Regolamento (UE) 2025/173

Aggiornamento delle misure restrittive UE contro gli attacchi informatici

Il regolamento di esecuzione (UE) 2025/173 del Consiglio attua il regolamento (UE) 2019/796, che disciplina misure restrittive contro gli attacchi informatici che minacciano l’Unione o i suoi Stati membri. L’intervento si inserisce nel quadro della risposta diplomatica comune dell’Unione alle attività informatiche dolose e mira a rafforzare la prevenzione, la deterrenza e il contrasto di tali condotte.

Finalità e contesto

I considerando richiamano la crescente intensità, frequenza e sofisticatezza delle attività informatiche dolose contro infrastrutture critiche e servizi essenziali, incluse operazioni condotte tramite ransomware e wiper, attacchi alla catena di approvvigionamento e ciberspionaggio. Il Consiglio evidenzia che tali attività rappresentano una minaccia sistemica per la sicurezza, l’economia e la democrazia dell’Unione. In tale contesto, il regolamento aggiorna l’elenco dei soggetti sanzionati per rispondere in modo mirato a minacce informatiche persistenti.

Ambito della modifica normativa

Il provvedimento non istituisce un nuovo regime autonomo, ma modifica l’allegato I del regolamento (UE) 2019/796. La modifica riguarda la sezione dedicata alle persone fisiche, nella quale vengono inseriti tre nuovi nominativi. L’aggiornamento è adottato sulla base dell’articolo 13, paragrafo 1, del regolamento (UE) 2019/796.

Soggetti inseriti nell’elenco

Sono aggiunti tre soggetti:

• Nikolay Alexandrovich Korchagin;
• Vitaly Shevchenko;
• Yuriy Fedorovich Denisov.

Per ciascuno sono riportati nome in alfabeto latino e cirillico, data di nascita, cittadinanza russa, sesso ed entità associata alla direzione principale dello Stato maggiore delle forze armate della Federazione russa (GRU). Le date di inserimento nell’elenco sono tutte il 27 gennaio 2025.

Motivi dell’inserimento e condotta contestata

Le motivazioni comuni evidenziano che i tre soggetti sono coinvolti in attacchi informatici con effetti significativi e ne sono responsabili. In particolare, sono descritti come ufficiali dell’unità militare 29155 della GRU e come partecipi di attività di intelligence dirette contro l’Estonia, con accesso illegale a sistemi informatici e raccolta di dati provenienti da diverse istituzioni.

Le attività descritte miravano a ottenere informazioni che, singolarmente o congiuntamente, permettessero di ricostruire:

• la politica di sicurezza informatica dell’Estonia;
• le capacità informatiche dello Stato;
• dati personali sensibili;
• altri dati sensibili.

Tali azioni avrebbero riguardato anche la conservazione di informazioni classificate e avrebbero interessato alleati e partner dell’Estonia. Il Consiglio qualifica quindi i soggetti come responsabili di attacchi informatici con effetti significativi che costituiscono una minaccia esterna per uno Stato membro.

Entrata in vigore e efficacia

Il regolamento entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell’Unione europea, cioè il 27 gennaio 2025. Come precisato all’articolo 2, esso è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.