L 218/8 Journal officiel de l’Union européenne 14.8.2013 DIRECTIVE 2013/40/UE DU PARLEMENT EUROPÉEN ET DU CONSEIL du 12 août 2013 relative aux attaques contre les systèmes d’information et remplaçant la décision-cadre 2005/222/JAI du Conseil LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’'UNION EURO- PÉENNE, vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 83, paragraphe 1, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen (!), statuant conformément à la procédure législative ordinaire (?), considérant ce qui suit: () La présente directive a pour objectif de rapprocher le droit pénal des États membres dans le domaine des attaques contre les systèmes d'information en fixant des règles minimales concernant la définition des infractions pénales et les sanctions applicables, et de renforcer la coopération entre les autorités compétentes, notamment la police et les autres services spécialisés chargés de l’ap- plication de la loi dans les États membres, ainsi que les agences et organes spécialisés compétents de l'Union, tels qu'Eurojust, Europol et son Centre européen de lutte contre la cybercriminalité et l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA). Les systèmes d'information représentent un élément essentiel de l’interaction politique, sociale et économique au sein de l’Union. La société est très dépendante de ce type de systèmes et ce phénomène va croissant. Le bon fonctionnement et la sécurité de ces systèmes au sein de l’Union sont fondamentaux pour le développement du marché intérieur et d’une économie compétitive et inno- vante. Le fait de garantir un niveau de protection appro- prié des systèmes d’information devrait faire partie d’un cadre global de mesures de prévention efficaces accom- pagnant les réponses pénales à la cybercriminalité. Les attaques contre les systèmes d'information, et en particulier celles liées à la criminalité organisée, consti- tuent une menace croissante au sein de l’Union et à l’échelle mondiale, et l'éventualité d'attaques terroristes ou politiques contre les systèmes d’information qui font partie de l’infrastructure critique des États membres et de l’Union suscite de plus en plus d’inquiétude. Cette situa- tion menace la réalisation d’une société de l’information plus sûre et d’un espace de liberté, de sécurité et de justice, et appelle donc une réaction au niveau de l’Union ainsi qu’une amélioration de la coopération et de la coordination au niveau international. () JO C 218 du 23.7.2011, p. 130. (2) Position du Parlement européen du 4 juillet 2013 (non encore parue au Journal officiel) et décision du Conseil du 22 juillet 2013. (4) Il existe plusieurs infrastructures critiques dans l’Union, dont l'arrêt ou la destruction aurait un impact transfron- talier significatif. Compte tenu de la nécessité de renforcer la capacité de protection des infrastructures critiques au sein de l’Union, il est devenu manifeste que les mesures de lutte contre les cyberattaques devraient s’accompagner de sanctions pénales sévères, reflétant la gravité de ces attaques. Une infrastructure critique pour- rait s’entendre comme un point, un système ou une partie de celui-ci, situé dans des États membres, qui est indispensable au maintien des fonctions vitales de la société, de la santé, de la sûreté, de la sécurité et du bien-être économique ou social des citoyens, comme les centrales électriques, les réseaux de transport et les réseaux publics, et dont l’arrêt ou la destruction aurait un impact significatif dans un État membre du fait de la défaillance de ces fonctions. On constate une tendance à la perpétration d'attaques à grande échelle de plus en plus dangereuses et récurrentes contre des systèmes d’information qui peuvent souvent être critiques pour les États membres ou pour certaines fonctions du secteur public ou privé. Parallèlement, des méthodes de plus en plus sophistiquées sont mises au point, telles que la création et l’utilisation de «réseaux zombies», qui impliquent une infraction pénale en plusieurs stades, chaque stade pouvant à lui seul menacer gravement les intérêts publics. La présente direc- tive vise, entre autres, à mettre en place des sanctions pénales en ce qui concerne la création de réseaux zombies, c’est-à-dire l’acte d’établir un contrôle à distance d’un nombre important d’ordinateurs en les contaminant au moyen de logiciels malveillants dans le cadre de cybe- rattaques ciblées. Une fois créé, le réseau d’ordinateurs contaminés qui constitue le réseau zombie peut être activé à l'insu des utilisateurs des ordinateurs dans le but de lancer une cyberattaque à grande échelle, qui est en général à même de causer un grave préjudice, comme indiqué dans la présente directive. Les États membres peuvent déterminer, en fonction de leur droit national et de leur pratique nationale, ce qui constitue un préju- dice grave, comme le fait d’arrêter des services de réseau présentant un intérêt public important, ou de causer des coûts financiers majeurs ou la perte de données à carac- tère personnel ou d’informations sensibles. Des cyberattaques à grande échelle sont susceptibles de provoquer des dommages économiques notables, tant du fait de l’interruption des systèmes d'information et des communications qu'en raison de la perte ou de l’altéra- tion d’informations confidentielles importantes d'un point de vue commercial ou d'autres données. Il y a lieu en particulier de veiller à sensibiliser les petites et moyennes entreprises innovantes aux menaces liées à ces attaques et à leur vulnérabilité à cet égard, en raison de leur dépendance accrue à l'égard du bon fonctionnement et de la disponibilité des systèmes d'information et de leurs ressources limitées en matière de sécurité de l'infor- mation.