L 218/8 Diario Oficial de la Unión Europea 14.8.2013 DIRECTIVA 2013/40/UE DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 12 de agosto de 2013 relativa a los ataques contra los sistemas de información y por la que se sustituye la Decisión marco 2005/222/JAI del Consejo EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EURO- PEA, Visto el Tratado de Funcionamiento de la Unión Europea (TFUE) y, en particular, su artículo 83, apartado 1, Vista la propuesta de la Comisión Europea, Previa transmisión del proyecto de acto legislativo a los Parla- mentos nacionales, Visto el dictamen del Comité Económico y Social Europeo (1), De conformidad con el procedimiento legislativo ordinario (3), Considerando lo siguiente: (1) Los objetivos de la presente Directiva son aproximar las normas de Derecho penal de los Estados miembros en materia de ataques contra los sistemas de información, mediante el establecimiento de normas mínimas relativas a la definición de las infracciones penales y las sanciones aplicables, y mejorar la cooperación entre las autoridades competentes, incluida la policía y los demás servicios especializados encargados de la aplicación de la ley en los Estados miembros, así como los organismos especia- lizados de la Unión, como Eurojust, Europol y su Centro Europeo contra la Ciberdelincuencia y la Agencia Euro- pea de Seguridad de las Redes y de la Información (ENI- SA). Los sistemas de información son un elemento esencial para la interacción política, social y económica en la Unión. La dependencia de este tipo de sistemas por parte de la sociedad es muy grande y sigue aumentando. El buen funcionamiento y la seguridad de estos sistemas en la Unión es clave para el desarrollo del mercado interior y de una economía competitiva e innovadora. Garantizar un adecuado nivel de protección de los sistemas de in- formación debe formar parte de un marco general efec- tivo de medidas de prevención que acompañen a las respuestas del Derecho penal a la ciberdelincuencia. Los ataques contra los sistemas de información y, en particular, los ataques vinculados a la delincuencia orga- nizada, son una amenaza creciente en la Unión y en el resto del mundo, y cada vez preocupa más la posibilidad de ataques terroristas o de naturaleza política contra los sistemas de información que forman parte de las infraes- tructuras críticas de los Estados miembros y de la Unión. Esta situación pone en peligro la realización de una so- ciedad de la información segura y de un espacio de libertad, seguridad y justicia y exige, por tanto, una res- puesta por parte de la Unión, así como una cooperación y coordinación reforzadas a escala internacional. (1) DO C 218 de 23.7.2011, p. 130. (*) Posición del Parlamento Europeo de 4 de julio de 2013 (no publi- cada aún en el Diario Oficial) y Decisión del Consejo de 22 de julio de 2013. (4) Existe en la Unión una serie de infraestructuras críticas cuya perturbación o destrucción tendría repercusiones transfronterizas importantes. De la necesidad de incre- mentar en la Unión la capacidad de protección de estas infraestructuras se desprende que las medidas contra los ataques informáticos deben complementarse con penas estrictas que reflejen la gravedad de tales ataques. Por dnfraestructura crítica» se entiende un elemento, sistema o parte de este situado en los Estados miembros que es esencial para el mantenimiento de funciones vitales de la sociedad, la salud, la seguridad, la protección y el bienes- tar económico y social de la población, como las cen- trales eléctricas, las redes de transporte y las redes de los órganos de gobierno, y cuya perturbación o destrucción tendría un impacto significativo en un Estado miembro al no poder mantener esas funciones. Se comprueba una tendencia hacia ataques de gran escala cada vez más graves y recurrentes contra sistemas de información, que a menudo pueden ser críticos para los Estados miembros o para determinadas funciones del sector público o privado. Esta tendencia coincide con el desarrollo de métodos cada vez más sofisticados, como la creación y utilización de redes infectadas (bot- nets), que conllevan fases múltiples del acto delictivo, cada una de las cuales puede por sí sola constituir un grave peligro para el interés público. La presente Direc- tiva tiene por 0bjeto, entre otros, establecer sanciones para la fase en que se crea la red infectada, es decir, cuando se establece un control remoto sobre un número significativo de ordenadores infectándolos mediante pro- gramas nocivos a través de ataques informáticos dirigi- dos. Una vez establecida la red, los ordenadores infecta- dos, que constituyen la red infectada, pueden activarse sin el conocimiento de los usuarios para realizar un ataque informático a gran escala, que en circunstancias normales puede causar daños graves, como menciona la presente Directiva. Los Estados miembros deben poder establecer qué constituyen daños graves de conformidad con su ordenamiento jurídico y práctica nacionales, tales como interrumpir los servicios del sistema de una importancia pública relevante, o causar importantes costes económi- cos o pérdidas de datos de carácter personal o de infor- mación sensible. Los ciberataques a gran escala pueden causar graves per- juicios económicos, tanto por la paralización de los sis- temas de información y de las comunicaciones como por la pérdida o alteración de información confidencial de importancia comercial o de otros datos. Debe prestarse especial atención a sensibilizar más a las pequeñas y medianas empresas innovadoras sobre las amenazas vin- culadas con tales ataques y su vulnerabilidad ante los mismos, que les afectan debido a su mayor dependencia del correcto funcionamiento y de la disponibilidad de los sistemas de información y al hecho de que sus recursos para la seguridad de la información son, con frecuencia, limitados.