Directive 2013/40/UE du Parlement européen et du Conseil du 12 août 2013 relative aux attaques contre les systèmes d’information et remplaçant la décision-cadre 2005/222/JAI du Conseil

La présente directive fixe des règles minimales concernant la définition des infractions pénales et les sanctions en matière d’attaques contre les systèmes d’information. Elle vise également à faciliter la prévention de ces infractions et à améliorer la coopération entre les autorités judiciaires et les autres autorités compétentes.

Aux fins de la présente directive, on entend par: a)«système d’information»un dispositif isolé ou un ensemble de dispositifs interconnectés ou apparentés, qui assure ou dont un ou plusieurs éléments assurent, en exécution d’un programme, un traitement automatisé de données informatiques, ainsi que les données informatiques stockées, traitées, récupérées ou transmises par ce dispositif ou cet ensemble de dispositifs en vue du fonctionnement, de l’utilisation, de la protection et de la maintenance de celui-ci;b)«données informatiques»une représentation de faits, d’informations ou de concepts sous une forme qui se prête à un traitement informatique, y compris un programme de nature à faire en sorte qu’un système d’information exécute une fonction;c)«personne morale»une entité à laquelle le droit en vigueur reconnaît le statut de personne morale, à l’exception des États ou des entités publiques agissant dans l’exercice de prérogatives de puissance publique, ou des organisations internationales relevant du droit public;d)«sans droit»un comportement visé dans la présente directive, y compris un accès, une atteinte à l’intégrité ou une interception, qui n’est pas autorisé par le propriétaire du système ou d’une partie du système ou un autre titulaire de droits sur celui-ci ou une partie de celui-ci, ou n’est pas permis par le droit national.

Les États membres prennent les mesures nécessaires pour ériger en infraction pénale punissable l’accès sans droit, lorsqu’il est intentionnel, à tout ou partie d’un système d’information, lorsque l’acte est commis en violation d’une mesure de sécurité, au moins lorsqu’il ne s’agit pas de cas mineurs.

Les États membres prennent les mesures nécessaires pour ériger en infraction pénale punissable le fait de provoquer une perturbation grave ou une interruption du fonctionnement d’un système d’information, en introduisant, en transmettant, en endommageant, en effaçant, en détériorant, en altérant, en supprimant ou en rendant inaccessibles des données informatiques lorsque l’acte est commis de manière intentionnelle et sans droit, au moins lorsqu’il ne s’agit pas de cas mineurs.

Les États membres prennent les mesures nécessaires pour ériger en infraction pénale punissable le fait d’effacer, d’endommager, de détériorer, d’altérer, de supprimer ou de rendre inaccessibles des données informatiques d’un système d’information lorsque l’acte est commis de manière intentionnelle et sans droit, au moins lorsqu’il ne s’agit pas de cas mineurs.

Les États membres prennent les mesures nécessaires pour ériger en infraction pénale punissable l’interception, effectuée par des moyens techniques, de transmissions non publiques de données informatiques à destination, en provenance ou à l’intérieur d’un système d’information, y compris les émissions électromagnétiques provenant d’un système d’information transportant de telles données informatiques, lorsque l’acte est commis de manière intentionnelle et sans droit, au moins lorsqu’il ne s’agit pas de cas mineurs.

Les États membres prennent les mesures nécessaires pour ériger en infraction pénale punissable la production, la vente, l’obtention pour utilisation, l’importation, la diffusion ou d’autres formes de mise à disposition intentionnelles d’un des outils suivants lorsque l’acte est commis sans droit et dans l’intention de l’utiliser pour commettre l’une des infractions visées aux articles 3 à 6, au moins lorsqu’il ne s’agit pas de cas mineurs: a) un programme informatique, principalement conçu ou adapté pour permettre la commission de l’une des infractions visées aux articles 3 à 6; b) un mot de passe, un code d’accès ou des données informatiques similaires permettant d’accéder à tout ou partie d’un système d’information.

1 Les États membres veillent à ériger en infraction pénale punissable le fait d’inciter à commettre l’une des infractions visées aux articles 3 à 7, d’y participer ou de s’en rendre complice.

2 Les États membres veillent à ériger en infraction pénale punissable la tentative de commettre une infraction visée aux articles 4 et 5.

1 Les États membres prennent les mesures nécessaires pour faire en sorte que les infractions visées aux articles 3 à 8 soient passibles de sanctions pénales effectives, proportionnées et dissuasives.

2 Les États membres prennent les mesures nécessaires pour faire en sorte que les infractions visées aux articles 3 à 7 soient passibles d’une peine d’emprisonnement maximale d’au moins deux ans, au moins lorsqu’il ne s’agit pas de cas mineurs.

3 Les États membres prennent les mesures nécessaires pour faire en sorte que les infractions visées aux articles 4 et 5 soient passibles d’une peine d’emprisonnement maximale d’au moins trois ans lorsqu’elles sont commises de manière intentionnelle et qu’un nombre important de systèmes d’information est atteint au moyen d’un des outils visés à l’article 7.

4 Les États membres prennent les mesures nécessaires pour faire en sorte que les infractions visées aux articles 4 et 5 soient passibles d’une peine d’emprisonnement maximale d’au moins cinq ans dans les cas où: a) elles sont commises dans le cadre d’une organisation criminelle telle que définie dans la décision-cadre 2008/841/JAI, indépendamment de la sanction qui y est prévue; ou b) elles causent un préjudice grave; ou c) elles sont commises contre un système d’information d’une infrastructure critique.

5 Les États membres prennent les mesures nécessaires pour que, lorsque les infractions visées aux articles 4 et 5 sont commises par l’utilisation abusive des données à caractère personnel d’une autre personne, en vue de gagner la confiance d’une tierce partie, causant ainsi un préjudice au propriétaire légitime de l’identité, ces éléments puissent, conformément au droit national, être considérés comme des circonstances aggravantes, à moins que ces circonstances ne soient déjà couvertes par une autre infraction punissable en vertu du droit national.

1 Les États membres prennent les mesures nécessaires pour que les personnes morales puissent être tenues pour responsables des infractions visées aux articles 3 à 8, lorsqu’elles sont commises pour leur compte par toute personne agissant soit individuellement, soit en tant que membre d’un organe de la personne morale en cause, et qui exerce un pouvoir de direction en son sein fondé sur: a) un pouvoir de représentation de la personne morale; b) une autorité pour prendre des décisions au nom de la personne morale; c) une autorité pour exercer un contrôle au sein de la personne morale.

2 Les États membres prennent les mesures nécessaires pour s’assurer que les personnes morales puissent être tenues pour responsables lorsque l’absence de surveillance ou de contrôle de la part d’une personne visée au paragraphe 1 a rendu possible la commission de l’une des infractions visées aux articles 3 à 8 pour le compte de ladite personne morale, par une personne soumise à son autorité.

3 La responsabilité des personnes morales au titre des paragraphes 1 et 2 n’exclut pas les poursuites pénales contre les personnes physiques auteurs, instigatrices ou complices de l’une des infractions visées aux articles 3 à 8.

1 Les États membres prennent les mesures nécessaires pour qu’une personne morale déclarée responsable au titre de l’article 10, paragraphe 1, soit passible de sanctions effectives, proportionnées et dissuasives, qui incluent des amendes pénales ou non pénales, et éventuellement d’autres sanctions, telles que: a) l’exclusion du bénéfice d’un avantage ou d’une aide publics; b) l’interdiction temporaire ou définitive d’exercer une activité commerciale; c) le placement sous surveillance judiciaire; d) une mesure judiciaire de dissolution; e) la fermeture temporaire ou définitive d’établissements ayant servi à commettre l’infraction.

2 Les États membres prennent les mesures nécessaires pour qu’une personne morale déclarée responsable au titre de l’article 10, paragraphe 2, soit passible de sanctions ou d’autres mesures effectives, proportionnées et dissuasives.

1 Les États membres établissent leur compétence à l’égard des infractions visées aux articles 3 à 8, lorsque l’infraction a été commise: a) en tout ou en partie sur leur territoire; ou b) par un de leurs ressortissants, au moins dans les cas où l’acte constitue une infraction là où il a été commis.

2 Lorsqu’il établit sa compétence conformément au paragraphe 1, point a), un État membre veille à être compétent lorsque: a) l’auteur de l’infraction a commis celle-ci alors qu’il était physiquement présent sur son territoire, que l’infraction vise un système d’information situé sur son territoire ou non; ou b) l’infraction vise un système d’information situé sur son territoire, que l’auteur de l’infraction soit physiquement présent sur son territoire ou non lors de la commission de l’infraction.

3 Un État membre informe la Commission de sa décision d’établir sa compétence à l’égard des infractions visées aux articles 3 à 8 qui ont été commises en dehors de son territoire, notamment dans les cas suivants: a) l’auteur de l’infraction réside habituellement sur son territoire; ou b) l’infraction a été commise pour le compte d’une personne morale établie sur son territoire.

1 Aux fins de l’échange d’informations relatives aux infractions visées aux articles 3 à 8, les États membres veillent à disposer d’un point de contact national opérationnel et à recourir au réseau existant de points de contact opérationnels, disponibles vingt-quatre heures sur vingt-quatre et sept jours sur sept. Les États membres veillent également à mettre en place des procédures afin que, en cas de demandes urgentes d’assistance, l’autorité compétente indique, dans un délai de huit heures à compter de la réception de la demande, au moins si la demande sera satisfaite, et la forme et le délai estimé pour cette réponse.

2 Les États membres communiquent à la Commission le point de contact visé au paragraphe 1 qu’ils ont désigné. La Commission transmet ces informations aux autres États membres et aux agences et organes spécialisés compétents de l’Union.

3 Les États membres prennent les mesures nécessaires pour faire en sorte que des canaux de communication appropriés soient mis à disposition afin de faciliter la notification sans retard indu aux autorités nationales compétentes des infractions visées aux articles 3 à 6.

1 Les États membres veillent à mettre en place un système d’enregistrement, de production et de communication de statistiques sur les infractions visées aux articles 3 à 7.

2 Les statistiques visées au paragraphe 1 portent, au minimum, sur les données existantes concernant le nombre d’infractions visées aux articles 3 à 7 enregistrées par les États membres, ainsi que le nombre de personnes poursuivies et condamnées pour les infractions visées aux articles 3 à 7.

3 Les États membres transmettent à la Commission les données recueillies en vertu du présent article. La Commission veille à ce qu’un état consolidé des rapports statistiques soit publié et soumis aux agences et organes spécialisés compétents de l’Union.

La décision-cadre 2005/222/JAI est remplacée à l’égard des États membres qui participent à l’adoption de la présente directive, sans préjudice des obligations des États membres concernant le délai de transposition de la décision-cadre en droit national. À l’égard des États membres participant à l’adoption de la présente directive, les références faites à la décision-cadre 2005/222/JAI s’entendent comme faites à la présente directive.

1 Les États membres mettent en vigueur les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à la présente directive, au plus tard le 4 septembre 2015.

2 Les États membres communiquent à la Commission le texte des dispositions transposant dans leur droit national les obligations que leur impose la présente directive.

3 Lorsque les États membres adoptent ces dispositions, celles-ci contiennent une référence à la présente directive ou sont accompagnées d’une telle référence lors de leur publication officielle. Les modalités de cette référence sont arrêtées par les États membres.

La Commission présente au Parlement européen et au Conseil, au plus tard le 4 septembre 2017, un rapport évaluant dans quelle mesure les États membres ont pris les dispositions nécessaires pour se conformer à la présente directive, accompagné, le cas échéant, de propositions législatives. La Commission tient également compte des évolutions techniques et juridiques dans le domaine de la cybercriminalité, en particulier au regard du champ d’application de la présente directive.

La présente directive entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Les États membres sont destinataires de la présente directive conformément aux traités.