Directiva 2013/40/UE del Parlamento Europeo y del Consejo, de 12燿e agosto de 2013, relativa a los ataques contra los sistemas de informaci髇 y por la que se sustituye la Decisi髇 marco 2005/222/JAI del Consejo

• 

  Esquemas Procesales Civiles, Penales y Concursales (8.ª Ed)

  Libros
  Desde 59,28 €
  
  (IVA Inc.)
  Más info.
• 

  Cómo afrontar jurídicamente la ocupación ilegal de un inmueble

  Libros
  Desde 41,50 €
  
  (IVA Inc.)
  Más info.
• 

  Manual de responsabilidad penal y defensa penal corporativas (2.ª Edición)

  Libros
  Desde 71,14 €
  
  (IVA Inc.)
  Más info.
• 

  Manual práctico de Derecho Penal: Parte Especial: delitos y sus penas (2.ª Edición)

  Libros
  59,28 €
  62,40 €
  (IVA Inc.)
  Más info.

Sumario

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNI覰 EUROPEA,

Visto el Tratado de Funcionamiento de la Uni髇 Europea (TFUE) y, en particular, su art韈ulo 83, apartado 1,

Vista la propuesta de la Comisi髇 Europea,

Previa transmisi髇 del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comit� Econ髆ico y Social Europeo (1) ,

De conformidad con el procedimiento legislativo ordinario (2) ,

Considerando lo siguiente:

• (1) Los objetivos de la presente Directiva son aproximar las normas de Derecho penal de los Estados miembros en materia de ataques contra los sistemas de informaci髇, mediante el establecimiento de normas m韓imas relativas a la definici髇 de las infracciones penales y las sanciones aplicables, y mejorar la cooperaci髇 entre las autoridades competentes, incluida la polic韆 y los dem醩 servicios especializados encargados de la aplicaci髇 de la ley en los Estados miembros, as� como los organismos especializados de la Uni髇, como Eurojust, Europol y su Centro Europeo contra la Ciberdelincuencia y la Agencia Europea de Seguridad de las Redes y de la Informaci髇 (ENISA).
• (2) Los sistemas de informaci髇 son un elemento esencial para la interacci髇 pol韙ica, social y econ髆ica en la Uni髇. La dependencia de este tipo de sistemas por parte de la sociedad es muy grande y sigue aumentando. El buen funcionamiento y la seguridad de estos sistemas en la Uni髇 es clave para el desarrollo del mercado interior y de una econom韆 competitiva e innovadora. Garantizar un adecuado nivel de protecci髇 de los sistemas de informaci髇 debe formar parte de un marco general efectivo de medidas de prevenci髇 que acompa馿n a las respuestas del Derecho penal a la ciberdelincuencia.
• (3) Los ataques contra los sistemas de informaci髇 y, en particular, los ataques vinculados a la delincuencia organizada, son una amenaza creciente en la Uni髇 y en el resto del mundo, y cada vez preocupa m醩 la posibilidad de ataques terroristas o de naturaleza pol韙ica contra los sistemas de informaci髇 que forman parte de las infraestructuras cr韙icas de los Estados miembros y de la Uni髇. Esta situaci髇 pone en peligro la realizaci髇 de una sociedad de la informaci髇 segura y de un espacio de libertad, seguridad y justicia y exige, por tanto, una respuesta por parte de la Uni髇, as� como una cooperaci髇 y coordinaci髇 reforzadas a escala internacional.
• (4) Existe en la Uni髇 una serie de infraestructuras cr韙icas cuya perturbaci髇 o destrucci髇 tendr韆 repercusiones transfronterizas importantes. De la necesidad de incrementar en la Uni髇 la capacidad de protecci髇 de estas infraestructuras se desprende que las medidas contra los ataques inform醫icos deben complementarse con penas estrictas que reflejen la gravedad de tales ataques. Por 玦nfraestructura cr韙ica� se entiende un elemento, sistema o parte de este situado en los Estados miembros que es esencial para el mantenimiento de funciones vitales de la sociedad, la salud, la seguridad, la protecci髇 y el bienestar econ髆ico y social de la poblaci髇, como las centrales el閏tricas, las redes de transporte y las redes de los 髍ganos de gobierno, y cuya perturbaci髇 o destrucci髇 tendr韆 un impacto significativo en un Estado miembro al no poder mantener esas funciones.
• (5) Se comprueba una tendencia hacia ataques de gran escala cada vez m醩 graves y recurrentes contra sistemas de informaci髇, que a menudo pueden ser cr韙icos para los Estados miembros o para determinadas funciones del sector p鷅lico o privado. Esta tendencia coincide con el desarrollo de m閠odos cada vez m醩 sofisticados, como la creaci髇 y utilizaci髇 de redes infectadas (botnets), que conllevan fases m鷏tiples del acto delictivo, cada una de las cuales puede por s� sola constituir un grave peligro para el inter閟 p鷅lico. La presente Directiva tiene por objeto, entre otros, establecer sanciones para la fase en que se crea la red infectada, es decir, cuando se establece un control remoto sobre un n鷐ero significativo de ordenadores infect醤dolos mediante programas nocivos a trav閟 de ataques inform醫icos dirigidos. Una vez establecida la red, los ordenadores infectados, que constituyen la red infectada, pueden activarse sin el conocimiento de los usuarios para realizar un ataque inform醫ico a gran escala, que en circunstancias normales puede causar da駉s graves, como menciona la presente Directiva. Los Estados miembros deben poder establecer qu� constituyen da駉s graves de conformidad con su ordenamiento jur韉ico y pr醕tica nacionales, tales como interrumpir los servicios del sistema de una importancia p鷅lica relevante, o causar importantes costes econ髆icos o p閞didas de datos de car醕ter personal o de informaci髇 sensible.
• (6) Los ciberataques a gran escala pueden causar graves perjuicios econ髆icos, tanto por la paralizaci髇 de los sistemas de informaci髇 y de las comunicaciones como por la p閞dida o alteraci髇 de informaci髇 confidencial de importancia comercial o de otros datos. Debe prestarse especial atenci髇 a sensibilizar m醩 a las peque馻s y medianas empresas innovadoras sobre las amenazas vinculadas con tales ataques y su vulnerabilidad ante los mismos, que les afectan debido a su mayor dependencia del correcto funcionamiento y de la disponibilidad de los sistemas de informaci髇 y al hecho de que sus recursos para la seguridad de la informaci髇 son, con frecuencia, limitados.
• (7) Es importante en esta materia disponer de definiciones comunes a fin de garantizar la aplicaci髇 coherente de la presente Directiva en los Estados miembros.
• (8) Es necesario llegar a un enfoque com鷑 respecto de los elementos constitutivos de las infracciones penales introduciendo las infracciones comunes de acceso ilegal a un sistema de informaci髇, de intromisi髇 ilegal en el sistema, de intromisi髇 ilegal en los datos y de interceptaci髇 ilegal.
• (9) La interceptaci髇 abarca, sin limitarse necesariamente a ello, la escucha, el seguimiento y el an醠isis del contenido de comunicaciones, as� como la obtenci髇 del contenido de los datos bien directamente, mediante el acceso y recurso a ese sistema de informaci髇, o indirectamente, mediante el recurso a sistemas de escucha y grabaci髇 electr髇icos por medios t閏nicos.
• (10) Los Estados miembros deben establecer sanciones para los ataques contra los sistemas de informaci髇. Estas sanciones deben ser efectivas, proporcionadas y disuasorias y deben contemplar penas privativas de libertad o multas.
• (11) La presente Directiva establece penas al menos para los casos que no son de menor gravedad. Los Estados miembros deben poder determinar cu醠es son los casos de menor gravedad de conformidad con su ordenamiento jur韉ico y pr醕tica nacionales. Un caso puede considerarse de menor gravedad, por ejemplo, cuando el da駉 causado por la infracci髇 o el riesgo que acarree para intereses p鷅licos o privados, como la integridad de un sistema o datos inform醫icos, la integridad, derechos u otros intereses de una persona, resulte insignificante o sea de una 韓dole tal que no resulte necesario imponer una pena dentro del umbral jur韉ico ni exigir responsabilidad penal.
• (12) La identificaci髇 y comunicaci髇 de las amenazas y los riesgos que plantean los ciberataques, as� como las vulnerabilidades de los sistemas de informaci髇 que les afectan, constituye un elemento pertinente para una prevenci髇 y respuesta eficaces frente a dichos ataques y para la mejora de la seguridad de los sistemas de informaci髇. Ofrecer incentivos a la comunicaci髇 de las insuficiencias en materia de seguridad podr韆 contribuir a producir ese efecto. Los Estados miembros deben comprometerse a brindar oportunidades que permitan la detecci髇 y comunicaci髇 legales de las deficiencias en materia de seguridad.
• (13) Es conveniente establecer sanciones m醩 severas cuando un ataque contra un sistema de informaci髇 se comete en el contexto de una organizaci髇 delictiva, tal como se define en la Decisi髇 marco 2008/841/JAI del Consejo, de 24 de octubre de 2008, relativa a la lucha contra la delincuencia organizada (3) , o cuando el ciberataque se realiza a gran escala y afecta a un n鷐ero importante de sistemas de informaci髇, en particular cuando el ataque tiene por objeto crear una red infectada o si el ciberataque causa un da駉 grave, incluido cuando se lleva a cabo a trav閟 de una red infectada. Conviene tambi閚 establecer sanciones m醩 severas cuando el ataque se lleva a cabo contra una infraestructura cr韙ica de los Estados miembros o de la Uni髇.
• (14) Otro elemento importante de un enfoque integrado contra la ciberdelincuencia es el establecimiento de medidas eficaces contra la usurpaci髇 de identidad y otras infracciones relacionadas con la identidad. Las necesidades inherentes a la actuaci髇 de la Uni髇 relativa a este tipo de conducta delictiva podr韆n tambi閚 ser tomadas en consideraci髇 en el contexto de la evaluaci髇 de la necesidad de un instrumento horizontal global de la Uni髇.
• (15) Las Conclusiones del Consejo de 27 y 28 de noviembre de 2008 indicaron que deb韆 desarrollarse una nueva estrategia con los Estados miembros y la Comisi髇, teniendo en cuenta el contenido del Convenio del Consejo de Europa de 2001 sobre la ciberdelincuencia. Este Convenio es el marco jur韉ico de referencia para la lucha contra la ciberdelincuencia, incluidos los ataques contra los sistemas de informaci髇. La presente Directiva se basa en dicho Convenio. Debe considerarse como prioritario terminar cuanto antes el proceso de ratificaci髇 de dicho Convenio por todos los Estados miembros.
• (16) Dadas las diferentes formas en que pueden realizarse los ataques y la r醦ida evoluci髇 de los programas y equipos inform醫icos, la presente Directiva se refiere a los 玦nstrumentos� que pueden utilizarse para cometer las infracciones enumeradas en la presente Directiva. Dichos instrumentos pueden ser programas inform醫icos maliciosos, incluidos los que permiten crear redes infectadas, que se utilizan para cometer ciberataques. Aun cuando uno de estos instrumentos sea adecuado o incluso especialmente adecuado para llevar a cabo las infracciones enumeradas en la presente Directiva, es posible que dicho instrumento fuera creado con fines leg韙imos. Teniendo en cuenta la necesidad de evitar la tipificaci髇 penal cuando estos instrumentos sean creados y comercializados con fines leg韙imos, como probar la fiabilidad de los productos de la tecnolog韆 de la informaci髇 o la seguridad de los sistemas de informaci髇, adem醩 del requisito de intenci髇 general tambi閚 debe cumplirse el requisito de que dichos instrumentos sean utilizados para cometer una o varias de las infracciones enumeradas en la presente Directiva.
• (17) La presente Directiva no establece responsabilidades penales cuando se cumplen los criterios objetivos de las infracciones enumeradas en la misma pero los actos se cometen sin prop髎ito delictivo, por ejemplo cuando la persona de que se trate no sab韆 que el acceso no estaba autorizado o en caso de intervenci髇 autorizada o de protecci髇 de los sistemas de informaci髇, o cuando una empresa o un vendedor designen a una persona para probar la solidez de su sistema de seguridad. En el contexto de la presente Directiva, las obligaciones o los acuerdos contractuales tendentes a restringir el acceso a los sistemas de informaci髇 en virtud de una pol韙ica de usuarios o de las condiciones de prestaci髇 del servicio, as� como los conflictos colectivos de trabajo en relaci髇 con el acceso a los sistemas de informaci髇 de un empresario o con la utilizaci髇 de los mismos con fines privados, no deben acarrear responsabilidad penal cuando se estime que el acceso en dichas circunstancias no est� autorizado y, por tanto, constituye la 鷑ica base para incoar una acci髇 penal. La presente Directiva se entiende sin perjuicio del derecho de acceder a la informaci髇, establecido en el Derecho nacional y de la Uni髇, pero al mismo tiempo no sirve de justificaci髇 para un acceso il韈ito o arbitrario a la informaci髇.
• (18) Los ciberataques podr韆n verse facilitados por varias circunstancias, por ejemplo cuando el autor de los mismos tengan acceso, en el marco de su empleo, a los sistemas de seguridad inherentes a los sistemas de informaci髇 afectados. En el contexto del Derecho nacional, estas circunstancias deben tenerse en cuenta, en su caso, en el transcurso del proceso penal.
• (19) Los Estados miembros deben prever en su derecho nacional las circunstancias agravantes, de conformidad con las normas aplicables establecidas por sus ordenamientos jur韉icos en relaci髇 con dichas circunstancias. Deben velar por que esas circunstancias agravantes puedan ser conocidas por los jueces para que estos las tomen en consideraci髇 a la hora de dictar sentencia con respecto a los infractores. Se deja a la apreciaci髇 del juez evaluar dichas circunstancias junto con otros hechos del caso de que se trate.
• (20) La presente Directiva no se aplica a las condiciones para ejercer la competencia jurisdiccional sobre alguna de las infracciones contempladas en la misma, como una declaraci髇 de la v韈tima en el lugar donde se cometi� la infracci髇, o la denuncia del Estado en el que se cometi�, o el no procesamiento del delincuente en el lugar donde se cometi� la infracci髇.
• (21) En el contexto de la presente Directiva, los Estados y sus organismos p鷅licos est醤 plenamente obligados a garantizar el respeto de los derechos y las libertades fundamentales, de conformidad con las obligaciones de la Uni髇 e internacionales existentes.
• (22) La presente Directiva subraya la importancia de redes, tales como la red de puntos de contacto del G8 o la del Consejo de Europa, disponibles veinticuatro horas al d韆, siete d韆s a la semana. Dichos puntos de contacto han de poder prestar asistencia efectiva, facilitando as�, por ejemplo, el intercambio de la informaci髇 relevante disponible o prestando asesoramiento t閏nico o informaci髇 jur韉ica en el marco de investigaciones o procedimientos relativos a infracciones penales relacionadas con sistemas de informaci髇 y de datos asociados que impliquen al Estado miembro solicitante. Para garantizar el buen funcionamiento de las redes, cada punto de contacto debe ser capaz de comunicarse de forma r醦ida con el punto de contacto de otro Estado miembro con el apoyo, entre otras cosas, de personal formado y equipado. Dada la velocidad a la que pueden realizarse los ciberataques a gran escala, todos los Estados miembros deben responder con prontitud a las solicitudes urgentes procedentes de dicha red de puntos de contacto. En tales casos, puede resultar conveniente que la solicitud de informaci髇 vaya acompa馻da de contacto telef髇ico, a fin de garantizar que el Estado miembro que recibe la solicitud pueda tramitarla r醦idamente y que se facilite una respuesta al respecto en el plazo de ocho horas.
• (23) La cooperaci髇 entre las autoridades p鷅licas por un lado y el sector privado y la sociedad civil por otro es de gran importancia para evitar y combatir los ataques contra los sistemas de informaci髇. Es necesario fomentar y mejorar la cooperaci髇 entre los proveedores de servicios, los productores, los servicios encargados de la aplicaci髇 de la ley y las autoridades judiciales, dentro del pleno respeto del Estado de Derecho. Dicha cooperaci髇 podr韆 incluir el apoyo prestado por los proveedores de servicios al contribuir a mantener posibles pruebas, a proporcionar elementos que ayuden a identificar a los infractores y, en 鷏tima instancia, a cerrar, total o parcialmente, de conformidad con el Derecho y las pr醕ticas nacionales, los sistemas de informaci髇 o la supresi髇 de las funciones que hayan creado una situaci髇 de peligro o se hayan utilizado con fines ilegales. Asimismo, los Estados miembros deben tomar en consideraci髇 el establecimiento de redes de cooperaci髇 y asociaci髇 con los proveedores de servicios y los productores para intercambiar informaci髇 relativa a las infracciones en el marco de aplicaci髇 de la presente Directiva.
• (24) Es necesario recopilar datos comparables sobre las infracciones a las que se refiere la presente Directiva. Los datos relevantes deben ponerse a disposici髇 de los organismos especializados competentes de la Uni髇, como Europol y la ENISA, teniendo en cuenta sus cometidos y necesidades en materia de informaci髇, a fin de obtener una visi髇 m醩 completa del problema de la ciberdelincuencia y de la seguridad de la red y de la informaci髇 a escala de la Uni髇, y contribuir as� a la formulaci髇 de unas respuestas m醩 eficaces. Los Estados miembros deben facilitar a Europol y a su Centro Europeo de Ciberdelincuencia informaci髇 relativa al modo de actuaci髇 de los infractores a fin de llevar a cabo evaluaciones de las amenazas y an醠isis estrat間icos de la ciberdelincuencia, de conformidad con la Decisi髇 2009/371/JAI del Consejo, de 6 de abril de 2009, por la que se crea la Oficina Europea de Polic韆 (Europol) (4) . Facilitar informaci髇 puede ayudar a comprender mejor las amenazas presentes y futuras, y contribuir as� a tomar decisiones de forma m醩 adecuada y espec韋ica para combatir y prevenir los ataques contra los sistemas de informaci髇.
• (25) La Comisi髇 debe presentar un informe sobre la aplicaci髇 de la presente Directiva y formular las propuestas legislativas necesarias que puedan llevar a ampliar su 醡bito de aplicaci髇, teniendo en cuenta la evoluci髇 que se produzca en el campo de la ciberdelincuencia. En dicha evoluci髇 podr韆n figurar las innovaciones tecnol骻icas que permitan, por ejemplo, una represi髇 m醩 eficaz en el 醡bito de los ataques contra los sistemas de informaci髇, o que faciliten la prevenci髇 o reduzcan al m醲imo la incidencia de dichos ataques. A tal fin, la Comisi髇 debe tener en cuenta los an醠isis y los informes disponibles realizados por las instancias pertinentes y, en particular, por Europol y ENISA.
• (26) Para combatir eficazmente la ciberdelincuencia, debe aumentarse la capacidad de adaptaci髇 de los sistemas de informaci髇 mediante la adopci髇 de las medidas adecuadas para protegerlos de manera m醩 eficaz contra los ataques que les afecten. Los Estados miembros tomar醤 las medidas necesarias para proteger los sistemas de informaci髇 que constituyen las infraestructuras cr韙icas de los ciberataques, entre las cuales deben tomar en consideraci髇 las medidas tendentes a proteger sus sistemas de informaci髇 y los datos asociados. Garantizar un nivel adecuado de protecci髇 y seguridad de los sistemas de informaci髇 por personas jur韉icas, por ejemplo en conexi髇 con la facilitaci髇 de servicios de comunicaci髇 disponibles de forma electr髇ica de conformidad con la legislaci髇 de la Uni髇 sobre la privacidad, la comunicaci髇 electr髇ica y la protecci髇 de datos, constituye una parte esencial de un planteamiento global para contrarrestar eficazmente la ciberdelincuencia. Deben preverse unos niveles adecuados de protecci髇 contra las amenazas y vulnerabilidades que puedan identificarse de forma razonable, teniendo en cuenta los conocimientos m醩 recientes sobre sectores espec韋icos y las situaciones concretas de tratamiento de datos. El coste y la carga que representa dicha protecci髇 deben ser proporcionados a los da駉s probables que podr韆 causar un ciberataque a las personas afectadas. Se alienta a los Estados miembros a que establezcan las medidas pertinentes que acarreen responsabilidades en el contexto de su Derecho nacional en aquellos casos en que una persona jur韉ica no haya previsto claramente un nivel apropiado de protecci髇 frente a ciberataques.
• (27) Las diferencias y divergencias significativas que existen entre las legislaciones y los procesos penales de los Estados miembros en este 醡bito pueden dificultar la lucha contra la delincuencia organizada y el terrorismo y complicar la cooperaci髇 policial y judicial efectiva en este 醡bito. La naturaleza transnacional y transfronteriza de los modernos sistemas de informaci髇 significa que los ataques suelen revestir un car醕ter transfronterizo, lo que plantea la necesidad urgente de proseguir la aproximaci髇 del Derecho penal en este 醡bito. Por otra parte, la coordinaci髇 del enjuiciamiento de los casos de ataques contra los sistemas de informaci髇 debe facilitarse mediante la adecuada puesta en marcha y aplicaci髇 de la Decisi髇 marco 2009/948/JAI del Consejo, de 30 de noviembre de 2009, sobre la prevenci髇 y resoluci髇 de conflictos de ejercicio de jurisdicci髇 en los procesos penales (5) . Los Estados miembros, en cooperaci髇 con la Uni髇, deben intentar tambi閚 mejorar la cooperaci髇 internacional en lo relativo a la seguridad de los sistemas de informaci髇, de las redes de ordenadores y de los datos que estos albergan. En los acuerdos internacionales relativos al intercambio de datos debe tomarse debidamente en consideraci髇 la seguridad de la transferencia de datos y del almacenamiento de los mismos.
• (28) Una mayor cooperaci髇 entre los servicios encargados de la aplicaci髇 de la ley y las autoridades judiciales competentes en la Uni髇 es fundamental para combatir eficazmente la ciberdelincuencia. En este sentido, deben intensificarse los esfuerzos por ofrecer una adecuada formaci髇 a las autoridades competentes con vistas a mejorar la comprensi髇 de la ciberdelincuencia y de sus repercusiones, y por promover la cooperaci髇 y el intercambio de las mejores pr醕ticas a trav閟, por ejemplo, de los organismos especializados competentes de la Uni髇. La formaci髇 debe estar dirigida, entre otras cosas, a sensibilizar m醩 sobre los diferentes ordenamientos jur韉icos nacionales, los posibles retos de tipo jur韉ico y t閏nico de las investigaciones penales y el reparto de competencias entre las autoridades nacionales competentes.
• (29) La presente Directiva respeta los derechos humanos y las libertades fundamentales y cumple los principios reconocidos, en particular, por la Carta de los Derechos Fundamentales de la Uni髇 Europea y el Convenio Europeo para la Protecci髇 de los Derechos Humanos y de las Libertades Fundamentales, incluida la protecci髇 de datos de car醕ter personal, el derecho a la privacidad, la libertad de expresi髇 e informaci髇, el derecho a un juicio equitativo, la presunci髇 de inocencia y los derechos de la defensa, as� como los principios de legalidad y proporcionalidad de las infracciones penales y las sanciones. En especial, la presente Directiva tiene por objeto garantizar el pleno respeto de dichos derechos y principios y debe aplicarse en consecuencia.
• (30) La protecci髇 de los datos de car醕ter personal es un derecho fundamental conforme al art韈ulo 16, apartado 1, del TFUE y al art韈ulo 8 de la Carta de los Derechos Fundamentales de la Uni髇 Europea. Por ello, todo tratamiento de datos de car醕ter personal efectuado en el contexto de la aplicaci髇 de la presente Directiva debe cumplir plenamente el Derecho de la Uni髇 aplicable en materia de protecci髇 de datos.
• (31) De conformidad con el art韈ulo 3 del Protocolo sobre la posici髇 del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al Tratado de la Uni髇 Europea y al Tratado de Funcionamiento de la Uni髇 Europea, dichos Estados miembros han notificado su deseo de participar en la adopci髇 y aplicaci髇 de la presente Directiva.
• (32) De conformidad con los art韈ulos 1 y 2 del Protocolo sobre la posici髇 de Dinamarca, anejo al Tratado de la Uni髇 Europea y al Tratado de Funcionamiento de la Uni髇 Europea, Dinamarca no participa en la adopci髇 de la presente Directiva y no queda vinculada por ello ni sujeta a su aplicaci髇.
• (33) Dado que los objetivos de la presente Directiva, a saber, garantizar que los ataques contra los sistemas de informaci髇 sean castigados en todos los Estados miembros con penas efectivas, proporcionadas y disuasorias, y mejorar y fomentar la cooperaci髇 judicial entre las autoridades judiciales y otras autoridades competentes, no pueden ser alcanzados de manera suficiente por los Estados miembros, y que, por consiguiente, debido a sus dimensiones o efectos, pueden lograrse mejor a escala de la Uni髇, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad consagrado en el art韈ulo 5 del Tratado de la Uni髇 Europea. De conformidad con el principio de proporcionalidad enunciado en dicho art韈ulo, la presente Directiva no excede de lo necesario para alcanzar dichos objetivos.
• (34) La presente Directiva tiene la finalidad de modificar y ampliar las disposiciones de la Decisi髇 marco 2005/222/JAI del Consejo, de 24 de febrero de 2005, relativa a los ataques contra los sistemas de informaci髇 (6) . Dado que las modificaciones necesarias son importantes, tanto por n鷐ero como por su naturaleza, la Decisi髇 marco 2005/222/JAI debe, en aras de la claridad, ser sustituida en su totalidad en relaci髇 con los Estados miembros que participan en la adopci髇 de la presente Directiva.

HAN ADOPTADO LA PRESENTE DIRECTIVA:

Art韈ulo 15 Sustituci髇 de la Decisi髇 marco 2005/222/JAI

Queda sustituida, en relaci髇 con los Estados miembros que participan en la adopci髇 de la presente Directiva, la Decisi髇 marco 2005/222/JAI, sin perjuicio de las obligaciones de los Estados miembros en lo que se refiere a los plazos de transposici髇 de dicha Decisi髇 marco al Derecho nacional.

En relaci髇 con los Estados miembros que participan en la adopci髇 de la presente Directiva, las referencias a la Decisi髇 marco 2005/222/JAI se entender醤 hechas a la presente Directiva.

LE0000211542_20050316

Art韈ulo 16 Transposici髇

1. Los Estados miembros pondr醤 en vigor las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva a m醩 tardar el 4 de septiembre de 2015.

2. Los Estados miembros transmitir醤 a la Comisi髇 el texto de las medidas por las que incorporen a su ordenamiento jur韉ico nacional las obligaciones que les impone la presente Directiva.

3. Cuando los Estados miembros adopten dichas medidas, estas har醤 referencia a la presente Directiva o ir醤 acompa馻das de dicha referencia en su publicaci髇 oficial. La forma en la que se haga dicha referencia la determinar醤 los Estados miembros.

V閍se la letra e) de la disposici髇 final sexta de la L.O. 1/2015, de 30 de marzo, por la que se modifica la L.O. 10/1995, de 23 de noviembre, del C骴igo Penal (獴.O.E.� 31 marzo).LE0000549720_20201218