Regolamento (UE) 2026/1714

Regolamento di esecuzione (UE) 2026/1714 del Consiglio – aggiornamento delle misure restrittive contro gli attacchi informatici

Il regolamento attua il regolamento (UE) 2019/796, concernente misure restrittive contro gli attacchi informatici che minacciano l’Unione o i suoi Stati membri. La finalità è aggiornare l’elenco soggettivo delle misure restrittive in risposta a nuove attività cyber attribuite a soggetti fisici ed entità ritenuti responsabili o coinvolti in operazioni con effetti significativi.

Quadro normativo e finalità dell’intervento

Il Consiglio richiama il regolamento (UE) 2019/796 e, in particolare, l’articolo 13, paragrafo 1, come base giuridica per l’aggiornamento dell’allegato I. Nei considerando si evidenzia che l’Unione prosegue un’azione duratura, mirata e coordinata contro gli autori di minacce informatiche persistenti e che, alla luce degli elementi disponibili, otto persone fisiche e quattro entità devono essere aggiunte all’elenco sanzionatorio.

Ambito della modifica

L’atto non introduce un nuovo regime sanzionatorio autonomo, ma modifica esclusivamente l’allegato I del regolamento (UE) 2019/796. L’effetto giuridico principale è l’inserimento di nuove voci nelle sezioni:

• A. Persone fisiche
• B. Persone giuridiche, entità e organismi

Persone fisiche inserite nell’elenco

Il regolamento aggiunge otto nominativi, con indicazione di alias, dati anagrafici essenziali, cittadinanza, indirizzi o luoghi di nascita e collegamenti con gruppi o strutture operative.

Tra i casi evidenziati:

• Vitaly Nikolayevich Kovalev è qualificato come figura di alto livello nei programmi malware TrickBot e Conti, con collegamento a Wizard Spider; è ritenuto responsabile o coinvolto in attacchi informatici con effetti significativi che hanno causato rilevanti danni economici nell’Unione.
• Alexander Alexandrovich Volosovik è indicato come proprietario di Media Land LLC, società di bulletproof hosting che avrebbe agevolato ransomware, command and control e phishing contro infrastrutture critiche e servizi essenziali negli Stati membri.
• Denis Olegovich Degtyarenko e Yuliya Vladimirovna Pankratova sono collegati al CARR (Cyber Army of Russia Reborn), gruppo associato al GTsST/GU-GRU, coinvolto in attacchi contro servizi essenziali e infrastrutture critiche; Pankratova è inoltre collegata a Z-Pentest.
• Maksim Evgenevich Voronin e Maksim Aleksandrovich Gordienko sono descritti come coinvolti nello sviluppo, distribuzione e vendita del malware LummaC2, impiegato per sottrarre dati sensibili, credenziali e portafogli di criptovalute.
• Evgeniy Viktorovich Bashev e Roman Alexandrovich Puntus sono collegati all’unità GRU 29155 e a operazioni agevolate tramite società di copertura e infrastrutture tecniche, inclusa la campagna WhisperGate.

Entità inserite nell’elenco

Sono aggiunte quattro entità, con indicazione di indirizzi, dati di registrazione e collegamenti rilevanti.

• Media Land LLC: società di servizi bulletproof hosting che dal 2016 avrebbe agevolato attacchi malware su larga scala, consentendo operazioni di ransomware, comando e controllo e phishing; è collegata, tra l’altro, a LockBit, EvilCorp e BlackBasta.
• ML.Cloud: società consorella di Media Land LLC, indicata come fornitore dell’infrastruttura tecnica per Media Land LLC e quindi come soggetto che fornisce sostegno tecnico per attacchi informatici con effetti significativi.
• “Impuls” LLC: società russa associata a Evgeniy Bashev e alla GRU Unit 29155, descritta come intermediario operativo che ha fornito copertura, infrastrutture, pagamenti e risorse tecniche per attività di pirateria informatica.
• Z-Pentest: gruppo hacktivista filorusso, composto da membri del CARR e di NoName057, attivo contro infrastrutture critiche, in particolare nei settori energetico e idrico; viene richiamato anche un attacco a un’azienda idrica danese nel dicembre 2024.

Effetti giuridici e operatività

L’effetto pratico del regolamento è l’estensione delle misure restrittive già previste dal regolamento (UE) 2019/796 ai nuovi soggetti inseriti in elenco. Per i professionisti, ciò implica la necessità di aggiornare i controlli sanzionatori, le procedure di compliance e le verifiche su controparti, beneficiari effettivi, rapporti contrattuali e flussi finanziari riconducibili ai nominativi e alle entità elencate.

Entrata in vigore

Il regolamento entra in vigore il giorno della sua pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri, senza necessità di recepimento.