Regolamento (UE) 2025/886

Aggiornamento delle misure restrittive contro gli attacchi informatici

Il regolamento di esecuzione (UE) 2025/886 del Consiglio attua il regolamento (UE) 2019/796, che istituisce misure restrittive contro gli attacchi informatici che minacciano l’Unione o i suoi Stati membri. Il provvedimento non crea un nuovo regime sanzionatorio, ma aggiorna l’elenco di cui all’allegato I del regolamento di base, sulla base del riesame periodico effettuato dal Consiglio.

Ambito della modifica normativa

L’intervento riguarda esclusivamente l’allegato I del regolamento (UE) 2019/796, nella sottorubrica "A. Persone fisiche". In particolare, sono sostituite le voci da 3 a 8, con conseguente aggiornamento delle motivazioni di inserimento nell’elenco per sei persone fisiche già sanzionate.

Contesto e motivazione dell’aggiornamento

Dai considerando emerge che il Consiglio ha riesaminato l’elenco delle persone fisiche, giuridiche, entità e organismi soggetti a misure restrittive. A seguito di tale verifica, è stato ritenuto opportuno aggiornare le motivazioni relative a sei persone, in ragione del loro coinvolgimento in attacchi informatici con effetti significativi o potenzialmente significativi. Il regolamento di esecuzione dà quindi attuazione materiale a tale aggiornamento mediante la sostituzione delle corrispondenti voci dell’allegato.

Soggetti interessati e contenuto delle motivazioni

Le sei persone oggetto di sostituzione sono:

• Alexey Valeryevich Minin;
• Aleksei Sergeyvich Morenets;
• Evgenii Mikhaylovich Serebriakov;
• Oleg Mikhaylovich Sotnikov;
• Dmitry Sergeyevich Badin;
• Igor Olegovich Kostyukov.

Per i primi quattro soggetti, le motivazioni richiamano la partecipazione al tentativo di attacco informatico contro la rete Wi-Fi dell’Organizzazione per la proibizione delle armi chimiche (OPCW) all’Aia nell’aprile 2018, operazione sventata dai servizi olandesi, e il coinvolgimento in attacchi informatici con effetti significativi contro Stati terzi. Per Alexey Minin, Aleksei Morenets e Oleg Sotnikov è altresì menzionata l’accusa formulata da un grand jury nel distretto occidentale della Pennsylvania per pirateria informatica, frode telematica, furto aggravato d’identità e riciclaggio.

Per Evgenii Serebriakov, oltre al ruolo nel tentativo di attacco contro l’OPCW, è indicato che dalla primavera del 2022 egli guida “Sandworm” (anche noto come “Sandworm Team”, “BlackEnergy Group”, “Voodoo Bear”, “Quedagh”, “Olympic Destroyer” e “Telebots”), gruppo affiliato all’unità 74455 del GRU, autore di attacchi contro l’Ucraina, inclusi organismi pubblici ucraini, nel contesto della guerra di aggressione russa.

Per Dmitry Badin, la motivazione fa riferimento all’attacco informatico contro il parlamento federale tedesco tra aprile e maggio 2015, che ha compromesso il funzionamento del sistema informatico per diversi giorni, con sottrazione di un ingente volume di dati e violazione di account di posta elettronica di parlamentari e dell’ex cancelliera Angela Merkel.

Per Igor Kostyukov, capo del GU/GRU, la motivazione evidenzia la sua responsabilità per gli attacchi informatici condotti dal GTsSS, tra cui l’attacco al Bundestag tedesco e il tentativo di intrusione contro l’OPCW. La qualificazione complessiva resta quella di coinvolgimento in attacchi informatici con effetti significativi, inclusi tentativi con effetti potenzialmente significativi, costituenti minaccia esterna per l’Unione o i suoi Stati membri.

Effetti giuridici e decorrenza

L’articolo 2 stabilisce che il regolamento entra in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Il testo ribadisce inoltre la formula tipica degli atti regolamentari dell’Unione: obbligatorietà in tutti i suoi elementi e diretta applicabilità in ciascuno degli Stati membri.

Nota operativa per i professionisti

Per gli operatori giuridici e compliance, il documento rileva come aggiornamento puntuale di un elenco sanzionatorio già esistente: occorre verificare l’impatto delle nuove motivazioni di iscrizione, nonché l’eventuale permanenza di obblighi di congelamento di fondi e risorse economiche o di divieti connessi previsti dal regolamento (UE) 2019/796 per i soggetti elencati. Il regolamento 2025/886 non disciplina nuove procedure o deroghe, ma rafforza l’attualità dell’elenco sanzionatorio relativo ai cyber-attacchi.