Artykuł 9

1. Państwa członkowskie przyjmują środki niezbędne do zagwarantowania, by przestępstwa, o których mowa w art. 3–8, podlegały skutecznym, proporcjonalnym i odstraszającym sankcjom karnym.

2. Państwa członkowskie przyjmują środki niezbędne do zagwarantowania, by przestępstwa, o których mowa w art. 3–7, podlegały karze w maksymalnym wymiarze nie mniejszym niż dwa lata pozbawienia wolności, co najmniej w przypadkach, które nie są przypadkami mniejszej wagi.

3. Państwa członkowskie przyjmują środki niezbędne do zagwarantowania, by przestępstwa, o których mowa w art. 4 i 5, jeżeli zostały dokonane umyślnie, podlegały karze w maksymalnym wymiarze co najmniej trzech lat pozbawienia wolności, w przypadku gdy działaniem przy wykorzystaniu jednego z narzędzi, o których mowa w art. 7, zaprojektowanego lub dostosowanego głównie do tego celu, dotknięta została znaczna liczba systemów informatycznych.

4. Państwa członkowskie podejmują środki niezbędne do zagwarantowania, by przestępstwa, o których mowa w art. 4 i 5, podlegały karze w maksymalnym wymiarze co najmniej pięciu lat pozbawienia wolności, w przypadku gdy:

a) zostały popełnione w ramach organizacji przestępczej, w rozumieniu decyzji ramowej 2008/841/WSiSW, niezależnie od tego, jaki wymiar kary w niej przewidziano;

b) powodują poważne szkody; lub

c) zostały popełnione przeciwko systemowi informatycznemu o charakterze infrastruktury krytycznej.

5. Państwa członkowskie podejmują niezbędne środki, by w przypadkach gdy przestępstwa, o których mowa w art. 4 i 5, są popełniane przez niewłaściwe użytkowanie danych osobowych innej osoby w celu uzyskania zaufania osoby trzeciej, tym samym powodując szkodę dla prawowitego posiadacza tej tożsamości, można było to uznać, zgodnie z przepisami prawa krajowego, za okoliczności obciążające, o ile okoliczności te nie są już objęte zakresem innych przestępstw karalnych na mocy ustawodawstwa krajowego.