17.5.2019

Gazzetta ufficiale dell'Unione europea

LI 129/1

REGOLAMENTO (UE) 2019/796 DEL CONSIGLIO

del 17 maggio 2019

concernente misure restrittive contro gli attacchi informatici che minacciano l'Unione o i suoi Stati membri

IL CONSIGLIO DELL'UNIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 215,

vista la decisione (PESC) 2019/797 del Consiglio, del 17 maggio 2019, concernente misure restrittive contro gli attacchi informatici che minacciano l'Unione o i suoi Stati membri (1),

vista la proposta congiunta dell'alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza e della Commissione europea,

considerando quanto segue:

(1)	Il 18 ottobre 2018 il Consiglio europeo, facendo seguito alle conclusioni del Consiglio del 19 giugno 2017, ha adottato conclusioni in cui si chiedeva di portare avanti i lavori sulla capacità di scoraggiare gli attacchi informatici e di rispondervi attraverso misure restrittive dell'Unione.

(2)

Il 17 maggio 2019 il Consiglio ha adottato la decisione (PESC) 2019/797. La decisione (PESC) 2019/797 istituisce un quadro per misure restrittive mirate volte a scoraggiarere e rispondere agli attacchi informatici con effetti significativi, che costituiscono una minaccia esterna per l'Unione o i suoi Stati membri. Le persone, le entità e gli organismi oggetto di misure restrittive sono elencati nell'allegato di tale decisione.

(3)

Il presente regolamento rispetta i diritti fondamentali e osserva i principi riconosciuti dalla Carta dei diritti fondamentali dell'Unione europea, in particolare il diritto a un ricorso effettivo e a un giudice imparziale e il diritto alla protezione dei dati personali. Il presente regolamento dovrebbe essere applicato conformemente a tali diritti.

(4)	Il potere di redigere e modificare l'elenco di cui all'allegato I del presente regolamento dovrebbe essere esercitato dal Consiglio per garantire la coerenza con la procedura di redazione, modifica e revisione dell'allegato della decisione (PESC) 2019/797.

(5)

Ai fini dell'attuazione del presente regolamento e per garantire la massima certezza giuridica all'interno dell'Unione, dovrebbero essere pubblicati i nomi e gli altri dati pertinenti relativi alle persone fisiche e giuridiche, alle entità e agli organismi i cui fondi e le cui risorse economiche devono essere congelati a norma del presente regolamento. Qualsiasi trattamento di dati personali dovrebbe essere conforme ai regolamenti (UE) 2016/679 (2) e (UE) 2018/1725 (3) del Parlamento europeo e del Consiglio.

(6)	Gli Stati membri e la Commissione dovrebbero informarsi reciprocamente delle misure adottate ai sensi del presente regolamento e comunicarsi ogni altra informazione pertinente in loro possesso relativa al presente regolamento.

(7)	Gli Stati membri dovrebbero stabilire norme sulle sanzioni applicabili in caso di violazioni delle disposizioni del presente regolamento e garantirne l'attuazione. Tali sanzioni dovrebbero essere effettive, proporzionate e dissuasive,

HA ADOTTATO IL PRESENTE REGOLAMENTO:

Articolo 1

1. Il presente regolamento si applica agli attacchi informatici con effetti significativi, inclusi i tentati attacchi informatici con effetti potenzialmente significativi, che costituiscono una minaccia esterna per l'Unione o i suoi Stati membri.

2. Gli attacchi informatici che costituiscono una minaccia esterna includono quelli che:

a)	provengono o sono sferrati dall'esterno dell'Unione;

b)	impiegano infrastrutture esterne all'Unione;

c)	sono compiuti da una persona fisica o giuridica, un'entità o un organismo stabiliti o operanti al di fuori dell'Unione; o

d)	sono commessi con il sostegno, sotto la direzione o sotto il controllo di una persona fisica o giuridica, un'entità o un organismo operanti al di fuori dell'Unione.

3. A tal fine, gli attacchi informatici sono azioni che comportano:

a)	accesso a sistemi di informazione;

b)	interferenza in sistemi di informazione;

c)	interferenza in dati; o

d)	intercettazione di dati,

se tali azioni non sono debitamente autorizzate dal proprietario o da un altro titolare di diritti sul sistema o sui dati o su parte di essi ovvero non sono consentite a norma del diritto dell'Unione o dello Stato membro interessato.

4. Gli attacchi informatici che costituiscono una minaccia per gli Stati membri comprendono quelli che incidono su sistemi di informazione relativi, tra l'altro, a:

a)	infrastrutture critiche, compresi i cavi sottomarini e gli oggetti lanciati nello spazio extratmosferico, essenziali per il mantenimento di funzioni vitali della società o della salute, dell'incolumità, della sicurezza e del benessere economico o sociale della popolazione;

servizi necessari per il mantenimento di attività sociali e/o economiche fondamentali, in particolare nei settori dell'energia (energia elettrica, petrolio e gas); trasporti (aerei, ferroviari, per idrovia e stradali); settore bancario; infrastrutture dei mercati finanziari; settore sanitario (prestatori di assistenza sanitaria, ospedali e cliniche private); fornitura e distribuzione di acqua potabile; infrastrutture digitali, e qualsiasi altro settore che sia essenziale per lo Stato membro interessato;

funzioni statali essenziali, in particolare nei settori della difesa, della governance e del funzionamento di istituzioni, anche per elezioni pubbliche o la procedura elettorale, del funzionamento di infrastrutture economiche e civili, della sicurezza interna e delle relazioni esterne, anche attraverso missioni diplomatiche;

d)	conservazione o trattamento di informazioni classificate; o

e)	squadre di pronto intervento governative.

5. Gli attacchi informatici, che costituiscono una minaccia per l'Unione, comprendono quelli sferrati contro le sue istituzioni, i suoi organi e organismi, le sue delegazioni presso paesi terzi o organizzazioni internazionali, le sue operazioni e missioni di politica di sicurezza e di difesa comune (PSDC) e i suoi rappresentanti speciali.

6. Ove ritenuto necessario ai fini del conseguimento degli obiettivi della politica estera e di sicurezza comune (PESC) nelle pertinenti disposizioni dell'articolo 21 del trattato sull'Unione europea, è possibile applicare misure restrittive ai sensi del presente regolamento possono anche in risposta ad attacchi informatici con effetti significativi nei confronti di Stati terzi od organizzazioni internazionali.

7. Ai fini del presente regolamento si applicano le seguenti definizioni:

a) «sistemi di informazione»: dispositivo o gruppo di dispositivi interconnessi o collegati, uno o più dei quali eseguono, in base a un programma, un trattamento automatico di dati digitali, nonché i dati digitali conservati, trattati, estratti o trasmessi da tale dispositivo o gruppo di dispositivi ai fini del loro funzionamento, del loro uso, della loro protezione e della loro manutenzione;

b) «interferenza in un sistema di informazione»: il fatto di ostacolare o interrompere il funzionamento di un sistema di informazione inserendo, trasmettendo, danneggiando, cancellando, deteriorando, alterando, sopprimendo o rendendo inaccessibili dati digitali;

c) «interferenza in dati»: il fatto di cancellare, danneggiare, deteriorare, alterare o sopprimere dati digitali contenuti in un sistema di informazione o di rendere tali dati inaccessibili; comprende inoltre il furto di dati, fondi, risorse economiche o proprietà intellettuale;

d) «intercettazione di dati»: il fatto di intercettare, tramite strumenti tecnici, trasmissioni non pubbliche di dati digitali verso, da o all'interno di un sistema di informazione, incluse le emissioni elettromagnetiche provenienti da un sistema di informazione contenente tali dati digitali.

8. Ai fini del presente regolamento si applicano le seguenti definizioni aggiuntive:

a) «richiesta»: qualsiasi richiesta, sotto forma contenziosa o meno, presentata anteriormente o posteriormente alla data di entrata in vigore del presente regolamento, derivante da un contratto o da un'operazione o a essi collegata, e in particolare:

i)	una richiesta volta a ottenere l'adempimento di un obbligo derivante da un contratto o da un'operazione o a essi collegata;

ii)	una richiesta volta a ottenere la proroga o il pagamento di una garanzia o di una controgaranzia finanziaria, indipendentemente dalla sua forma;

iii)	una richiesta di compensazione relativa a un contratto o a un'operazione;

iv)	una domanda riconvenzionale;

v)	una richiesta volta a ottenere, anche mediante exequatur, il riconoscimento o l'esecuzione di una sentenza, di un lodo arbitrale o di una decisione equivalente, indipendentemente dal luogo in cui sono stati pronunciati;

b) «contratto o operazione»: qualsiasi operazione, indipendentemente dalla sua forma e dal diritto a essa applicabile, che comprenda uno o più contratti o obblighi analoghi stipulati fra le stesse parti o fra parti diverse; a tal fine il termine «contratto» include qualsiasi forma di garanzia, in particolare una garanzia o controgaranzia finanziaria, e qualsiasi credito, anche giuridicamente indipendente, nonché qualsiasi clausola annessa derivante da siffatta operazione o a essa correlata;

c) «autorità competenti»: le autorità competenti degli Stati membri i cui siti web sono elencati nell'allegato II;

d) «risorse economiche»: attività di ogni tipo, materiali o immateriali, mobili o immobili, che non sono fondi ma che possono essere utilizzate per ottenere fondi, beni o servizi;

e) «congelamento di risorse economiche»: il divieto di utilizzare risorse economiche per ottenere fondi, beni o servizi in qualsiasi modo, anche attraverso, tra gli altri, la vendita, la locazione o le ipoteche;

f) «congelamento di fondi»: il divieto di movimentazione, trasferimento, modifica, utilizzo o gestione dei fondi o di accesso a essi così da modificarne il volume, l'importo, la collocazione, la proprietà, il possesso, la natura o la destinazione o qualsiasi altro cambiamento che consenta l'uso dei fondi, compresa la gestione di portafoglio;

g) «fondi»: tutte le attività e i benefici finanziari di qualsiasi natura, compresi, tra gli altri:

i)	contanti, assegni, cambiali, vaglia postali e altri strumenti di pagamento;

ii)	depositi presso istituti finanziari o altre entità, saldi sui conti, debiti e obblighi;

iii)	titoli negoziati a livello pubblico e privato e strumenti di debito, tra cui azioni, certificati azionari, titolo a reddito fisso, pagherò, warrant, obbligazioni e contratti derivati;

iv)	interessi, dividendi o altri redditi generati dalle attività;

v)	credito, diritto di compensazione, garanzie, fideiussioni o altri impegni finanziari;

vi)	lettere di credito, polizze di carico e atti di cessione; e

vii)	documenti da cui risulti un interesse riguardante capitali o risorse finanziarie;

h) «territorio dell'Unione»: i territori degli Stati membri cui si applica il trattato, alle condizioni ivi stabilite, compreso lo spazio aereo.

Articolo 2

I fattori che determinano se un attacco informatico ha effetti significativi di cui all'articolo 1, paragrafo 1, comprendono:

a)	portata, entità, impatto o gravità delle turbative causate, anche per quanto riguarda le attività economiche e sociali, i servizi essenziali, le funzioni statali essenziali, l'ordine pubblico o la sicurezza pubblica;

b)	numero di persone fisiche o giuridiche, entità o organismi interessati;

c)	numero di Stati membri interessati;

d)	importo della perdita economica causata per esempio mediante furti su larga scala di fondi, risorse economiche o proprietà intellettuale;

e)	vantaggio economico ottenuto dall'autore dell'atto per se stesso o per terzi;

f)	quantità o natura dei dati oggetto del furto o entità delle violazioni dei dati; o

g)	natura dei dati sensibili sotto il profilo commerciale cui si è avuto accesso.

Articolo 3

1. Sono congelati tutti i fondi e le risorse economiche appartenenti a, posseduti, detenuti o controllati da una qualsiasi delle persone fisiche o giuridiche, delle entità o degli organismi elencati nell'allegato I.

2. Non sono messi a disposizione delle persone fisiche o giuridiche, delle entità o degli organismi elencati nell'allegato I, direttamente o indirettamente, fondi o risorse economiche, né sono destinati a loro vantaggio.

3. Nell'allegato I figurano i seguenti soggetti, quali identificati dal Consiglio a norma dell'articolo 5, paragrafo 1, della decisione (PESC) 2019/797:

a)	persone fisiche o giuridiche, entità o organismi che sono responsabili di attacchi informatici o tentati attacchi informatici;

persone fisiche o giuridiche, entità o organismi che forniscono sostegno finanziario, tecnico o materiale per attacchi informatici o tentati attacchi informatici, o che sono altrimenti coinvolti in tali attacchi o tentati attacchi, anche pianificandoli, preparandoli, partecipandovi, dirigendoli, assistendoli o incoraggiandoli, o agevolandoli per azione o omissione;

c)	persone fisiche o giuridiche, entità o organismi associati alle persone fisiche o giuridiche, alle entità o agli organismi di cui alle lettere a) e b) del presente paragrafo.

Articolo 4

1. In deroga all'articolo 3, paragrafo 1, le autorità competenti degli Stati membri possono autorizzare lo svincolo di taluni fondi o risorse economiche congelati o la messa a disposizione di taluni fondi o risorse economiche, alle condizioni che ritengono appropriate, dopo aver accertato che i fondi o le risorse economiche in questione sono:

a)	necessari per soddisfare le esigenze di base delle persone fisiche elencate nell'allegato I e dei familiari a loro carico, compresi i pagamenti relativi a generi alimentari, locazioni o ipoteche, medicinali e cure mediche, imposte, premi assicurativi e utenze di servizi pubblici;

b)	destinati esclusivamente al pagamento di onorari ragionevoli o al rimborso delle spese sostenute per la prestazione di servizi legali;

c)	destinati esclusivamente al pagamento di diritti o spese connessi alla normale gestione o alla custodia dei fondi o delle risorse economiche congelati;

necessari per coprire spese straordinarie, a condizione che la pertinente autorità competente abbia notificato alle autorità competenti degli altri Stati membri e alla Commissione, almeno due settimane prima dell'autorizzazione, i motivi per i quali ritiene che debba essere concessa una determinata autorizzazione; o

pagabili su o da un conto di una missione diplomatica o consolare o di un'organizzazione internazionale che gode di immunità in conformità del diritto internazionale, nella misura in cui tali pagamenti servono per scopi ufficiali della missione diplomatica o consolare o dell'organizzazione internazionale.

2. Lo Stato membro interessato informa gli altri Stati membri e la Commissione di ogni autorizzazione concessa ai sensi del paragrafo 1 entro due settimane dall'autorizzazione.

Articolo 5

1. In deroga all'articolo 3, paragrafo 1, le autorità competenti degli Stati membri possono autorizzare lo svincolo di taluni fondi o risorse economiche congelati a condizione che:

i fondi o le risorse economiche siano oggetto di una decisione arbitrale emessa anteriormente alla data dell'inserimento della persona fisica o giuridica, dell'entità o dell'organismo di cui all'articolo 4 nell'elenco figurante nell'allegato I, o siano oggetto di una decisione giudiziaria o amministrativa emessa nell'Unione, o di una decisione giudiziaria esecutiva nello Stato membro interessato, prima o dopo tale data;

b)	i fondi o le risorse economiche siano usati esclusivamente per soddisfare i crediti garantiti da tale decisione o siano riconosciuti validi dalla stessa, entro i limiti fissati dalle leggi e dai regolamenti applicabili che disciplinano i diritti dei creditori;

c)	la decisione non vada a favore di una persona fisica o giuridica, di un'entità o di un organismo elencati nell'allegato I; e

d)	il riconoscimento della decisione non sia contrario all'ordine pubblico dello Stato membro interessato.

2. Lo Stato membro interessato informa gli altri Stati membri e la Commissione di ogni autorizzazione concessa ai sensi del paragrafo 1 entro due settimane dall'autorizzazione.

Articolo 6

1. In deroga all'articolo 3, paragrafo 1, e purché un pagamento da parte di una persona fisica o giuridica, di un'entità o di un organismo di cui all'allegato I sia dovuto in forza di un contratto o di un accordo concluso o di un'obbligazione sorta per la persona fisica o giuridica, l'entità o l'organismo in questione prima della data di inserimento di tale persona fisica o giuridica, entità od organismo nell'allegato I, le autorità competenti degli Stati membri possono autorizzare, alle condizioni che ritengono appropriate, lo svincolo di taluni fondi o risorse economiche congelati purché l'autorità competente interessata abbia accertato che:

a)	i fondi o le risorse economiche saranno usati per un pagamento da una persona fisica o giuridica, da un'entità o da un organismo di cui all'allegato I; e

b)	il pagamento non viola l'articolo 3, paragrafo 2.

2. Lo Stato membro interessato informa gli altri Stati membri e la Commissione di ogni autorizzazione concessa ai sensi del paragrafo 1 entro due settimane dall'autorizzazione.

Articolo 7

1. L'articolo 3, paragrafo 2, non osta a che gli enti finanziari o creditizi accreditino sui conti congelati fondi trasferiti da terzi verso i conti di una persona fisica o giuridica, un'entità o un organismo che figura nell'elenco, purché tali versamenti siano anch'essi congelati. L'ente finanziario o creditizio informa senza indugio l'autorità competente pertinente in merito a tali operazioni.

2. L'articolo 3, paragrafo 2, non si applica al versamento sui conti congelati di:

a)	interessi o altri profitti dovuti su detti conti;

b)	pagamenti dovuti nel quadro di contratti, accordi o obblighi conclusi o sorti anteriormente alla data in cui la persona fisica o giuridica, l'entità o l'organismo di cui all'articolo 4, paragrafo 1, sono stati inseriti nell'allegato I; o

c)	pagamenti dovuti nel quadro di decisioni giudiziarie, amministrative o arbitrali emesse in uno Stato membro o esecutive nello Stato membro interessato,

purché tali interessi, altri profitti e pagamenti continuino a essere soggetti alle misure di cui all'articolo 3, paragrafo 1.

Articolo 8

1. Fatte salve le norme applicabili in materia di relazioni, riservatezza e segreto professionale, le persone fisiche e giuridiche, le entità e gli organismi sono tenuti a:

fornire immediatamente qualsiasi informazione atta a facilitare il rispetto del presente regolamento, quali le informazioni relative ai conti e agli importi congelati a norma dell'articolo 3, paragrafo 1, all'autorità competente dello Stato membro in cui risiedono o sono situati, e a trasmettere tali informazioni, direttamente o attraverso lo Stato membro, alla Commissione; e

b)	collaborare con l'autorità competente alla verifica delle informazioni di cui alla lettera a).

2. Le ulteriori informazioni ricevute direttamente dalla Commissione sono messe a disposizione degli Stati membri.

3. Le informazioni fornite o ricevute ai sensi del presente articolo sono utilizzate unicamente per i fini gli scopi per i quali sono state fornite o ricevute.

Articolo 9

È vietato partecipare, consapevolmente e deliberatamente, ad attività aventi l'obiettivo o l'effetto di eludere le misure di cui all'articolo 3.

Articolo 10

1. Il congelamento di fondi e risorse economiche o il rifiuto di rendere disponibili fondi o risorse economiche, se effettuato ritenendo in buona fede che tale azione sia conforme al presente regolamento, non comporta alcun genere di responsabilità per la persona fisica o giuridica, l'entità o l'organismo che lo attua, né per i suoi dirigenti o dipendenti, a meno che non si dimostri che i fondi e le risorse economiche sono stati congelati o trattenuti in seguito a negligenza.

2. Le azioni compiute da persone fisiche o giuridiche, entità o organismi non comportano alcun genere di responsabilità a loro carico se questi non sapevano, e non avevano alcun motivo ragionevole di sospettare, che le loro azioni avrebbero violato le misure previste dal presente regolamento.

Articolo 11

1. Non è soddisfatta alcuna richiesta in relazione a contratti o operazioni sulla cui esecuzione hanno inciso, direttamente o indirettamente, integralmente o in parte, le misure istituite ai sensi del presente regolamento, comprese richieste di indennizzo o richieste analoghe, per esempio richieste di compensazione o richieste nell'ambito di una garanzia, in particolare richieste volte a ottenere la proroga o il pagamento di una garanzia o di una controgaranzia, in particolare di una garanzia o controgaranzia finanziaria, indipendentemente dalla sua forma, se la richiesta è presentata da:

a)	persone fisiche o giuridiche, entità o organismi designati elencati nell'allegato I;

b)	qualsiasi persona fisica o giuridica, entità o organismo che agisca per tramite o per conto di una persona fisica o giuridica, un'entità o un organismo di cui alla lettera a).

2. In ogni procedura volta al soddisfacimento di una richiesta, l'onere della prova che il soddisfacimento della richiesta non è vietato dal paragrafo 1 incombe alla persona fisica o giuridica, all'entità o all'organismo che richiede il soddisfacimento di tale richiesta.

3. Il presente articolo lascia impregiudicato il diritto delle persone fisiche o giuridiche, delle entità e degli organismi di cui al paragrafo 1 al controllo giurisdizionale della legittimità dell'inadempimento degli obblighi contrattuali a norma del presente regolamento.

Articolo 12

1. La Commissione e gli Stati membri si informano reciprocamente delle misure adottate ai sensi del presente regolamento e condividono qualsiasi altra informazione pertinente a loro disposizione riguardante il presente regolamento, in particolare le informazioni riguardanti:

a)	i fondi congelati a norma dell'articolo 4 e le autorizzazioni concesse a norma degli articoli da 4, 5 e 6; e

b)	i problemi di violazione e di applicazione delle norme e le sentenze pronunciate dagli organi giurisdizionali nazionali.

2. Gli Stati membri comunicano immediatamente agli altri Stati membri e alla Commissione tutte le altre informazioni pertinenti in loro possesso tali da pregiudicare l'effettiva attuazione del presente regolamento.

Articolo 13

1. Qualora decida di applicare a una persona fisica o giuridica, a un'entità o a un organismo le misure di cui all'articolo 3, il Consiglio modifica di conseguenza l'allegato I.

2. Il Consiglio comunica la decisione di cui al paragrafo 1, compresi i motivi dell'inserimento in elenco, alla persona fisica o giuridica, all'entità o all'organismo interessato, direttamente, se l'indirizzo è noto, o attraverso la pubblicazione di un avviso, dando loro la possibilità di formulare osservazioni.

3. Qualora siano formulate osservazioni o siano presentate nuove prove sostanziali, il Consiglio riesamina la decisione di cui al paragrafo 1 e ne informa la persona fisica o giuridica, l'entità o l'organismo interessato.

4. L'elenco di cui all'allegato I è riesaminato periodicamente e almeno ogni 12 mesi.

5. La Commissione ha il potere di modificare l'allegato II sulla base delle informazioni fornite dagli Stati membri.

Articolo 14

1. L'allegato I indica i motivi dell'inserimento nell'elenco delle persone fisiche o giuridiche, delle entità o degli organismi interessati.

2. L'allegato I contiene, ove disponibili, le informazioni necessarie per identificare le persone fisiche o giuridiche, le entità o gli organismi interessati. Per le persone fisiche, tali informazioni possono includere: i nomi e gli pseudonimi; la data e il luogo di nascita; la cittadinanza; i numeri del passaporto e della carta d'identità; il sesso; l'indirizzo, se noto; e la funzione o professione. Per le persone giuridiche, le entità o gli organismi, tali informazioni possono comprendere le denominazioni, la data e il luogo di registrazione, il numero di registrazione e la sede di attività.

Articolo 15

1. Gli Stati membri stabiliscono le norme sulle sanzioni applicabili alle violazioni delle disposizioni del presente regolamento e adottano tutte le misure necessarie per garantirne l'attuazione. Le sanzioni previste sono effettive, proporzionate e dissuasive.

2. Gli Stati membri comunicano senza indugio alla Commissione le norme di cui al paragrafo 1 dopo l'entrata in vigore del presente regolamento, come pure ogni successiva modifica che le riguardi.

Articolo 16

1. La Commissione tratta i dati personali per svolgere i propri compiti a norma del presente regolamento. Tali compiti comprendono:

a)	l'aggiunta del contenuto dell'allegato I nell'elenco elettronico consolidato delle persone, dei gruppi e delle entità oggetto di sanzioni finanziarie dell'Unione e nella mappa interattiva delle sanzioni, entrambi pubblicamente disponibili;

b)	il trattamento delle informazioni relative all'impatto delle misure contemplate dal presente regolamento, come il valore dei fondi congelati e le informazioni sulle autorizzazioni rilasciate dalle autorità competenti.

2. Ai fini del presente regolamento, il servizio della Commissione indicato nell'allegato II è designato come «titolare del trattamento» per la Commissione ai sensi dell'articolo 3, punto 8), del regolamento (UE) 2018/1725, per garantire che le persone fisiche interessate possano esercitare i loro diritti a norma dello stesso.

Articolo 17

1. Gli Stati membri designano le autorità competenti di cui al presente regolamento e le identificano sui siti web elencati nell'allegato II. Gli Stati membri comunicano alla Commissione le eventuali modifiche degli indirizzi dei loro siti web elencati nell'allegato II.

2. Gli Stati membri notificano senza indugio alla Commissione le proprie autorità competenti, compresi gli estremi delle stesse, dopo l'entrata in vigore del presente regolamento e informano la Commissione di ogni eventuale successiva modifica.

3. Laddove il presente regolamento imponga di notificare, informare o comunicare in altro modo con la Commissione, l'indirizzo e gli altri estremi da usare per queste comunicazioni sono quelli indicati nell'allegato II.

Articolo 18

Il presente regolamento si applica:

a)	nel territorio dell'Unione, compreso il suo spazio aereo;

b)	a bordo di tutti gli aeromobili o i natanti sotto la giurisdizione di uno Stato membro;

c)	a qualsiasi persona fisica cittadina di uno Stato membro che si trovi all'interno o all'esterno del territorio dell'Unione;

d)	a qualsiasi persona giuridica, entità od organismo che si trovi all'interno o all'esterno del territorio dell'Unione e sia registrata/o o costituita/o conformemente al diritto di uno Stato membro;

e)	a qualsiasi persona giuridica, entità od organismo relativamente ad attività economiche esercitate, interamente o parzialmente, all'interno dell'Unione.

Articolo 19

Il presente regolamento entra in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 17 maggio 2019

Per il Consiglio

Il presidente

E.O. TEODOROVICI

(1) Cfr. pagina 13 della presente Gazzetta ufficiale.

(2) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).

(3) Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39).

ALLEGATO I

Elenco delle persone fisiche e giuridiche, delle entità e degli organismi di cui all'articolo 3

[…]

ALLEGATO II

Siti web contenenti informazioni sulle autorità competenti e l'indirizzo per le notifiche alla Commissione

BELGIO

https://diplomatie.belgium.be/nl/Beleid/beleidsthemas/vrede_en_veiligheid/sancties

https://diplomatie.belgium.be/fr/politique/themes_politiques/paix_et_securite/sanctions

https://diplomatie.belgium.be/en/policy/policy_areas/peace_and_security/sanctions

BULGARIA

https://www.mfa.bg/en/101

CECHIA

www.financnianalytickyurad.cz/mezinarodni-sankce.html

DANIMARCA

http://um.dk/da/Udenrigspolitik/folkeretten/sanktioner/

GERMANIA

http://www.bmwi.de/DE/Themen/Aussenwirtschaft/aussenwirtschaftsrecht,did=404888.html

ESTONIA

http://www.vm.ee/est/kat_622/

IRLANDA

http://www.dfa.ie/home/index.aspx?id=28519

GRECIA

http://www.mfa.gr/en/foreign-policy/global-issues/international-sanctions.html

SPAGNA

http://www.exteriores.gob.es/Portal/en/PoliticaExteriorCooperacion/GlobalizacionOportunidadesRiesgos/Paginas/SancionesInternacionales.aspx

FRANCIA

http://www.diplomatie.gouv.fr/fr/autorites-sanctions/

CROAZIA

http://www.mvep.hr/sankcije

ITALIA

https://www.esteri.it/mae/it/politica_estera/politica_europea/misure_deroghe

CIPRO

http://www.mfa.gov.cy/mfa/mfa2016.nsf/mfa35_en/mfa35_en?OpenDocument

LETTONIA

http://www.mfa.gov.lv/en/security/4539

LITUANIA

http://www.urm.lt/sanctions

LUSSEMBURGO

https://maee.gouvernement.lu/fr/directions-du-ministere/affaires-europeennes/mesures-restrictives.html

UNGHERIA

http://www.kormany.hu/download/9/2a/f0000/EU%20szankci%C3%B3s%20t%C3%A1j%C3%A9koztat%C3%B3_20170214_final.pdf

MALTA

https://foreignaffairs.gov.mt/en/Government/SMB/Pages/Sanctions-Monitoring-Board.aspx

PAESI BASSI

https://www.rijksoverheid.nl/onderwerpen/internationale-sancties

AUSTRIA

http://www.bmeia.gv.at/view.php3?f_id=12750&LNG=en&version=

POLONIA

https://www.gov.pl/web/dyplomacja

PORTOGALLO

http://www.portugal.gov.pt/pt/ministerios/mne/quero-saber-mais/sobre-o-ministerio/medidas-restritivas/medidas-restritivas.aspx

ROMANIA

http://www.mae.ro/node/1548

SLOVENIA

http://www.mzz.gov.si/si/omejevalni_ukrepi

SLOVACCHIA

https://www.mzv.sk/europske_zalezitosti/europske_politiky-sankcie_eu

FINLANDIA

http://formin.finland.fi/kvyhteistyo/pakotteet

SVEZIA

http://www.ud.se/sanktioner

REGNO UNITO

https://www.gov.uk/sanctions-embargoes-and-restrictions

Indirizzo per le notifiche alla Commissione:

Commissione europea

Servizio degli strumenti di politica estera (FPI)

EEAS 07/99

B-1049 Bruxelles, Belgio

e-mail: relex-sanctions@ec.europa.eu

17.5.2019

Gazzetta ufficiale dell'Unione europea

LI 129/13

DECISIONE (PESC) 2019/797 DEL CONSIGLIO

del 17 maggio 2019

concernente misure restrittive contro gli attacchi informatici che minacciano l'Unione o i suoi Stati membri

IL CONSIGLIO DELL'UNIONE EUROPEA,

visto il trattato dell'Unione europea, in particolare l'articolo 29,

vista la proposta dell'alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza,

considerando quanto segue:

(1)

Il 19 giugno 2017 il Consiglio ha adottato le conclusioni su un quadro relativo a una risposta diplomatica comune alle attività informatiche dolose («pacchetto di strumenti della diplomazia informatica»), nelle quali il Consiglio ha espresso preoccupazione per le crescenti capacità e volontà degli attori statali e non statali di perseguire i propri obiettivi intraprendendo attività informatiche dolose e ha affermato la crescente necessità di proteggere l'integrità e la sicurezza dell'Unione, dei suoi Stati membri e dei loro cittadini dalle minacce informatiche e dalle attività informatiche dolose.

(2)

Il Consiglio ha sottolineato che segnalare in modo chiaro le probabili conseguenze di una risposta diplomatica comune dell'Unione a tali attività informatiche dolose influenza il comportamento dei potenziali aggressori nel ciberspazio, rafforzando così la sicurezza dell'Unione e dei suoi Stati membri. Ha inoltre affermato che le misure nell'ambito della politica estera e di sicurezza comune (PESC), comprese ove necessario le misure restrittive adottate ai sensi delle pertinenti disposizioni dei trattati, sono adeguate per un quadro relativo a una risposta diplomatica comune alle attività informatiche dolose, al fine di incoraggiare la cooperazione, facilitare la riduzione delle minacce immediate e a lungo termine, e influenzare il comportamento dei potenziali aggressori sul lungo periodo.

(3)

L'11 ottobre 2017 il comitato politico e di sicurezza ha approvato le linee guida di attuazione del pacchetto di strumenti della diplomazia informatica. Le linee guida di attuazione fanno riferimento a cinque categorie di misure, incluse le misure restrittive, nell'ambito del pacchetto di strumenti della diplomazia informatica, e alla procedura per invocare dette misure.

(4)

Nelle conclusioni del 16 aprile 2018 sulle attività informatiche dolose il Consiglio ha condannato fermamente l'uso illecito di tecnologie dell'informazione e della comunicazione (TIC) e ha sottolineato che l'uso delle TIC a fini dolosi è inaccettabile dal momento che compromette la stabilità, sicurezza e i vantaggi offerti da Internet e dall'uso delle TIC. Il Consiglio ha ricordato che il pacchetto di strumenti della diplomazia informatica contribuisce alla prevenzione dei conflitti, alla cooperazione e alla stabilità nel ciberspazio delineando le misure nell'ambito della PESC, incluse le misure restrittive, che possono essere usate per prevenire e rispondere a tali attività. Ha dichiarato che l'Unione continuerà con decisione a difendere l'applicabilità del diritto internazionale esistente al ciberspazio e ha sottolineato che il rispetto del diritto internazionale, in particolare della Carta delle Nazioni Unite, è fondamentale per mantenere la pace e la stabilità. Il Consiglio ha inoltre sottolineato che gli Stati non devono servirsi di proxy per commettere atti illeciti a livello internazionale mediante l'uso delle TIC e dovrebbero cercare di assicurare che il loro territorio non sia utilizzato da attori non statali per commettere tali atti, come indicato nella relazione del 2015 del gruppo di esperti governativi delle Nazioni Unite sugli sviluppi nel settore dell'informazione e delle telecomunicazioni nel contesto della sicurezza internazionale.

(5)

Il 28 giugno 2018 il Consiglio europeo ha adottato conclusioni in cui sottolinea la necessità di rafforzare le capacità di combattere le minacce alla cibersicurezza provenienti dall'esterno dell'Unione. Il Consiglio europeo ha chiesto alle istituzioni e agli Stati membri di attuare le misure indicate nella comunicazione congiunta della Commissione e dell'alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza del 13 giugno 2018 dal titolo «Rafforzamento della resilienza e potenziamento delle capacità di affrontare minacce ibride», compreso l'uso pratico del pacchetto di strumenti della diplomazia informatica.

(6)	Il 18 ottobre 2018 il Consiglio europeo, facendo seguito alle conclusioni del Consiglio del 19 giugno 2017, ha adottato conclusioni in cui si chiedeva di portare avanti i lavori sulla capacità di scoraggiare gli attacchi informatici e di rispondervi attraverso misure restrittive dell'Unione.

(7)

In tale contesto, la presente decisione istituisce un quadro per misure restrittive mirate volte a scoraggiare e contrastare gli attacchi informatici con effetti significativi, che costituiscono una minaccia esterna per l'Unione o i suoi Stati membri. Ove ritenuto necessario ai fini del conseguimento degli obiettivi della PESC enunciati nelle pertinenti disposizioni dell'articolo 21 del trattato sull'Unione europea, la presente decisione consente altresì misure restrittive che devono essere applicate in risposta ad attacchi informatici con effetti significativi nei confronti di Stati terzi o organizzazioni internazionali.

(8)	Affinché abbiano un effetto deterrente e dissuasivo, le misure restrittive mirate dovrebbero incentrarsi sugli attacchi informatici rientranti nell'ambito di applicazione della presente decisione che sono sferrati in modo deliberato.

(9)

È opportuno distinguere le misure restrittive mirate dall'attribuzione a uno Stato terzo della responsabilità per gli attacchi informatici. L'applicazione di misure restrittive mirate non equivale a tale attribuzione, che è una decisione politica sovrana adottata caso per caso. Ciascuno Stato membro può decidere liberamente in merito all'attribuzione degli attacchi informatici a uno Stato terzo.

(10)	È necessaria un'ulteriore azione dell'Unione per attuare talune misure,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1

1. La presente decisione si applica agli attacchi informatici con effetti significativi, inclusi tentati attacchi informatici con effetti potenzialmente significativi, che costituiscono una minaccia esterna per l'Unione o i suoi Stati membri.

2. Gli attacchi informatici che costituiscono una minaccia esterna includono quelli che:

a)	provengono o sono sferrati dall'esterno dell'Unione;

b)	impiegano infrastrutture esterne all'Unione;

c)	sono compiuti da una persona fisica o giuridica, un'entità o un organismo stabiliti o operanti al di fuori dell'Unione; o

d)	sono commessi con il sostegno, sotto la direzione o sotto il controllo di una persona fisica o giuridica, un'entità o un organismo operanti al di fuori dell'Unione.

3. A tal fine, gli attacchi informatici sono azioni che comportano:

a)	accesso a sistemi di informazione;

b)	interferenza in sistemi di informazione;

c)	interferenza in dati; o

d)	intercettazione di dati,

qualora tali azioni non siano debitamente autorizzate dal proprietario o da un altro titolare di diritti sul sistema o sui dati o su parte di essi ovvero non siano consentite a norma del diritto dell'Unione o dello Stato membro interessato.

4. Gli attacchi informatici che costituiscono una minaccia per gli Stati membri comprendono quelli che incidono su sistemi di informazione relativi, tra l'altro, a:

a)	infrastrutture critiche, compresi i cavi sottomarini e gli oggetti lanciati nello spazio extratmosferico, essenziali per il mantenimento di funzioni vitali della società o della salute, dell'incolumità, della sicurezza e del benessere economico o sociale della popolazione;

funzioni statali essenziali, in particolare nei settori della difesa, della governance e del funzionamento di istituzioni, anche per elezioni pubbliche o per la procedura elettorale, del funzionamento di infrastrutture economiche e civili, della sicurezza interna e delle relazioni esterne, anche attraverso missioni diplomatiche;

d)	conservazione o trattamento di informazioni classificate; o

e)	squadre di pronto intervento governative.

6. Ove ritenuto necessario ai fini del conseguimento degli obiettivi della PESC enunciati nelle pertinenti disposizioni dell'articolo 21 del trattato sull'Unione europea, è possibile applicare misure restrittive a norma della presente decisione anche in risposta ad attacchi informatici con effetti significativi nei confronti di Stati terzi o organizzazioni internazionali.

Articolo 2

Ai fini della presente decisione si applicano le seguenti definizioni:

a) «sistemi di informazione»: dispositivo o gruppo di dispositivi interconnessi o collegati, uno o più dei quali eseguono, in base ad un programma, un trattamento automatico di dati digitali, nonché i dati digitali conservati, trattati, estratti o trasmessi da tale dispositivo o gruppo di dispositivi ai fini del loro funzionamento, del loro uso, della loro protezione e della loro manutenzione;

Articolo 3

I fattori che determinano se un attacco informatico ha effetti significativi di cui all'articolo 1, paragrafo 1, comprendono:

a)	portata, entità, impatto o gravità delle turbative causate, anche per quanto riguarda le attività economiche e sociali, i servizi essenziali, le funzioni statali essenziali, l'ordine pubblico o la sicurezza pubblica;

b)	numero di persone fisiche o giuridiche, entità o organismi interessati;

c)	numero di Stati membri interessati;

d)	importo della perdita economica causata per esempio mediante furti su larga scala di fondi, risorse economiche o proprietà intellettuale;

e)	vantaggio economico ottenuto dall'autore dell'atto per se stesso o per terzi;

f)	quantità o natura dei dati oggetto del furto o entità delle violazioni dei dati; o

g)	natura dei dati sensibili sotto il profilo commerciale cui si è avuto accesso.

Articolo 4

1. Gli Stati membri adottano le misure necessarie per impedire l'ingresso o il transito nello loro territorio di:

a)	persone fisiche responsabili di attacchi informatici o tentati attacchi informatici;

persone fisiche che forniscono sostegno finanziario, tecnico o materiale per attacchi informatici o tentati attacchi informatici, o che sono altrimenti coinvolti in tali attacchi o tentati attacchi, anche pianificandoli, preparandoli, partecipandovi, dirigendoli, assistendoli o incoraggiandoli, oppure agevolandoli per azione o omissione;

c)	persone fisiche associate a persone di cui alle lettere a) e b);

elencate nell'allegato.

2. Il paragrafo 1 non obbliga gli Stati membri a vietare ai loro cittadini l'ingresso nel proprio territorio.

3. Il paragrafo 1 lascia impregiudicate le situazioni in cui uno Stato membro sia vincolato da un obbligo derivante dal diritto internazionale, segnatamente:

a)	in qualità di paese che ospita un'organizzazione intergovernativa internazionale;

b)	in qualità di paese che ospita una conferenza internazionale convocata dalle Nazioni Unite o sotto gli auspici di questa organizzazione;

c)	in virtù di un accordo multilaterale che conferisce privilegi e immunità; o

d)	in virtù del trattato di conciliazione del 1929 (Patti Lateranensi) concluso tra la Santa Sede (Stato della Città del Vaticano) e l'Italia.

4. Il paragrafo 3 è considerato di applicazione anche qualora uno Stato membro ospiti l'Organizzazione per la sicurezza e la cooperazione in Europa (OSCE).

5. Il Consiglio è debitamente informato in ciascuna delle situazioni in cui uno Stato membro concede una deroga a norma del paragrafo 3 o 4.

6. Gli Stati membri possono concedere deroghe alle misure stabilite a norma del paragrafo 1 allorquando il viaggio è giustificato da ragioni umanitarie urgenti o dall'esigenza di partecipare a riunioni intergovernative o a riunioni promosse o ospitate dall'Unione o ospitate da uno Stato membro che esercita la presidenza di turno dell'OSCE, in cui si conduce un dialogo politico che promuove direttamente gli obiettivi politici delle misure restrittive, compresa la sicurezza e la stabilità nel ciberspazio.

7. Gli Stati membri possono anche concedere deroghe alle misure stabilite a norma del paragrafo 1 quando l'ingresso o il transito è necessario per l'espletamento di un procedimento giudiziario.

8. Uno Stato membro che intenda concedere le deroghe di cui al paragrafo 6 o 7 presenta al riguardo una notifica scritta al Consiglio. La deroga si considera concessa a meno che, entro due giorni lavorativi dalla ricezione della notifica della deroga proposta, vi sia un'obiezione scritta di uno o più membri del Consiglio. Se uno o più membri del Consiglio sollevano obiezioni, il Consiglio, deliberando a maggioranza qualificata, può decidere di concedere la deroga proposta.

9. Qualora uno Stato membro autorizzi, a norma dei paragrafi 3, 4, 6, 7 o 8, l'ingresso o il transito nel suo territorio delle persone elencate nell'allegato, l'autorizzazione è strettamente limitata ai fini per i quali è concessa e alle persone direttamente interessate.

Articolo 5

1. Sono congelati tutti i fondi e le risorse economiche appartenenti a, posseduti, detenuti o controllati da:

a)	persone fisiche o giuridiche, entità o organismi che sono responsabili di attacchi informatici o tentati attacchi informatici;

c)	persone fisiche o giuridiche, entità o organismi associati a persone fisiche o giuridiche, entità o organismi di cui alle lettere a) e b);

elencati nell'allegato.

2. Non sono messi a disposizione delle persone fisiche o giuridiche, delle entità e degli organismi elencati nell'allegato, direttamente o indirettamente, fondi o risorse economiche, né sono destinati a loro vantaggio.

3. In deroga ai paragrafi 1 e 2, le autorità competenti degli Stati membri possono autorizzare lo svincolo di taluni fondi o risorse economiche congelati o la messa a disposizione di taluni fondi o risorse economiche, alle condizioni che ritengono appropriate, dopo aver accertato che i fondi o le risorse economiche in questione sono:

a)	necessari per soddisfare le esigenze di base delle persone fisiche elencate nell'allegato e dei familiari a loro carico, compresi i pagamenti relativi a generi alimentari, locazioni o ipoteche, medicinali e cure mediche, imposte, premi assicurativi e utenza di servizi pubblici;

b)	destinati esclusivamente al pagamento di onorari ragionevoli o al rimborso delle spese sostenute per la prestazione di servizi legali;

c)	destinati esclusivamente al pagamento di diritti o spese connessi alla normale gestione o alla custodia dei fondi o delle risorse economiche congelati;

Lo Stato membro interessato informa gli altri Stati membri e la Commissione di ogni autorizzazione concessa ai sensi del presente paragrafo.

4. In deroga al paragrafo 1, le autorità competenti degli Stati membri possono autorizzare lo svincolo di taluni fondi o risorse economiche congelati a condizione che:

i fondi o le risorse economiche siano oggetto di una decisione arbitrale emessa anteriormente alla data dell'inserimento della persona fisica o giuridica, dell'entità o dell'organismo di cui al paragrafo 1 nell'elenco figurante nell'allegato, o siano oggetto di una decisione giudiziaria o amministrativa emessa nell'Unione, o di una decisione giudiziaria esecutiva nello Stato membro interessato, prima o dopo tale data;

b)	i fondi o le risorse economiche siano usati esclusivamente per soddisfare i crediti garantiti da tale decisione o siano riconosciuti validi dalla stessa, entro i limiti fissati dalle leggi e dai regolamenti applicabili che disciplinano i diritti dei creditori;

c)	la decisione non vada a favore di una persona fisica o giuridica, di un'entità o di un organismo elencati nell'allegato; e

d)	il riconoscimento della decisione non sia contrario all'ordine pubblico dello Stato membro interessato.

Lo Stato membro interessato informa gli altri Stati membri e la Commissione di ogni autorizzazione concessa ai sensi del presente paragrafo.

5. Il paragrafo 1 non osta a che una persona fisica o giuridica, un'entità o un organismo elencati nell'allegato effettuino un pagamento dovuto nell'ambito di un contratto concluso prima della data in cui la persona fisica o giuridica, l'entità o l'organismo sono stati inseriti nell'allegato, purché lo Stato membro interessato abbia determinato che il pagamento non è percepito, direttamente o indirettamente, da una persona fisica o giuridica, da un'entità o da un organismo di cui al paragrafo 1.

6. Il paragrafo 2 non si applica al versamento sui conti congelati di:

a)	interessi o altri profitti dovuti su detti conti;

b)	pagamenti dovuti nel quadro di contratti, accordi o obblighi conclusi o sorti anteriormente alla data in cui tali conti sono stati assoggettati alle misure di cui ai paragrafi 1 e 2; o

c)	pagamenti dovuti nel quadro di decisioni giudiziarie, amministrative o arbitrali emesse nell'Unione o esecutive nello Stato membro interessato,

purché tali interessi, altri profitti e pagamenti continuino a essere soggetti alle misure di cui al paragrafo 1.

Articolo 6

1. Il Consiglio, deliberando all'unanimità su proposta di uno Stato membro o dell'alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza, predispone e modifica l'elenco riportato nell'allegato.

2. Il Consiglio trasmette la decisione di cui al paragrafo 1, compresi i motivi dell'inserimento nell'elenco, alla persona fisica o giuridica, all'entità o all'organismo interessati direttamente, se l'indirizzo è noto, o mediante la pubblicazione di un avviso, offrendo a tale persona fisica o giuridica, entità o organismo la possibilità di presentare osservazioni.

3. Qualora siano presentate osservazioni o siano addotte nuove prove sostanziali, il Consiglio riesamina la decisione di cui al paragrafo 1 e ne informa di conseguenza la persona fisica o giuridica, l'entità o l'organismo interessati.

Articolo 7

1. L'allegato include i motivi dell'inserimento nell'elenco delle persone fisiche e giuridiche, delle entità e degli organismi di cui agli articoli 4 e 5.

2. Nell'allegato figurano, ove disponibili, le informazioni necessarie per identificare le persone fisiche o giuridiche, le entità o gli organismi interessati. Per le persone fisiche, tali informazioni possono includere: i nomi e gli pseudonimi; la data e il luogo di nascita; la cittadinanza; i numeri del passaporto e della carta d'identità; il sesso; l'indirizzo, se noto; e la funzione o professione. Per le persone giuridiche, le entità o gli organismi, tali informazioni possono comprendere le denominazioni, la data e il luogo di registrazione, il numero di registrazione e la sede di attività.

Articolo 8

Non è soddisfatta alcuna richiesta in relazione a contratti o operazioni sulla cui esecuzione hanno inciso, direttamente o indirettamente, integralmente o in parte, le misure istituite ai sensi della presente decisione, comprese richieste di indennizzo o richieste analoghe, per esempio richieste di compensazione o richieste nel quadro di una garanzia, in particolare richieste volte a ottenere la proroga o il pagamento di una garanzia o di una controgaranzia, in particolare di una garanzia o controgaranzia finanziaria, indipendentemente dalla sua forma, se la richiesta è presentata da:

a)	persone fisiche o giuridiche, entità o organismi designati elencati nell'allegato;

b)	qualsiasi persona fisica o giuridica, entità o organismo che agisca per tramite o per conto di una persona fisica o giuridica, un'entità o un organismo di cui alla lettera a).

Articolo 9

Per massimizzare l'impatto delle misure stabilite dalla presente decisione, l'Unione incoraggia i paesi terzi ad adottare misure restrittive analoghe a quelle previste nella presente decisione.

Articolo 10

La presente decisione si applica fino a 18 maggio 2020 ed è costantemente riesaminata. È prorogata o modificata, a seconda del caso, se il Consiglio ritiene che i suoi obiettivi non siano stati raggiunti.

Articolo 11

La presente decisione entra in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Fatto a Bruxelles, il 17 maggio 2019

Per il Consiglio

Il presidente

E.O. TEODOROVICI

ALLEGATO

Elenco delle persone fisiche e giuridiche, delle entità e degli organismi di cui agli articoli 4 e 5

[…]

		ISSN 1977-0707
Gazzetta ufficiale dell'Unione europea		L 129I

Edizione in lingua italiana	Legislazione	62° anno 17 maggio 2019

Sommario		II Atti non legislativi	pagina
		REGOLAMENTI
	*	Regolamento (UE) 2019/796 del Consiglio, del 17 maggio 2019, concernente misure restrittive contro gli attacchi informatici che minacciano l'Unione o i suoi Stati membri	1
		DECISIONI
	*	Decisione (PESC) 2019/797 del Consiglio, del 17 maggio 2019, concernente misure restrittive contro gli attacchi informatici che minacciano l'Unione o i suoi Stati membri	13