L 218/8 Jornal Oficial da União Europeia 14.8.2013 DIRETIVA 2013/40/UE DO PARLAMENTO EUROPEU E DO CONSELHO de 12 de agosto de 2013 relativa a ataques contra os sistemas de informação e que substitui a Decisão-Quadro 2005/222/JAI do Conselho O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 83.º, n.º 1, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Comité Económico e Social Europeu (!), Deliberando de acordo com o processo legislativo ordinário (?), Considerando o seguinte: (1) A presente diretiva tem como objetivos aproximar o direito penal dos Estados-Membros no domínio dos ata- ques contra os sistemas de informação, estabelecendo regras mínimas relativas à definição de infrações penais e as sanções aplicáveis, e melhorar a cooperação entre as autoridades competentes, nomeadamente a polícia e ou- tros serviços especializados dos Estados-Membros respon- sáveis pela aplicação da lei, bem como as agências e organismos especializados competentes da União, tais como a Eurojust, a Europol e o seu Centro Europeu de Cibercriminalidade, e a Agência Europeia para a Segu- rança das Redes e da Informação (ENISA). Os sistemas de informação são um elemento essencial para a interação política, social e económica na União. A sociedade está muito e cada vez mais dependente deste tipo de sistemas. O bom funcionamento e a segurança desses sistemas na União são vitais para o desenvolvi- mento do mercado interno e de uma economia compe- titiva e inovadora. Assegurar um nível adequado de pro- teção dos sistemas de informação deverá ser parte inte- grante de um quadro eficaz e exaustivo de medidas de prevenção que acompanhe as respostas do direito penal à cibercriminalidade. Os ataques contra os sistemas de informação e, em es- pecial, os ataques ligados à criminalidade organizada constituem uma ameaça crescente a nível da União e a nível mundial, e a eventualidade de ataques terroristas ou de natureza política contra os sistemas de informação que fazem parte da infraestrutura crítica dos Estados- -Membros e da União suscita uma preocupação cada vez maior. Esta ameaça pode pôr em causa a realização de uma sociedade da informação mais segura e de um espaço de liberdade, segurança e justiça e, por conseguin- te, exige uma resposta ao nível da União e cooperação e coordenação reforçadas a nível internacional. (1) JO € 218 de 23.7.2011, p. 130. (2) Posição do Parlamento Europeu de 4 de julho de 2013 (ainda não publicada no Jornal Oficial) e decisão do Conselho de 22 de julho de 2013. (4) Existem na União diversas infraestruturas críticas cuja perturbação ou destruição teria um impacto transfrontei- tiço significativo. A necessidade de aumentar a capaci- dade de proteger a infraestrutura crítica da União tornou claro que as medidas contra os ciberataques deverão ser complementadas por sanções penais estritas que reflitam a gravidade desses ataques. AÀ infraestrutura crítica pode ser entendida como um conjunto de elementos, sistemas ou partes destes situados nos Estados-Membros, essen- ciais para a manutenção das funções societais vitais, da saúde, da segurança e do bem-estar económico e social das pessoas, como centrais energéticas, redes de trans- portes ou redes governamentais, cuja perturbação ou des- truição teria um impacto significativo num Estado-Mem- bro devido à impossibilidade de continuar a assegurar tais funções. Existem provas de uma tendência para perpetrar cibera- taques cada vez mais perigosos e recorrentes em larga escala contra sistemas de informação que podem fre- quentemente ser cruciais para os Estados-Membros ou para certas funções específicas do setor público ou pri- vado. Esta tendência é acompanhada pelo desenvolvi- mento de métodos cada vez mais sofisticados, como a criação e utilização das chamadas «botnets», que impli- cam várias fases de um ato criminoso, cada uma das quais podendo constituir por si só um grave risco para o interesse público. A presente diretiva visa, nomeada- mente, introduzir sanções penais para a criação de «bot- nets», a saber, o ato de estabelecer o controlo à distância de grande número de computadores mediante a respetiva contaminação com software maligno através de ciberata- ques focalizados. Uma vez criada, a rede de computado- res infetados que constituem a «botnet» pode ser ativada sem o conhecimento dos utilizadores dos computadores a fim de lançar um ciberataque em grande escala, o que geralmente tem o potencial de provocar danos graves, como se refere na presente diretiva. Os Estados-Membros podem determinar o que constitui um dano grave nos termos do seu direito e da sua prática nacionais, como, por exemplo, a perturbação de serviços de sistema de importância pública significativa, ou importantes custos financeiros ou a perda de dados pessoais ou informações sensíveis. Os ciberataques em larga escala podem provocar prejuí- zos económicos substanciais, quer através da interrupção de sistemas de informação e comunicação, quer através da perda ou alteração de informações comerciais confi- denciais importantes ou de outros dados. Deverá ser prestada especial atenção à sensibilização das pequenas e médias empresas inovadoras para as ameaças decorren- tes destes ataques e para a sua vulnerabilidade aos mes- mos, visto que essas empresas dependem cada vez mais do bom funcionamento e da disponibilidade de sistemas de informação, e dispõem frequentemente de recursos limitados no domínio da segurança da informação.