[pic] | COMISIÓN DE LAS COMUNIDADES EUROPEAS |

Bruselas, 14.7.2008

COM(2008) 448 final

INFORME DE LA COMISIÓN AL CONSEJO

basado en el artículo 12 de la Decisión marco del Consejo, de 24 de febrero de 2005, relativa a los ataques contra los sistemas de información

1. INTRODUCCIÓN

1.1. Antecedentes

El objetivo principal del presente informe es determinar si los Estados miembros han aplicado correctamente la Decisión marco 2005/222/JAI del Consejo relativa a los ataques contra los sistemas de información[1] (en lo sucesivo denominada «la Decisión marco») en sus ordenamientos nacionales.

El objetivo principal[2] de la Decisión marco es reforzar la cooperación entre las autoridades judiciales y otras autoridades competentes, incluida la policía y los demás servicios represivos especializados de los Estados miembros, mediante la aproximación de su legislación penal en materia de ataques contra los sistemas de información. Para lograr este objetivo, la Decisión marco pretende completar y reforzar otros instrumentos internacionales y de la UE (en particular, el Convenio del Consejo de Europa sobre la delincuencia cibernética[3]).

Desde la aprobación de la Decisión marco, los sucesivos ataques delictivos contra los sistemas de información han puesto de manifiesto repetidamente la necesidad de intensificar la coordinación europea para responder a los ataques de este tipo. En mayo de 2007, los ataques masivos de denegación de servicio dirigidos contra la infraestructura de información de Estonia nos recordaron oportunamente los efectos perturbadores y destructivos de estos ataques.

En consecuencia, desde la aprobación de la Decisión marco resulta cada vez más necesario que cada Estado miembro la aplique íntegramente y con precisión. La pertinencia del presente informe ha sido confirmada también por la referencia expresa a la lucha contra la delincuencia informática contenida en las conclusiones de la reciente reunión del Consejo de Justicia y Asuntos de Interior[4], que manifestó su deseo de recibir el informe de aplicación de la Comisión.

1.2. Notificación y respuestas

El artículo 12, apartado 2, de la Decisión marco, impone a los Estados miembros la obligación de comunicar, el 16 de marzo de 2007 a más tardar, el texto de las disposiciones que incorporen a sus ordenamientos nacionales las obligaciones impuestas por la Decisión marco. En esta fecha sólo un Estado (Suecia) había transmitido el texto nacional a la Comisión, que además era incompleto. En consecuencia, la Comisión volvió a pedir a los Estados miembros que le enviaran el texto de las disposiciones nacionales de transposición de la Decisión marco y toda la información relacionada con la aplicación de esta medida que se considerase adecuada.

El 1 de junio de 2008 la Comisión había recibido notificaciones o respuestas de 23 Estados miembros. No respondieron Malta, Polonia[5], Eslovaquia ni España . Además, las respuestas de Irlanda, Grecia y el Reino Unido, tal como han reconocido los respectivos gobiernos, no permitieron evaluar la aplicación en estos Estados, ya que ésta se retrasó.

Por tanto, los siete Estados miembros mencionados no han cumplido la obligación de notificación que les impone el artículo 12, apartado 2, de la Decisión marco. Así, el presente informe sólo evalúa las normas de los 20 Estados miembros restantes.

1.3. Método y criterios de evaluación

El presente informe se basa en la información suministrada por los Estados miembros. Sin embargo, siguen faltando algunos datos necesarios. Por ello, la evaluación de los hechos y las conclusiones extraídas en consecuencia se basan en parte en datos incompletos.

Con arreglo al artículo 34, apartado 2, letra b), del Tratado de la Unión Europea, las decisiones marco obligarán a los Estados miembros en cuanto al resultado que deba conseguirse, dejando, sin embargo, a las autoridades nacionales la elección de la forma y de los medios. Para determinar objetivamente si un Estado miembro ha aplicado plenamente una decisión marco, se han establecido ciertos criterios generales aplicables a las directivas. Estos criterios pueden aplicarse, mutatis mutandis, a las decisiones marco. En particular, las normas de aplicación de la Decisión marco deben tener en cuenta eficazmente los objetivos de ésta, deben cumplir los requisitos de claridad y seguridad jurídica, garantizar la plena aplicación del texto de forma suficientemente clara y precisa, y aplicarse en el plazo previsto.

El presente informe se centra, principalmente, en el grado de aplicación formal de las disposiciones penales de la Decisión marco. Ahora bien, la aplicación real de estas normas va más allá del propósito del presente informe.

2. EVALUACIÓN

2.1. Aspecto general de la aplicación

La Decisión marco se ha aplicado de formas muy distintas en los 20 Estados miembros. En la mayoría de los Estados, la normativa nacional se ha redactado de forma similar a la Decisión marco. En otros, los métodos de aplicación han sido más indirectos y generales. Como consecuencia de esto, los conceptos y las expresiones jurídicas utilizadas no son fácilmente comparables. En la medida de lo posible, el presente informe tendrá en cuenta el Derecho penal general de los Estados miembros e indicará las dificultades particulares propias de este enfoque.

2.2. Definiciones (artículo 1)

Los 20 Estados miembros no suministraron información clara ni completa sobre la forma en que las definiciones contenidas en la Decisión marco se han aplicado en sus ordenamientos nacionales. No obstante, la situación general muestra claramente que las definiciones incorporadas a los ordenamientos nacionales coinciden con la Decisión marco.

2.3. Acceso ilegal a los sistemas de información (artículo 2)

La Comisión considera que los 20 Estados miembros han incorporado la obligación principal, es decir, disponer que el acceso intencionado sin autorización al conjunto o a una parte de un sistema de información sea sancionable como infracción penal.

La última frase del primer apartado permite a los Estados miembros tipificar como infracción penal sólo «los casos que no sean de menor gravedad». Los siguientes Estados miembros, de forma más o menos explícita, han hecho uso de esta opción partiendo de la base de que los sistemas descritos a continuación corresponden a «casos que no sean de menor gravedad»:

- en Austria, el criterio jurídico para establecer la responsabilidad penal es la intención de cometer un acto de espionaje y utilizar los datos obtenidos para obtener un beneficio o causar un perjuicio;

- la República Checa ha tipificado como infracción penal el acceso ilegal sólo en caso de que a los datos se les de posteriormente un uso indebido o resulten dañados;

- en Finlandia el criterio de la responsabilidad penal es que los datos consultados deben estar «en peligro»;

- En Letonia el acceso ilegal sólo se sanciona como infracción penal «si causa un perjuicio grave».

Para determinar si estos modelos son conformes a la Decisión marco es preciso interpretar qué se entiende específicamente por «casos que no sean de menor gravedad». Esta interpretación es necesaria para determinar si al menos el núcleo principal de la tipificación penal que pretende la Decisión marco está regulado formalmente en los Estados miembros. El objetivo del artículo 2 es proteger la confidencialidad de los sistemas de información. En consecuencia, la Comisión opina que el concepto de «caso de menor gravedad» debe referirse a los casos en que el acceso ilegal es de menor importancia o en que la violación de la confidencialidad del sistema de información es de grado menor. No obstante, las normas austríacas, checas, finlandesas y letonas anteriormente mencionadas se refieren a circunstancias —como la intención delictiva específica o los riesgos o daños específicos— que no pueden considerarse compatibles con la interpretación indicada. Por ello, la Comisión mantiene serias reservas sobre la compatibilidad de las disposiciones austríacas, checas, finlandesas y letonas en cuestión con la manera en que la Decisión marco concibe las circunstancias de los «casos que no sean de menor gravedad».

En general, la interpretación y aplicación divergentes de la opción de no tipificar como infracción penal determinados actos supone un riesgo grave para la consecución del objetivo de aproximar las normas penales de los Estados miembros en materia de ataques contra los sistemas de información.

En consecuencia, la Comisión considera que sólo 16 de los 20 Estados miembros han demostrado que cumplen debidamente el artículo 2 de la Decisión marco.

El artículo 2, apartado 2, permite a los Estados miembros decidir que las conductas mencionadas en el apartado 1 sean objeto de acciones judiciales únicamente cuando la infracción se cometa transgrediendo medidas de seguridad. Esta opción se ha aplicado en siete de los 20 Estados miembros ( Austria, Finlandia, Alemania, Hungría, Italia, Letonia y Lituania).

2.4. Intromisión ilegal en el sistema (artículo 3)

La Comisión considera que los 20 Estados miembros cumplen la principal obligación que consiste en garantizar que el acto intencionado de obstaculizar o interrumpir el funcionamiento de un sistema de información introduciendo, transmitiendo, dañando, borrando, deteriorando, alterando, suprimiendo o haciendo inaccesibles datos informáticos, sea sancionable como una infracción penal.

Ahora bien, para confirmar esta conclusión tal vez será necesario proceder a analizar de nuevo la práctica de los Estados miembros que han adoptado unas disposiciones relativamente generales para aplicar este detallado artículo de la Decisión marco. Tal es el caso de Dinamarca, que afirma que una disposición legal de carácter muy general sobre la destrucción, el deterioro y la supresión de todos los tipos de bienes cumple todos los criterios enumerados en este artículo. Este planteamiento es, en principio, aceptable, pero puede cuestionarse en qué medida dicha disposición es aplicable a los ataques a la accesibilidad, especialmente en los casos en que los daños pueden ser sólo temporales[6].

La última frase del artículo 3 permite a los Estados miembros sancionar como infracción penal sólo «en los casos que no sean de menor gravedad». Seis Estados miembros han hecho uso de esta opción y han declarado, de forma más o menos explícita, que los sistemas siguientes se atienen a esas circunstancias.

- el Derecho austríaco sólo tipifica la intromisión como infracción penal en los casos «graves»;

- el Derecho checo exige la existencia de la intención de causar un perjuicio o una pérdida[7];

- el Derecho alemán establece que el sistema de información que ha sufrido la intromisión ilegal deberá ser de «considerable importancia para un tercero»;

- el Derecho estonio somete la responsabilidad penal a la condición de que «se cause …. un perjuicio importante»;

- el Derecho lituano sólo tipifica como infracciones penales los actos «que causen un perjuicio»;

- el Derecho letón sólo tipifica como infracción penal la intromisión cuando «los sistemas de protección sean dañados o destruidos o cuando se produce una pérdida de gran escala».

De nuevo, para determinar si estos sistemas son conformes a la Decisión marco es preciso definir con mayor precisión qué se entiende por «casos que no sean de menor gravedad». En el apartado 2.3 ya se ha tratado de esta definición necesaria en relación con el artículo 2.

El objetivo del artículo 3 es proteger la integridad de los sistemas de información. En consecuencia, la Comisión opina que el concepto de «caso de menor gravedad» debe referirse a los casos en que la intromisión en el sistema es de importancia menor o en que la integridad del sistema de información sólo es objeto de una intromisión menor. Las normas austríacas, checas, estonias y lituanas anteriormente mencionadas parecen referirse exactamente a estas circunstancias y deben considerarse conformes con el requisito de que sólo los casos de intromisión de menor gravedad quedarán excluidos de la tipificación penal.

Ahora bien, la norma alemana aplicable se refiere a la importancia para un tercero, y la norma letona a los daños en los sistemas de protección o a pérdidas de gran escala. La Comisión considera que estas disposiciones están insuficientemente vinculadas a la integridad de los sistemas de información como para poder determinar si son coherentes con la opción prevista en la Decisión marco de no sancionar como infracciones penales los «casos que no sean de menor gravedad», y que esto es incompatible con el objetivo de la Decisión marco de aproximar las normas penales de los Estados miembros en materia de ataques contra los sistemas de información.

En general, la interpretación y aplicación divergentes de la opción de no aplicar sanciones penales a determinados actos pone en grave peligro el objetivo de aproximar las normas penales de los Estados miembros en materia de ataques contra los sistemas de información.

En consecuencia, la Comisión considera que sólo 18 de los 20 Estados miembros han demostrado que han aplicado adecuadamente el artículo 3 de la Decisión marco.

2.5. Intromisión ilegal en los datos (artículo 4)

La Comisión considera que los 20 Estados miembros han incorporado la obligación principal de garantizar que el acto intencionado de borrar, dañar, deteriorar, alterar, suprimir o hacer inaccesibles datos informáticos contenidos en un sistema de información sea sancionable como infracción penal. Muchos Estados miembros han aplicado los artículos 3 y 4 en una única disposición nacional. De nuevo, en el caso de Dinamarca, la Comisión no está convencida de que una disposición legal de carácter muy general relativa a la destrucción, el deterioro y la supresión de todos los tipos de bienes cubra los actos relativos a los datos informáticos enumerados en el artículo. Para analizar brevemente este asunto, nos remitimos a los comentarios sobre el artículo 3 que se recogen en el apartado 2.4.

La última frase del artículo permite a los Estados miembros tipificar como infracción penal sólo «los casos que no sean de menor gravedad». Tres Estados miembros han hecho uso de esta opción y han alegado, de forma más o menos explícita, que los sistemas siguientes se ajustan a tales circunstancias.

- el Derecho checo exige la existencia de la intención de causar un perjuicio o una pérdida[8];

- el Derecho estonio exige que «se cause … un perjuicio importante»;

- el Derecho letón (artículo 243 del Código penal) aplica el criterio de que «los sistemas de protección están dañados o destruidos o cuando se produce una pérdida de gran escala».

Como se ha señalado en el apartado 2.4 en relación con las disposiciones idénticas de aplicación del artículo 3 de la Decisión marco, la Comisión considera que la legislación checa es conforme (y también la estonia, presumiblemente) a la Decisión marco en esta materia. Como en el caso anterior, se considera que Letonia no ha cumplido sus obligaciones previstas en la Decisión marco en esta materia.

En consecuencia, la Comisión considera que 19 de los 20 Estados miembros han demostrado que cumplen debidamente el artículo 4 de la Decisión marco.

2.6. Inducción, complicidad y tentativa (artículo 5)

La Comisión considera que, en principio, 18 de los 20 Estados miembros cumplen la obligación principal de garantizar que la inducción, la complicidad y la tentativa en relación con los delitos, sean sancionables como infracciones penales. Finlandia y Portugal han comunicado sus normas nacionales relativas únicamente a la tentativa y no han demostrado, por tanto, cómo se regulan en sus ordenamientos nacionales las obligaciones en materia de inducción y complicidad. Suecia no prevé sanciones en casos de inducción, complicidad y tentativa de menor gravedad. Este enfoque no es compatible con los requisitos de la Decisión marco.

Los Estados miembros pueden optar por no aplicar la obligación de sancionar como infracción penal toda tentativa de cometer un delito de acceso ilegal a los sistemas de información. Alemania y Eslovenia han informado de que se han acogido a esta posibilidad.

La Comisión considera, por tanto, que 17 de los 20 Estados miembros han aplicado adecuadamente el artículo 5.

2.7. Sanciones y circunstancias agravantes (artículos 6 y 7)

La Comisión considera que los 20 Estados miembros han garantizado que los delitos mencionados en los artículos 2 a 5 de la Directiva marco se castiguen con sanciones penales efectivas, proporcionadas y disuasorias[9]. Las sanciones previstas para la intromisión ilegal en el sistema y para la intromisión ilegal en los datos también cumplen los requisitos específicos del artículo 6, apartado 2, de la Decisión marco.

En cuanto a la obligación de tener en cuenta las «circunstancias agravantes» en el caso de infracciones cometidas en el marco de una organización delictiva (artículo 7), la situación es más variada:

- es evidente que las disposiciones notificadas por Austria no cumplen esta obligación establecida por la Directiva marco;

- el Derecho danés no hace ninguna referencia directa a organizaciones delictivas;

- en Finlandia, la normativa aplicable no hace ninguna referencia a organizaciones delictivas;

- Portugal debe proceder a varias adaptaciones de su legislación para cumplir plenamente la Directiva marco.

Otros Estados miembros ( Bulgaria, Italia, Letonia y Suecia ) no hacen ninguna referencia al criterio de «organizaciones delictivas» en las disposiciones notificadas a la Comisión. No obstante, los textos comunicados muestran que la obligación de imponer unas sanciones más severas por las infracciones en las que intervengan organizaciones delictivas ya está plenamente incorporada —aunque sea de forma indirecta— en las disposiciones nacionales de Bulgaria, Italia y Letonia. En estos Estados miembros, las disposiciones vigentes sobre las infracciones en cuestión establecen las sanciones mínimas más severas mencionadas en el artículo 7 de la Decisión marco. El Gobierno sueco ha manifestado que a las infracciones cometidas en el marco de organizaciones delictivas se les aplica plenamente la circunstancia agravante de «delito grave» previsto en la legislación sueca, y ha ofrecido una explicación detallada de este extremo.

En consecuencia, la Comisión considera que el artículo 6 ha sido aplicado adecuadamente por los 20 Estados miembros y que 16 de éstos cumplen las obligaciones establecidas en el artículo 7 de la Decisión marco.

2.8. Responsabilidad de las personas jurídicas y sanciones que les son aplicables (artículos 8 y 9)

La Comisión considera que 16 de los 20 Estados miembros han adoptado claramente la medidas necesarias para garantizar que a las personas jurídicas se les puedan exigir responsabilidades por las infracciones mencionadas en los artículos 2, 3, 4 y 5, en las circunstancias descritas en el artículo 8, apartado 1.

La República Checa[10] , Letonia y Luxemburgo[11] no han cumplido la obligación de notificación a la Comisión con respecto a ninguna de las normas.

Estonia alega que sus normas sobre responsabilidad civil regulan todos los casos mencionados en el artículo 8, apartado 1, pero no ha facilitado ningún detalle de tales normas a la Comisión. No existe ninguna obligación en cuanto a la naturaleza de la responsabilidad en cuestión y, teóricamente, las normas nacionales sobre responsabilidad civil y administrativa —siempre que sean plenamente conformes con el artículo 8— pueden ser suficientes. Ahora bien, Estonia no ha explicado todavía de qué manera sus normas sobre responsabilidad civil regulan en su integridad las obligaciones previstas en la Decisión marco.

El artículo 8, apartado 2, obliga a los Estados miembros a garantizar que a las personas jurídicas se les puedan exigir responsabilidades cuando la falta de vigilancia o control por parte de alguna de las personas a que se refiere el apartado 1 haya hecho posible que una persona sometida a su autoridad cometa la infracción en beneficio de esa persona jurídica . La Comisión considera que 10 de los 20 Estados miembros han cumplido este requisito. Aparte de la República Checa , Estonia , Letonia y Luxemburgo — países con respecto a los cuales las conclusiones extraídas del artículo 8, apartado 1, también se aplican al artículo 8, apartado 2— Dinamarca, Finlandia, Francia y Portugal no han presentado las disposiciones relevantes sobre la responsabilidad de las personas jurídicas. Francia ha declarado que la responsabilidad se deduce de las normas sobre responsabilidad civil, pero no ha explicado su contenido concreto.

Con arreglo al artículo 9, los Estados miembros también deberán adoptar las medidas necesarias para que a la persona jurídica considerada responsable en virtud de lo dispuesto en el artículo 8, apartados 1 y 2, le sean impuestas sanciones o medidas efectivas, proporcionadas y disuasorias Los 14 Estados miembros que han comunicado medidas adecuadas de transposición del artículo 8, apartado 1, y los 10 Estados miembros que han cumplido sus obligaciones en relación con el artículo 8, apartado 2, también han cumplido las obligaciones mencionadas.

En consecuencia, la Comisión considera que sólo 12 de los 20 Estados miembros han demostrado que han aplicado adecuadamente los artículos 8 y 9 de la Decisión marco.

2.9. Competencia (artículo 10)

La Comisión considera que 17 de los 20 Estados miembros han cumplido su obligación de establecer sus competencias con respecto a las infracciones mencionadas en los artículos 2, 3, 4 y 5 de la Decisión marco (con arreglo a los criterios específicos establecidos en el artículo 10). A pesar de que los distintos procedimientos que existen en los Estados miembros para legislar en materia de competencia hacen difícil las comparaciones, la Comisión considera que el artículo se ha aplicado correctamente. Letonia y Portugal no han cumplido la obligación de comunicar a la Comisión sus normas nacionales de aplicación del artículo 10.

La opción prevista en el apartado 5, que ofrece a los Estados miembros la posibilidad de no aplicar, o de aplicar sólo en circunstancias o casos específicos, las normas de competencia establecidas en el apartados 1, letras b) y c), ha sido utilizada y comunicada por Francia (en el caso del apartado 1, letra b)) y por Austria, Finlandia , Alemania, Hungría y Lituania (para el apartado 1, letra c)). Italia también parece haber aplicado el apartado 1, letras b) y c), y Estonia y Rumanía el apartado 1, letra c), aunque no lo han comunicado formalmente. Austria ha comunicado a la Comisión que todavía no ha decidido si va a seguir utilizando esta opción.

La Comisión considera, por tanto, que 17 de los 20 Estados miembros han aplicado adecuadamente el artículo 10.

2.10. Intercambio de información (artículo 11)

Los Estados miembros deben procurar hacer uso de la red existente de puntos de contacto operativos disponibles las 24 horas del día todos los días de la semana. La Comisión no ha recibido la información necesaria para determinar si tal es el caso en Bélgica, la República Checa, Alemania, Italia, los Países Bajos, Portugal y Eslovenia.

En lo que respecta a la obligación de comunicar a la Secretaría General del Consejo y la Comisión los puntos de contacto designados (artículo 11, apartado 2), la Comisión no ha recibido ninguna notificación clara de Austria, Bulgaria, Italia y Portugal .

En consecuencia, la Comisión considera que sólo 11 de los 20 Estados miembros han demostrado que han cumplido plenamente las obligaciones establecidas en el artículo 11.

3. CONCLUSIONES

3.1. Grado de aplicación

El presente informe ofrece una primera visión general de la aplicación de la Decisión marco por los Estados miembros. Se confirma la amplia diversidad de modalidades de incorporación de las normas penales a los ordenamientos de los Estados miembros y la dificultad subsiguiente de evaluar globalmente la legislación nacional si no se puede analizar la forma en que ésta se aplica en la práctica.

La Comisión constata que la Decisión marco está aún en fase de transposición en algunos Estados miembros. Se han registrado notables progresos en prácticamente los 20 Estados miembros evaluados en el presente informe, y se estima que el grado de aplicación es relativamente satisfactorio.

Obviamente, la preocupación principal de la Comisión se centra en los siete Estados miembros que todavía no han comunicado ninguna medida de transposición. La Comisión ruega a los Estados miembros que todavía no han incorporado la Decisión marco a sus ordenamientos nacionales que pongan remedio a esta situación a la mayor brevedad. La Comisión también ruega a los Estados miembros que procedan a revisar sus legislaciones en un esfuerzo mayor por combatir los ataques contra los sistemas de información.

3.2. Evolución futura

Desde la adopción de la Decisión marco, los recientes ataques sufridos en toda Europa han puesto de manifiesto las diversas amenazas que están apareciendo y, en particular, los ataques simultáneos y masivos contra los sistemas de información y la creciente utilización delictiva de los denominados botnets [12] . Estos ataques no centraban la atención en el momento de aprobación de la Decisión marco. En respuesta a esta situación, la Comisión considerará la adopción de medidas que respondan mejor a la amenaza que representan los botnets. Estas medidas podrán sancionar como infracción penal determinadas actividades que facilitan el uso delictivo de botnets y prever sanciones mínimas más severas para los delitos consistentes en ataques masivos y especialmente peligrosos contra los sistemas de información.

La Comisión también está considerando adoptar medidas para fomentar el uso eficaz y oportuno de los puntos de contacto operativos las 24 horas del día todos los días de la semana, a los que se refiere el artículo 11. Los graves incidentes ocurridos en 2007 han puesto de manifiesto la necesidad de adoptar medidas comunes rápidas —que a menudo implican a los operadores privados— a nivel internacional para hacer frente a los ataques masivos contra los sistemas de información. Para lograr una mejor coordinación y coherencia del mecanismo de respuesta, los Estados miembros deberán considerar la conveniencia de seguir utilizando los mismos puntos de contacto que utilizan las redes del Consejo de Europa y del G8[13]. La Comisión considerará la posibilidad de establecer directrices comunitarias sobre la utilización de las diversas redes internacionales para combatir la delincuencia de alta tecnología.

[1] DO L 69 de 16.3.2005, p. 67.

[2] Considerando 1.

[3] http://conventions.coe.int/Treaty/en/Treaties/Html/185.htm.

[4] 8 y 9 de noviembre de 2007, véase http://www.consilium.europa.eu/ueDocs/cms_Data/docs/pressData/en/jha/97023.pdf

[5] La notificación polaca, que se transmitió tardíamente el 1 de julio de 2008, no se puede tener en cuenta dados los plazos de publicación perentorios, pero se tomará en consideración en el marco de las acciones posteriores a la publicación del informe.

[6] Así se indica en la notificación a la Comisión por otros Estados miembros.

[7] El Gobierno checo ha declarado que este requisito se suprimirá al adoptarse la nueva Ley de enjuiciamiento penal.

[8] El Gobierno checo ha declarado que este requisito se suprimirá al adoptarse la nueva Ley de enjuiciamiento penal.

[9] Se señala que Austria parece cuestionar que sus sanciones por intromisión ilegal en el sistema sean suficientemente disuasorias.

[10] El Gobierno checo ha declarado que dispone de ciertas normas sobre responsabilidad civil en este contexto, pero no ha comunicado el texto de las mismas ni ha descrito su contenido.

[11] En 2007 se presentó en el Parlamento de Luxemburgo una propuesta legislativa que establecía esta obligación, pero la Comisión no tiene conocimiento de su aprobación.

[12] El término botnet se refiere a un grupo de ordenadores infectados que aplican programas bajo control común.

[13] Artículo 35 del Convenio.