Regolamento (UE) 2024/1390

Aggiornamento dell’elenco sanzionatorio UE contro gli attacchi informatici

Il regolamento di esecuzione (UE) 2024/1390 del Consiglio attua il regolamento (UE) 2019/796, che istituisce misure restrittive contro gli attacchi informatici che minacciano l’Unione o i suoi Stati membri. L’intervento normativo risponde, secondo i considerando, al permanere e all’aumento di comportamenti dolosi nel ciberspazio, anche diretti contro Stati terzi, e mira ad aggiornare i motivi di iscrizione di soggetti già inseriti nell’elenco sanzionatorio.

Finalità e contesto normativo

Il regolamento si fonda sull’articolo 13, paragrafo 1, del regolamento (UE) 2019/796 e su proposta dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza. Il considerando centrale sottolinea che è opportuno aggiornare i motivi di inserimento di sei persone e due entità presenti nell’allegato I del regolamento del 2019, in ragione di attacchi informatici significativi attribuiti a strutture della Federazione russa.

Modifica dell’allegato I del regolamento (UE) 2019/796

L’unica modifica sostanziale apportata dal regolamento consiste nell’aggiornamento dell’allegato I del regolamento (UE) 2019/796. L’articolo 1 rinvia all’allegato del regolamento di esecuzione, che sostituisce i motivi e, in taluni casi, le informazioni identificative delle persone e degli enti elencati.

Persone fisiche inserite o riformulate nell’elenco

Nella sezione A dell’allegato I, le voci da 3 a 8 sono sostituite. I soggetti interessati sono:

• Alexey Valeryevich Minin;
• Aleksei Sergeyvich Morenets;
• Evgenii Mikhaylovich Serebriakov;
• Oleg Mikhaylovich Sotnikov;
• Dmitry Sergeyevich Badin;
• Igor Olegovich Kostyukov.

Per i primi quattro soggetti, il motivo dell’inserimento è il coinvolgimento nel tentativo di accesso non autorizzato alla rete Wi-Fi dell’Organizzazione per la proibizione delle armi chimiche (OPCW) all’Aia nell’aprile 2018, operazione attribuita a una squadra del GU/GRU. Il tentativo è descritto come idoneo, se riuscito, a compromettere la sicurezza della rete e le attività investigative dell’OPCW; il tentativo fu sventato dal servizio di intelligence e sicurezza militare olandese. Per ciascuno di essi è inoltre richiamata l’accusa formulata da un grand jury nel distretto occidentale della Pennsylvania per pirateria informatica, frode telematica, furto aggravato d’identità e riciclaggio.

Per Dmitry Sergeyevich Badin, la motivazione è il suo coinvolgimento nell’attacco informatico contro il parlamento federale tedesco tra aprile e maggio 2015, che compromisse il funzionamento del sistema informatico parlamentare per diversi giorni, con sottrazione di un ingente volume di dati e violazione di account di posta elettronica, incluso quello dell’ex cancelliera Angela Merkel.

Per Igor Olegovich Kostyukov, capo del GU/GRU, la motivazione richiama la responsabilità di vertice per gli attacchi informatici condotti dal GTsSS, compresi quelli con effetti significativi che costituiscono una minaccia esterna per l’Unione o i suoi Stati membri. È espressamente menzionata la sua responsabilità per gli attacchi contro il Bundestag e per il tentativo contro la rete Wi-Fi dell’OPCW.

Entità e organismi inseriti nell’elenco

Nella sezione B dell’allegato I, le voci 3 e 4 sono sostituite. I due soggetti sono:

• il Main Centre for Special Technologies (GTsST) del GU/GRU, con sede a Mosca;
• l’85th Main Centre for Special Services (GTsSS) del GU/GRU, anch’esso con sede a Mosca.

Il GTsST è descritto come coinvolto in attacchi informatici con effetti significativi provenienti dall’esterno dell’Unione e costituenti una minaccia esterna per l’Unione o i suoi Stati membri, nonché in attacchi verso Stati terzi. Sono richiamati in particolare NotPetya/EternalPetya del giugno 2017 e gli attacchi alla rete elettrica ucraina nell’inverno 2015-2016. Il testo evidenzia che NotPetya/EternalPetya rese inaccessibili dati di numerose imprese nell’Unione, in Europa e nel resto del mondo, causando anche perdite economiche significative.

Il GTsSS è qualificato come coinvolto in attacchi informatici significativi contro l’Unione, i suoi Stati membri e Stati terzi. La motivazione richiama l’attacco al Bundestag e il tentativo contro l’OPCW, oltre ad attacchi, successivi alla guerra di aggressione della Russia contro l’Ucraina, realizzati mediante phishing mirato e malware ai danni dell’Ucraina.

Entrata in vigore ed effetti

L’articolo 2 stabilisce che il regolamento entra in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. L’atto è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri, senza necessità di recepimento nazionale.

Implicazioni pratiche per i professionisti

Per avvocati e commercialisti, il rilievo principale del regolamento è l’aggiornamento dell’elenco dei destinatari delle misure restrittive UE nel settore cyber. Il controllo di compliance deve quindi tenere conto della nuova formulazione delle motivazioni di inserimento, utile ai fini di verifiche su controparti, beneficiari effettivi, pagamenti, rapporti contrattuali e attività di screening sanzionatorio nel perimetro del regolamento (UE) 2019/796.