Hosting sanzionato, infrastruttura ricostituita: l’Unione ha tre strumenti per colpire i server e tre liste vuote

L’8 ottobre 2026 il Consiglio dell’Unione europea ha prorogato di un anno le misure restrittive sulle attività destabilizzanti della Russia e ha modificato l’elenco dei designati: una voce soppressa, otto riscritte. In due di quelle otto il Consiglio descrive i titolari del servizio di web hosting Stark Industries Solutions Ltd, in elenco dal 20 maggio 2025, come ex amministratore delegato ed ex proprietario.

Il passaggio al passato non è un dettaglio di stile, e le motivazioni riscritte spiegano perché. Nel 2025 l’infrastruttura tecnica della società è stata trasferita a un’entità di nuova costituzione, WorkTitans B.V., che fungeva da copertura, mentre una seconda entità, MIRhosting, garantiva che la prima fosse collegata a internet.

Nessuna delle due è stata designata. Eppure lo stesso 20 maggio 2025, il giorno in cui inseriva Stark in elenco, il Consiglio si era dato tre poteri nuovi, costruiti per colpire l’infrastruttura fisica, i fornitori di assistenza tecnica e i canali di distribuzione. Le tre liste che servono a esercitarli sono state pubblicate vuote, e vuote sono rimaste.

Il colpo vero contro l’hosting sanzionato è arrivato altrove, da un’indagine penale olandese che nel maggio 2026 ha portato al sequestro di oltre ottocento server. E l’Italia, dal 24 gennaio 2026, ha lo strumento per fare altrettanto: una fattispecie che punisce espressamente la prestazione di servizi di qualsiasi natura in violazione di una misura restrittiva.

Che cosa hanno fatto i due atti dell’8 ottobre

Gli atti sono due e portano le stesse modifiche su due versanti. La decisione (PESC) 2026/2258 interviene sulla decisione (PESC) 2024/2643: all’articolo 10, primo comma, sostituisce la data del 9 ottobre 2026 con quella del 9 ottobre 2027, e modifica l’allegato I. Il regolamento di esecuzione (UE) 2026/2257 attua il regolamento base e porta la stessa modifica dell’allegato sul versante economico, quello direttamente applicabile agli operatori.

Le modifiche sono identiche nei due atti, voce per voce: soppressione della voce 11, relativa a Olga Belyavtseva, e sostituzione delle voci 4, 6, 20, 23, 27, 28, 29 e 57 della tabella delle persone fisiche. Le voci 27 e 28 sono quelle di Iurie e Ivan Neculiti, i due titolari di Stark.

Il comunicato del Consiglio, diffuso alle 12:20, dà conto della proroga e dei totali. Il regime si applica oggi a 80 persone e 20 entità, con congelamento dei beni, divieto per cittadini e imprese dell’Unione di mettere a disposizione fondi, attività finanziarie e risorse economiche, e divieto di viaggio per le persone fisiche.

Delle otto voci riscritte e della voce soppressa il comunicato non parla, e non nomina né Stark né le due società successive. La parte informativa di questo pacchetto sta nella Gazzetta ufficiale, non nel comunicato, ed è lì che va cercata.

La catena: febbraio 2022, maggio 2025, 2026

La designazione iniziale è il regolamento di esecuzione (UE) 2025/965 del 20 maggio 2025, che ha aggiunto 21 persone fisiche e sei persone giuridiche. Fra le persone giuridiche, alla voce 9, Stark Industries Solutions Ltd.

I dati identificativi sono dettagliati: data di registrazione 10 febbraio 2022, numero 13906017, indirizzo 71-75 Shelton Street a Covent Garden, Londra, che l’elenco stesso qualifica come indirizzo di una società casella postale. Seguono due siti, stark-industries.solutions e pq.hosting. La società, dice la motivazione, è posseduta e gestita dai cittadini moldovi Ivan e Iurie Neculiti attraverso il servizio di web hosting PQ Hosting, ed entrambi risultano nati a Bender.

La data di registrazione merita attenzione. Il 10 febbraio 2022 cade esattamente due settimane prima dell’invasione dell’Ucraina.

Il criterio di inserimento sta nell’articolo 2, paragrafo 3, del regolamento (UE) 2024/2642. Al punto v della lettera a) ci sono le azioni che prendono di mira il funzionamento delle istituzioni democratiche, le attività economiche o i servizi di interesse pubblico, e quelle volte a interferire con, danneggiare o distruggere le infrastrutture critiche, anche mediante sabotaggio o attività informatiche malevole nell’ambito di attività ibride.

Il punto v non raggiunge soltanto chi quelle azioni le compie. Vi rientrano la pianificazione e la direzione, l’implicazione diretta o indiretta, il sostegno e l’agevolazione. Le previsioni successive allargano ancora, a chi è associato a quei soggetti e a chi fornisce loro sostegno.

Stark è stata inserita proprio per agevolazione, non per condotta diretta. La società, dice il testo, consente ad attori sostenuti dallo Stato russo di condurre attività destabilizzanti, fornendo servizi intesi a celare tali attività alle agenzie europee di contrasto e di sicurezza.

Le motivazioni del maggio 2025 sono al presente: Iurie Neculiti è amministratore delegato, la società fornisce servizi di hosting, Stark consente agli attori di operare. Quelle dell’8 ottobre 2026 passano al passato: era l’amministratore delegato, era il proprietario, la società forniva servizi, e nella conclusione i due compaiono come ex amministratore delegato ed ex proprietario.

In mezzo c’è il trasferimento. Il testo dell’8 ottobre lo colloca con due parole, “nel 2025”, e la designazione è del 20 maggio 2025, quindi nello stesso anno. L’entità di nuova costituzione che riceve l’infrastruttura è WorkTitans B.V., con funzione di copertura, e MIRhosting garantisce il collegamento a internet.

I due sono indicati come beneficiari dell’assetto. Quell’assetto, dice il Consiglio con una formula prudente, secondo quanto riferito corrisponderebbe a un tentativo di occultare l’identità dei proprietari e continuare a offrire servizi di hosting mediante nuove entità giuridiche e nuove reti.

L’hosting sanzionato cambia società, l’elenco resta fermo

Conviene dire come la verifica è stata condotta.

L’allegato dei due atti dell’8 ottobre 2026 ha due soli punti, entrambi sulla tabella “A. Persone fisiche”: uno sopprime la voce 11, l’altro sostituisce otto voci. La tabella “B. Persone giuridiche, entità e organismi” non è toccata. WorkTitans e MIRhosting compaiono nelle motivazioni di due persone fisiche e non entrano in alcun elenco.

Che non vi fossero già prima lo confermano i testi consolidati del regolamento, al 13 luglio 2026 in italiano e al 24 settembre 2026 in inglese: nessuna occorrenza dei due nomi, mentre ricorrono Stark e PQ Hosting. Una ricerca a testo pieno su EUR-Lex, in italiano e in inglese, restituisce per entrambi i soli due atti dell’8 ottobre 2026: nessun altro regime sanzionatorio dell’Unione li menziona, almeno con questa grafia.

Attenzione però a non trarne la conclusione sbagliata, perché il vuoto non è dove sembra. L’articolo 2 congela i fondi e le risorse economiche appartenenti a, posseduti, detenuti o controllati da un soggetto elencato, e vieta di metterli a disposizione anche quando sono destinati al suo vantaggio. Il congelamento segue il controllo, non la denominazione.

Sul piano sostanziale, quindi, un veicolo non elencato ma controllato da un designato non è fuori perimetro. Le voci riscritte dichiarano per di più che i due sono associati a WorkTitans B.V. e a MIRhosting, e l’associazione è a sua volta criterio autonomo di inserimento.

Quello che manca è altro, ed è il piano su cui le imprese lavorano davvero: la certezza del diritto e lo screening. Gli strumenti di controllo confrontano denominazioni in elenco, e quelle denominazioni in elenco non ci sono.

Tre strumenti contro l’hosting sanzionato, e tre liste vuote

Il 20 maggio 2025 il Consiglio ha adottato due atti. Con il regolamento di esecuzione 2025/965 ha inserito Stark nell’allegato I. Con il regolamento (UE) 2025/964, della stessa data, ha riscritto il regolamento base: ne ha cambiato il titolo, ha sostituito l’articolo 2, paragrafo 3, ha inserito gli articoli 1 bis, 1 ter e 1 quater, ha aggiunto due lettere all’articolo 11, paragrafo 1, e ha aggiunto tre allegati.

L’articolo 1 bis vieta di effettuare, direttamente o indirettamente, operazioni relative ai beni materiali elencati nell’allegato III. L’elencazione dei beni è esplicita: navi, aeromobili, beni immobili, porti, aeroporti, ed elementi fisici di reti digitali e di comunicazione.

Il paragrafo 2 indica le quattro categorie di beni che quella lista comprende. La lettera d) descrive quasi alla lettera la situazione che le motivazioni di ottobre raccontano: i beni di proprietà, noleggiati o impiegati da soggetti elencati nell’allegato I, o altrimenti utilizzati a nome di tali soggetti, per loro conto, in relazione ad essi o a loro vantaggio. La lettera c) copre i beni utilizzati in attività di destabilizzazione, compresi lo spionaggio e la sorveglianza, il trasporto di armi, la manipolazione delle informazioni e le interferenze, a condizione che siano attribuibili al governo della Federazione russa o vadano a suo vantaggio.

L’articolo 1 ter vieta le operazioni con le persone giuridiche elencate nell’allegato IV. Alla lettera b) del paragrafo 1 ci sono quelle che forniscono assistenza tecnica o operativa a chi svolge le attività dell’articolo 2, paragrafo 3. Garantire che i server di un’altra società siano collegati a internet è, in termini non giuridici, assistenza operativa.

L’articolo 1 quater vieta agli operatori la radiodiffusione dei contenuti dei soggetti elencati nell’allegato V, anche sotto forma di trasmissione o distribuzione tramite mezzi quali cavo, satellite, IP-TV, fornitori di servizi internet, piattaforme o applicazioni di condivisione di video.

E qui arriva il dato. Le tre liste sono state pubblicate vuote. Nel testo del regolamento 2025/964 in Gazzetta ufficiale, sotto ciascun titolo, compare un segnaposto fra parentesi quadre al posto delle voci. Nei testi consolidati al 13 luglio 2026 e al 24 settembre 2026 i tre allegati recano un solo marcatore di modifica, quello del maggio 2025, e lo stesso segnaposto: nessun atto successivo li ha toccati.

Il problema, quindi, non è che l’Unione manchi dello strumento per colpire l’infrastruttura. Lo strumento esiste da sedici mesi e mezzo, è stato costruito lo stesso giorno in cui è stata designata la società di hosting, e in un caso prevede espressamente i beni usati per conto di un soggetto già elencato. Nello stesso periodo il regolamento base è stato modificato quattordici volte, l’allegato I tredici, e gli altri tre allegati mai.

Resta l’ipotesi alternativa, che va detta. Una lista vuota può essere una scelta di deterrenza, cioè un potere tenuto in riserva. Può segnalare che inserire un bene materiale richiede un livello di prova diverso da quello che basta per una persona. Può anche voler dire che tenere aggiornato un elenco di server è considerato un onere sproporzionato. Sulle fonti pubbliche non esiste un documento che spieghi il mancato utilizzo, e conviene chiederlo al Servizio europeo per l’azione esterna.

Il passo dell’elenco che invece viene usato si può misurare. Dal 9 ottobre 2024 al 24 settembre 2026 il regolamento base ha subito quattordici modifiche, in media una ogni sette settimane.

L’enforcement è arrivato da Amsterdam, non da Bruxelles

Il 22 maggio 2026 il FIOD, il servizio olandese di informazione e investigazione fiscale, ha pubblicato un comunicato su un’operazione del 18 maggio.

Sono stati arrestati un uomo di cinquantasette anni di Amsterdam e uno di trentanove dell’Aia, con l’accusa di aver violato la Sanctiewet mettendo indirettamente a disposizione risorse economiche a entità sanzionate dall’Unione europea. Sono stati perquisiti tre immobili aziendali a Enschede e Almere e due data center a Dronten e a Schiphol-Rijk. Il sequestro comprende documentazione contabile, computer portatili, telefoni e oltre ottocento server.

Il comunicato descrive l’oggetto dell’indagine senza nominarlo: una società di web hosting costituita il 10 febbraio 2022, due settimane prima dell’invasione russa dell’Ucraina, utilizzata negli anni successivi per agevolare attività destabilizzanti contro l’Unione, fra cui ingerenze, attacchi informatici e diffusione di disinformazione, e inserita nell’elenco sanzionatorio dell’Unione il 20 maggio 2025.

Prosegue dicendo che nello stesso periodo una parte considerevole dell’infrastruttura tecnica è stata trasferita a una società olandese di nuova costituzione, che secondo le indagini funge in realtà da copertura per le entità sanzionate, e il cui amministratore e unico socio indiretto è il cinquantasettenne. Aggiunge che un’altra società olandese, amministrata e interamente posseduta dal trentanovenne, fa in modo che i server della prima siano collegati a internet.

Rilievo di metodo. Il FIOD non nomina né la società sanzionata né le due società olandesi. La coincidenza con il caso Stark si regge su quattro elementi che combaciano: la data di costituzione, il 10 febbraio 2022; la data di inserimento in elenco, il 20 maggio 2025; la figura della società di copertura che riceve l’infrastruttura; e la seconda società che fornisce la connettività. È una lettura della redazione fondata su documenti pubblici, non un’identificazione ufficiale, e prima di pubblicare conviene chiedere conferma al Functioneel Parket, che dirige l’indagine.

Il dato di sequenza, però, non dipende dall’identificazione. La base giuridica dell’operazione olandese è nazionale e penale, la Sanctiewet e la Wet op de economische delicten. Il congelamento europeo, da solo, non ha spento alcun server: ha reso illecito fornire risorse, e qualcuno ha dovuto perseguire quell’illecito.

Non è nemmeno un caso isolato. Il 29 settembre 2026 l’Openbaar Ministerie ha reso noto un secondo procedimento, su elusione delle sanzioni e fornitura di servizi informatici vietati, nato da un’operazione del 15 settembre 2026 condotta dal FIOD sotto la direzione dello stesso Functioneel Parket.

Sono indagati un cittadino russo di cinquantadue anni, divenuto azionista della società olandese coinvolta poco dopo l’invasione dell’Ucraina, una donna olandese di cinquanta che si presentava come Chief Legal Officer, e la società stessa. L’ipotesi è che beni e servizi tecnologici soggetti a sanzioni siano arrivati dai Paesi Bassi a clienti russi passando per un Paese terzo, fra cui una banca russa sanzionata, una società di software e un produttore di elicotteri militari. Sono stati sequestrati server, documentazione cartacea e digitale, supporti di memoria, immobili e conti bancari, e il tribunale ha disposto la custodia cautelare per entrambi gli indagati.

Due procedimenti in quattro mesi, lo stesso ufficio, la stessa base giuridica, in entrambi i casi servizi informatici. I Paesi Bassi hanno costruito una prassi su un reato che l’Italia ha introdotto nel gennaio 2026 e che non risulta ancora applicato.

In Italia: chi è l’autorità competente, e chi deve comunicare

L’articolo 1, lettera c), del regolamento 2024/2642 definisce le autorità competenti come quelle degli Stati membri i cui siti web sono elencati nell’allegato II. Per l’Italia l’allegato rinvia a una pagina del Ministero degli affari esteri, oggi raggiungibile per reindirizzamento sotto la sezione dei temi.

Quella pagina indica cinque riferimenti: il Comitato di sicurezza finanziaria presso il MEF, la UIF della Banca d’Italia per le comunicazioni sul congelamento, l’ufficio VI della DGAP per le politiche sanzionatorie, l’Autorità nazionale UAMA per beni e tecnologie a duplice uso, e l’Unità di crisi per le imprese.

Riscontro negativo, e vale come dato. La pagina richiamata dall’allegato II non cita il regolamento 2024/2642 né il regime delle attività destabilizzanti. Il solo regolamento di congelamento per cui indica un canale di comunicazione è il 269/2014 sull’integrità territoriale dell’Ucraina, mentre nel paragrafo sull’aggiramento sono nominati anche il 833/2014 e il 765/2006. La designazione dell’autorità italiana è generale, non per regime, e va ricostruita dalla pagina del Comitato di sicurezza finanziaria e dall’elenco della Commissione.

Poi c’è lo scarto fra l’obbligo europeo e quello italiano, ed è lo scarto che interessa chi gestisce infrastruttura.

L’articolo 8 del regolamento impone a persone fisiche e giuridiche, entità e organismi di fornire immediatamente all’autorità competente dello Stato in cui risiedono o sono stabiliti qualsiasi informazione atta a facilitare il rispetto del regolamento, e di collaborare alle verifiche. Il destinatario è generale, con una salvaguardia già europea per la riservatezza delle comunicazioni fra avvocato e cliente.

L’articolo 7 del decreto legislativo 22 giugno 2007, n. 109 ha invece un destinatario ristretto: i soggetti obbligati dell’articolo 3 del decreto legislativo 231 del 2007, cioè intermediari bancari e finanziari, altri operatori finanziari, professionisti, altri operatori non finanziari e prestatori di servizi di gioco.

Costoro comunicano alla UIF le misure applicate entro trenta giorni dall’entrata in vigore dell’atto europeo o, se successiva, dalla data di detenzione dei fondi, e per le risorse economiche anche al Nucleo speciale di polizia valutaria della Guardia di finanza. Il comma 2 aggiunge l’obbligo di comunicare tempestivamente dati su operazioni e rapporti riconducibili a soggetti designati o in via di designazione.

L’elenco degli operatori non finanziari è chiuso e non comprende servizi digitali: commercio di cose antiche e opere d’arte, operatori in oro, agenti immobiliari, custodia e trasporto di contante, mediazione civile, recupero stragiudiziale di crediti. Un fornitore italiano di hosting non è soggetto obbligato per quella via, e nemmeno un’impresa che acquista hosting. Il canale di comunicazione del 109/2007 non li raggiunge, mentre l’articolo 8 del regolamento europeo li raggiunge.

La portata dei divieti, del resto, è più ampia di quanto si immagini. L’articolo 19 del regolamento lo applica a qualsiasi persona giuridica, entità o organismo registrato o costituito secondo il diritto di uno Stato membro, dentro o fuori il territorio dell’Unione, e a qualsiasi persona giuridica per le attività economiche esercitate interamente o parzialmente nell’Unione. L’articolo 9, paragrafo 1, vieta di partecipare consapevolmente e deliberatamente ad attività che eludano le misure, e precisa che rientra nel divieto anche chi partecipa pur senza perseguire quell’obiettivo, essendo consapevole che la partecipazione può averlo e accettandone la possibilità.

C’è infine una deroga che dice qualcosa sul modo in cui il regime guarda alle reti quando si tratta di tenerle accese. L’articolo 3, paragrafo 1, lettera g), consente alle autorità competenti di autorizzare lo svincolo o la messa a disposizione di fondi necessari alla prestazione di servizi di comunicazione elettronica da parte di operatori di telecomunicazioni dell’Unione e alla fornitura delle risorse e dei servizi correlati necessari al loro funzionamento, manutenzione e sicurezza.

Dal 24 gennaio 2026 prestare servizi in violazione delle misure è reato

Il decreto legislativo 30 dicembre 2025, n. 211, pubblicato nella Gazzetta ufficiale del 9 gennaio 2026 ed entrato in vigore il 24 gennaio, recepisce la direttiva (UE) 2024/1226 e introduce nel codice penale il capo I-bis del titolo I del libro II, intitolato ai delitti contro la politica estera e la sicurezza comune dell’Unione europea.

Un passaggio da tenere presente prima di citarlo. L’articolo 3, quello che introduce le nuove fattispecie, è stato oggetto di un avviso di rettifica pubblicato nella Gazzetta ufficiale del 4 marzo 2026, e il suo testo è in vigore in quella forma da quella data. La rettifica è strutturale: isola come secondo comma autonomo dell’articolo 275-quater una previsione che nel testo originale correva di seguito al primo. Conviene quindi lavorare sul testo multivigente e non su quello originale.

L’articolo 275-bis punisce con la reclusione da due a sei anni e la multa da 25.000 a 250.000 euro chi, in violazione di un divieto, obbligo o restrizione imposti da una misura restrittiva dell’Unione, tiene una delle condotte elencate. La lettera a) è la messa a disposizione, diretta o indiretta, di fondi o risorse economiche a favore di designati o lo stanziamento a loro vantaggio. La lettera e), quella che qui conta, è la prestazione di servizi di qualsiasi natura, ivi compresi i servizi finanziari, o lo svolgimento di operazioni finanziarie.

Il secondo comma punisce con la stessa pena l’elusione, in due modalità: l’utilizzo, il trasferimento a terzi o la cessione di fondi o risorse congelati, e la presentazione di dichiarazioni o documenti falsi allo scopo di ostacolare l’identificazione del titolare effettivo dei beni da congelare.

Il terzo comma introduce una soglia. Quando fondi, risorse, beni, servizi, operazioni o attività valgono meno di 10.000 euro si applica soltanto una sanzione amministrativa da 15.000 a 90.000 euro, con un’eccezione per il materiale militare e per i beni a duplice uso degli allegati I e IV del regolamento (UE) 2021/821. Nel calcolo del valore si sommano le operazioni di minore importo esecutive del medesimo disegno economico.

L’articolo 275-ter copre gli obblighi informativi e corregge, sul versante penale, lo scarto visto sopra. Il secondo comma punisce con la reclusione da sei mesi a due anni e la multa da 15.000 a 50.000 euro chiunque ometta di fornire alle autorità amministrative competenti informazioni di cui è a conoscenza per ragione del proprio ufficio o della propria professione. Le informazioni rilevanti sono quelle su fondi o risorse economiche presenti nel territorio dello Stato appartenenti a designati o da questi posseduti, detenuti o controllati. Anche qui c’è una soglia: sotto i 10.000 euro si applica soltanto una sanzione amministrativa da 5.000 a 45.000 euro.

L’esonero dell’articolo 8 del decreto è più stretto di quanto si legga di solito. Riguarda i professionisti esercenti una professione legale e vale per il solo obbligo dell’articolo 275-ter, secondo comma. Copre le informazioni riguardanti un cliente o da lui fornite, apprese nell’esame della sua posizione giuridica o in compiti di difesa e rappresentanza in un procedimento giudiziario o in relazione a esso, negoziazione assistita compresa.

Il destinatario della norma penale, qui, è chiunque. Un amministratore di sistema, un responsabile di data center, un consulente IT rientrano nel perimetro per via dell’ufficio o della professione, pur restando fuori dal canale di comunicazione del 109/2007, e sopra la soglia dei 10.000 euro rispondono penalmente.

Sul versante dell’ente, il decreto inserisce nel decreto legislativo 231 del 2001 l’articolo 25-octies.2. Per le violazioni dell’articolo 275-bis, primo, secondo e quinto comma, dell’articolo 275-quater, primo comma, e dell’articolo 12, comma 1-bis, del testo unico sull’immigrazione, la sanzione pecuniaria va dall’1 al 5 per cento del fatturato globale dell’ente. Per le violazioni dell’articolo 275-ter, primo e secondo comma, va dallo 0,5 all’1 per cento.

Quando il fatturato globale non è accertabile si applicano importi fissi, da 3 a 40 milioni di euro nel primo caso e da 1 a 8 milioni nel secondo. In caso di condanna si applicano inoltre le sanzioni interdittive dell’articolo 9, comma 2, per una durata da due a sei anni se il reato è stato commesso da soggetti in posizione apicale, da uno a tre anni se da sottoposti.

L’articolo 10 del decreto chiude il circuito istituzionale. Il Comitato di sicurezza finanziaria, l’autorità competente del decreto legislativo 221 del 2017 e ogni altra autorità incaricata dell’esecuzione delle misure restrittive dell’Unione europea, quando hanno notizia di questi reati, informano senza ritardo il procuratore nazionale antimafia e antiterrorismo.

Il termine di recepimento fissato dall’articolo 20 della direttiva era il 20 maggio 2025. Il decreto porta la data del 30 dicembre 2025, sette mesi e dieci giorni dopo la scadenza, ed è entrato in vigore il 24 gennaio 2026, poco più di otto mesi dopo.

Il confronto con i Paesi Bassi si chiude qui. La condotta contestata il 18 maggio 2026, cioè mettere indirettamente a disposizione risorse economiche a entità sanzionate gestendo server per loro conto, in Italia dal 24 gennaio 2026 è un delitto punito da due a sei anni, con responsabilità dell’ente commisurata al fatturato globale. Lo strumento c’è. Non risultano procedimenti italiani su queste fattispecie, e per il momento si tratta di un riscontro negativo su fonti pubbliche, non di una verifica esaustiva.

Il buco operativo: nessuna indicazione sui servizi digitali

Chi deve applicare la norma ha una fattispecie penale sui servizi e nessuna indicazione su come riconoscerli quando il servizio è un server.

Il documento italiano più vicino al tema è la comunicazione UIF del 7 maggio 2026 sulla prevenzione di attività illecite connesse con la violazione di misure restrittive. Richiama il decreto 211 del 2025 e i nuovi articoli del codice penale, distingue la segnalazione di operazione sospetta dagli obblighi di comunicazione sul congelamento, e istituisce in via sperimentale il fenomeno V01, operatività connessa con violazione di misure restrittive dell’Unione.

Le anomalie che elenca sono catene partecipative complesse e opache a rilevanza transnazionale, soprattutto nell’immobiliare; triangolazioni di fondi tramite prestatori di servizi di pagamento in Paesi che non applicano regimi analoghi; triangolazioni di cripto-attività e di flussi veicolati tramite conti di corrispondenza e IBAN virtuali; occultamento della localizzazione, anche tramite VPN; raccolte fondi tramite enti non lucrativi e piattaforme digitali; import ed export di beni di lusso, prodotti petroliferi e siderurgici, macchinari ad alto contenuto tecnologico e beni a duplice uso.

Riscontro negativo. La comunicazione non tratta la prestazione di servizi non finanziari in quanto tale, né i servizi informatici, l’hosting, i domini o l’infrastruttura di rete. I riferimenti digitali che contiene sono strumentali ad altro. Lo stesso vale, su ricerca nelle fonti istituzionali consultabili, per gli altri attori: non risulta un documento di MEF, Comitato di sicurezza finanziaria, UIF o ACN sull’applicazione delle misure restrittive ai fornitori di servizi digitali.

Un passaggio della comunicazione UIF aiuta però a misurare il problema. Nella valutazione del sospetto, dice, rilevano il riscontro di nominativi e dei relativi dati anagrafici nelle liste pubbliche e il coinvolgimento di soggetti a essi collegati o collegabili sulla base delle informazioni a disposizione.

Applicata al caso, la regola mostra esattamente dove si rompe. WorkTitans B.V. e MIRhosting non producono alcun riscontro nelle liste pubbliche, perché non ci sono. Sono collegabili, ma soltanto da chi legge le motivazioni di due voci di persone fisiche nell’allegato I, non da uno strumento che confronta denominazioni. La pagina del Ministero degli affari esteri, per parte sua, ricorda agli operatori l’obbligo vigente di condurre un’appropriata attività di due diligence calibrata sulle specificità dell’attività e sull’esposizione al rischio, e lascia a ciascuno il compito di costruirsela.

L’unico adempimento italiano sull’atto dell’8 ottobre, del resto, è un alert della UIF pubblicato lo stesso giorno. Segnala agli operatori i due regolamenti di esecuzione usciti in Gazzetta, il 2026/2257 e il 2026/2263 sul regime ucraino, dice che è stata modificata la base giuridica relativa alla designazione di un soggetto e rinvia alla lista consolidata, agli atti in Gazzetta e alla EU Sanctions Map.

Funziona come trasmissione di un aggiornamento di lista, e nulla più. Del contenuto di quelle motivazioni, cioè del passaggio dell’infrastruttura di un soggetto designato a due società non designate, nell’alert non c’è traccia. Non è un rilievo all’autorità: è esattamente il compito che quel canale svolge, ed è la ragione per cui il resto manca.

Un rinvio interno disallineato nel decreto del 2007

Un dettaglio, ma di quelli che contano quando si contesta una violazione.

L’articolo 13, comma 3, del decreto legislativo 109 del 2007 punisce con la sanzione amministrativa da 5.000 a 500.000 euro qualsiasi violazione delle disposizioni restrittive previste dai “regolamenti comunitari di cui all’articolo 1, comma 1, lettera g)” del decreto stesso.

Nel testo vigente dell’articolo 1, comma 1, la lettera g) definisce però la legge antiriciclaggio, cioè il decreto legislativo 231 del 2007. I regolamenti comunitari sono definiti alla lettera h), che affianca a due regolamenti nominati una clausola aperta costruita per finalità: i regolamenti emanati ai sensi degli articoli 75 e 215 del Trattato sul funzionamento dell’Unione europea adottati per contrastare il terrorismo internazionale, la proliferazione delle armi di distruzione di massa e l’attività dei Paesi che minacciano la pace e la sicurezza internazionale.

Il disallineamento non è il residuo di una numerazione anteriore. Nelle tre versioni previgenti dell’articolo 1 i regolamenti comunitari stavano alla lettera b) e la lettera g) indicava i soggetti designati, e il comma 3 dell’articolo 13, che allora esisteva, riguardava l’accertamento delle violazioni e non le sanzioni. Articolo 1 e articolo 13 recano entrambi, su Normattiva, la dicitura “testo in vigore dal 4 luglio 2017”: il rinvio sbagliato nasce con la riscrittura di quell’anno. Va verificato se esista un orientamento che lo tratti come errore materiale sanabile in via interpretativa, prima di darne conto come vizio.

Sul perimetro, invece, il punto resta aperto in modo più sostanziale, e due elementi lo spingono verso l’inclusione. Il primo è l’articolo 2 del decreto, che costruisce l’ambito di applicazione per finalità ed esclude espressamente le sole sanzioni di natura commerciale verso Paesi terzi, embargo di armi compreso: il regolamento 2024/2642 è un congelamento, non una misura commerciale. Il secondo è l’articolo 9 del decreto 211 del 2025, che innesta nell’articolo 13-quater del 109/2007 la competenza del MEF per le sanzioni amministrative delle nuove fattispecie penali, senza distinguere per regime.

Resta che nessun atto italiano dice espressamente che il regolamento 2024/2642 rientra nel perimetro del 109/2007. L’articolo 10 del decreto 211 del 2025 accosta il Comitato di sicurezza finanziaria, richiamato per rinvio all’articolo 3 del 109/2007, a “ogni altra autorità incaricata dell’esecuzione delle misure restrittive dell’Unione europea”: l’aggettivo implica che il Comitato appartenga a quella categoria, ma è un’implicazione e non una qualificazione espressa. Prima di pubblicare conviene chiedere conferma al Comitato.

Che cosa guardare nei prossimi mesi

Se e quando le liste degli allegati III, IV e V verranno popolate. È la domanda che decide se l’approccio per ecosistemi, che su queste pagine era stato descritto come la direzione verso cui si muove la risposta europea nel pezzo su sanzioni cyber e diplomazia coercitiva, diventa operativo o resta un potere in riserva.

Al 12 ottobre 2026 la risposta è ancora no: sull’atto dell’8 ottobre non è intervenuto alcun atto successivo e le tre liste restano come erano. Lo stesso 12 ottobre il Consiglio Affari esteri ha discusso la guerra di aggressione e la campagna ibrida russa, e l’alta rappresentante ha annunciato 1.600 nuove designazioni, che però riguardano il complesso militare-industriale e le elezioni nei territori occupati, non questo regime.

Se il Consiglio designerà le entità successive nell’allegato I, o se continuerà a descriverle nelle motivazioni delle persone fisiche. Le misure scadono il 9 ottobre 2027 e la decisione è, per il suo articolo 10, costantemente riesaminata, mentre le modifiche dell’allegato arrivano con cadenza di poche settimane.

Se il procedimento olandese arriverà a imputazione, e con quale qualificazione dei due ruoli, la copertura e la connettività.

Se il Comitato di sicurezza finanziaria o la UIF pubblicheranno indicazioni sui servizi non finanziari, e in particolare sui servizi di hosting, di cloud e di registrazione di domini.

Se in Italia si apriranno procedimenti sui nuovi articoli 275-bis e 275-ter del codice penale. È il banco di prova della scelta di punire la prestazione di servizi di qualsiasi natura, e per ora quella scelta è scritta e non applicata.