Regolamento (UE) 2019/796

Regolamento (UE) 2019/796 del Consiglio: misure restrittive contro gli attacchi informatici che minacciano l'Unione o i suoi Stati membri

Il regolamento attua, sul piano dell'Unione, il quadro di misure restrittive mirate istituito dalla decisione (PESC) 2019/797 del 17 maggio 2019. La finalità è scoraggiare e rispondere ad attacchi informatici con effetti significativi, considerati minaccia esterna per l'Unione o per gli Stati membri, nel rispetto dei diritti fondamentali e della protezione dei dati personali.

Finalità e contesto normativo

Il provvedimento si inserisce nel solco delle conclusioni del Consiglio europeo e del Consiglio che sollecitavano un rafforzamento della capacità dell'Unione di prevenire e reagire agli attacchi informatici mediante sanzioni mirate. Il regolamento, fondato sull'articolo 215 TFUE e collegato a un atto PESC, ha funzione attuativa: rende operativo, sul piano delle misure economiche, l'inserimento in elenco dei soggetti responsabili o associati agli attacchi.

Ambito di applicazione e nozione di attacco informatico

L'articolo 1 delimita il campo di applicazione agli attacchi informatici con effetti significativi, compresi i tentativi potenzialmente significativi. Sono rilevanti gli attacchi provenienti dall'esterno dell'Unione, quelli che usano infrastrutture esterne, quelli compiuti da soggetti stabiliti o operanti fuori dall'Unione e quelli che agiscono sotto sostegno, direzione o controllo di soggetti esterni. La nozione di attacco comprende accesso, interferenza in sistemi o dati e intercettazione di dati non autorizzati.

Il regolamento considera altresì le minacce rivolte a infrastrutture critiche, settori essenziali, funzioni statali essenziali, informazioni classificate e squadre di pronto intervento governative. Per l'Unione, sono coperti gli attacchi contro istituzioni, organi, organismi, delegazioni, missioni PSDC e rappresentanti speciali. In presenza di esigenze di PESC, le misure possono essere adottate anche in risposta ad attacchi contro Stati terzi o organizzazioni internazionali.

Criteri di valutazione della significatività

L'articolo 2 elenca una serie di indici per valutare se l'attacco produca effetti significativi. Tra questi figurano la portata e la gravità delle turbative, il numero di soggetti e di Stati membri coinvolti, la perdita economica, il vantaggio economico ottenuto dagli autori, la quantità e la natura dei dati sottratti o violati, nonché la sensibilità commerciale dei dati accessibili.

Misure restrittive: congelamento dei beni e divieto di messa a disposizione

Il cuore del regolamento è l'articolo 3. Tutti i fondi e le risorse economiche appartenenti, posseduti, detenuti o controllati dai soggetti elencati nell'allegato I sono congelati. È inoltre vietato mettere, direttamente o indirettamente, fondi o risorse economiche a disposizione di tali soggetti o a loro vantaggio.

L'allegato I include: i responsabili di attacchi o tentativi di attacco; i soggetti che forniscono sostegno finanziario, tecnico o materiale; e coloro che comunque partecipano, pianificano, preparano, dirigono, assistono, incoraggiano o agevolano gli attacchi, oltre ai soggetti associati a tali persone o entità.

Deroghe autorizzative

Il regolamento prevede deroghe puntuali, soggette ad autorizzazione delle autorità competenti degli Stati membri.

Esigenze di base, spese legali e spese di gestione

Ai sensi dell'articolo 4, possono essere autorizzati svincoli o disponibilità di fondi congelati per:

• esigenze di base del soggetto inserito e dei familiari a carico, inclusi alimenti, locazioni o ipoteche, medicinali, cure mediche, imposte, assicurazioni e utenze;
• onorari ragionevoli o rimborso di spese legali;
• spese per la normale gestione o custodia dei fondi/risorse congelati;
• spese straordinarie, previa notifica almeno due settimane prima a Commissione e altri Stati membri;
• pagamenti verso o da conti di missioni diplomatiche o consolari o di organizzazioni internazionali immuni, se per fini ufficiali.

Lo Stato membro che concede l'autorizzazione deve informare gli altri Stati membri e la Commissione entro due settimane.

Decisioni giudiziarie, arbitrali o amministrative

L'articolo 5 consente lo svincolo quando i fondi siano oggetto di una decisione arbitrale anteriore all'inserimento in elenco, o di una decisione giudiziaria/amministrativa emessa nell'Unione, o di una decisione giudiziaria esecutiva nello Stato membro interessato. La deroga vale solo se i fondi servono a soddisfare crediti riconosciuti dalla decisione, la decisione non avvantaggia soggetti elencati e il suo riconoscimento non contrasta con l'ordine pubblico.

Obbligazioni pregresse

L'articolo 6 riguarda i pagamenti dovuti in forza di contratti o obbligazioni sorti prima dell'inserimento in elenco. L'autorità competente può autorizzare lo svincolo di fondi congelati se il pagamento è dovuto da un soggetto elencato e non viola il divieto di messa a disposizione. Anche qui è prevista comunicazione entro due settimane.

Accrediti su conti congelati

L'articolo 7 chiarisce che i conti congelati possono essere accreditati con fondi trasferiti da terzi, purché tali somme restino congelate; l'ente finanziario o creditizio deve avvisare senza indugio l'autorità competente. Sono inoltre ammessi l'accredito di interessi o altri profitti, nonché i pagamenti dovuti da contratti o decisioni anteriori, purché anch'essi restino soggetti al congelamento.

Obblighi di informazione, cooperazione e contrasto all'elusione

L'articolo 8 impone a persone, entità e organismi di fornire immediatamente informazioni utili all'applicazione del regolamento, comprese quelle sui conti e sugli importi congelati, e di collaborare con l'autorità competente. Tali informazioni devono essere trasmesse anche alla Commissione e possono essere utilizzate solo per lo scopo per cui sono state fornite.

L'articolo 12 prevede uno scambio costante di informazioni tra Commissione e Stati membri, in particolare su fondi congelati, autorizzazioni concesse, problemi applicativi, violazioni e sentenze nazionali. L'articolo 9 vieta espressamente ogni partecipazione consapevole e deliberata a operazioni di elusione delle misure restrittive.

Responsabilità e tutela delle pretese contrattuali

L'articolo 10 protegge chi agisca in buona fede nel congelare fondi o nel rifiutarne la disponibilità, escludendo la responsabilità salvo negligenza. La stessa norma esonera da responsabilità chi non sapesse e non avesse motivo ragionevole di sospettare che la propria azione avrebbe violato il regolamento.

L'articolo 11 disciplina il trattamento delle richieste connesse a contratti o operazioni incise dalle misure restrittive: tali richieste non sono soddisfatte se presentate dai soggetti designati o da chi agisce per loro conto. L'onere di dimostrare la liceità della pretesa grava su chi la formula. Resta salvo il controllo giurisdizionale sulla legittimità dell'inadempimento contrattuale.

Designazione, riesame degli elenchi e garanzie procedurali

L'articolo 13 attribuisce al Consiglio il potere di aggiornare l'allegato I quando decide di applicare le misure restrittive a un soggetto. Il Consiglio deve comunicare la decisione e i motivi dell'inserimento, consentendo osservazioni; in presenza di osservazioni o nuove prove sostanziali, deve riesaminare la decisione. L'elenco è riesaminato periodicamente e almeno ogni 12 mesi. La Commissione può modificare l'allegato II sulla base delle informazioni degli Stati membri.

L'articolo 14 richiede che l'allegato I contenga i motivi dell'inserimento e, ove disponibili, dati identificativi dei soggetti elencati, con indicazioni specifiche per persone fisiche e persone giuridiche/enti/organismi.

Sanzioni nazionali, autorità competenti e dati personali

L'articolo 15 impone agli Stati membri di adottare sanzioni per le violazioni del regolamento e le misure necessarie per assicurarne l'attuazione; le sanzioni devono essere effettive, proporzionate e dissuasive. Gli Stati membri devono comunicarle alla Commissione senza indugio e notificare ogni modifica successiva.

L'articolo 16 disciplina il trattamento dei dati personali da parte della Commissione per l'esecuzione dei propri compiti, inclusa l'inclusione dei nominativi nell'elenco consolidato e nella mappa interattiva delle sanzioni, nonché il trattamento di dati relativi all'impatto delle misure. Il regolamento richiama espressamente il rispetto del regolamento (UE) 2016/679 e del regolamento (UE) 2018/1725.

Autorità competenti, comunicazioni e applicazione territoriale

L'articolo 17 obbliga gli Stati membri a designare le autorità competenti e a renderle consultabili sui siti web indicati nell'allegato II, comunicando alla Commissione gli estremi degli uffici e ogni successiva modifica. Le notifiche e le comunicazioni alla Commissione devono essere indirizzate secondo quanto indicato nell'allegato II.

L'articolo 18 estende l'applicazione del regolamento al territorio dell'Unione, agli aeromobili e natanti sotto giurisdizione di uno Stato membro, ai cittadini dell'Unione ovunque si trovino, alle persone giuridiche costituite o registrate secondo il diritto di uno Stato membro ovunque situate e alle attività economiche svolte, in tutto o in parte, nell'Unione.

Entrata in vigore

L'articolo 19 stabilisce che il regolamento entra in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea ed è direttamente applicabile in tutti gli Stati membri.