Regolamento (UE) 2020/1744

Regolamento di esecuzione (UE) 2020/1744 del Consiglio

Il regolamento si inserisce nel quadro delle misure restrittive dell’Unione contro gli attacchi informatici disciplinate dal regolamento (UE) 2019/796. Il suo scopo è aggiornare l’elenco dei soggetti sanzionati, alla luce di informazioni aggiornate relative a due persone fisiche già colpite dal regime restrittivo, con riferimento alla campagna "Operation Cloud Hopper".

Ambito di applicazione

L’atto non istituisce un nuovo regime sanzionatorio, ma modifica l’allegato I del regolamento (UE) 2019/796, che contiene l’elenco delle persone fisiche, giuridiche, entità e organismi soggetti a misure restrittive. Nel caso specifico, l’intervento riguarda la sottorubrica "A. Persone fisiche" e sostituisce le voci n. 1 e n. 2. L’effetto è immediato nell’ordinamento degli Stati membri, in quanto il regolamento è direttamente applicabile.

Contesto normativo e considerandi

Il Consiglio ricorda che il regolamento (UE) 2019/796 è stato adottato il 17 maggio 2019 e che, successivamente, il regolamento di esecuzione (UE) 2020/1125 aveva già aggiunto sei persone fisiche e tre entità o organismi all’allegato I. Il presente atto è adottato perché sono state ricevute informazioni aggiornate per due voci dell’elenco, rendendo necessario un ulteriore adeguamento dell’allegato.

Modifica dell’elenco delle persone fisiche

L’articolo 1 sostituisce le voci 1 e 2 dell’allegato I del regolamento (UE) 2019/796 con nuove schede relative a:

• Gao Qiang, nato il 4 ottobre 1983, cittadino cinese, con indirizzo a Tianjin;
• Zhang Shilong, nato il 10 settembre 1981, cittadino cinese, con indirizzo a Tianjin.

Per entrambi è ribadito il collegamento con la campagna "Operation Cloud Hopper", descritta come una serie di attacchi informatici con effetti significativi, proveniente dall’esterno dell’Unione e idonea a costituire una minaccia esterna per l’Unione o i suoi Stati membri, oltre che una serie di attacchi con effetti significativi nei confronti di Stati terzi.

Motivazioni sostanziali dell’inserimento

La campagna "Operation Cloud Hopper" ha preso di mira i sistemi informativi di imprese multinazionali in sei continenti, comprese imprese situate nell’Unione, con accesso non autorizzato a dati sensibili sotto il profilo commerciale e conseguenti perdite economiche significative. Il testo indica che la campagna è stata condotta dal soggetto noto pubblicamente come "APT10" (anche "Red Apollo", "CVNX", "Stone Panda", "MenuPass" e "Potassium").

Per Gao Qiang, il regolamento sottolinea il collegamento con APT10 attraverso l’associazione con l’infrastruttura di comando e controllo del gruppo, nonché il rapporto con Huaying Haitai, entità già designata per avere fornito sostegno e agevolato la campagna, e con Zhang Shilong.

Per Zhang Shilong, il collegamento con APT10 è motivato anche dal malware sviluppato e testato in relazione agli attacchi condotti dal gruppo, oltre che dai legami con Huaying Haitai e con Gao Qiang.

Entrata in vigore

L’articolo 2 prevede che il regolamento entri in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Viene inoltre ribadita la formula standard di efficacia: il regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.