Regolamento (UE) 2026/589

Regolamento di esecuzione (UE) 2026/589 del Consiglio: aggiornamento dell'elenco sanzionatorio per attacchi informatici

Il regolamento dà attuazione al regolamento (UE) 2019/796 in materia di misure restrittive contro gli attacchi informatici che minacciano l'Unione o i suoi Stati membri. Il provvedimento interviene sull'allegato I del regolamento base per ampliare l'elenco dei soggetti destinatari delle sanzioni, sulla base della valutazione del Consiglio circa il loro coinvolgimento in attività cyber con effetti significativi.

Base giuridica e contesto

L'atto è adottato dal Consiglio il 16 marzo 2026, richiamando il trattato sul funzionamento dell'Unione europea e, in particolare, l'articolo 13, paragrafo 1, del regolamento (UE) 2019/796. Nei considerando si afferma che, nell'ambito di un'azione dell'Unione duratura, mirata e coordinata contro gli autori di minacce informatiche persistenti, due persone fisiche e tre entità devono essere inserite nell'elenco delle persone fisiche e giuridiche, entità e organismi soggetti a misure restrittive.

Oggetto della modifica normativa

L'articolo 1 dispone la modifica dell'allegato I del regolamento (UE) 2019/796 conformemente all'allegato del regolamento di esecuzione. La tecnica normativa è quindi quella dell'aggiornamento dell'elenco nominativo, senza introdurre una disciplina generale nuova ma incidendo puntualmente sui destinatari delle restrizioni.

Persone fisiche inserite nell'elenco

Tra le persone fisiche aggiunte alla sezione A dell'allegato I figurano:

• Chen Cheng (anche 陈诚), nato il 20 ottobre 1984 a Yancheng, Jiangsu, Cina, cittadino cinese;
• Wu Haibo (anche 吴海波), nato in Cina, cittadino cinese.

Entrambi sono qualificati come uomini d'affari cinesi e cofondatori, nonché direttori generali/operativi di Anxun Information Technology Co. Ltd.. Chen Cheng è inoltre indicato come rappresentante legale della filiale del Sichuan; Wu Haibo come rappresentante legale, presidente e direttore generale della filiale di Shanghai e come rappresentante legale della filiale del Sichuan. Il loro inserimento deriva dal fatto che, nella loro veste dirigenziale, sono ritenuti responsabili o coinvolti in attacchi informatici con effetti significativi contro gli Stati membri e contro Stati terzi.

Entità inserite nell'elenco

Nella sezione B dell'allegato I vengono inserite tre entità:

• Integrity Technology Group (con sede a Pechino, Repubblica popolare cinese), impresa di cibersicurezza;
• Emennet Pasargad (registrata a Teheran, Iran);
• Anxun Information Technology Co. Ltd. (i-Soon), con sede a Shanghai, Repubblica popolare cinese.

Per Integrity Technology Group, il Consiglio sottolinea che i suoi prodotti e infrastrutture commerciali sono stati utilizzati per agevolare la minaccia APT denominata Flax Typhoon, anche per compromettere dispositivi dell'internet delle cose in più Stati membri e in altri paesi. Per Emennet Pasargad, il testo richiama attacchi contro entità negli Stati membri e negli Stati Uniti, compreso il compromesso di un servizio SMS svedese, la sottrazione e messa in vendita di una banca dati di abbonati di Charlie Hebdo, la compromissione di cartelloni pubblicitari durante i Giochi olimpici di Parigi e tentativi di interferenza con le elezioni presidenziali statunitensi del 2020. Per Anxun Information Technology Co. Ltd., l'allegato ribadisce che si tratta di una società che offre servizi di hacking su commissione, ha preso di mira infrastrutture critiche e funzioni statali essenziali di Stati membri, ha avuto accesso a informazioni classificate e le ha vendute, oltre ad avere attaccato governi di Stati terzi.

Effetti giuridici e decorrenza

L'articolo 2 stabilisce che il regolamento entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell'Unione europea. Come di consueto per i regolamenti UE, esso è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Implicazioni operative per i professionisti

Per avvocati e commercialisti il dato principale è l'aggiornamento dell'elenco dei soggetti sanzionati: occorre verificare eventuali rapporti contrattuali, finanziari o operativi con i soggetti inseriti, nonché l'eventuale presenza di asset, pagamenti o servizi riconducibili a tali nomi o alle varianti indicate nell'allegato. La rilevanza pratica discende dalla diretta applicabilità della misura e dalla necessità di adeguare le procedure di due diligence, screening sanzionatorio e compliance nelle relazioni transfrontaliere.