Regolamento (UE) 2020/1536

Modifica dell’elenco sanzionatorio per attacchi informatici

Il regolamento di esecuzione (UE) 2020/1536 dà attuazione al regolamento (UE) 2019/796 in materia di misure restrittive contro gli attacchi informatici che minacciano l’Unione o i suoi Stati membri. Il considerando evidenzia che tali misure rientrano nel quadro della risposta diplomatica comune dell’UE alle attività informatiche dolose e che la loro finalità è prevenire, scoraggiare e contrastare il persistere di tali condotte.

Finalità e contesto

Il provvedimento interviene per aggiornare l’allegato I del regolamento (UE) 2019/796, inserendo soggetti ritenuti responsabili o coinvolti in attacchi informatici con effetti significativi e con carattere di minaccia esterna per l’Unione o per i suoi Stati membri. Il richiamo del preambolo all’attacco contro il parlamento federale tedesco (Deutscher Bundestag) tra aprile e maggio 2015 costituisce il principale fatto storico posto a base dell’iscrizione.

Ambito soggettivo e oggettivo

L’atto non introduce un nuovo regime sostanziale di sanzioni, ma modifica un elenco già esistente. L’effetto è quello di assoggettare ai vincoli previsti dal regolamento (UE) 2019/796 due persone fisiche e un organismo, identificati nell’allegato del presente regolamento. L’ambito materiale resta circoscritto agli attacchi informatici con effetti significativi che costituiscono una minaccia esterna per l’Unione o i suoi Stati membri.

Soggetti inseriti nell’allegato

Sono aggiunte all’elenco:

• Dmitry Sergeyevich Badin, indicato come partecipante a un attacco informatico contro il Bundestag e descritto come agente dell’intelligence militare dell’85° GTsSS/GU-GRU;
• Igor Olegovich Kostyukov, capo della direzione principale dello Stato maggiore delle forze armate della Federazione russa (GU/GRU), ritenuto responsabile degli attacchi condotti dall’85° GTsSS, inclusi quelli contro il Bundestag e il tentativo di accesso abusivo alla rete Wi‑Fi dell’OPCW nell’aprile 2018;
• l’85° Centro principale per i servizi speciali (GTsSS), direzione principale dello Stato maggiore delle forze armate della Federazione russa (GU/GRU), anche noto come unità militare 26165 e con gli alias APT28, Fancy Bear, Sofacy Group, Pawn Storm, Strontium.

Contenuto delle motivazioni

Le motivazioni richiamano, per i soggetti interessati, la partecipazione o la responsabilità per attacchi informatici con effetti significativi. Per il Bundestag tedesco viene precisato che l’attacco ha compromesso il sistema informatico del parlamento per diversi giorni, causando la sottrazione di un ingente volume di dati e la violazione di account di posta elettronica di diversi parlamentari, nonché della Cancelliera Angela Merkel. Per Kostyukov e per il GTsSS viene inoltre indicato il tentativo di attacco alla rete Wi‑Fi dell’OPCW nei Paesi Bassi nell’aprile 2018.

Entrata in vigore e effetti giuridici

Il regolamento entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell’Unione europea, ossia il 22 ottobre 2020. È espressamente qualificato come obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri, con conseguente efficacia immediata nell’ordinamento interno senza necessità di recepimento.