L 218/8 Gazzetta ufficiale dell’Unione europea 14.8.2013 DIRETTIVA 2013/40/UE DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 12 agosto 2013 relativa agli attacchi contro i sistemi di informazione e che sostituisce la decisione quadro 2005/222]GAI del Consiglio IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EURO- PEA, visto il trattato sul funzionamento dell’Unione europea, in par- ticolare l’articolo 83, paragrafo 1, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo (!), deliberando secondo la procedura legislativa ordinaria (?), considerando quanto segue: (1) Gli obiettivi della presente direttiva sono ravvicinare il diritto penale degli Stati membri nel settore degli attacchi contro i sistemi di informazione, stabilendo norme mi- nime relative alla definizione dei reati e delle sanzioni rilevanti, e migliorare la cooperazione fra le autorità competenti, compresi la polizia e gli altri servizi specia- lizzati degli Stati membri incaricati dell’applicazione della legge, nonché le competenti agenzie e gli organismi spe- cializzati dell’Unione, come Eurojust, Europol e il suo Centro europeo per la criminalità informatica, e l’Agenzia europea per la sicurezza delle reti e dell’informazione (ENISA). I sistemi di informazione sono un elemento chiave del- l’interazione politica, sociale ed economica nell’Unione. La società è fortemente e sempre più dipendente da tali sistemi. Il buon funzionamento e la sicurezza di questi sistemi nell’Unione sono fondamentali per lo sviluppo del mercato interno e di un’economia competitiva e in- novativa. La garanzia di un adeguato livello di protezione dei sistemi di informazione dovrebbe rientrare in un ef- ficace quadro globale di misure di prevenzione a corredo delle risposte alla criminalità informatica nell’ambito del diritto penale. Gli attacchi ai danni dei sistemi di informazione, in par- ticolare gli attacchi connessi alla criminalità organizzata, sono una minaccia crescente a livello di Unione e mon- diale, e la preoccupazione per la possibilità di attacchi terroristici o di matrice politica contro sistemi di infor- mazione che fanno parte dell’infrastruttura critica degli Stati membri e dell’Unione è in aumento. Ciò costituisce una minaccia per la creazione di una società dell’infor- mazione più sicura e di uno spazio di libertà, sicurezza e (1) GU C 218 del 23.7.2011, pag. 130. (°) Posizione del Parlamento europeo del 4 luglio 2013 (non ancora pubblicata nella Gazzetta ufficiale) e decisione del Consiglio del 22 luglio 2013. giustizia, e richiede pertanto una risposta a livello di Unione, nonché un migliore coordinamento e una mi- gliore cooperazione a livello internazionale. Vi sono nell’Unione infrastrutture critiche la cui distru- zione o il cui danneggiamento avrebbe un significativo impatto transfrontaliero. Dalla necessità di rafforzare la capacità di protezione delle infrastrutture critiche nel- l’Unione risulta evidente che le misure contro gli attacchi informatici dovrebbero essere integrate con sanzioni pe- nali rigorose che rispecchino la gravità di tali attacchi. Per infrastrutture critiche si potrebbe intendere un elemento, un sistema o parte di questo ubicato negli Stati membri che è essenziale per il mantenimento delle funzioni vitali della società, della salute, della sicurezza e del benessere economico o sociale delle persone, come gli impianti energetici, le reti di trasporto o le reti governative, e il cui danneggiamento o la cui distruzione avrebbe un im- patto significativo in uno Stato membro a causa dell’im- possibilità di mantenere tali funzioni. Si registra chiaramente una tendenza a perpetrare attacchi su larga scala sempre più pericolosi e ricorrenti contro sistemi di informazione che possono spesso essere critici per gli Stati membri o per particolari funzioni del settore pubblico o privato. Questa tendenza va di pari passo con lo sviluppo di metodi sempre più sofisticati, quali la creazione e l’uso delle cosiddette «botnet», che implica un reato costituito da più stadi, in cui ciascuno stadio singolarmente potrebbe mettere seriamente a rischio i pubblici interessi. La presente direttiva mira, tra l’altro, a introdurre sanzioni penali per la creazione delle «bot- net», ossia per l’azione con cui si stabilisce il controllo a distanza di un numero rilevante di computer infettandoli con software maligni per mezzo di attacchi informatici mirati. Una volta creata, la rete infettata di computer che costituiscono la «botnet» può essere attivata a insaputa degli utenti per lanciare un attacco informatico su larga scala, che, solitamente, è in grado di causare danni gravi, ai sensi della presente direttiva. Gli Stati membri possono stabilire cosa costituisce danno grave ai sensi del loro diritto e della loro prassi nazionali, come ad esempio le perturbazioni dei servizi di sistema di rilevante interesse pubblico o la creazione di costi finanziari esorbitanti o la perdita di dati personali o di informazioni sensibili. Gli attacchi informatici su larga scala possono causare notevoli danni economici sia attraverso l’interruzione dei sistemi di informazione e delle comunicazioni sia attraverso la perdita o l’alterazione di informazioni riser- vate commercialmente importanti o di altri dati. Si do- vrebbe prestare particolare attenzione alla sensibilizza- zione delle piccole e medie imprese innovative con ri- guardo alle minacce relative a tali attacchi e alla loro vulnerabilità agli stessi, in conseguenza della loro cre- scente dipendenza dal corretto funzionamento e dalla disponibilità dei sistemi di informazione, e della disponi- bilità, spesso limitata, di risorse da dedicare alla sicurezza delle informazioni.