråriga budgetram.