Coopération judiciaire pénale: lutte contre attaques visant les systèmes d'information

La Commission a présenté un rapport évaluant dans quelle mesure les États membres ont pris les dispositions nécessaires pour se conformer à la directive 2013/40/UE relative aux attaques contre les systèmes d'information.

Pour rappel, la directive vise à rapprocher le droit pénal des États membres en matière d’attaques contre les systèmes d’information et à améliorer la coopération entre les autorités compétentes. À cette fin, la directive fixe des règles minimales concernant la définition des infractions pénales et les sanctions en matière d’attaques contre les systèmes d’information et impose l’existence de points de contact opérationnels 24 heures sur 24 et 7 jours sur 7.

À la date limite de transposition, 22 États membres avaient notifié à la Commission l’achèvement de la transposition de la directive. Au 31 mai 2017, des procédures d’infraction pour non-communication de mesures nationales de transposition à l’encontre de trois États membres (BE, BG et IE) étaient toujours en cours. La Commission reconnaît toutefois les efforts déployés par les États membres pour transposer la directive.

L’analyse contenue dans le présent rapport est basée sur les informations communiquées par les États membres au plus tard le 31 mai 2017.

Progrès accomplis: le rapport conclut que la directive a permis d’accomplir des progrès réels en matière de criminalisation des cyberattaques à un niveau comparable dans tous les États membres, ce qui facilite la coopération transfrontière entre les autorités répressives qui enquêtent sur ce type d’infractions.

Les États membres ont modifié leurs codes pénaux et leur législation applicable. Ils ont rationalisé leurs procédures et ont mis en place ou amélioré leurs programmes de coopération.

Améliorations nécessaires: la Commission confirme toutefois que beaucoup reste à faire pour que la directive atteigne son plein potentiel. Les principales améliorations à mettre en œuvre par les États membres devraient concerner en particulier:

• l’utilisation des définitions des termes «système d’information», «données informatiques», «personne morale» et «sans droit» fournies par la directive: seuls deux pays ont introduit une législation couvrant tous les aspects de ces définitions;
• l’inclusion de l’ensemble des possibilités qui caractérisent les actions liées aux infractions pénales spécifiques (accès illégal à des systèmes d’information ; atteinte illégale à l’intégrité d’un système et à l’intégrité des données ; interception illégale des données informatiques : outils, tels que les programmes informatiques ou les codes d’accès, utilisés pour commettre les infractions) ;
• la mise en place de normes communes en matière de sanctions pour les cyberattaques (niveau minimal général de la peine maximale ; sanctions lorsqu’un nombre important de systèmes d’information est atteint ; infractions commises par une organisation criminelle ; préjudice grave causé ; implication de systèmes d’information d'infrastructures critiques dans les infractions ; usurpation d’identité ;  responsabilité des personnes morales).

D’autres problèmes semblent liés à la mise en œuvre des dispositions administratives concernant la mise à disposition par États membres des canaux de communication appropriés afin de faciliter la notification aux autorités nationales compétentes des infractions, ainsi qu'au suivi et aux statistiques concernant les infractions relevant de la directive

Perspectives: la Commission indique qu’elle continuera de soutenir les États membres dans leur mise en œuvre de la directive et qu’elle fournira aux États membres des occasions supplémentaires de recenser et d'échanger leurs bonnes pratiques au cours du second semestre 2017.

La Commission ne voit pas la nécessité proposer des modifications de la directive. Elle envisage plutôt des mesures visant à améliorer l’accès transfrontière aux preuves électroniques dans le cadre des enquêtes criminelles, notamment en proposant des mesures législatives au début de 2018. Elle étudie également le rôle que joue le chiffrement dans les enquêtes criminelles et présentera ses conclusions sur le sujet d’ici octobre 2017.

Enfin, la Commission s’attachera à ce que la transposition soit finalisée dans l’ensemble de l’Union et à ce que les dispositions soient correctement appliquées.