L 218/8 Dziennik Urzędowy Unii Europejskiej 14.8.2013 DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY 2013/40/UE z dnia 12 sierpnia 2013 r. dotycząca ataków na systemy informatyczne i zastępująca decyzję ramową Rady 2005/222/WSiSW PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ, uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 83 ust. 1, uwzględniając wniosek Komisji Europejskiej, po przekazaniu projektu aktu ustawodawczego parlamentom narodowym, uwzględniając opinię Furopejskiego Komitetu Ekonomiczno- Społecznego (!), stanowiąc zgodnie ze zwykłą procedurą ustawodawczą (?), a także mając na uwadze, co następuje: (1) Celami niniejszej dyrektywy są: zbliżenie prawa karnego państw członkowskich w dziedzinie ataków na systemy informatyczne, przez ustanowienie zasad minimalnych dotyczących definicji przestępstw i odpowiednich kar, oraz poprawa współpracy między właściwymi organami, w tym policją i innymi wyspecjalizowanymi organami ścigania w państwach członkowskich, a także właści- wymi wyspecjalizowanymi agencjami i organami Unii takimi jak Eurojust, Europol i należące do niego Furopej- skie Centrum ds. Walki z Cyberprzestępczością oraz Europejska Agencja ds. Bezpieczeństwa Sieci i Informacji (ENISA). Systemy informatyczne stanowią podstawowy element relacji politycznych, społecznych i gospodarczych w Unii. Zależność społeczeństwa od tego typu systemów jest bardzo wysoka i stale rośnie. Dobre funkcjonowanie i bezpieczeństwo tych systemów w Unii są niezbędne dla rozwoju rynku wewnętrznego oraz konkurencyjnej i innowacyjnej gospodarki. Zapewnianie odpowiedniego poziomu ochrony systemów informatycznych powinno być realizowane w ramach ogółu skutecznych i komple- ksowych środków profilaktycznych, jakie towarzyszą działaniom wobec cyberprzestępczości podejmowanym w obszarze prawa karnego. Zarówno na obszarze Unii, jak i globalnie, rośnie zagro- żenie atakami na systemy informatyczne, a zwłaszcza atakami dokonywanymi w ramach przestępczości zorga- nizowanej; narastają również obawy o możliwość ataków o Charakterze terrorystycznym lub mających podłoże polityczne, ukierunkowanych na systemy informatyczne stanowiące element infrastruktury krytycznej państw członkowskich i Unii. Zagraża to dążeniom do zapew- nienia bezpieczniejszego społeczeństwa informacyjnego oraz przestrzeni wolności, bezpieczeństwa i sprawiedliwo- ści, dlatego też wymaga reakcji na szczeblu Unii, a także lepszej współpracy i koordynacji na szczeblu międzyna- rodowym. () Dz.U. C 218 z 23.7.2011, s. 130. () Stanowisko Parlamentu Europejskiego z dnia 4 lipca 2013 r. (dotychczas nieopublikowane w Dzienniku Urzędowym) oraz decyzja Rady z dnia 22 lipca 2013 r. (4) (5) (6) Na obszarze Unii znajduje się szereg infrastruktur krytycznych, których zakłócenie lub zniszczenie miałoby istotne transgraniczne skutki. Z potrzeby wzmocnienia zdolności ochrony infrastruktury krytycznej w Unii jasno wynika, że środkom wymierzonym przeciw atakom cybernetycznym powinny towarzyszyć surowe sankcje karne odzwierciedlające wagę tych ataków. Infra- strukturę krytyczną można rozumieć jako składnik, system lub część infrastruktury zlokalizowane na teryto- rium państw członkowskich, które mają podstawowe znaczenie dla utrzymania niezbędnych funkcji społecz- nych, zdrowia, bezpieczeństwa, ochrony, dobrobytu materialnego lub społecznego ludności, jak na przykład elektrownie, sieci transportowe lub sieci rządowe, a których zakłócenie lub zniszczenie miałoby istotny wpływ na dane państwo członkowskie w wyniku niezdolności do utrzymania tych funkcji. Istnieją dowody wskazujące na tendencję do coraz bardziej niebezpiecznych i ponawianych ataków na wielką skalę dokonywanych na systemy informatyczne, które często mają zasadnicze znaczenie dla państw członkowskich lub poszczególnych funkcji w sektorze publicznym lub prywatnym. Tendencja ta występuje wraz z opracowywaniem coraz bardziej wyrafinowanych metod takich jak tworzenie i wykorzystywanie tzw. „bot- netów”, co odbywa się na kilku etapach działania prze- stępczego, przy czym każdy z tych etapów z osobna może stanowić poważne ryzyko dla interesu publicz- nego. Niniejsza dyrektywa ma na celu m.in. wprowa- dzenie sankcji karnych za tworzenie „botnetów” - tj. działań polegających na uzyskaniu zdalnej kontroli nad znaczną liczbą komputerów przez wprowadzenie do nich złośliwego oprogramowania za pomocą ukierunko- wanych cyberataków. MNastępnie zainfekowaną sieć komputerów stanowiącą „botnet” można uruchomić bez wiedzy użytkowników komputerów, aby rozpocząć cybe- rataki na wielką skalę, które zazwyczaj mogą spowo- dować poważne szkody, o czym mowa w niniejszej dyrektywie. Państwa członkowskie mogą określić, co, zgodnie z ich prawem krajowym oraz praktykami krajo- wymi, stanowi poważną szkodę, np. zakłócenie usług systemowych o dużym znaczeniu publicznym lub spowodowanie znacznych kosztów finansowych lub też utrata danych osobowych lub informacji szczególnie chronionych. Cyberataki na dużą skalę mogą powodować znaczne szkody w gospodarce zarówno przez zakłócanie pracy systemów informatycznych i łączności, jak i przez utratę lub modyfikację istotnych z handlowego punktu widzenia informacji poufnych lub innych danych. Szcze- gólną uwagę należy zwrócić na uświadamianie innowa- cyjnych małych i średnich przedsiębiorstw o zagrożeniach związanych z takimi atakami i ich podatności na nie z racji ich wzrastającego uzależnienia od właściwego funkcjonowania i dostępności systemów informatycz- nych oraz często ograniczonych zasobów przeznacza- nych na bezpieczeństwo informatyczne.