Regolamento (UE) 2020/1125

Regolamento di esecuzione (UE) 2020/1125 del Consiglio

Il regolamento dà attuazione al regolamento (UE) 2019/796, che istituisce misure restrittive contro gli attacchi informatici che minacciano l’Unione o i suoi Stati membri. L’intervento normativo si colloca nel quadro della risposta diplomatica comune dell’Unione alle attività informatiche dolose e aggiorna l’elenco dei soggetti sanzionati alla luce di episodi di cyberattacco considerati di particolare gravità.

Finalità e contesto politico-sanzionatorio

I considerando richiamano il ruolo delle misure restrittive mirate come strumento fondamentale per prevenire, scoraggiare e contrastare comportamenti dolosi nel ciberspazio. Il testo richiama in particolare le conclusioni del Consiglio del 16 aprile 2018, la dichiarazione del 4 ottobre 2018 relativa al tentativo di attacco contro l’OPCW nei Paesi Bassi e la dichiarazione dell’alto rappresentante del 12 aprile 2019 contro attività informatiche dolose, inclusi i furti di proprietà intellettuale favoriti dall’informatica.

Ambito delle misure e tipologia di condotte rilevanti

Il regolamento conferma che le misure restrittive possono colpire attacchi informatici con effetti significativi provenienti dall’esterno dell’Unione e costituenti una minaccia esterna per l’Unione o i suoi Stati membri. I considerando precisano anche che tali misure possono essere applicate, ove necessario per il conseguimento degli obiettivi della PESC di cui all’articolo 21 TUE, a fronte di attacchi con effetti significativi contro Stati terzi o organizzazioni internazionali.

Modifica dell’allegato I del regolamento (UE) 2019/796

L’articolo 1 dispone la modifica dell’allegato I del regolamento base mediante l’inserimento di nuovi soggetti nell’elenco delle persone fisiche e giuridiche, entità e organismi sottoposti a misure restrittive. L’atto non introduce una disciplina autonoma delle sanzioni, ma opera come aggiornamento puntuale dell’elenco esistente.

Soggetti inseriti: persone fisiche

Sono aggiunte sei persone fisiche. Gao Qiang e Zhang Shilong sono collegati alla campagna "Operation Cloud Hopper", attribuita al soggetto noto come "APT10" (anche "Red Apollo", "CVNX", "Stone Panda", "MenuPass" e "Potassium"); il testo sottolinea il ruolo della campagna nell’aver preso di mira sistemi informativi di imprese multinazionali in sei continenti, incluse imprese nell’Unione, con accesso non autorizzato a dati sensibili e perdite economiche significative.

Alexey Valeryevich Minin, Aleksei Sergeyvich Morenets, Evgenii Mikhaylovich Serebriakov e Oleg Mikhaylovich Sotnikov sono inseriti per aver partecipato al tentativo di attacco informatico contro l’OPCW all’Aia nell’aprile 2018. Il testo li qualifica come membri di una squadra della direzione principale dello Stato maggiore delle forze armate della Federazione russa (GU/GRU), con ruoli di supporto o operativi, e precisa che il tentativo mirava a un accesso abusivo alla rete Wi‑Fi dell’OPCW, potenzialmente idoneo a compromettere la sicurezza della rete e l’attività investigativa in corso.

Soggetti inseriti: persone giuridiche, entità e organismi

Huaying Haitai (Tianjin Huaying Haitai Science and Technology Development Co. Ltd) è inserita perché avrebbe fornito sostegno finanziario, tecnico o materiale e agevolato la campagna "Operation Cloud Hopper"; il testo evidenzia inoltre il collegamento con Gao Qiang e Zhang Shilong, da essa impiegati.

Chosun Expo è inserita per il sostegno e l’agevolazione di una serie di attacchi informatici con effetti significativi, tra cui "WannaCry", gli attacchi contro l’autorità di vigilanza finanziaria polacca e Sony Pictures Entertainment, nonché il furto informatico alla Bangladesh Bank e il tentato furto alla Vietnam Tien Phong Bank. Il considerando descrive "WannaCry" come attacco ransomware che ha compromesso sistemi informatici in più parti del mondo, inclusa l’Unione, ed è attribuito ad "APT38" o "Lazarus Group".

Il Centro principale per le tecnologie speciali (GTsST), direzione principale dello Stato maggiore delle forze armate della Federazione russa, noto anche come unità 74455, è inserito perché ritenuto responsabile di attacchi con effetti significativi, tra cui "NotPetya"/"EternalPetya" del giugno 2017 e gli attacchi alla rete elettrica ucraina dell’inverno 2015-2016. Il testo collega inoltre tale centro al soggetto "Sandworm" (anche "Sandworm Team", "BlackEnergy Group", "Voodoo Bear", "Quedagh", "Olympic Destoyer" e Telebot).

Decorrenza e vincolatività

L’articolo 2 prevede l’entrata in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell’Unione europea. Il regolamento è espressamente qualificato come obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.