L 218/8 Amtsblatt der Europäischen Union 14.8.2013 RICHTLINIE 2013/40/EU DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 12. August 2013 über Angriffe auf Informationssysteme und zur Ersetzung des Rahmenbeschlusses 2005/222/JI des DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄI- SCHEN UNION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 83 Absatz 1, auf Vorschlag der Europäischen Kommission, nach Zuleitung des Entwurfs des Gesetzgebungsakts an die na- tionalen Parlamente, nach Stellungnahme des Europäischen Wirtschafts- und Sozial- ausschusses (*), gemäß dem ordentlichen Gesetzgebungsverfahren (?), in Erwägung nachstehender Gründe: (1) Die Ziele dieser Richtlinie sind die Angleichung des Straf- rechts der Mitgliedstaaten im Bereich Angriffe auf Infor- mationssysteme, indem Mindestvorschriften zur Fest- legung von Straftaten und einschlägigen Strafen festgelegt werden, sowie die Verbesserung der Zusammenarbeit zwischen den zuständigen Behörden einschließlich der Polizei und anderer spezialisierter Strafverfolgungsbehör- den der Mitgliedstaaten sowie der zuständigen Agenturen und Einrichtungen der Union wie Eurojust, Europol und dessen Europäisches Zentrum zur Bekämpfung der Cy- berkriminalität und der Europäischen Agentur für Netz- und Informationssicherheit (ENISA). Informationssysteme sind für die politische, gesellschaft- liche und wirtschaftliche Interaktion in der Union unver- zichtbar. Die Gesellschaft ist in hohem und zunehmen- dem Maße von solchen Systemen abhängig. Das rei- bungslose Funktionieren und die Sicherheit dieser Sys- teme in der Union sind entscheidend für die Entwicklung des Binnenmarktes und für die Entwicklung einer wett- bewerbsfähigen und innovativen Wirtschaft. Zu einem wirksamen Gesamtrahmen mit Vorbeugemaßnahmen zur Flankierung der strafrechtlichen Reaktionen auf Cy- berkriminalität sollte auch die Gewährleistung eines an- gemessenen Schutzniveaus bei Informationssystemen ge- hören. Angriffe auf Informationssysteme und insbesondere mit organisierter Kriminalität im Zusammenhang stehende Angriffe sind sowohl in der Union als auch weltweit eine zunehmende Bedrohung, und es wächst die Besorg- nis über mögliche Terroranschläge oder politisch moti- vierte Angriffe auf Informationssysteme, die Teil der kri- tischen Infrastruktur der Mitgliedstaaten und der Union sind. Hierdurch wird das Ziel einer sichereren Informati- onsgesellschaft und eines Raums der Freiheit, der Sicher- heit und des Rechts gefährdet, so dass Gegenmaßnahmen auf Ebene der Union sowie eine bessere Zusammenarbeit und Koordinierung auf internationaler Ebene erforderlich sind. (') ABL. C 218 vom 23.7.2011, S. 130. (*) Standpunkt des Europäischen Parlaments vom 4. Juli 2013 (noch nicht im Amtsblatt veröffentlicht) und Beschluss des Rates vom 22. Juli 2013. Rates (4) Es gibt in der Union eine Reihe kritischer Infrastrukturen, deren Störung oder Zerstörung erhebliche grenzüber- schreitende Auswirkungen hätte. Da die Fähigkeit zum Schutz kritischer Infrastrukturen in der Union verbessert werden muss, sollten die Abwehrmaßnahmen gegen Cy- berangriffe durch strenge Strafen, die der Schwere der- artiger Angriffe Rechnung tragen, ergänzt werden. Als kritische Infrastrukturen könnten in Mitgliedstaaten be- findliche Anlagen, Systeme oder deren Teile angesehen werden, die von wesentlicher Bedeutung für die Aufrecht- erhaltung grundlegender gesellschaftlicher Funktionen, der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind, wie etwa Kraftwerke, Verkehrsnetze oder staatliche Netze, und deren Störung oder Zerstörung erhebliche Auswir- kungen auf einen Mitgliedstaat hätte, da diese Funktionen nicht aufrechterhalten werden könnten. Es besteht eine Tendenz zu immer gefährlicheren und häufigeren Großangriffen auf Informationssysteme, die für den Mitgliedstaat oder für bestimmte Funktionen im öffentlichen oder privaten Sektor oft unverzichtbar sein können. Diese Tendenz geht einher mit der Entwicklung immer ausgefeilterer Methoden, wie etwa der Schaffung und Verwendung von sogenannten Botnetzen, bei denen die kriminelle Handlung in verschiedenen Stufen erfolgt, wobei jede Stufe für sich eine ernsthafte Gefahr für die öffentlichen Interessen darstellen könnte. Diese Richtlinie zielt unter anderem darauf ab, Strafen hinsichtlich der Schaffung der Botnetze einzuführen, nämlich für die Ein- richtung einer ferngesteuerten Kontrolle über eine bedeu- tende Anzahl von Computern, indem diese durch gezielte Cyberangriffe mit Schadsoftware infiziert werden. Sobald es eingerichtet ist, kann das infizierte Netz von Compu- tern, die das Botnetz bilden, ohne Wissen der Compu- terbenutzer aktiviert werden, um einen breit angelegten Cyberangriff zu starten, der in der Regel erheblichen Schaden anrichten kann, wie er in dieser Richtlinie be- schrieben wird. Die Mitgliedstaaten können festlegen, was gemäß ihrem nationalen Recht und ihrer nationalen Pra- xis als erheblicher Schaden gilt; dazu können die Störung von Systemdiensten von erheblicher öffentlicher Bedeu- tung oder die Verursachung größerer finanzieller Kosten oder der Verlust personenbezogener Daten oder vertrau- licher Informationen gehören. Cybergroßangriffe können durch die Störung des Betriebs der Informationssysteme und der Kommunikation wie auch durch Verlust oder Veränderung vertraulicher Infor- mationen oder anderer Daten, die von wirtschaftlicher Bedeutung sind, erheblichen wirtschaftlichen Schaden verursachen. Besonderes Augenmerk sollte darauf gerich- tet werden, innovative kleine und mittlere Unternehmen für die Bedrohungen durch solche Angriffe und ihre Ver- wundbarkeit durch solche Angriffe zu sensibilisieren, da sie immer stärker vom ordnungsgemäßen Funktionieren und der Verfügbarkeit von Informationssystemen abhän- gig sind und oft nur begrenzte Mittel in die Informations- sicherheit investieren können.