Förslag till RÅDETS RAMBESLUT om angrepp mot informationssystem

(framlagt av kommissionen)

MOTIVERING

1. INLEDNING

Elektroniska kommunikationsnätverk och informationssystem har blivit en viktig del i EU-medborgarnas dagliga liv och är grundläggande för en framgångsrik EU-ekonomi. Nätverk och informationssystem glider ihop och blir alltmer sammanlänkade. Trots de många uppenbara fördelarna med denna utveckling, har den också fört med sig det oroande hotet om internationella angrepp mot informationssystem. Dessa attacker kan ta sig en rad olika uttryck, till exempel olaga intrång, spridning av destruktiva program och s.k. Denial of Service-attacker. Ett angrepp kan vid varje given tidpunkt iscensättas från vilken plats som helst i världen. Nya och oförutsägbara former av attacker kan komma att dyka upp i framtiden.

Attacker mot informationssystem är ett hot mot skapandet av ett säkert informationssamhälle och ett område med frihet, säkerhet och rättvisa, och därför krävs åtgärder på europeisk nivå. Detta förslag till rambeslut om tillnärmning av strafflagstiftningen om angrepp mot informationssystem är en del av kommissionens bidrag till dessa åtgärder.

1.1. Typer av attacker mot informationssystem

Formuleringen "informationssystem" används här medvetet i vidaste bemärkelse med tanke på den allt starkare kopplingen mellan de elektroniska kommunikationsnätverken och de olika system som sammanbinds genom dessa. Enligt detta förslag ingår därför fristående persondatorer, fickdatorer, mobiltelefoner, intranät, delar av intranät med möjligheter till viss åtkomst utifrån och, naturligtvis, nätverk, servrar och annan Internetinfrastruktur i begreppet informationssystem.

I sitt meddelandet ""Nät- och informationssäkerhet: förslag till en europeisk strategi" [1] föreslår kommissionen följande beskrivning av hoten mot datorsystemen:

[1] Meddelande från kommissionen till rådet, Europaparlamentet, ekonomiska och sociala kommittén och Regionkommittén - "Nät- och informationssäkerhet: förslag till en europeisk strategi" av den 6 juni 2001. KOM(2001) 298 slutlig.

(a) Olaga intrång i informationssystem. Här innefattas begreppet "hackning". Hackning innebär att skaffa sig obehörigt tillträde till en dator eller ett datornätverk och kan utföras på en rad sätt, från att helt enkelt utnyttja intern information till "brute force"-attacker (där man utnyttjar människors förkärlek för förutsägbara lösenord) och uppsnappande av lösenord. Syftet är nästan alltid att i ont uppsåt kopiera, ändra eller förstöra uppgifter. Syftet med ett olaga intrång kan vara att manipulera webbplatser eller att skaffa sig tillgång till tjänster utan att behöva betala.

(b) Störningar av informationssystem. Det finns olika sätt att störa informationssystem genom illasinnade angrepp. Ett av de effektivaste sätten att blockera eller försvåra tillträde till tjänsterna på Internet är en s.k. Denial of Service-attack (DoS). På sätt och vis liknar denna form av attack situationen när faxar blockeras av långa och upprepade meddelanden. Syftet med Denial of service-attacker är att försöka överbelasta webb-servrar eller Internetleverantörers (ISP - Internet Service Providers) hanteringskapacitet genom automatiskt genererade meddelanden. Andra typer av attacker kan innefatta störning av servrar som hanterar domännamnssystemet (DNS) och "routing"-attacker. Attacker för att störa systemens funktion har varit till stor skada för vissa högt profilerade webbplatser, till exempel portaler. Undersökningar har visat att en attack nyligen orsakade skador för flera hundra miljoner euro, utöver den omätbara goodwill-skadan. Företag är allt oftare beroende av tillgängligheten hos sina webbplatser för sin affärsverksamhet, och de företag som är beroende av detta för "just in time"-leveranser är särskilt sårbara.

(c) Körning av destruktiva program som modifierar eller förstör data. Den mest kända typen av destruktiva program är viruset. Herostratiskt ryktbara exempel är virusen "I Love You", "Melissa" och "Kournikova". Omkring 11 % av användarna i unionen har drabbats av virus i sin hemdator (PC). Det finns även andra typer av destruktiva program. Vissa orsakar skador på själva PC:n, medan andra utnyttjar PC:n för att angripa andra apparater i samma nätverk. En del program (ofta kallade "logiska bomber") kan ligga inaktiva tills de aktiveras genom en viss händelse, till exempel att något visst datum infaller, varvid de kan göra enorm skada genom att ändra eller förstöra data. Andra program kan te sig ofarliga, men utlöser ett angrepp när de öppnas (ofta kallade "trojanska hästar"). Ytterligare en annan typ av program ("maskar") infekterar inte andra program som ett virus gör, utan skapar istället kopior av sig själva. Dessa kopior skapar sedan ännu fler kopior, som till slut översvämmar systemet.

(d) Uppsnappande av kommunikation. Uppsnappande av kommunikation i ont uppsåt inkräktar på användarnas krav på konfidentialitet och integritet. Denna metod kallas ofta för sniffning.

(e) Vilseledande framställning av data. Informationssystemen erbjuder nya möjligheter till vilseledande framställning och bedrägeri. Att någon tar någon annans identitet på Internet, och använder den med ont uppsåt, kallas ofta för "spoofing".

1.2. Hotets karaktär

Det finns ett klart behov av att samla tillförlitlig information om omfattningen och karaktären på angreppen mot informationssystem.

Några av de allvarligaste fallen av angrepp mot informationssystem är riktade mot nätoperatörer, Internetleverantörer och e-handelsföretag. Även mer traditionella områden kan drabbas allvarligt, då moderna kommunikationer innebär allt högre grad av sammanlänkning, vilket kan märkas till exempel inom tillverkningsindustri, tjänsteindustri, sjukvård, andra organisationer inom offentlig sektor, men även hos myndigheterna själva. Det är dock inte bara organisationer som angrips. Också enskilda kan känna av mycket direkta, allvarliga och skadliga effekter. De kostnader som åsamkas genom vissa av angreppen på offentliga organ, företag och enskilda är betydande och riskerar att göra informationssystemen dyrare och mindre överkomliga för användarna.

De former av angrepp som beskrivits ovan utförs ofta av individer som handlar på eget initiativ. Det kan vara fråga om underåriga som inte till fullo förstår allvaret av sina handlingar. Graden av förfining och ambitionerna bakom angreppen tenderar dock att öka. En oroande utveckling är att den organiserade brottsligheten i allt högre utsträckning använder kommunikationsnät för att angripa informationssystem i olagliga syften. Organiserade grupper av hackare som specialiserar sig på att hacka sig in på och förstöra webbplatser blir allt mer aktiva världen över. Exempel på sådana grupper är "the Brazilian Silver Lords" och "the Pakistan Gforce", som försöker pressa pengar av sina offer genom att erbjuda dem specialisthjälp efter att ha hackat sig in i deras informationssystem. Gripandet av stora grupper av organiserade hackers antyder att hackning är ett fenomen som växer sig allt starkare inom den organiserade brottsligheten. Nyligen har det förekommit sofistikerade och organiserade angrepp för att komma åt immaterialrättsliga tillgångar eller stjäla större belopp från bankväsendet [2].

[2] Enligt en undersökning som publicerats av Communications Management Association (CMA), har över en tredjedel av Storbritanniens större företag och offentliga organisationer, inklusive regeringskanslier, utsatts för angrepp från hackare. Det rör sig om allt från infiltrering av bankkonton till stöld av information. Se mer om denna undersökning på http:/www.cma.org.

Säkerhetsproblem hos e-handelsföretag som leder till att kundinformation, inklusive kreditkortsnummer, kommer i fel händer, är också en källa till bekymmer. Dessa angrepp leder till större möjligheter att utföra betalningsbedrägerier och tvingar under alla omständigheter banksektorn att spärra tusentals kort och utfärda nya. Ytterligare en följd är den svårbedömda skadan på företagets rykte och kundernas förtroende för e-handeln. Förebyggande åtgärder, till exempel minimikrav på nätföretag som godtar betalning med kreditkort, är under diskussion inom ramen för handlingsplanen för att förebygga bedrägeri och förfalskning som rör andra betalningsmedel än kontanter [3].

[3] Kommissionens meddelande om förebyggande av bedrägeri och förfalskning som rör andra betalningsmedel än kontanter, KOM(2001) 11 slutlig. Antogs av kommissionen den 9 februari 2001.

Detta förslag är också en del av kommissionens bidrag till åtgärderna för att möta hotet om terroristangrepp mot vitala informationssystem i Europeiska unionen, och kompletterar kommissionens förslag om att ersätta utlämning inom Europeiska unionen med en europeisk arresteringsorder [4] och att göra terroristlagstiftningen mer enhetlig [5], kring vilka enighet nåddes vid Europeiska rådets möte i Laeken den 14-15 december 2001. Sammantaget kommer de ovan nämnda instrumenten att innebära att EU:s medlemsstater har en effektiv strafflagstiftning för att möta cyberterrorism och ett förbättrat internationellt samarbete mot terrorism.

[4] Förslag till rådets rambeslut om en europeisk arresteringsorder och om överlämnande mellan medlemsstaterna. KOM(2001) 522 slutlig. Antaget av kommissionen den 19 september 2001.

[5] Förslag till rådets rambeslut om bekämpande av terrorism. KOM(2001) 521 slutlig. Antaget av kommissionen den 19 september 2001.

Förslaget avser inte endast handlingar riktade mot medlemsstater. Det är också tillämpligt på handlingar som utförs inom Europeiska unionens territorium mot informationssystem i andra länder, ett förhållande som återspeglar kommissionens åtagande att bekämpa angrepp mot informationssystem såväl globalt som på EU-nivå.

Det har faktiskt redan förekommit flera situationer nyligen där påfrestningar i de internationella förbindelserna har lett till en skur av angrepp mot informationssystem, ofta med inslag av attacker mot webbplatser. Allvarligare angrepp kan leda till inte bara allvarliga ekonomiska skador utan, i vissa fall, även till förlust av människoliv (till exempel sjukhussystem, flygledningssystem etc.). Medlemsstaterna tar hotet på största allvar, vilket framgår av prioriteringen av olika initiativ rörande skyddet av kritisk infrastruktur. EU-programmet "Teknik för informationssamhället" (IST) [6] har i samarbete med det amerikanska utrikesdepartementet inrättat en gemensam arbetsgrupp (EU/USA) för skyddet av kritisk infrastruktur. [7]

[6] IST-programmet förvaltas av Europeiska kommissionen. Det ingår i det femte ramprogrammet, som löper 1998-2002. Mer information om detta finns på http://www.cordis.lu/ist.

[7] Under beskydd av den gemensamma rådgivande grupp som inrättats genom avtalet om vetenskapligt och tekniskt samarbete mellan EG och USA.

1.3. Behovet av korrekt information och statistik

Det finns få tillförlitliga statistiska uppgifter om den fulla omfattningen av den datorrelaterade brottsligheten. Antalet intrång som hittills upptäckts och anmälts ger förmodligen ingen fullständig bild av problemets vidd. Enligt en amerikansk undersökning [8] anmälde under 1999 endast 32 % av de svarande som drabbats av datorintrång under det föregående året denna händelse till polisen. Detta var ändå en förbättring jämfört med tidigare år, då endast 17 % gjorde anmälan. En mängd skäl har angetts för underlåtenheten att anmäla. På grund av bristande erfarenhet hos systemadministratörer och användare, förblir många intrång oupptäckta. Vidare är många företag ovilliga anmäla fall av datorintrång, eftersom de vill undvika dålig publicitet och framtida angrepp. Polisen saknar i många fall fortfarande statistik över hur vanlig användningen av datorer är och vilka kommunikationssystem som har drabbats genom dessa och andra brott [9]. Inom polismyndigheterna saknas adekvat utbildning för att avslöja, identifiera och utreda datorrelaterade brott. Europeiska unionen har dock börjat ta itu med problemet genom att samla in vissa uppgifter om angrepp mot informationssystem. I en medlemsstat beräknades mellan 30 000 och 40 000 angrepp på informationssystem under 1999, men endast 105 officiella anmälningar registrerades. I sju medlemsstater gjordes totalt endast 1844 anmälningar av brott riktade mot informationssystem och datafiler/datorbehandlade uppgifter. Det är ändå dubbelt så många som 1998, då endast 972 fall anmäldes i de sju medlemsstaterna [10].

[8] "The Computer Security Institute" (CSI) och "the Federal Bureau of Investigation" (FBI) utarbetar en årlig "Computer Crime and Security Survey", som offentliggörs i början av året. CSI:s webbplats och närmare detaljer om undersökningen finns på www. gocsi.com

[9] Italiens inrikesministerium offentliggjorde nyligen statistik om sin operativa verksamhet mot datorrelaterad brottslighet under 1999 och 2000 (se http://www.mininterno.it/dip_ps/dcpsffp/index.htm). Officiellt har 98 fall av hackning anmälts under 2000, vilket är fyra gånger mer än under 1999, då endast 21 fall registrerades.

[10] Rådets dok. 8123/01 ENFOPOL 38. Finns på rådets webbplats http://db.consilium.eu.int/jai

Enligt en färsk undersökning [11] angav 13 % av de företag som utsatts för ekonomisk brottslighet att åtminstone ett av brotten var ett databrott. Undersökningen rapporterade även en ökande oro för databrottslighet. 43 % av de svarande trodde att databrottslighet innebar en framtida risk. En annan undersökning drog slutsatsen att hackare och virus nu utgör det främsta databrottshotet mot organisationer. Brotten skulle i första hand utföras av hackare (45 procent), före detta anställda (13 procent), organiserad brottslighet (13 procent) och anställda (11 procent) [12]. Dessa siffror kan förväntas växa i takt med ökad användning och sammankoppling av informationssystem samt större benägenhet att anmäla brott. Det står klart att snabba åtgärder behövs för att ta fram ett statistiskt instrument för alla medlemsstater, så att databrottslighet inom Europeiska unionen kan mätas både kvantitativt och kvalitativt. Startpunkten för en sådan analys måste vara en gemensam definition på EU-nivå av de brott som föreligger vid angrepp mot informationssystem.

[11] European Economic Crime Survey 2001, PricewaterhouseCoopers 2001 ( http://www.pwcglobal.com).

[12] The Cybercrime Survey 2001, Confederation of British Industry (se http://www.cbi.org.uk).

1.4. EU-politisk bakgrund

Vid sitt möte i Lissabon i mars 2000 betonade Europeiska rådet vikten av att övergå till en konkurrenskraftig, dynamisk och kunskapsbaserad ekonomi, och uppmanade rådet och kommissionen att utnyttja tillfället att utarbeta en allomfattande handlingsplan för eEurope. [13] Denna handlingsplan, som utarbetats av kommissionen och rådet och antogs av Europeiska rådet vid toppmötet i juni 2000, innefattar åtgärder för att förbättra säkerheten på nätet och skapa en samordnad och enhetlig strategi för bekämpande av databrottslighet till slutet av 2002.

[13] Ordförandeskapets slutsatser från Europeiska rådets möte i Lissabon den 23-24 mars 2000, tillgänglig på: http://ue.eu.int/en/Info/eurocouncil/index.htm.

Som ett led i sin insats för att bekämpa databrottsligheten, offentliggjorde kommissionen ett meddelande med titeln "Ett säkrare informationssamhälle - ökad säkerhet i informationsinfrastrukturen och bekämpning av datorrelaterad brottslighet" [14]. I meddelandet föreslogs en balanserad strategi för att bekämpa problemen med databrottslighet, vilket skulle innebära full hänsyn till synpunkter från alla berörda parter, inklusive rättsvårdande myndigheter, tjänsteleverantörer, nätoperatörer, andra berörda branscher, konsumentgrupper, dataskyddsmyndigheter och grupper som värnar om skyddet av privatlivet. Meddelandet innehåller en rad förslag till lagstiftning och andra åtgärder.

[14] KOM(2000) 890 slutlig.

Ett viktigt exempel på redan pågående åtgärder är IDA-programmet, där medlemsstaterna och kommissionen redan arbetar tillsammans med att utforma en gemensam säkerhetspolitik och skapa ett säkert nätverk för utbyte av administrativ information.

En av kärnfrågorna i meddelandet var behovet av effektiva åtgärder för att motverka hoten mot informationssystemens och datanätverkens autenticitet, integritet, konfidentialitet och tillförlitlighet. Mycket har redan åstadkommits vad gäller gemenskapslagstiftningen. Flera åtgärder på gemenskapsnivå har stor betydelse för nät- och uppgiftssäkerheten.

Detta rambeslut kompletterar vad som redan uppnåtts i form av gemenskapslagstiftning om skydd av informationssystem, till exempel direktiv 95/46/EG, direktiv 97/66/EG och direktiv 98/84/EG om det rättsliga skyddet för tjänster som bygger på eller utgörs av villkorad tillgång. I synnerhet EU-ramlagstiftningen om telekommunikationer och uppgiftsskydd (direktiv 95/46/EG och 97/66/EG [15]) innehåller bestämmelser som syftar till att leverantörer av allmänt tillgängliga telekommunikationstjänster skall vidta de tekniska och organisatoriska åtgärder som behövs för att deras tjänster uppfyller krav på säkerhet och konfidentialitet, och att dessa åtgärder bidrar till en tillräcklig säkerhetsnivå med avseende på de aktuella riskerna.

[15] EGT L 281, 23.11.1995, s. 31-50, EGT L 024, 30.1.1998, s. 1-8.

Ett av de viktigaste och effektivaste sätten att möta dessa problem är att genomföra förebyggande insatser och utbildning. I meddelandet underströks betydelsen av en korrekt och effektiv användning av tillgänglig förebyggande teknik. Det framgår även att det finns ett behov av att höja allmänhetens medvetenhet om riskerna med datorrelaterad brottslighet, främja bästa praxis i fråga om IT-säkerhet och utveckla effektiva verktyg och förfaranden för brottsbekämpning, men även att främja en vidareutveckling av system för tidig varning och krishantering. EU-programmet Teknik för informationssamhället [16] tillhandahåller en ram för utveckling av kapacitet och teknik för att kunna förstå och hantera de nya utmaningarna i samband med databrottslighet.

[16] IST-programmet förvaltas av Europeiska kommissionen. Det ingår i det femte ramprogrammet, som löper 1998-2002. Mer information om detta finns på http://www.cordis.lu/ist.

Europeiska rådet erkände vid sitt möte i Stockholm den 23-24 mars 2001 behovet av ytterligare insatser i fråga om nät- och informationssäkerhet och konstaterade att "[rådet tillsammans med kommissionen kommer] att utarbeta en övergripande strategi för säkerheten när det gäller elektroniska nätverk tillsammans med praktiska åtgärder för genomförande. Detta bör läggas fram i god tid inför Europeiska rådets möte i Göteborg." Kommissionen svarade med meddelandet "Nät- och informationssäkerhet: förslag till en europeisk strategi" [17]. I meddelandet analyseras aktuella problem rörande nätsäkerhet. Där ges också en strategisk plan för åtgärder inom detta område. Meddelandet följdes upp med rådets resolution av den 6 december 2001 om en gemensam inställning och särskilda åtgärder på området för nät- och informationssäkerhet.

[17] KOM(2001) 298, 6.6. 2001.

Dessa initiativ räcker inte i sig för att kunna vidta de motåtgärder som krävs för att möta allvarliga angrepp mot informationssystem. Av båda kommissionsmeddelandena framgick att finns behov av en snabb tillnärmning av den materiella straffrätten i Europeiska unionen när det gäller angrepp mot informationssystem. Vid Europeiska rådets möte i Tammerfors i oktober 1999 [18] togs högteknologisk brottslighet upp i en begränsad förteckning över områden där man bör eftersträva gemensamma definitioner, brottsbeskrivningar och påföljder. Denna ingår i rekommendation nr 7 i Europeiska unionens strategi för förebyggande och bekämpning av den organiserade brottsligheten inför det nya årtusendet, som antogs av rådet (rättsliga och inrikes frågor) i mars 2000. [19] Detta förslag till rambeslut är också en del av kommissionens arbetsprogram för 2001 [20] och den resultattavla för upprättandet av ett område med frihet, säkerhet och rättvisa som lades fram av kommissionen den 30 oktober 2001 [21].

[18] http://db.consilium.eu.int/en/Info/eurocouncil/index.htm.

[19] Förebyggande och bekämpning av den organiserade brottsligheten: Europeiska unionens strategi inför det nya årtusendet (EGT C 124, 3.5.2000).

[20] http://europa.eu.int/comm/off/work_programme/index_en.htm

[21] http://europa.eu.int/comm/dgs/justice_home. KOM(2001) 628 slutlig, 30.10.2001.

1.5. Behovet av tillnärmning inom straffrättens område

Medlemsstaternas lagstiftning på detta område innehåller vissa betydande luckor och skillnader som kan vara till hinder i kampen mot organiserad brottslighet och terrorism och mot angrepp mot informationssystem som utförs av individer. En tillnärmning av de straffrättsliga bestämmelserna om högteknologisk brottslighet syftar till att den nationella lagstiftningen skall vara så enhetlig att det går att utreda alla allvarliga angrepp med hjälp av den teknik och de metoder som straffrätten medger. Förövarna av dessa brott måste identifieras och ställas inför rätta, och domstolarna behöver ha lämpliga och proportionerliga påföljder till sitt förfogande. Sammantaget skulle detta sända starkt avskräckande signaler till dem som överväger angrepp mot informationssystem.

Dessutom kan dessa luckor och skillnader vara till hinder för effektivt polisiärt och judiciellt samarbete när det gäller att hantera allvarliga attacker mot informationssystem. Allvarliga angrepp mot informationssystem kan ofta vara av gränsöverskridande natur, och därmed kräva internationellt polisiärt och judiciellt samarbete. En tillnärmning av lagstiftningen kommer därför att underlätta detta samarbete genom att säkerställa att kravet på dubbel kriminalisering är uppfyllt (vilket innebär att en viss verksamhet normalt sett måste vara klassat som brott i båda de inblandade medlemsstaterna innan ömsesidig rättslig hjälp kan tillhandahållas för att bistå vid en brottsutredning). Detta kommer att underlätta för medlemsstaterna att samarbeta sinsemellan och förbättra samarbetet mellan EU-medlemsstater och tredje land (förutsatt att det finns ett tillämpligt avtal om ömsesidig rättslig hjälp).

Det finns ett också ett behov av att komplettera befintliga instrument på EU-nivå. Rambeslutet om en europeisk arresteringsorder [22], bilagan till Europolkonventionen [23] och rådets beslut om inrättande av Eurojust [24] innehåller hänvisningar till datorrelaterad brottslighet som behöver preciseras. Datorrelaterad brottslighet bör innefatta angrepp mot informationssystem, såsom begreppet definieras i det här rambeslutet. Detta skulle ge en långt större tillnärmning av rekvisiten för sådana brott. Det här rambeslutet är också ett komplement till rambeslutet om bekämpande av terrorism [25]. Det sistnämnda täcker terroristhandlingar som orsakar omfattande förstörelse av infrastruktur (inklusive informationssystem), vilken kan utsätta människoliv för fara eller förorsaka betydande ekonomiska förluster.

[22] EGT C ..., s. ...

[23] Rådets akt av den 26 juli 1995 om fastställande av konventionen på grundval av artikel K.3 i Fördraget om Europeiska unionen om upprättandet av en europeisk polisbyrå (Europolkonventionen), EGT C 316, 27.11.1995, s. 1.

[24] EGT C, ..., s. ...

[25] EGT C, ..., s. ...

1.6. Det föreslagna rambeslutets syfte och räckvidd

Syftet med detta beslut är således att tillnärma den del av strafflagstiftningen som avser angrepp mot informationssystem och att säkra största möjliga grad av polisiärt och judiciellt samarbete när det gäller att bekämpa brott i samband med angrepp mot informationssystem. Förslaget är dessutom ett bidrag till Europeiska unionens ansträngningar för att bekämpa organiserad brottslighet och terrorism. Avsikten är inte att tvinga medlemsstaterna att kriminalisera ringa överträdelser.

Av artikel 47 i Fördraget om Europeiska unionen framgår klart att detta rambeslut inte inverkar på gemenskapsrätten. Framför allt påverkar det inte rättigheter och skyldigheter förknippade med det skydd av privatlivet eller det uppgiftsskydd som regleras i gemenskapsrätten, till exempel direktiv 95/46 och 97/66. Beslutet är inte avsett att tvinga medlemsstaterna att kriminalisera brott mot bestämmelser om tillgång till eller avslöjande av personliga uppgifter, telehemlighet vid kommunikation, säkerhet vid behandling av personuppgifter, elektroniska signaturer [26] eller intrång i immateriella rättigheter och det kommer inte att hindra tillämpningen av direktiv 98/84 om det rättsliga skyddet för tjänster som bygger på eller utgörs av villkorad tillgång [27]. Dessa frågor är förvisso viktiga, men de omfattas redan av befintlig gemenskapslagstiftning. Tillnärmning på dessa områden i syfte att uppfylla gemenskapslagstiftningens målsättningar, till exempel skyddet av personuppgifter, ersättning till Internet-företag som tillämpar villkorad tillgång eller skyddet av immateriella tillgångar bör därför tas under beaktande inom ramen för gemenskapsrätten snarare än avdelning VI i EU-fördraget. Därför begränsar sig rambeslutet till att ta upp de beteenden som beskrivs i punkterna a-c i avsnitt 1.1.

[26] Europaparlamentets och rådets direktiv 1999/93/EG av den 13 december 1999 om ett gemenskapsramverk för elektroniska signaturer, EGT L 13, 19.01.2000.

[27] EGT L 320, 28.11.1998, s. 54-57.

Vid lagstiftningsåtgärder på EU-nivå är det också nödvändigt att ta hänsyn till utvecklingen inom andra internationella fora. Vad gäller tillnärmningen av materiell strafflagstiftning som behandlar angrepp mot informationssystem, är Europarådet den organisation som för närvarande har nått längst. Europarådet inledde i februari 1997 arbetet med en internationell konvention om Internetrelaterad brottslighet, som antogs formellt och öppnades för undertecknande i november 2001. [28] Konventionen syftar till att skapa enhetliga bestämmelser om en rad brott, till exempel brott som drabbar konfidentialitet, integritet och tillgänglighet i fråga om datorbehandlade uppgifter och datasystem. Tanken är att rambeslutet skall överensstämma med synen på denna typ av brott i Europarådets konvention.

[28] Utkastet finns i två språkversioner på Internet. Fransk version finns på http://conventions.coe.int/treaty/fr/projets/cybercrime.htm, engelsk version på http://conventions.coe.int/treaty/en/projets/cybercrime.htm.

Två stora kategorier av hot har identifierats under G8-diskussionerna om högteknologisk brottslighet. För det första hot mot datorinfrastrukturer, det vill säga verksamhet som syftar till att störa, blockera, förvanska eller förstöra antingen information i datorer och datornätverk eller datorerna och nätverken själva. För det andra hot från uppsåtliga brott med hjälp av dator, till exempel bedrägeri, penningtvätt, barnpornografi, intrång i immateriella rättigheter och narkotikasmuggling, där användningen av en dator underlättar brottets genomförande. I detta förslag behandlas den förstnämnda hotkategorin.

En tillnärmning på EU-nivå bör ta hänsyn till utvecklingen inom internationella fora och överensstämma med gällande gemenskapspolitik. Avsikten med förslaget är även att åstadkomma en större tillnärmning inom EU än som har varit möjligt inom andra internationella fora.

2. RÄTTSLIG GRUND

Ett led i målsättningen att skapa ett område med frihet, säkerhet och rättvisa måste vara att förebygga och bekämpa organiserad och annan brottslighet, inklusive terrorism, genom ett närmare samarbete med polisiära och rättsliga myndigheter i medlemsstaterna och tillnärmning av straffrättsliga bestämmelser i medlemsstaterna. Detta förslag till rambeslut syftar därför till att tillnärma lagar och andra författningar i medlemsstaterna rörande polisärt och judiciellt samarbete i straffrättsliga frågor. Det rör minimiregler avseende brottsrekvisit, särskilt och inte minst när det gäller organiserad brottslighet och terrorism. Det rör även "säkerställande av förenlighet mellan tillämpliga regler i medlemsstaterna" för att underlätta och påskynda samarbetet mellan rättsliga myndigheter. I förslagets ingress anges därför som rättslig grund artiklarna 29, 30 a, 31 och 34.2 b i Fördraget om Europeiska unionen. Förslaget kommer inte att innebära någon finansiell belastning för Europeiska gemenskapernas budget.

3. RAMBESLUTET: KOMMENTARER TILL DE ENSKILDA ARTIKLARNA

Artikel 1 - Rambeslutets syfte och räckvidd

I denna artikel anges uttryckligen att målen för rambeslutet är att tillnärma straffrättslig lagstiftning i fråga om allvarliga angrepp mot informationssystem, i synnerhet att bidra till bekämpningen av organiserad brottslighet och terrorism, och därigenom säkerställa största möjliga samarbete när det gäller brott i förbindelse med angrepp mot informationssystem. I enlighet med artikel 47 i Fördraget om Europeiska unionen kommer detta rambeslut inte heller att inverka på gemenskapsrätten. Detta gäller särskilt de rättigheter och skyldigheter förknippade med skydd för privatlivet eller uppgiftsskydd som följer av direktiv 95/46 och 97/66. Avsikten är inte att tvinga medlemsstaterna att kriminalisera brott mot bestämmelser om tillgång till eller avslöjande av personliga uppgifter, telehemlighet vid kommunikation, säkerhet vid behandling av personuppgifter, elektroniska signaturer [29] eller intrång i immateriella rättigheter och det kommer inte att hindra tillämpningen av direktiv 98/84 om det rättsliga skyddet för tjänster som bygger på eller utgörs av villkorad tillgång [30]

[29] Europaparlamentets och rådets direktiv 1999/93/EG av den 13 december 1999 om ett gemenskapsramverk för elektroniska signaturer, EGT L 13, 19.01.2000.

[30] EGT L 320, 28.11.1998, s. 54-57.

Detta rambeslut syftar inte till att tvinga medlemsstaterna att kriminalisera gärningar som är att bedöma som ringa. I artiklarna 3 och 4 anges vilka kriterier som skall vara uppfyllda för att en gärning skall kunna straffbeläggas. Dessa kriterier överensstämmer också med möjligheterna till undantag och reservationer i Europarådets utkast till konvention om Internetrelaterad brottslighet.

Alla brott som regleras i rambeslutet förutsätter uppsåt. Termen "uppsåt" används uttryckligen i artiklarna 3, 4 och 5 och bör tolkas i enlighet med medlemsstaternas allmänna straffrättsliga principer om uppsåt. Rambeslutet kräver således inte kriminalisering av gärningar som innebär grov vårdslöshet eller annan oaktsamhet, men inget egentligt uppsåt. En avsikt att göra olaga intrång i eller störa informationssystem i allmänhet bör också vara tillräckligt, det vill säga att det inte skall vara nödvändigt att bevisa att uppsåtet avsåg ett visst specifikt informationssystem.

Artikel 2 - Definitioner

Förslaget till rambeslut innehåller följande definitioner:

(a) "Elektroniskt kommunikationsnät". Definitionen överensstämmer med den som rådet och Europaparlamentet antog den 14 februari 2002 i direktivet om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster [31].

[31] Den slutliga texten finns tillgänglig på: http://europa.eu.int/information_society/topics/telecoms/regulatory/new_rf/index_en.htm

reg.

(b) "Dator". Denna definition baserar sig på artikel 1 i utkastet till Europarådets konvention om Internetrelaterad brottslighet. Definitionen innefattar exempelvis även fristående persondatorer, fickdatorer, digitala avkodare, videobandspelare och mobiltelefoner (förutsatt att de har vissa databehandlingsfunktioner, till exempel WAP och tredje generationen), som inte fullt ut täcks av definitionen av elektroniska kommunikationsnät.

(c) "Datorbehandlade uppgifter". Till grund för denna definition ligger ISO:s [32] definition av sådana uppgifter. Den är inte avsedd att innefatta fysiska föremål som till exempel böcker. Däremot omfattas en bok som lagrats i form av datorbehandlade uppgifter (det vill säga sparade i elektronisk form som en ordbehandlingsfil) eller omvandlats till datorbehandlade uppgifter genom scanning. Därför klargör definitionen att datorbehandlade uppgifter måste ha "skapats eller omvandlats i en form" som lämpar sig för behandling i ett informationssystem eller för att fylla en funktion i ett informationssystem.

[32] Internationella standardiseringsorganisationen (ISO) är en världsomspännande sammanslutning av nationella standardiseringsorgan från omkring 100 länder.

(d) "Informationssystem". Definitionen av informationssystem är bygger på den definition som OECD använde i sina riktlinjer för säkerheten i informationssystem från 1992 och defintionerna i föregående punkter genom att hänvisa till elektroniska kommunikationsnät, datorer och datorbehandlade uppgifter. Termen har även använts i tidigare gemenskapsrättsliga instrument, till exempel rådets beslut av den 31 mars 1992 om informationssystemens säkerhet, och rådets rekommendation av den 7 april 1995 om gemensamma kriterier för utvärdering av informationsteknologisk säkerhet". Den är tänkt att vara teknikneutral och väl anpassad för att tillämpas på sammankopplade nät och system som innehåller datorbehandlade uppgifter. Definitionen täcker både systemets hårdvara och dess mjukvara, dock inte innehållet som sådant. Den täcker även fristående system. Kommissionen anser att det straffrättsliga skyddet bör utsträckas även till fristående datorer, det vill säga inte begränsas enbart till sammankopplade system.

(e) "Juridisk person". Detta är en standarddefinition från tidigare rambeslut från rådet.

(f) "Behörig användare". Avser en person som, genom avtal eller lag, har rätt att använda, förvalta, övervaka, testa, bedriva seriös vetenskaplig forskning med hjälp av eller på annat sätt hantera ett informationssystem, och som handlar i överensstämmelse med denna rätt eller detta tillstånd. Detta innefattar personer som handlar med laga samtycke från någon som erhållit sådant uttryckligt tillstånd. Det är särskilt viktigt att följande kategorier av personer och tillåtna verksamheter (inom ramen för den personens rättigheter, tillstånd och ansvarsområden, och i enlighet med gemenskapslagstiftning om uppgiftsskydd och telehemlighet vid kommunikation) inte blir föremål för kriminalisering i samband med att detta rambeslut genomförs i nationell rätt:

- Åtgärder av vanliga användare, privatpersoner eller företag, inklusive deras användning av koder för att skydda egen kommunikation och egna data.

- Baklängeskonstruktion (reverse engineering), inom de gränser som anges i direktiv 91/250/EEG av den 14 maj 1991 om rättsligt skydd för datorprogram [33].

[33] EGT L 122, 17.5.1991, s. 42 - 46.

- Åtgärder av personer som förvaltar, övervakar eller driver nätverk och system.

- Åtgärder av personer som testar system, antingen internt inom företaget eller genom externa konsulter som erhållit tillstånd att testa säkerheten i ett system.

- Seriös vetenskaplig forskning.

(g) "Orättmätigt". Detta är ett brett begrepp, som lämnar visst utrymme för medlemsstaterna att bestämma mer exakt vad som skall räknas som överträdelse. För att underlätta genomförandet av rambeslutet i nationell lagstiftning är det enligt kommissionen ändå nödvändigt att ange att vissa gärningar inte bör omfattas. Det är inte möjligt, och förmodligen inte heller önskvärt, att upprätta en uttömmande, exklusiv förteckning över undantag på EU-nivå. Formuleringen "orättmätigt" bygger dock på definitionerna i föregående punkter i syfte att undanta åtgärder av behöriga personer. Undantagna är också alla andra beteenden som är lagliga enligt nationell rätt, inklusive enligt allmänt vedertagna principer som gör en handling rättsenlig samt andra former av handlingsutrymme som erkänns i nationell lagstiftning.

Artikel 3 - Olaga intrång i informationssystem

Denna brottsbeteckning är avsedd att täcka in fall när någon olagligen bereder sig tillträde till informationssystem. Här inkluderas att någon "hackar" sig in i ett informationssystem. Medlemsstaterna har möjlighet att undanta ringa överträdelser från att räknas som brott vid genomförandet av rambeslutet i nationell rätt.

Ett krav på kriminalisering i medlemsstaterna föreligger endast om gärningen

(i) riktar sig mot en del av ett informationssystem som är föremål för särskilda skyddsåtgärder, eller

(ii) begås i avsikt att skada en annan fysisk eller juridisk person, eller

(iii) begås i syfte att skapa ekonomisk vinning.

Kommissionen vill inte på något sätt undergräva sina egna strävanden att skapa insikt om vikten av effektiva tekniska åtgärder för att skydda informationssystemen. Olyckligtvis måste det dock konstateras att en stor andel av användarna ändå utsätter sig för angrepp genom att inte ha tillräckligt, eller ens något, tekniskt skydd. För att avskräcka angrepp mot dessa användare måste strafflagstiftningen täcka olaga intrång i deras system även om de skulle sakna ett fullgott tekniskt skydd för dessa. Därför finns det inget krav på att säkerhetsåtgärder skall ha kringgåtts för att ett angrepp skall kvalificeras som brott, om det föreligger uppsåt att orsaka skada eller bereda ekonomisk vinning.

Artikel 4 - Olaglig störning av informationssystemens funktion

Detta brott täcker följande gärningar, om de utförs uppsåtligen och utan behörighet:

(a) Att på ett allvarligt sätt hindra eller avbryta driften av ett informationssystem genom att mata in, översända, skada, utradera, försämra, ändra eller hindra flödet av datorbehandlade uppgifter utan att ha behörighet för detta. Rekvisiten "mata in" och "översända" är av särskild relevans när det gäller så kallade "denial of service-attacker", det vill säga avsiktliga försök att överbelasta ett informationssystem. Brottet täcker även "avbrott" i driften av ett informationssystem. Detta kan visserligen utläsas av uttrycket "hindra", men av tydlighetsskäl har det ansetts behövas en precisering. Övriga rekvisit (att skada, utradera, försämra, ändra eller hindra flödet av datorbehandlade uppgifter) avser särskilt problemet med virus och andra former av angrepp som är inriktade på att hindra eller avbryta driften av själva informationssystemet.

(b) Att utradera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlade uppgifter i ett informationssystem, om gärningen begås i avsikt att skada en fysisk eller juridisk person. Detta innefattar virusangrepp riktade mot innehållet (eller datorbehandlade uppgifter) i informationssystemet, samt förvanskning av webbplatser.

I punkt a används formuleringen "allvarligt hindra eller avbryta" som ett brottsrekvisit för att beskriva effekterna av ett sådant angrepp. Betydelsen av uttrycket "allvarligt hindra" definieras inte, eftersom hindren kan ha olika form och variera i grad beroende på typen av angrepp och den tekniska kapaciteten hos det informationssystem som utsätts för angreppet. Varje medlemsstat fastställer själv vilka kriterier som skall vara uppfyllda för att ett informationssystem skall anses som "allvarligt hindrat". Mindre problem och störningar i systemens drift bör dock inte anses som tillräckligt allvarliga för att utgöra hinder i den mening som avses här.

Det står medlemsstaterna fritt att undanta ringa fall vid fastställandet av vad som skall anses som brott när de genomför rambeslutet i nationell rätt.

Artikel 5 - Anstiftan, medhjälp, främjande och försök

Artikel 5.1 ålägger medlemsstaterna att se till att uppsåtlig anstiftan och medhjälp till samt uppsåtligt främjande av sådana brott riktade mot informationssystem som anges i artiklarna 3 och 4 straffbeläggs.

Artikel 5.2 tar särskilt upp försök. Medlemsstaterna skall se till att försök till något av de brott riktade mot informationssystem som anges i artiklarna 3 och 4 straffbeläggs.

Artikel 6 - Påföljder

I punkt 1 åläggs medlemsstaterna att vidta de åtgärder som krävs för att brott som anges i artiklarna 3-5 skall kunna beivras med påföljder som är effektiva, proportionerliga och avskräckande. [34] Enligt denna punkt skall medlemsstaterna föreskriva påföljder som ligger i linje med brottets grovhet, varmed avses ett maximistraff på minst ett års fängelse vid grovt brott. Om ingen skada eller ekonomisk vinning har uppstått skall brottet inte vara att bedöma som grovt.

[34] ormuleringen bygger på EG-domstolens dom av den 21 september 1989 i mål 68/88, Rec. 1989, s. 2965.

Ett maximistraff på fängelse i minst ett år i allvarliga fall gör att dessa brott faller inom tillämpningsområdet för den europeiska arresteringsordern och andra instrument, till exempel rådets rambeslut av den 26 juni 2001 [35] om penningtvätt, identifiering, spårande, spärrande, beslag och förverkande av hjälpmedel till och vinning av brott.

[35] EGT L 182, 5.7.2001, s.1.

I överensstämmelse med vad som generellt gäller för rambeslut, som är bindande i fråga om de resultat som skall uppnås men överlåter på medlemsstaterna själva att bestämma förfarandena och metoderna för hur detta skall gå till, behåller medlemsstaterna en viss grad av valfrihet när det gäller att anpassa sin lagstiftning till dessa bestämmelser och fastställa tillämplig straffskala, inom de ramar som följer av rambeslutet, särskilt beträffande de försvårande omständigheter som anges i artikel 7. Kommissionen vill påpeka att det är medlemsstaterna som skall besluta om kriterierna för att fastställa hur grovt ett brott är, på grundval av sina respektive rättssystem.

Bestraffningen behöver inte alltid ha formen av fängelsestraff. I punkt 2 föreskrivs en möjlighet för medlemsstaterna att utdöma böter som komplement eller alternativ till fängelse, i enlighet med respektive lands traditioner och rättssystem.

Artikel 7 - Försvårande omständigheter

Artikel 7 innebär att medlemsstaterna under vissa omständigheter skall vara skäl för att göra påföljderna som anges i artikel 6 svårare. Kommissionen vill påpeka att förteckningen över försvårande omständigheter i denna artikel inte skall påverka andra omständigheter som betraktas som försvårande enligt medlemsstaternas nationella lagstiftning. Förteckningen tar hänsyn till försvårande omständigheter som beskrivs i medlemsstaternas nationella bestämmelser och som föreskrivs i tidigare förslag till rambeslut från kommissionen.

Om något av följande villkor enligt punkt 1 är uppfyllt, får det högsta fängelsestraffet inte understiga fyra år:

(a) Brottet har begåtts inom ramen för en brottsorganisation på det sätt som anges i den gemensamma åtgärden 98/733 RIF, dock med bortseende från den däri angivna straffnivån.

(b) Brottet orsakade eller ledde till betydande direkt eller indirekt ekonomisk förlust, fysisk skada på en fysisk person eller betydande skada på delar av viktig infrastruktur i den berörda medlemsstaten.

(c) Brottet ledde till betydande vinning.

Medlemsstaterna skall också se till att det för brott som avses i artiklarna 3, 4 och 5 finns möjlighet att ådöma högre frihetsstraff än de som anges i artikel 6, om gärningsmannen redan tidigare har fällts för ett sådant brott i en medlemsstat och domen har vunnit laga kraft.

Artikel 8 - Särskilda omständigheter

En medlemsstat kan, genom att beakta vissa omständigheter, besluta att mildra de påföljder som avses i artiklarna 6 och 7 om den behöriga domstolen finner att gärningsmannen endast orsakat ringa skada.

Artikel 9 - Juridiska personers ansvar

Liksom beträffande en rad andra EU-rättsakter om bekämpande av olika former av brottslighet, är det nödvändigt att även täcka in situationer där juridiska personer är inblandade i angrepp mot informationssystem. Därför innehåller artikel 9 bestämmelser om juridiska personers ansvar för brott enligt artiklarna 3, 4 och 5, om brotten begåtts till deras förmån av någon i viss ledande position, antingen som individ eller som företrädare för den juridiska personen. Termen ansvar bör vara utformad så att den innefattar antingen straffrättsligt eller civilrättsligt ansvar.

Dessutom föreskrivs i punkt 2 i enlighet med allmän praxis att en juridisk person kan hållas ansvarig även när bristande övervakning eller kontroll av en behörig person, har möjliggjort brott till den juridiska personens förmån. I punkt 3 anges att rättsliga förfaranden mot en juridisk person inte utesluter förfaranden inleds parallellt mot en fysisk person.

Artikel 10 - Påföljder för juridiska personer

I artikel 10 innebär ett krav på påföljder för juridiska personer som befunnits skyldiga för brott som avses i artiklarna 3, 4 och 5. Påföljderna skall vara effektiva, proportionerliga och avskräckande, varvid minimikravet är att döma till bötesstraff eller administrativa avgifter. Även andra påföljder som får tillämpas för juridiska personer anges.

Artikel 11 - Behörighet

Eftersom brott som innefattar angrepp mot informationssystem tenderar att vara av internationell natur måste procedurbestämmelserna om behörighet och utlämning vara så klara och vittgående på EU-nivå att gärningsmännen inte kan undkomma åtal.

I punkt 1 anges en rad kriterier för att överföra behörighet att åtala och utreda brott som avses i detta rambeslut på domstolar i medlemsstaterna. En medlemsstat skall hävda behörighet i följande tre situationer:

(a) Brottet begås helt eller delvis inom medlemsstatens territorium. Ingen hänsyn tas till den juridiska personens status eller den berörda fysiska personens nationalitet (territorialitetsprincipen).

(b) Gärningsmannen är medborgare i den berörda medlemsstaten (principen om aktiv person) och gärningen påverkar individer eller grupper där. Medlemsstater som inte tillåter utlämning ansvarar för att åtala egna medborgare som har begått brott utomlands.

(c) Brottet har begåtts för att främja en juridisk person som är etablerad inom medlemsstatens territorium.

Syftet med punkt 2 är att varje medlemsstat, när den hävdar behörighet på grundval av territorialitetsprincipen i punkt 1 a, skall se till att dess behörighet omfattar följande fall:

(a) Gärningsmannen är fysiskt närvarande på medlemsstatens territorium när brottet begås. Detta gäller oavsett om det informationssystem som angrips finns inom denna medlemsstats territorium eller inte. En person som gör sig skyldig till olaga intrång (hackning) i ett informationssystem i ett tredje land från den berörda medlemsstatens territorium.

(b) Brottet riktar sig mot ett informationssystem inom medlemsstatens territorium, oavsett om gärningsmannen befinner sig inom detta territorium när brottet begås. Det kan röra sig om en person som gör olaga intrång (hackar sig in) i ett informationssystem inom medlemsstatens territorium från ett tredje land.

Eftersom inte alla medlemsstaters rättssystem erkänner extraterritoriell behörighet för alla typer av brottsliga gärningar, får de enligt punkt 3 låta bli att tillämpa de regler om behörighet som anges i punkt 1 när det gäller de situationer som anges i punkt 1 b och 1 c.

I punkt 4 föreskrivs att varje medlemsstat skall vidta de åtgärder som krävs för att fastställa sin behörighet i fråga om brott som anges i artiklarna 3-5, om den skulle vägra att överlämna eller utlämna en person som misstänks eller har dömts för ett sådant brott till en annan medlemsstat eller till ett tredje land.

Punkt 5 avser ärenden där flera länders domstolar är inblandade, och syftar till att garantera att medlemsstaterna samarbetar fullt ut för att om möjligt centralisera förfarandena till en enda medlemsstat. Därför erinras det om att medlemsstaterna har möjlighet att vända sig till eller använda sig av de organ eller mekanismer inom EU som kan bidra till att underlätta samarbetet mellan deras rättsliga myndigheter och samordna dessas insatser. Detta skulle inkludera Eurojust och det europeiska rättsliga nätverket.

I punkt 6 anges att medlemsstaterna skall meddela rådets generalsekretariat om de beslutar att tillämpa punkt 3.

Artikel 12 - Utbyte av uppgifter

Syftet med artikel 12 är att underlätta utbyte av uppgifter genom att se till att det finns fungerande kontaktpunkter, som är av stor betydelse för ett effektivt polissamarbete. Behovet av att alla medlemsstater ansluter sig till G8-nätverket av kontaktpunkter erkändes särskilt av rådet (rättsliga och inrikes frågor) den 19 mars 1998 och även mer nyligen, när det antog rådets rekommendation av den 25 juni 2001 om kontaktpunkter som upprätthåller ett öppethållande dygnet runt för bekämpning av högteknologisk brottslighet [36].

[36] EGT C 187, 3.7.2001. s. 5.

Artikel 13 - Genomförande

I artikel 13 behandlas genomförandet och uppföljningen av detta rambeslut. Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att uppfylla kraven i detta rambeslut före den 31 december 2003.

Medlemsstaterna skall senast detta datum till rådets generalsekretariat och till kommissionen skall överlämna de bestämmelser genom vilka deras åtaganden enligt detta rambeslut omsätts i nationell lagstiftning. På grundval av detta skall kommissionen lämna in en skriftlig rapport till Europaparlamentet och rådet om hur rambeslutet fungerar. Rådet skall utvärdera i vilken utsträckning medlemsstaterna fullgjort sina åtaganden enligt rambeslutet.

Artikel 14 - Ikraftträdande

I artikel 14 anges att detta rambeslut skall träda i kraft tjugo dagar efter det att det har offentliggjorts i Europeiska gemenskapernas officiella tidning.

2002/0086 (CNS)

Förslag till RÅDETS RAMBESLUT om angrepp mot informationssystem

EUROPEISKA UNIONENS RÅD HAR FATTAT DETTA RAMBESLUT

med beaktande av Fördraget om Europeiska unionen, särskilt artiklarna 29, 30.1 a, 31 och 34.2 b i detta,

med beaktande av kommissionens förslag [37],

[37] EGT C, ..., ... .

med beaktande av Europaparlamentets yttrande [38], och

[38] EGT C, ..., ... .

av följande skäl:

(1) Efter de angrepp mot informationssystem som har förekommit, särskilt från den organiserade brottslighetens sida, stiger oron för terroristattacker mot informationssystem som ingår i medlemsstaternas vitala infrastruktur. Situationen utgör ett hot mot skapandet av ett säkrare informationssamhälle och ett område med frihet, säkerhet och rättvisa, och kräver därför motåtgärder på EU-nivå.

(2) Ett effektivt svar på dessa hot kräver en samlad syn på nät- och informationssäkerhet, vilket betonats i handlingsplanen eEurope och i kommissionens meddelande "Nät- och informationssäkerhet: förslag till en europeisk strategi" [39] och i rådets resolution av den 6 december 2002 om en gemensam inställning och särskilda åtgärder på området för nät- och informationssäkerhet.

[39] KOM (2001)298.

(3) Behovet av att öka medvetenheten om problemen kring informationssäkerhet och tillhandahålla praktiskt stöd har också betonats i Europaparlamentets resolution av den 5 september 2001 [40].

[40] [2001/2098(INI)]

(4) De stora skillnaderna i medlemsstaternas lagstiftning på detta område försvårar kampen mot organiserad brottslighet och terrorism, och fungerar som ett hinder mot effektivt polisiärt och rättsligt samarbete i fråga om angrepp mot informationssystem. De moderna kommunikationsnätens gränsöverskridande och gränslösa karaktär innebär att angrepp mot informationssystem ofta är internationella till sin natur, vilket understryker behovet av ytterligare insatser för att tillnärma strafflagstiftningen på detta område.

(5) Rådets och kommissionens handlingsplan för att på bästa sätt genomföra bestämmelserna i Amsterdamfördraget om upprättande av ett område med frihet, säkerhet och rättvisa [41], slutsatserna från Europeiska rådets möte i Tammerfors den 15-16 oktober 1999, slutsatserna från Europeiska rådets möte i Santa Maria da Feira den 19-20 juni 2000, kommissionens resultattavla [42] och Europaparlamentets resolution av den 19 maj 2000 [43] anger eller uppmanar till lagstiftningsåtgärder mot högteknologisk brottslighet, inklusive gemensamma definitioner och påföljder samt gemensamt straffbeläggande av de aktuella brotten.

[41] EGT C 19, 23.1.1999.

[42] KOM(2001), 278 slutlig.

[43] A5-0127/2000.

(6) Det arbete som utförs av internationella organisationer, särskilt Europarådets insatser för att tillnärma strafflagstiftningen och arbetet inom G8 när det gäller samarbete i kampen mot högteknologisk brottslighet, bör förstärkas genom en gemensam syn på dessa problem inom EU. Detta resonemang utvecklades ytterligare i kommissionens meddelande till rådet, Europaparlamentet, Ekonomiska och sociala kommittén och Regionkommittén "Ett säkrare informationssamhälle - ökad säkerhet i informationsinfrastrukturen och bekämpning av datorrelaterad brottslighet [44].

[44] KOM(2000) 890.

(7) Strafflagstiftning om angrepp mot informationssystem tillnärmas i syfte att få till stånd största möjliga polisiära och rättsliga samarbete mot brott i samband med angrepp mot informationssystem och bidra till kampen mot organiserad brottslighet och terrorism.

(8) Rambeslutet om en europeisk arresteringsorder [45], bilagan till Europolkonventionen och rådets beslut om inrättande av Eurojust innehåller hänvisningar till datorrelaterad brottslighet som behöver preciseras. Datorrelaterad brottslighet bör innefatta angrepp mot informationssystem enligt rambeslutets definition, som medger en långt större tillnärmning av rekvisiten för sådana brott. Det här rambeslutet är även ett komplement till rambeslutet om bekämpande av terrorism [46]. Det sistnämnda täcker terroristhandlingar som orsakar omfattande förstörelse av infrastruktur (inklusive informationssystem), vilken kan utsätta människoliv för fara eller förorsaka betydande ekonomiska förluster.

[45] EGT C, ..., s. ...

[46] EGT C, ..., s. ...

(9) Alla medlemsstater har ratificerat Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk databehandling av personuppgifter. Personuppgifter som behandlas inom ramen för genomförandet av detta rambeslut, kommer att skyddas i enlighet med principerna i sagda konvention.

(10) Gemensamma definitioner på detta område, särskilt för informationssystem och datorbehandlade uppgifter, betyder mycket för att säkra att detta rambeslut tillämpas enhetligt i medlemsstaterna.

(11) Det finns ett behov av att nå en gemensam hållning när det gäller frågan om vad som skall anses utgöra brott genom att gemensamt kriminalisera olagligt intrång i respektive olaglig störning av informationssystem.

(12) Det är viktigt att inte låta kriminaliseringen gå för långt, särskilt i fråga om ringa överträdelser, och man måste också undvika att kriminalisera rättighetsinnehavare och andra berättigade personer, till exempel behöriga privatpersoner och företag, personer som har till uppgift att förvalta, övervaka eller driva nätverk och system, seriösa forskare samt personer med behörighet att testa system, antingen det sker internt inom företaget eller genom externa konsulter som givits tillstånd att testa säkerheten i ett system.

(13) Medlemsstaterna bör införa effektiva, proportionerliga och avskräckande påföljder för angrepp mot informationssystem, inklusive frihetsstraff i allvarliga fall.

(14) Det är nödvändigt att kunna föreskriva hårdare påföljder när omständigheterna kring ett angrepp mot ett informationssystem innebär ett särskilt allvarligt hot mot samhället. I sådana fall bör straffsatserna vara tillräckliga för att angrepp mot informationssystem skall kunna omfattas av redan antagna instrument om bekämpande av organiserad brottslighet, till exempel den gemensamma åtgärden 98/733/RIF av den 21 december 1998 beslutad av rådet på grundval av artikel K 3 i Fördraget om Europeiska unionen om att göra deltagande i en kriminell organisation i Europeiska unionens medlemsstater till ett brott [47].

[47] EGT L 351, 29.12.1998, s.1.

(15) Åtgärder bör vidtas för att göra det möjligt att ställa juridiska personer till svars för brott enligt denna rättsakt om brotten begås till deras förmån, och för att säkra att varje medlemsstat har behörighet i frågor om brott som riktats mot informationssystem i fall där gärningsmannen fysiskt befinner sig inom medlemsstatens territorium eller informationssystemet finns inom dess territorium.

(16) Det bör även vidtas åtgärder för att förbättra samarbetet mellan medlemsstaterna, i syfte att säkra effektiva insatser mot angrepp mot informationssystem. Operationella kontaktpunkter bör inrättas för utbytet av information.

(17) Eftersom målen för den föreslagna åtgärden, nämligen att se till att angrepp mot informationssystem i medlemsstaterna kan bli föremål för effektiva, proportionerliga och avskräckande påföljder och att förbättra och uppmuntra det rättsliga samarbetet genom att undanröja eventuella hinder, inte i tillräcklig utsträckning kan uppnås av medlemsstaterna, då bestämmelserna måste vara gemensamma och överensstämmande och de därför bättre kan uppnås på unionsnivå, kan unionen vidta åtgärder i enlighet med subsidiaritetsprincipen som nämns i artikel 2 i Fördraget om Europeiska unionen och föreskrivs i artikel 5 i fördraget. I enlighet med proportionalitetsprincipen i samma artikel går rambeslutet inte utöver vad som är nödvändigt för att uppnå dessa mål.

(18) Detta rambeslut påverkar inte Europeiska gemenskapens behörighet.

(19) Denna rättsakt respekterar de grundläggande rättigheter och iakttar de principer som erkänns såsom allmänna gemenskapsrättsliga principer, bland annat i Europeiska unionens stadga om grundläggande rättigheter, särskilt kapitel II och kapitel XI i denna.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Rambeslutets syfte och räckvidd

Syftet med detta rambeslut är att förbättra samarbetet mellan rättsliga och andra behöriga myndigheter, inklusive polismyndigheter och andra rättsvårdande myndigheter i medlemsstaterna, genom tillnärmning av medlemsstaternas strafflagstiftning om angrepp mot informationssystem.

Artikel 2

Definitioner

I detta rambeslut används följande beteckningar med de betydelser som här anges:

(a) "elektroniska kommunikationsnät": system för överföring, och i tillämpliga fall utrustning för koppling eller dirigering samt andra resurser som medger överföring av signaler via tråd, via radio, på optisk väg eller via andra elektromagnetiska överföringssätt, däribland satellitnät, fasta nät (kretskopplade och paketkopplade, inbegripet Internet) och markbundna mobilnät, rundradionät samt kabel-TV-nät, oberoende av vilken typ av information som överförs.

(b) "dator": en apparat eller en grupp av sammankopplade apparater eller apparater som står i samband med varandra, av vilka en eller flera utför automatisk databehandling genom ett program.

(c) "datorbehandlade uppgifter": varje framställning av fakta, information eller begrepp som har skapats eller omvandlats i en form som lämpar sig för behandling i ett informationssystem, inklusive program som utformats för att få ett informationssystem att utföra en viss funktion.

(d) "informationssystem": datorer och elektroniska kommunikationsnät samt datorbehandlade uppgifter som lagras, behandlas, hämtas eller överförs med hjälp av datorer och elektroniska kommunikationsnät för att dessa skall kunna drivas, användas, skyddas och underhållas.

(e) "juridisk person": varje enhet som har denna ställning enligt tillämplig lagstiftning, dock ej stater eller andra offentliga organ när dessa utövar sina befogenheter i egenskap av statsmakter och ej heller internationella offentliga organisationer.

(f) "behörig person": varje fysisk eller juridisk person som enligt avtal, lag eller giltigt tillstånd har rätt att använda, förvalta, övervaka, testa, bruka för seriös forskning eller på annat sätt hantera ett informationssystem, och som handlar i enlighet med denna rättighet eller detta tillstånd.

(g) "orättmätigt": omfattar inte handlingar som utförs av behöriga personer eller andra handlingar som är lagliga enligt nationell rätt.

Artikel 3

Olagligt intrång i informationssystem

Medlemsstaterna skall se till att uppsåtligt intrång i ett informationssystem som helhet eller delar av ett sådant system är straffbart, om gärningen utförs utan behörighet och

(i) riktar sig mot någon del av ett informationssystem som är föremål för särskilda skyddsåtgärder, eller

(ii) begås i avsikt att skada en fysisk eller juridisk person, eller

(iii) begås i avsikt att skapa ekonomisk vinning.

Artikel 4

Olaglig störning av informationssystemens funktion

Medlemsstaterna skall se till att följande uppsåtliga gärningar är straffbara om de utförs utan behörighet:

(a) Att allvarligt hindra eller avbryta driften av ett informationssystem genom att mata in, översända, skada, utradera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlade uppgifter.

(b) Att, utradera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlade uppgifter i ett informationssystem, om syftet är att skada en fysisk eller juridisk person.

Artikel 5

Anstiftan, medhjälp, främjande och försök

1. Medlemsstaterna skall se till att anstiftan till, medhjälp till och främjande av brott som avses i artiklarna 3 och 4 är straffbart, om gärningen är att betrakta som uppsåtlig.

2. Medlemsstaterna skall se till att försök till brott som avses i artiklarna 3 och 4 är straffbart.

Artikel 6

Påföljder

1. Medlemsstaterna skall se till att det för brott som avses i artiklarna 3-5 föreskrivs effektiva, proportionerliga och avskräckande påföljder, inklusive frihetsstraff, med ett maximistraff på fängelse i minst ett år i allvarliga fall. Fall där handlandet inte har lett till någon skada eller ekonomisk vinning skall inte anses som allvarliga.

2. Medlemsstaterna skall införa möjlighet att ålägga böter som komplement eller alternativ till frihetsstraff.

Artikel 7

Försvårande omständigheter

1. Medlemsstaterna skall se till att brott som avses i artiklarna 3-5 är belagda med frihetsstraff, varvid maximistraffet inte får understiga fyra års fängelse, om någon av följande omständigheter var för handen när brottet begicks:

(a) Brottet begicks inom ramen för en sådan brottsorganisation som avses i den gemensamma åtgärden 98/733/RIF om att göra deltagande i en kriminell organisation i Europeiska unionens medlemsstater till ett brott; den straffnivå som anges i den gemensamma åtgärden skall härvid inte beaktas.

(b) Brottet orsakade eller ledde till betydande direkt eller indirekt ekonomisk förlust, fysisk skada på en fysisk person eller betydande skada på delar av viktig infrastruktur i den berörda medlemsstaten.

(c) Brottet ledde till betydande vinning.

2. Medlemsstaterna skall se till att brott som avses i artiklarna 3 och 4 är belagda med strängare frihetsstraff än de som avses i artikel 6, om gärningsmannen tidigare har fällts för ett sådant brott i en medlemsstat och domen har vunnit laga kraft.

Artikel 8

Särskilda omständigheter

Trots artiklarna 6 och 7 skall medlemsstaterna se till att det finns möjlighet att mildra de påföljder som avses i artiklarna 6 och 7, om gärningsmannen enligt den behöriga domstolens uppfattning endast har orsakat ringa skada.

Artikel 9

Juridiska personers ansvar

1. Varje medlemsstat skall se till att juridiska personer kan ställas till ansvar om någon med ledande ställning inom den juridiska personen, enskilt eller i egenskap av företrädare för denna, begår sådana gärningar som avses i artiklarna 3-5 till den juridiska personens förmån, och gärningarna möjliggjorts genom

(a) behörighet att företräda den juridiska personen, eller

(b) behörighet att fatta beslut på den juridiska personens vägnar, eller

(c) behörighet att utöva kontroll inom den juridiska personen.

2. Utöver de fall som anges i punkt 1, skall medlemsstaterna se till att juridiska personer kan ställas till ansvar, om bristande övervakning eller kontroll från en person som avses i punkt 1 har gjort det möjligt för en person som lyder under den juridiska personen att begå sådana gärningar som avses i artiklarna 3-5 till den juridiska personens förmån.

3. Juridiska personers ansvar enligt punkterna 1 och 2 skall inte utesluta straffrättsliga förfaranden mot fysiska personer som begår brott eller uppträder på ett sådant sätt som avses i artiklarna 3-5.

Artikel 10

Påföljder för juridiska personer

1. Medlemsstaterna skall se till att en juridisk person som hålls ansvarig i enlighet med artikel 9.1 kan bli föremål för effektiva, proportionella och avskräckande påföljder som skall innefatta bötesstraff eller administrativa avgifter och som kan innefatta andra påföljder, som

a) fråntagande av rätt till offentliga förmåner eller stöd,

b) tillfälligt eller permanent näringsförbud,

c) rättslig övervakning, eller

d) rättsligt beslut om att avveckla verksamheten.

2. Medlemsstaterna skall se till att en juridisk person som hålls ansvarig i enlighet med artikel 9.2 kan bli föremål för effektiva, proportionella och avskräckande påföljder eller åtgärder.

Artikel 11

Behörighet

1. En medlemsstat skall fastställa sin behörighet beträffande sådana brott som anges i artiklarna 3-5 när brotten har begåtts

(a) helt eller delvis inom dess territorium, eller

(b) av en av dess medborgare, och gärningen påverkar individer eller grupper i den staten, eller

(c) till förmån för en juridisk person som har sitt huvudkontor inom medlemsstatens territorium.

2. Varje medlemsstat skall vid fastställandet av behörighet enligt punkt 1 a se till att behörigheten innefattar fall där

(a) gärningsmannen är fysiskt närvarande på medlemsstatens territorium när brottet begås, vilket gäller oavsett om det informationssystem som angrips finns inom denna medlemsstats territorium eller inte, eller

(b) brottet riktar sig mot ett informationssystem inom medlemsstatens territorium, oavsett om gärningsmannen befinner sig inom detta territorium när brottet begås.

3. En medlemsstat får besluta att den inte kommer att tillämpa eller endast i särskilda fall eller under särskilda omständigheter kommer att tillämpa de bestämmelser om behörighet som anges i punkt 1 b och 1 c.

4. Varje medlemsstat skall vidta de åtgärder som krävs för att fastställa sin behörighet i fråga om de brott som anges i artiklarna 3-5 i fall där den vägrar att överlämna eller utlämna en person som misstänks eller har dömts för ett sådant brott till en annan medlemsstat eller till ett tredje land.

5. Om ett brott omfattas av flera medlemsstaters behörighet och vilken som helst av dessa medlemsstater kan lagföra brottet på grundval av samma sakförhållanden, skall dessa medlemsstater samarbeta för att komma fram till vilken av dem som skall väcka åtal mot de misstänkta för att, om möjligt, samla förfarandena i enda medlemsstat. Därför skall medlemsstaterna ha möjlighet att vända sig till eller använda sig av de organ eller mekanismer inom Europeiska unionen som kan bidra till att underlätta samarbetet mellan deras rättsliga myndigheter och samordna dessas insatser.

6. Medlemsstaterna skall underrätta rådets generalsekretariat och kommissionen om detta, i tillämpliga fall med uppgift om i vilka särskilda fall eller under vilka särskilda omständigheter beslutet gäller.

Artikel 12

Utbyte av uppgifter

1. För utbyte av uppgifter om brott som avses i artiklarna 3-5 skall medlemsstaterna, med iakttagande av bestämmelserna om uppgiftsskydd, utse operativa kontaktpunkter som kan nås 24 timmar om dygnet alla dagar i veckan.

2. Varje medlemsstat skall underrätta rådets generalsekretariat och kommissionen om sin operativa kontaktpunkt för utbyte av uppgifter om brott i samband med angrepp mot informationssystem. Generalsekretariatet skall vidarebefordra dessa uppgifter till de andra medlemsstaterna.

Artikel 13

Genomförande

1. Medlemsstaterna skall före den 31 december 2003 ha vidtagit nödvändiga åtgärder för att följa detta rambeslut.

2. Medlemsstaterna skall till rådets generalsekretariat och kommissionen överlämna texten till de bestämmelser som de antar och uppgifter om andra åtgärder som vidtas för att följa detta rambeslut.

3 På grundval av detta skall kommissionen före den 31 december 2004 överlämna en rapport till Europaparlamentet och rådet om tillämpningen av detta rambeslut, vid behov tillsammans med lagförslag.

4. Rådet skall bedöma i vilken utsträckning medlemsstaterna följt detta rambeslut.

Artikel 14

Ikraftträdande

Detta rambeslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska gemenskapernas officiella tidning.

Utfärdat i Bryssel den

På rådets vägnar

Ordförande