[pic] | EUROPEISKA GEMENSKAPERNAS KOMMISSION |

Bryssel den 14.7.2008

KOM(2008) 448 slutlig

RAPPORT FRÅN KOMMISSONEN TILL RÅDET

på grundval av artikel 12 i rådets rambeslut av den 24 februari 2005 om angrepp mot informationssystem

1. INLEDNING

1.1. Bakgrund

Syftet med denna rapport är att bedöma om medlemsstaterna korrekt har genomfört rådets rambeslut 2005/222/RIF om angrepp på informationssystem[1] (nedan kallat rambeslutet ) i sin nationella rätt.

Huvudsyftet[2] med rambeslutet är att förbättra samarbetet mellan rättsliga och andra behöriga myndigheter, inbegripet polismyndigheter och andra specialiserade brottsbekämpande organ i medlemsstaterna, genom tillnärmning av medlemsstaternas strafflagstiftning på området för angrepp mot informationssystem. Rambeslutet är således avsett att komplettera och bygga vidare på andra EU-rättsakter och internationella instrument (särskilt Europarådets konvention om IT-relaterad brottslighet[3]).

Sedan rambeslutet antogs har fortlöpande angrepp mot informationssystem vid upprepade tillfällen aktualiserat behovet av en närmare samordning på EU-nivå som svar på denna typ av angrepp. Den massiva överbelastningsattack som riktades mot Estlands informationsinfrastruktur i maj 2007 var en läglig påminnelse om de störande och skadliga effekterna av sådana angrepp.

Följaktligen har det sedan rambeslutet antogs blivit ännu viktigare att varje medlemsstat genomför rambeslutet fullständigt och korrekt. Att denna rapport kommer lägligt bekräftas ytterligare av den uttryckliga hänvisningen till kampen mot IT-relaterad brottslighet i slutsatserna från ett rådsmöte (rättsliga och inrikes frågor) som hölls relativt nyligen[4]. I dessa slutsatser framhöll rådet även att det såg fram emot att få del av kommissionens rapport om genomförandet.

1.2. Anmälningar och svar

Enligt artikel 12.2 i rambeslutet skulle medlemsstaterna senast den 16 mars 2007 överlämna texten till de bestämmelser genom vilka de skyldigheter som ålagts dem enligt detta rambeslut införlivas med deras nationella lagstiftning. Vid den tidpunkten hade endast en medlemsstat (Sverige) överlämnat texten till de nationella genomförandebestämmelserna till kommissionen, vilken dock var ofullständig. Kommissionen översände därför en påminnelse till medlemsstaterna, där dessa uppmanades att till kommissionen överlämna texten till alla nationella genomförandebestämmelser för rambeslutet och andra upplysningar om genomförandet av denna åtgärd som de ansåg lämpliga.

Den 1 juni 2008 hade kommissionen mottagit anmälningar av genomförandebestämmelser eller svar på påminnelsen från 23 medlemsstater. Malta , Polen[5] , Slovakien och Spanien svarade inte alls. I Irland , Grekland och Förenade kungariket har genomförandet försenats, och därför medges ingen bedömning av genomförandeläget i dessa stater, vilket respektive regering också erkänner.

De sju ovannämnda medlemsstaterna har således inte uppfyllt sin anmälningsskyldighet enligt artikel 12.2 i rambeslutet. Denna rapport innehåller följaktligen endast en bedömning av lagstiftningen i de övriga 20 medlemsstaterna.

1.3. Metod och bedömningskriterier

Denna rapport grundar sig på uppgifter som tillhandahållits av medlemsstaterna. Viss nödvändig information fattas dock. Därför vilar bedömningen och slutsatserna i denna rapport delvis på ofullständig information.

Enligt artikel 34.2 b i fördraget om Europeiska unionen ska rambeslut vara bindande för medlemsstaterna när det gäller de resultat som ska uppnås, men överlåta åt de nationella myndigheterna att bestämma form och tillvägagångssätt. För att göra det möjligt att objektivt bedöma om en medlemsstat har genomfört ett rambeslut fullt ut har vissa allmänna kriterier utvecklats med avseende på direktiv. Dessa kriterier kan med nödvändiga ändringar tillämpas även på rambeslut. Det är särskilt viktigt att genomförandebestämmelserna för rambeslutet fungerar effektivt med hänsyn till dess mål, uppfyller kraven på klarhet och rättssäkerhet, säkerställer att texten tillämpas fullt ut på ett tillräckligt klart och precist sätt och genomförs inom den angivna fristen.

Denna rapport är främst inriktad på det formella genomförandet av rambeslutets straffrättsliga bestämmelser. Den faktiska tillämpningen av dessa bestämmelser omfattas inte.

2. BEDÖMNING

2.1. Allmän iakttagelse om genomförandet

Rambeslutet har genomförts på mycket olika sätt i de 20 berörda medlemsstaterna. I de flesta av dessa ligger genomförandebestämmelsernas ordalydelse nära den som används i rambeslutet. I andra har en mer indirekt och generell genomförandemetod använts. Detta innebär i många fall att de juridiska begrepp och uttryck som använts är svåra att jämföra. Rapporten tar i största möjliga utsträckning hänsyn till medlemsstaternas allmänna strafflagstiftning samtidigt som eventuella särskilda problem som uppkommer på grund av denna metod redovisas.

2.2. Definitioner (artikel 1)

De 20 medlemsstaterna har inte tillhandahållit någon klar eller fullständig information om hur definitionerna i rambeslutet har använts i deras nationella lagstiftning. Allmänt framgår det emellertid tydligt att definitionerna i den nationella lagstiftningen stämmer väl överens med rambeslutet.

2.3. Olagligt intrång i informationssystem (artikel 2)

Kommissionen anser att alla de 20 berörda medlemsstaterna har uppfyllt det viktigaste kravet, nämligen att vidta nödvändiga åtgärder för att straffbelägga uppsåtligt orättmätigt intrång i ett informationssystem som helhet eller en del av ett sådant system.

Enligt den sista meningen i första stycket kan medlemsstaterna välja att straffbelägga sådant beteende endast i ”fall som inte är ringa”. Följande medlemsstater har mer eller mindre uttryckligt använt sig att denna möjlighet, i den utsträckning som de nedan beskrivna modellerna kan anses motsvara ”fall som inte är ringa”:

- I Österrike är det rättsliga kriteriet för straffansvar att det föreligger uppsåt att begå dataspionage och att använda de på detta sätt erhållna uppgifterna i vinningssyfte eller för att orsaka skada.

- Tjeckien har straffbelagt olagligt intrång endast i sådana fall där uppgifterna sedermera missbrukas eller skadas.

- I Finland är det en förutsättning för straffansvar att gärningen orsakar ”fara för informationsbehandling”.

- I Lettland är olagligt intrång straffbelagt endast om gärningen orsakar betydande skada.

Det krävs en särskild tolkning av ”fall som inte är ringa” för att avgöra om dessa modeller är förenliga med rambeslutet. En sådan tolkning är nödvändig för att fastställa huruvida åtminstone huvudsyftet med att straffbelägga ett visst handlande i rambeslutet formellt täcks av medlemsstaternas lagstiftning. Artikel 2 syftar till att skydda sekretessen för uppgifter i informationssystem. Kommissionen anser följaktligen att begreppet ”ringa fall” måste avse sådana situationer där ett olagligt intrång är av mindre betydelse eller där det endast är fråga om en lägre grad av kränkning av den sekretess som omgärdar ett informationssystem. De motsvarande österrikiska , tjeckiska , finska och lettiska bestämmelser som nämns ovan omfattar emellertid omständigheter som inte kan anses överensstämma med denna beskrivning, till exempel när det varit fråga om ett visst brottsligt uppsåt eller om specifika risker eller skador har uppkommit. Kommissionen tvivlar således starkt på om de österrikiska , tjeckiska , finska och lettiska bestämmelserna i fråga överensstämmer med rambeslutets begrepp ”fall som inte är ringa”.

I mer allmän bemärkelse medför sådana skillnader i tolkningen och tillämpningen av möjligheten att inte straffbelägga vissa gärningar en allvarlig risk för att målet att tillnärma medlemsstaternas strafflagstiftning om angrepp mot informationssystem inte kan uppnås.

Kommissionen gör därför bedömningen att endast 16 av de 20 berörda medlemsstaterna har kunnat visa att de har genomfört artikel 2 i rambeslutet korrekt.

Enligt artikel 2.2 kan medlemsstaterna besluta att det handlande som avses i punkt 1 ska kriminaliseras endast när brottet begås genom intrång i en säkerhetsåtgärd. Sju av de 20 berörda medlemsstaterna har använt sig av denna möjlighet ( Österrike, Finland, Tyskland, Ungern, Italien, Lettland och Litauen ).

2.4. Olaglig systemstörning (artikel 3)

Kommissionen anser att alla de 20 berörda medlemsstaterna uppfyller det viktigaste kravet, nämligen att se till att det är straffbart att uppsåtligen allvarligt hindra eller avbryta driften av ett informationssystem genom att mata in, överföra, skada, radera, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter.

Det kan dock komma att behövas ytterligare analys av praxis i de medlemsstater som har valt att anta relativt generella genomförandebestämmelser för denna detaljerade artikel i rambeslutet för att fastställa om denna bedömning är korrekt. Detta är fallet med Danmark, som gör gällande att en mycket allmänt hållen bestämmelse om förstörelse av, åverkan på eller avlägsnande av alla typer av egendom täcker alla kriterier i denna artikel. Även om en sådan lösning är godtagbar i princip, kan det ifrågasättas i vilken utsträckning en sådan bestämmelse är tillämplig på tillgänglighetsattacker, särskilt där skadan endast är av tillfällig karaktär[6].

Enligt den sista meningen i artikel 3 har medlemsstaterna möjlighet att straffbelägga sådana gärningar endast i ”fall som inte är ringa”. Denna möjlighet har utnyttjats av sex medlemsstater, som mer eller mindre uttryckligt har hävdat att följande modeller täcker sådana omständigheter:

- I österrikisk lagstiftning straffbeläggs endast ”grova” störningar.

- Enligt tjeckisk lag krävs uppsåt att orsaka skada eller förlust[7].

- Enligt tysk rätt krävs att det informationssystem som drabbas av störningen är av avsevärd betydelse för tredje man.

- I Estland är det straffrättsliga ansvaret beroende av att betydande skada har orsakats.

- Enligt litauisk rätt är endast gärningar ”varigenom … skada har orsakats” straffbelagda.

- Enligt lettisk rätt straffbeläggs störningar endast i sådana fall där ”säkerhetssystemen har skadats eller förstörts eller omfattande skada har orsakats”.

Även här krävs en snävare definition av ”fall som inte är ringa” för att göra det möjligt att bedöma huruvida ovannämnda modeller överensstämmer med rambeslutet. Detta behov har redan berörts i avsnitt 2.3 ovan, med avseende på artikel 2.

Artikel 3 syftar till att skydda informationssystemens integritet. Kommissionen är därför av uppfattningen att begreppet (”ringa fall”) måste avse fall där systemstörningen som sådan är av liten omfattning eller där det endast är fråga om en lägre grad av ingrepp i informationssystemets integritet. De relevanta österrikiska , tjeckiska , estniska och litauiska bestämmelser som beskrivs ovan tycks åsyfta just sådana omständigheter och måste anses vara i överensstämmelse med förutsättningen att endast ringa fall av störningar får undantas från kriminalisering.

Emellertid hänvisar den tyska bestämmelsen till gärningens betydelse för tredje man. Den lettiska bestämmelsen hänvisar till skador på säkerhetssystem eller omfattande skada. Kommissionen anser att dessa bestämmelser saknar tillräcklig koppling till frågan om informationssystemens integritet för att bedöma huruvida de överensstämmer med rambeslutets möjlighet att avstå från att straffbelägga ”ringa fall”, och att detta strider mot rambeslutets mål att tillnärma medlemsstaternas strafflagstiftning om angrepp mot informationssystem.

Mer generellt innebär en sådan skillnad i tolkningen och tillämpningen av rätten att inte straffbelägga vissa gärningar en allvarlig risk för att målet att tillnärma medlemsstaternas strafflagstiftning om angrepp mot informationssystem inte kan uppnås.

Följaktligen anser kommissionen att endast 18 av de 20 berörda medlemsstaterna har kunnat visa att de har genomfört artikel 3 i rambeslutet korrekt.

2.5. Olaglig datastörning (artikel 4)

Kommissionen anser att alla de 20 berörda medlemsstaterna uppfyller det viktigaste kravet, nämligen att se till att det är straffbart att uppsåtligen radera, skada, försämra, ändra, hindra flödet av eller göra det omöjligt att komma åt datorbehandlingsbara uppgifter i ett informationssystem. Många medlemsstater har genomfört artiklarna 3 och 4 i en enda nationell bestämmelse. När det gäller Danmark är kommissionen inte heller i detta fall övertygad om att en mycket allmän bestämmelse om förstörelse av, åverkan på eller avlägsnande av alla typer av egendom täcker alla de sätt att handskas med datorbehandlingsbara uppgifter som anges i artikeln. För en kortfattad redogörelse för denna fråga hänvisas till kommentarerna rörande artikel 3 i avsnitt 2.4.

Enligt den sista meningen i denna artikel kan medlemsstaterna välja att straffbelägga sådant beteende endast i ”fall som inte är ringa”. Denna lösning har valts av tre medlemsstater, som mer eller mindre uttryckligt har gjort gällande att följande modeller täcker sådana omständigheter:

- Enligt tjeckisk lagstiftning krävs uppsåt att orsaka skada eller förlust[8].

- Estnisk rätt förutsätter att betydande skada har orsakats.

- I lettisk rätt (artikel 243 i strafflagen) är det ett krav att ”säkerhetssystemen har skadats eller förstörts eller att omfattande skada har orsakats”.

Som tidigare framgått i avsnitt 2.4 om de identiska genomförandebestämmelserna för artikel 3 i rambeslutet, anser kommissionen att den tjeckiska lagstiftningen är i överensstämmelse med rambeslutet i detta hänseende, och att den estniska lagstiftningen måste antas vara det. Liksom tidigare kan Lettland inte anses ha uppfyllt sina skyldigheter enligt denna artikel.

Kommissionen anser att 19 av de 20 berörda medlemsstaterna har kunnat visa att de genomfört artikel 4 i rambeslutet korrekt.

2.6. Anstiftan, medhjälp och försök (artikel 5)

Kommissionen anser att 18 av de 20 berörda medlemsstaterna i princip har uppfyllt det viktigaste kravet, nämligen att straffbelägga anstiftan av och medhjälp till brott samt försök till brott. De nationella genomförandebestämmelser som meddelats av Finland och Portugal omfattar endast försök, och dessa länder har därmed inte visat på vilket sätt anstiftan av och medhjälp till brott omfattas av deras nationella lagstiftning. Sverige har inte fastställt påföljder för ringa fall av anstiftan, medhjälp och försök. Detta är inte förenligt med rambeslutets krav.

Medlemsstaterna har möjlighet att välja att inte straffbelägga försök till olagligt intrång i informationssystem. Tyskland och Slovenien har meddelat att de tänker använda sig av denna möjlighet.

Kommissionen anser därför att 17 av de 20 berörda medlemsstaterna har genomfört artikel 5 korrekt.

2.7. Påföljder och försvårande omständigheter (artiklarna 6–7)

Kommissionen anser att alla 20 berörda medlemsstater har vidtagit de åtgärder som är nödvändiga för att se till att de brott som avses i artiklarna 2–5 i rambeslutet är belagda med rimligt effektiva, proportionella och avskräckande straffrättsliga påföljder[9]. Påföljderna för olaglig systemstörning och olaglig datastörning uppfyller även de särskilda kraven i artikel 6.2 i rambeslutet.

När det gäller skyldigheten att ta hänsyn till ”försvårande omständigheter” för ett brott som begåtts inom ramen för en kriminell organisation (artikel 7) är bilden mer oklar.

- De genomförandebestämmelser som anmälts av Österrike uppfyller helt klart inte detta krav.

- I dansk lagstiftning görs ingen direkt hänvisning till kriminella organisationer.

- I Finland görs inga hänvisningar till kriminella organisationer i den relevanta lagen.

- Portugal behöver göra vissa anpassningar av sin lagstiftning för att uppfylla rambeslutets krav fullt ut.

Andra medlemsstater ( Bulgarien, Italien, Lettland och Sverige ) gör inga hänvisningar till ”kriminella organisationer” i de genomförandebestämmelser som anmälts till kommissionen. De översända texterna visar emellertid att skyldigheten att tillämpa strängare påföljder för brott som involverar kriminella organisationer redan omfattas fullt ut – om än indirekt – av den nationella lagstiftningen i Bulgarien, Italien och Lettland . Gällande lagstiftning om de relevanta brotten i dessa medlemsstater föreskriver överlag de strängare minimistraff som anges i artikel 7 i rambeslutet. Den svenska regeringen gör gällande att brott som begåtts inom ramen för kriminella organisationer ryms helt inom begreppet ”grovt brott” i svensk rätt, och tillhandahöll en utförlig förklaring om detta.

Kommissionen anser följaktligen att alla 20 berörda medlemsstater har genomfört artikel 6 korrekt och att 16 av dem uppfyller kraven enligt artikel 7 i rambeslutet.

2.8. Juridiska personers ansvar och påföljder för juridiska personer (artiklarna 8 och 9)

Kommissionen anser att 16 av de berörda 20 medlemsstaterna har vidtagit de åtgärder som är nödvändiga för att se till att juridiska personer kan ställas till ansvar för brott som avses i artiklarna 2, 3, 4 och 5 på de villkor som anges i artikel 8.1.

Tjeckien[10], Lettland och Luxemburg[11] har inte uppfyllt sin skyldighet att anmäla genomförandebestämmelser till kommissionen.

Estland hävdar att dess bestämmelser om civilrättsligt ansvar täcker alla de fall som beskrivs i artikel 8.1, men har inte lämnat några närmare uppgifter om dessa bestämmelser till kommissionen. Det finns inga krav beträffande hur ansvaret ska vara utformat, och nationella bestämmelser om förvaltningsrättsligt eller civilrättsligt ansvar kan – om de överensstämmer fullt ut med artikel 8 – teoretiskt vara tillräckliga. Estland har emellertid inte klargjort i vilken utsträckning dess lagstiftning om civilrättsligt ansvar uppfyller kraven enligt rambeslutet fullt ut.

Genom artikel 8.2 åläggs medlemsstaterna att se till att en juridisk person kan ställas till ansvar när brister i övervakning eller kontroll som ska utföras av en sådan person som avses i punkt 1 har gjort det möjligt för en person som är underställd den juridiska personen att begå brottet till förmån för denna juridiska person. Kommissionen anser att 10 av de 20 berörda medlemsstaterna har uppfyllt detta krav. Utöver Tjeckien, Estland , Lettland och Luxemburg , där slutsatserna rörande artikel 8.1 gäller även i fråga om artikel 8.2, har Danmark , Finland , Frankrike och Portugal underlåtit att anmäla relevanta bestämmelser om juridiska personers ansvar. Frankrike har uppgett att ett sådant ansvar följer av bestämmelserna om civilrättsligt ansvar, men inte förklarat exakt vad detta ansvar består i.

Enligt artikel 9 ska medlemsstaterna även vidta de åtgärder som är nödvändiga för att se till att en juridisk person som har fällts till ansvar i enlighet med artikel 8.1 och artikel 8.2 kan bli föremål för effektiva, proportionella och avskräckande påföljder. Alla de 14 medlemsstater som har anmält bestämmelser som korrekt genomför artikel 8.1 och de tio medlemsstater som har uppfyllt sina skyldigheter enligt artikel 8.2, har också uppfyllt kraven enligt artikel 9.

Kommissionen anser följaktligen att endast 12 av de 20 berörda medlemsstaterna har genomfört artiklarna 8 och 9 i rambeslutet fullt ut.

2.9. Behörighet (artikel 10)

Kommissionen anser att 17 av de 20 berörda medlemsstaterna har fullgjort skyldigheten att fastställa sin behörighet beträffande de brott som avses i artiklarna 2, 3, 4 och 5 i rambeslutet (på grundval av de särskilda kriterier som anges i artikel 10). Trots att medlemsstaternas olika förfaranden för att lagstifta om behörighet försvårar en jämförelse, anser kommissionen att artikeln har genomförts väl. Lettland och Portugal har inte fullgjort sin skyldighet att underrätta kommissionen om sina nationella genomförandebestämmelser för artikel 10.

Medlemsstaternas möjlighet enligt punkt 5 att inte tillämpa behörighetsbestämmelserna i punkterna 1 b och 1 c, eller att endast tillämpa dessa i särskilda situationer eller under särskilda omständigheter, har utnyttjats och anmälts av Frankrike (när det gäller 1 b), och av Österrike, Finland , Tyskland , Ungern och Litauen (när det gäller 1 c). Även Italien (när det gäller 1 b och 1c) samt Estland och Rumänien (när det gäller 1 c) tycks ha använt sig av denna möjlighet, även om de inte formellt har bekräftat detta. Österrike har meddelat kommissionen att landet fortfarande överväger om det ska fortsätta att använda sig av denna möjlighet.

Kommissionen anser följaktligen att 17 av de 20 berörda medlemsstaterna har genomfört artikel 10 korrekt.

2.10. Utbyte av uppgifter (artikel 11)

Medlemsstaterna är skyldiga att säkerställa att de använder det befintliga nät med operativa kontaktpunkter som kan nås dygnet runt alla dagar i veckan. Kommissionen har inte mottagit några upplysningar som gör det möjligt att bedöma huruvida detta krav är uppfyllt med avseende på Belgien , Tjeckien , Tyskland , Italien, Nederländerna , Portugal och Slovenien .

När det gäller skyldigheten att underrätta rådets generalsekretariat och kommissionen om den utsedda kontaktpunkten (artikel 11.2), har kommissionen inte mottagit något klart besked från Österrike , Bulgarien, Italien eller Portugal.

Kommissionen anser följaktligen att endast 11 av de 20 berörda medlemsstaterna har visat att de uppfyller samtliga krav enligt artikel 11.

3. SLUTSATSER

3.1. Genomförandegrad

Denna rapport ger en första inblick i medlemsstaternas genomförande av rambeslutet. Den bekräftar att medlemsstaterna har genomfört strafflagstiftningen på en rad olika sätt och visar på vilka svårigheter som detta innebär när det gäller att göra en fullständig bedömning av den nationella lagstiftningen utan att ha möjlighet att kontrollera hur den tillämpas i praktiken.

Kommissionen konstaterar att medlemsstaternas genomförande av rambeslutet fortfarande pågår. I stort sett alla de 20 medlemsstater som omfattas av denna rapport har gjort betydande framsteg, och genomförandegraden i dessa har befunnits vara relativt god.

Kommissionens största bekymmer rör av naturliga skäl de sju medlemsstater som ännu inte har anmält några genomförandeåtgärder. Kommissionen uppmanar de medlemsstater som ännu inte har genomfört rambeslutet i sin nationella lagstiftning att snarast möjligt åtgärda dessa brister. Kommissionen uppmanar också medlemsstaterna att noggrant se över sin lagstiftning och därigenom stärka sin förmåga att stå emot angrepp mot informationssystem.

3.2. Framtida utveckling

Se dan rambeslutet antogs har angrepp på informationssystem i Europa på senare tid satt fokus på flera nya hot, särskilt massiva samtidiga angrepp mot informationssystem och ökad olaglig användning av så kallade botnät ( botnets )[12]. Det var inte denna typ av angrepp som stod i centrum när rambeslutet antogs. Som svar på denna utveckling kommer kommissionen att överväga åtgärder som syftar till att finna bättre lösningar på de problem som botnäten skapar. Det kan vara fråga om specifik kriminalisering av vissa verksamheter som underlättar olaglig användning av botnät, samt strängare minimistraff för brott i form av massiva och särskilt farliga angrepp mot informationssystem.

Kommissionen överväger också att vidta åtgärder för att främja en effektiv och tidsbesparande användning av de ständigt tillgängliga kontaktpunkter som nämns i artikel 11. De allvarliga incidenterna under 2007 visar att det behövs snabba gemensamma insatser på internationell nivå – ofta med medverkan från privata operatörer – för att möta massiva angrepp mot informationssystem. För att främja en bättre samordning och större konsekvens i ett sådant system för motåtgärder, bör medlemsstaterna fortsätta att överväga om det vore lämpligt att använda samma kontaktpunkter som ingår i Europarådets och G 8:s nätverk[13]. Kommissionen kommer i synnerhet att överväga att utarbeta EU-riktlinjer om användning av olika internationella nätverk i kampen mot högteknologisk brottslighet.

[1] EUT L 69, 16.3.2005, s. 67.

[2] Skäl 1.

[3] http://conventions.coe.int/Treaty/en/Treaties/Html/185.htm.

[4] 8–9 november 2007, se http://www.consilium.europa.eu/ueDocs/cms_Data/docs/pressdata/en/jha/97023.pdf

[5] Även om det på grund av de stränga offentliggörandefristerna inte är möjligt att här ta hänsyn till den polska anmälan, som inkom sent den 1 juli 2008, kommer den att beaktas längre fram i samband med de åtgärder som vidtas som uppföljning av rapporten.

[6] Som påpekats i andra medlemsstaters anmälningar till kommissionen.

[7] Den tjeckiska regeringen har angett att detta krav kommer att avskaffas i samband med antagandet av den nya strafflagen.

[8] Den tjeckiska regeringen har angett att detta krav kommer att avskaffas i samband med antagandet av den nya strafflagen.

[9] Det bör påpekas att Österrike tycks ifrågasätta huruvida dess egna påföljder för olaglig systemstörning är tillräckligt avskräckande.

[10] Den tjeckiska regeringen har angett att Tjeckien har vissa bestämmelser om civilrättsligt ansvar i detta sammanhang, men landet har varken meddelat texten till dessa bestämmelser eller beskrivit deras innehåll.

[11] Ett förslag till bestämmelser som omfattar denna skyldighet lades fram för Luxemburgs parlament 2007, men har så vitt kommissionen känner till ännu inte antagits.

[12] Begreppet ”botnät” avser kortfattat ett nätverk av smittade datorer som kan fjärrstyras.

[13] Artikel 35 i konventionen.