Projet de loi portant modification du Code pénal aux fins de la transposition de la directive (UE) 2013/40 du Parlement et du Conseil du 12 août 2013

LE GOUVERNEMENT D U GRAND-DUCHÉ DE LUXEMBOURG Ministère de la Justice Projet de loi portant modification du Code pénal aux fins de la transposition de la directive (UE) 2013/40 du Parlement et du Conseil du 12 août 2013 relative aux attaques visant les systèmes d’information et remplaçant la décision-cadre 2005/222/JAI du Conseil I. Exposé des motifs Les systèmes d’information représentent un élément essentiel de l’interaction politique, sociale et économique. On assiste à une évolution rapide des nouvelles technologies, de la numérisation, de la convergence et de la mondialisation des réseaux informatiques. Le bon fonctionnement et la sécurité de ces systèmes est essentiel pour le développement d’une véritable société de l’information. La sécurité informatique est un élément important de l’espace de liberté, de sécurité et de justice. Ainsi, garantir un niveau de protection approprié des systèmes d’information doit faire partie d’un cadre européen de mesures de prévention efficaces accompagnées de sanctions pénales en cas de cybercriminalité. C’est pourquoi le Parlement européen et le Conseil ont adopté, le 12 août 2013, la directive 2013/40/UE relative aux attaques visant les systèmes d’information1 qui vise à mettre en place des sanctions pénales effectives, proportionnées et dissuasives en ce qui concerne la création de réseaux zombies2 ayant pour but une cyberattaque à grande échelle. Dans le cadre de la législation nationale, cette directive a été transposée par la loi du 18 juillet 2014 portant 1) approbation de la Convention du conseil de l’Europe sur la cybercriminalité ouverte à la signature à Budapest le 23 novembre 2001, 2) approbation du Protocole additionnel à la convention sur la cybercriminalité, relatif à l’incrimination d’actes de nature raciste et xénophobe commis par le biais de systèmes informatiques, fait à Strasbourg le 28 janvier 20003, 3) modification du Code pénal, 4) modification du Code d’instruction criminelle, 5) modification de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. Néanmoins, dans le cadre de l’évaluation de conformité de transposition en droit national de la directive 2013/40/UE, la Commission européenne a estimé que le Luxembourg n’a pas correctement transposé certaines dispositions de ladite directive. 1 Directive 2013/40/UE du Parlement européen et du Conseil du 12 août 2013 relative aux attaques contre les systèmes d’information et remplaçant la décision-cadre 2005/222/JAI du Conseil 2 “Acte qui vise à établir un contrôle à distance d’un nombre important d’ordinateurs en les contaminant au moyen de logiciels malveillants dans le cadre de cyberattaques ciblées » - définition donnée par l’Agence Nationale de la Sécurité des Systèmes d’Information Page 1 sur 6 En effet, la Commission européenne a estimé que le Luxembourg n’avait pas correctement transposé dans sa législation nationale l’article 9, paragraphe 4 de la directive qui impose aux Etats membres de prendre les mesures nécessaires pour que les infractions d’atteinte à l’intégrité d’un système d’information et d’atteinte à l’intégrité des données prévues aux articles 4 et 5 de la directive, soient passibles d’une peine d’emprisonnement maximale d’au moins cinq ans lorsqu’elles sont commises dans le cadre d’une organisation criminelle, qu’elles causent un préjudice grave ou qu’elles sont commises contre un système d’information d’une infrastructure critique. Par conséquent, il a été recommandé au Luxembourg d’élaborer une disposition légale permettant une application conforme avec la législation européenne. Ainsi, ce projet de loi prévoit d’étendre le champ d’application matériel, tout en y appliquant une sanction effective, proportionnée et dissuasive. Page 2 sur 6 II. Texte du projet de loi Article unique. A l’article 509-4 du Code pénal est ajouté un alinéa 2 qui prend la teneur suivante : « Sera puni des mêmes peines, celui qui aura commis les infractions visées aux articles 509-1 à 509-3 contre un système d’information d’une infrastructure critique ou qui, par la commission de ces infractions, aura causé un préjudice grave à un tel système d’information. » Page 3 sur 6 III. Commentaire de l’article unique Cette modification de l’article 509-4 du Code pénal vise à se conformer parfaitement à l’article 9, paragraphe 4, points

1. b)et
2. c)de la directive relative aux attaques visant les systèmes d’information, en introduisant les attaques visant le système d’information d’une infrastructure critique et le préjudice grave comme circonstances aggravantes des infractions incriminées aux articles 4 et 5 de la directive, étant précisé que ces deux articles ne nécessitent pas d’adaptation spécifique étant donné que les libellés des articles 509-1 à 509-3 du Code pénal prévoient les infractions d’atteinte à l’intégrité d’un système et des données. Cette modification de l’article prévoit que l’auteur d’une atteinte à l’intégrité d’un système d’information ou à l’intégrité de données sera désormais puni d’un emprisonnement de quatre mois à cinq ans et d’une amende de 1.250 euros à 30.000 euros lorsque l’attaque est dirigée contre un système d’information d’une infrastructure critique telle que définie à l’article 2, point 4 de la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la protection nationale et modifiant
3. a)la loi modifiée du 23 juillet 1952 concernant l’organisation militaire ;
4. b)la loi du 8 décembre 1981 sur les réquisitions en cas de conflit armé, de crise internationale grave ou de catastrophe ;
5. c)la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel ;
6. d)la loi modifiée du 25 juin 2009 sur les marchés publics ;
7. e)la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l’Etat ;
8. f)la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’Etat3. Il en va de même lorsque de ces agissements aura résulté un préjudice grave pour une personne physique ou morale. Cette modification de l’article 509-4 s’inscrit dans le cadre du maximum des peines d’emprisonnement fixées à l’article 9, paragraphe 4 de la directive, à savoir un maximum d’au moins cinq ans. Le plafond de l’amende reflète la nécessité de punir les infractions d’atteinte à l’intégrité d’un système ou des données par une sanction effective, proportionnée et dissuasive adaptée au but poursuivi par leur auteur et le préjudice subi par une personne. 3 Art. 2 : « Pour l’application de la présente loi, on entend par 4. « infrastructure critique » : tout point, système ou partie de celui-ci qui est indispensable à la sauvegarde des intérêts vitaux ou des besoins essentiels de tout ou partie du pays ou de la population ». Page 4 sur 6 Texte coordonné du Code pénal par extrait L’article 509-4 du Code pénal est modifié comme suit : « Art. 509-4. Lorsque dans les cas visés aux articles 509-1 à 509-3, il y a eu transfert d’argent ou de valeur monétaire, causant ainsi une perte de propriété à un tiers dans un but de procurer un avantage économique à la personne qui commet l’infraction ou à une tierce personne, la peine encourue sera un emprisonnement de quatre mois à cinq ans et une amende de 1.250 euros à 30.000 euros. Sera puni des mêmes peines, celui qui aura commis les infractions visées aux articles 509-1 à 509-3 contre un système d’information d’une infrastructure critique ou qui, par la commission de ces infractions, aura causé un préjudice grave à un tel système d’information. » Page 5 sur 6 Fiche financière Projet de loi portant modification du Code pénal aux fins de la transposition de la directive (UE) 2013/40 du Parlement et du Conseil du 12 août 2013 relative aux attaques visant les systèmes d’information et remplaçant la décision-cadre 2005/222/JAI du Conseil Conformément à l’article 79 de la loi modifiée du 8 juin 1999 sur le Budget, la Comptabilité et la Trésorerie de l’Etat, Madame la Ministre de la justice déclare que le présent projet de loi ne comporte pas de dispositions dont l’application est susceptible de grever le budget de l’Etat. Page 6 sur 6