L’Unione europea affronta le sfide in materia di cibersicurezza ormai da diversi anni, cercando di fornire una risposta agli attacchi cibernetici subiti dagli Stati membri e dalle istituzioni europee. Tali sfide impattano gravemente sulla sicurezza, sulla stabilità e anche sull’ordine democratico, soprattutto vista la sempre maggiore connessione a dispositivi digitali che si compie giornalmente, ormai in modo naturale. Per questi motivi, per la prima volta nella storia dell’UE, il Consiglio dell’Unione europea ha deciso di imporre misure restrittive nei confronti di sei persone e tre entità responsabili di aver compiuto vari hackeraggi, fra i quali “WannaCry”, “NotPetya” e “Operation Cloud Hopper”.
La cibersicurezza in Europa – evoluzione della materia
Le attività portate avanti dall’Unione europea in materia di cibersicurezza sono dovute principalmente a due fattori, molto connessi tra loro: il sempre maggior sviluppo delle tecnologie e del digitale, nella vita di ognuno di noi; i conseguenti attacchi informatici che ne derivano. In particolare, secondo i dati della Commissione europea, gli attacchi perpetrati per mezzo di ransomware, ovvero un malware che infetta i dispositivi, sono triplicati tra il 2013 e il 2015 e l’impatto economico della criminalità informatica si è quintuplicato tra il 2013 e il 2017, tanto da far considerare questo tipo di criminalità una vera e propria sfida per la sicurezza interna dell’Unione europea.
Le prime norme di cibersicurezza adottate dal Consiglio a livello europeo risalgono a maggio 2016: si tratta della direttiva sulla sicurezza delle reti e dei sistemi informativi, introdotta per accrescere la cooperazione tra Stati membri in materia, definendo obblighi di sicurezza per gli operatori di servizi essenziali, in settori quali energia, trasporti, sanità e finanza. Nel giugno 2017 è stato istituito il pacchetto di strumenti della diplomazia informatica, che consente all’UE di utilizzare tutte le misure PESC a fini di prevenzione e deterrenza nei confronti delle attività informatiche dolose. Nel settembre del 2017 è stato varato, invece, un pacchetto di riforme per l’introduzione di sistemi di certificazione a livello europeo per prodotti, servizi e processi TIC, al fine di consentire la crescita del mercato europeo in materia. Negli anni, le istituzioni europee hanno continuato a monitorare la situazione, adottando conclusioni e cercando di rafforzare le proprie capacità di risposta a minacce di questo tipo: nel 2018, il Consiglio ha avviato i negoziati con il Parlamento europeo per giungere ad un accordo sul regolamento sulla cibersicurezza – adottato il 9 aprile 2019 – istituendo un quadro europeo di certificazione per prodotti, servizi e processi TIC e potenziando l’Agenzia dell’UE per la sicurezza delle reti e dell’informazione.
Ulteriore passo in avanti è stato fatto il 17 maggio 2019, quando il Consiglio ha istituito un quadro che consente all’Unione europea di imporre misure restrittive mirate a scoraggiare e contrastare ogni forma di hackeraggio. L’UE può quindi imporre sanzioni a persone o entità responsabili di attacchi informatici, che forniscono sostegno finanziario, tecnico e materiale per attacchi o sono coinvolti in qualche altro modo.
Diplomazia informatica: le prime sanzioni imposte
Per la prima volta nella storia, il 30 luglio 2020 il Consiglio ha imposto misure restrittive nei confronti di sei persone e tre entità responsabili di aver compiuto attacchi informatici o di avervi preso parte. In particolare, ci si riferisce al tentato attacco informatico ai danni dell’OPCW – Organizzazione per la proibizione delle armi chimiche – e agli attacchi “WannaCry”, “NotPetya” e “Operation Cloud Hopper”; si tratta di entità russe, cinesi e della Corea del Nord. Le sanzioni imposte, parte del pacchetto di strumenti della diplomazia informatica, includono il divieto di viaggio e il congelamento dei beni, oltre al divieto di mettere fondi a disposizione delle persone ed entità inserite nell’elenco delle sanzioni.
Le persone sanzionate sono i cinesi Qiang Gao e Shilong Zhang (coinvolti nell’Operation Cloud Hopper) e i russi Alexey Valeryevich Minin, Aleksei Sergeyvich Morenets, Evgenii Mikhaylovich Serebriakov e Oleg Mikhaylovich Sotnikov (per il tentato attacco contro l’Opcw). Le entità sono invece Tianjin Huaying Haitai Science and Technology Development Co. Ltd (Cina); Chosun Expo (Corea del Nord); il GTsST, centro per le tecnologie speciali del Gru, i sevizi segreti militari russi. Quanto agli attacchi in questione, WannaCry è stato un attacco responsabile di un’epidemia su larga scala avvenuta nel maggio 2017 sui computer con Microsoft Windows: il virus cripta ogni file presente sul computer e chiede un riscatto di centinaia di dollari per decriptarli; il malware ha infettato i sistemi informatici di molte aziende, organizzazioni ed anche università, tra le quali l’italiana Milano-Bicocca. NotPetya, lanciato sempre nel 2017, va invece ad infettare i sistemi dei PC nel loro momento di avvio, impedendo agli utenti di riuscire ad accedere ai computer; successivamente, richiede che l’utente effettui un pagamento di Bitcoin per riottenere l’accesso al sistema. Questo tipo di attacco è stato fatto ricadere su un gruppo di hacker russi.
L’Alto rappresentante Josep Borrell, in merito alla questione, ha dichiarato: “L’Unione europea e gli Stati membri continueranno a promuovere con forza comportamenti responsabili nel cyberspazio e inviteranno tutti i paesi a cooperare a favore della pace e della stabilità internazionali, ad esercitare la dovuta diligenza e ad adottare le misure appropriate contro gli attori che conducono attività informatiche dannose”.
