Predlog evropske direktive o napadih na informacijske sisteme je po navedbah iz Evropskega parlamenta neuradno že usklajen s članicami, tako da naj bi jih kmalu potrdil tudi Svet EU.
Nova direktiva nadgrajuje pravila, ki so v uniji v veljavi že od leta 2005. Članice jo bodo morale v nacionalne zakonodaje prenesti v dveh letih.
Direktiva državam nalaga, da v svoji zakonodaji določijo vsaj dve leti zapora kot najnižjo zgornjo kazen za nezakonit dostop ali poseg v informacijske sisteme, nezakonito prestrezanje ali poseganje v podatke, ali za namerno proizvodnjo in prodajo tehnoloških orodij za izvrševanje takšnih kaznivih dejanj.
Manjši prekrški niso predmet direktive, države pa same opredelijo, kaj spada v to kategorijo.
Za napade na ključno infrastrukturo, kot so elektrarne, prometno omrežje in informacijsko omrežje državne uprave, je predvidena zaporna kazen petih let.
Enaka kazen je predvidena, če spletni napad izvede kriminalna združba ali je povzročena resna škoda.
Pravne osebe bodo poleg tega odgovorne za kazniva dejanja, storjena v njihovo korist. Gre recimo za primere, ko podjetja najamejo hekerja, da pridobi dostop do podatkov tekmecev.
Kazen je lahko tudi odvzem pravice do pridobivanja javnih sredstev ali zaprtje dejavnosti.
Kontaktni organi članic osemindvajseterice se bodo morale poleg tega na prošnje za nujno pomoč v primeru kibernetskih napadov odzvati v osmih urah, s čimer naj bi bilo policijsko sodelovanje bolj učinkovito.
