Regolamento (UE) 2026/1078

Aggiornamento delle misure restrittive UE contro gli attacchi informatici

Il regolamento di esecuzione (UE) 2026/1078 del Consiglio attua il regolamento (UE) 2019/796, che disciplina le misure restrittive dell'Unione contro gli attacchi informatici che minacciano l'Unione o i suoi Stati membri. Il provvedimento nasce dal riesame periodico dell'elenco di cui all'allegato I e serve ad aggiornare le motivazioni di inserimento di alcune persone fisiche e di un'entità già sottoposte a sanzioni.

Base giuridica e finalità

Il Consiglio adotta il regolamento richiamando il regolamento (UE) 2019/796, in particolare l'articolo 13. Dai considerando emerge che l'obiettivo non è introdurre un nuovo regime sanzionatorio, ma adeguare l'elenco alle risultanze del riesame, confermando la rilevanza delle condotte cyber imputate ai soggetti interessati. L'aggiornamento riguarda sia soggetti collegati alla campagna "Operation Cloud Hopper" e ad APT10, sia soggetti connessi al gruppo "Wizard Spider".

Modifica dell'allegato I: persone fisiche

Nella sezione "A. Persone fisiche" dell'allegato I sono sostituite le voci 1, 2, 13 e 14.

• Gao Qiang: indicato come collegato ad APT10 e coinvolto nella campagna "Operation Cloud Hopper". La motivazione descrive una serie di attacchi informatici con effetti significativi provenienti dall'esterno dell'Unione, diretti contro sistemi di imprese multinazionali in sei continenti, comprese imprese situate nell'Unione, con accesso non autorizzato a dati commercialmente sensibili e conseguenti perdite economiche significative. È inoltre richiamato il suo collegamento all'infrastruttura di comando e controllo di APT10 e l'occupazione presso Huaying Haitai.
• Zhang Shilong: anch'egli collegato ad APT10 e alla campagna "Operation Cloud Hopper". Il testo aggiunge che è associato ad APT10 anche attraverso malware da lui sviluppato e testato in relazione agli attacchi, nonché tramite il suo impiego presso Huaying Haitai.
• Mikhail Mikhailovich Tsarev: risulta coinvolto in attacchi informatici con effetti significativi che costituiscono una minaccia esterna per gli Stati membri dell'UE. È descritto come figura chiave nell'impiego dei malware "Conti" e "Trickbot" e come membro del gruppo di minaccia "Wizard Spider", attivo in Russia e responsabile di campagne ransomware in diversi settori, inclusi sanità e settore bancario.
• Maksim Sergeevich Galochkin: anch'egli collegato a "Wizard Spider" e ai malware "TrickBot" e "Conti". Il testo evidenzia il suo ruolo chiave nello sviluppo e nei test del malware TrickBot e la responsabilità del gruppo per rilevanti danni economici nell'Unione.

Per Tsarev e Galochkin è indicata come data di inserimento nell'elenco il 24 giugno 2024; per Gao Qiang e Zhang Shilong il 30 luglio 2020.

Modifica dell'allegato I: persona giuridica / entità

Nella sezione "B. Persone giuridiche, entità e organismi" è sostituita la voce 1, relativa a Tianjin Huaying Haitai Science and Technology Development Co. Ltd (Huaying Haitai).

La società è descritta come soggetto che ha fornito sostegno finanziario, tecnico o materiale e ha agevolato la campagna "Operation Cloud Hopper". Il considerando sostanziale richiama gli stessi elementi già valorizzati per le persone fisiche: attacchi informatici con effetti significativi, origine esterna rispetto all'Unione, impatto su imprese multinazionali anche stabilite nell'Unione, accesso non autorizzato a dati sensibili e perdite economiche significative. Huaying Haitai è inoltre indicata come collegata ad APT10 e associata a Gao Qiang e Zhang Shilong.

Entrata in vigore ed efficacia

L'articolo 2 prevede che il regolamento entri in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. Il testo ribadisce la piena vincolatività del regolamento in tutti i suoi elementi e la sua diretta applicabilità in ciascuno Stato membro.

Effetti pratici per gli operatori

Per i professionisti il dato rilevante è che il regolamento non modifica il quadro generale delle misure restrittive, ma aggiorna la platea dei soggetti già designati. In concreto, gli operatori che applicano controlli sanzionatori, due diligence, screening controparti e presidi di compliance devono considerare le voci sostituite nell'allegato I del regolamento (UE) 2019/796 come aggiornate dalla nuova disciplina.