CELEX ID: 32019R0796

--- ENGLISH ---

Document:
17.5.2019
EN
Official Journal of the European Union
LI 129/1
COUNCIL REGULATION (EU) 2019/796
of 17 May 2019
concerning restrictive measures against cyber-attacks threatening the Union or its Member States
THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 215 thereof,
Having regard to Council Decision (CFSP) 2019/797 of 17 May 2019 concerning restrictive measures against cyber-attacks threatening the Union or its Member States 
(
1
)
,
Having regard to the joint proposal of the High Representative of the Union for Foreign Affairs and Security Policy and of the European Commission,
Whereas:
(1)
On 18 October 2018 the European Council adopted conclusions which called for the work on the capacity to respond to and deter cyber-attacks through Union restrictive measures to be taken forward, further to the Council conclusions of 19 June 2017.
(2)
On 17 May 2019 the Council adopted Decision (CFSP) 2019/797. Decision (CFSP) 2019/797 establishes a framework for targeted restrictive measures to deter and respond to cyber-attacks with a significant effect which constitute an external threat to the Union or its Member States. Persons, entities and bodies subject to the restrictive measures are listed in the Annex to that Decision.
(3)
This Regulation respects the fundamental rights and observes the principles recognised by the Charter of Fundamental Rights of the European Union, in particular the right to an effective remedy and to a fair trial and the right to the protection of personal data. This Regulation should be applied in accordance with those rights.
(4)
The power to establish and amend the list in Annex I to this Regulation should be exercised by the Council in order to ensure consistency with the process for establishing, amending and reviewing the Annex to Decision (CFSP) 2019/797.
(5)
For the implementation of this Regulation, and in order to ensure maximum legal certainty within the Union, the names and other relevant data concerning natural and legal persons, entities and bodies whose funds and economic resources are to be frozen in accordance with this Regulation should be made public. Any processing of personal data should comply with Regulations (EU) 2016/679 
(
2
)
 and (EU) 2018/1725 
(
3
)
 of the European Parliament and of the Council.
(6)
Member States and the Commission should inform each other of the measures taken pursuant to this Regulation and of other relevant information at their disposal in connection with this Regulation.
(7)
Member States should lay down rules on sanctions applicable to infringements of the provisions of this Regulation and make sure that they are implemented. Those sanctions should be effective, proportionate and dissuasive,
HAS ADOPTED THIS REGULATION:
Article 1
1.   This Regulation applies to cyber-attacks with a significant effect, including attempted cyber-attacks with a potentially significant effect, which constitute an external threat to the Union or its Member States.
2.   Cyber-attacks constituting an external threat include those which:
(a)
originate, or are carried out, from outside the Union;
(b)
use infrastructure outside the Union;
(c)
are carried out by any natural or legal person, entity or body established or operating outside the Union; or
(d)
are carried out with the support, at the direction or under the control of any natural or legal person, entity or body operating outside the Union.
3.   For this purpose, cyber-attacks are actions involving any of the following:
(a)
access to information systems;
(b)
information system interference;
(c)
data interference; or
(d)
data interception,
where such actions are not duly authorised by the owner or by another right holder of the system or data or part of it, or are not permitted under the law of the Union or of the Member State concerned.
4.   Cyber-attacks constituting a threat to Member States include those affecting information systems relating to, inter alia:
(a)
critical infrastructure, including submarine cables and objects launched into outer space, which is essential for the maintenance of vital functions of society, or the health, safety, security, and economic or social well-being of people;
(b)
services necessary for the maintenance of essential social and/or economic activities, in particular in the sectors of: energy (electricity, oil and gas); transport (air, rail, water and road); banking; financial market infrastructures; health (healthcare providers, hospitals and private clinics); drinking water supply and distribution; digital infrastructure; and any other sector which is essential to the Member State concerned;
(c)
critical State functions, in particular in the areas of defence, governance and the functioning of institutions, including for public elections or the voting process, the functioning of economic and civil infrastructure, internal security, and external relations, including through diplomatic missions;
(d)
the storage or processing of classified information; or
(e)
government emergency response teams.
5.   Cyber-attacks constituting a threat to the Union include those carried out against its institutions, bodies, offices and agencies, its delegations to third countries or to international organisations, its common security and defence policy (CSDP) operations and missions and its special representatives.
6.   Where deemed necessary to achieve common foreign and security policy (CFSP) objectives in the relevant provisions of Article 21 of the Treaty on European Union, restrictive measures under this Regulation may also be applied in response to cyber-attacks with a significant effect against third States or international organisations.
7.   For the purposes of this Regulation, the following definitions apply:
(a)
‘information systems’ means a device or group of interconnected or related devices, one or more of which, pursuant to a programme, automatically processes digital data, as well as digital data stored, processed, retrieved or transmitted by that device or group of devices for the purposes of its or their operation, use, protection and maintenance;
(b)
‘information system interference’ means hindering or interrupting the functioning of an information system by inputting digital data, by transmitting, damaging, deleting, deteriorating, altering or suppressing such data, or by rendering such data inaccessible;
(c)
‘data interference’ means deleting, damaging, deteriorating, altering or suppressing digital data on an information system, or rendering such data inaccessible; it also includes theft of data, funds, economic resources or intellectual property;
(d)
‘data interception’ means intercepting, by technical means, non-public transmissions of digital data to, from or within an information system, including electromagnetic emissions from an information system carrying such digital data.
8.   For the purposes of this Regulation, the following additional definitions apply:
(a)
‘claim’ means any claim, whether asserted by legal proceedings or not, made before or after the date of entry into force of this Regulation, under or in connection with a contract or transaction, and includes in particular:
(i)
a claim for performance of any obligation arising under or in connection with a contract or transaction;
(ii)
a claim for extension or payment of a bond, financial guarantee or indemnity of whatever form;
(iii)
a claim for compensation in respect of a contract or transaction;
(iv)
a counterclaim;
(v)
a claim for the recognition or enforcement, including by the procedure of 
exequatur
, of a judgment, an arbitration award or an equivalent decision, wherever made or given;
(b)
‘contract or transaction’ means any transaction of whatever form and whatever the applicable law, whether comprising one or more contracts or similar obligations made between the same or different parties; for this purpose, ‘contract’ includes a bond, guarantee or indemnity, particularly a financial guarantee or financial indemnity, and credit, whether legally independent or not, as well as any related provision arising under, or in connection with, the transaction;
(c)
‘competent authorities’ refers to the competent authorities of the Member States as identified on the websites listed in Annex II;
(d)
‘economic resources’ means assets of every kind, whether tangible or intangible, movable or immovable, which are not funds, but may be used to obtain funds, goods or services;
(e)
‘freezing of economic resources’ means preventing the use of economic resources to obtain funds, goods or services in any way, including, but not limited to, by selling, hiring or mortgaging them;
(f)
‘freezing of funds’ means preventing any move, transfer, alteration, use of, access to, or dealing with funds in any way that would result in any change in their volume, amount, location, ownership, possession, character or destination or any other change that would enable the funds to be used, including portfolio management;
(g)
‘funds’ means financial assets and benefit of every kind, including, but not limited to:
(i)
cash, cheques, claims on money, drafts, money orders and other payment instruments;
(ii)
deposits with financial institutions or other entities, balances on accounts, debts and debt obligations;
(iii)
publicly-and privately-traded securities and debt instruments, including stocks and shares, certificates representing securities, bonds, notes, warrants, debentures and derivatives contracts;
(iv)
interest, dividends or other income on or value accruing from or generated by assets;
(v)
credit, right of set-off, guarantees, performance bonds or other financial commitments;
(vi)
letters of credit, bills of lading and bills of sale; and
(vii)
documents showing evidence of an interest in funds or financial resources;
(h)
‘territory of the Union’ means the territories of the Member States to which the Treaty is applicable, under the conditions laid down in the Treaty, including their airspace.
Article 2
The factors determining whether a cyber-attack has a significant effect as referred to in Article 1(1) include any of the following:
(a)
the scope, scale, impact or severity of disruption caused, including to economic and societal activities, essential services, critical State functions, public order or public safety;
(b)
the number of natural or legal persons, entities or bodies affected;
(c)
the number of Member States concerned;
(d)
the amount of economic loss caused, such as through large-scale theft of funds, economic resources or intellectual property;
(e)
the economic benefit gained by the perpetrator, for himself or for others;
(f)
the amount or nature of data stolen or the scale of data breaches; or
(g)
the nature of commercially sensitive data accessed.
Article 3
1.   All funds and economic resources belonging to, owned, held or controlled by any natural or legal person, entity or body listed in Annex I shall be frozen.
2.   No funds or economic resources shall be made available, directly or indirectly, to or for the benefit of natural or legal persons, entities or bodies listed in Annex I.
3.   Annex I shall include, as identified by the Council in accordance with Article 5(1) of Decision (CFSP) 2019/797:
(a)
natural or legal persons, entities or bodies who are responsible for cyber-attacks or attempted cyber-attacks;
(b)
natural persons or legal persons, entities or bodies that provide financial, technical or material support for or are otherwise involved in cyber-attacks or attempted cyber-attacks, including by planning, preparing, participating in, directing, assisting or encouraging such attacks, or facilitating them whether by action or omission;
(c)
natural or legal persons, entities or bodies associated with the natural or legal persons, entities or bodies covered by points (a) and (b) of this paragraph.
Article 4
1.   By way of derogation from Article 3, the competent authorities of the Member States may authorise the release of certain frozen funds or economic resources, or the making available of certain funds or economic resources, under such conditions as they deem appropriate, after having determined that the funds or economic resources concerned are:
(a)
necessary to satisfy the basic needs of the natural persons listed in Annex I and dependent family members of such natural persons, including payments for foodstuffs, rent or mortgage, medicines and medical treatment, taxes, insurance premiums, and public utility charges;
(b)
intended exclusively for the payment of reasonable professional fees or the reimbursement of incurred expenses associated with the provision of legal services;
(c)
intended exclusively for the payment of fees or service charges for the routine holding or maintenance of frozen funds or economic resources;
(d)
necessary for extraordinary expenses, provided that the relevant competent authority has notified the competent authorities of the other Member States and the Commission of the grounds on which it considers that a specific authorisation should be granted, at least two weeks prior to the authorisation; or
(e)
to be paid into or from an account of a diplomatic or consular mission or an international organisation enjoying immunities in accordance with international law, insofar as such payments are intended to be used for official purposes of the diplomatic or consular mission or international organisation.
2.   The Member State concerned shall inform the other Member States and the Commission of any authorisation granted under paragraph 1 within two weeks of the authorisation.
Article 5
1.   By way of derogation from Article 3(1), the competent authorities of the Member States may authorise the release of certain frozen funds or economic resources provided that the following conditions are met:
(a)
the funds or economic resources are the subject of an arbitral decision rendered prior to the date on which the natural or legal person, entity or body referred to in Article 3 was listed in Annex I, or of a judicial or administrative decision rendered in the Union, or a judicial decision enforceable in the Member State concerned, prior to or after that date;
(b)
the funds or economic resources will be used exclusively to satisfy claims secured by such a decision or recognised as valid in such a decision, within the limits set by applicable laws and regulations governing the rights of persons having such claims;
(c)
the decision is not for the benefit of a natural or legal person, entity or body listed in Annex I; and
(d)
recognition of the decision is not contrary to public policy in the Member State concerned.
2.   The Member State concerned shall inform the other Member States and the Commission of any authorisation granted under paragraph 1 within two weeks of the authorisation.
Article 6
1.   By way of derogation from Article 3(1) and provided that a payment by a natural or legal person, entity or body listed in Annex I is due under a contract or agreement that was concluded by, or an obligation that arose for, the natural or legal person, entity or body concerned before the date on which that natural or legal person, entity or body was included in Annex I, the competent authorities of the Member States may authorise, under such conditions as they deem appropriate, the release of certain frozen funds or economic resources, provided that the competent authority concerned has determined that:
(a)
the funds or economic resources will be used for a payment by a natural or legal person, entity or body listed in Annex I; and
(b)
the payment is not in breach of Article 3(2).
2.   The Member State concerned shall inform the other Member States and the Commission of any authorisation granted under paragraph 1 within two weeks of the authorisation.
Article 7
1.   Article 3(2) shall not prevent the crediting of frozen accounts by financial or credit institutions that receive funds transferred by third parties onto the account of a listed natural or legal person, entity or body, provided that any additions to such accounts will also be frozen. The financial or credit institution shall inform the relevant competent authority about any such transaction without delay.
2.   Article 3(2) shall not apply to the addition to frozen accounts of:
(a)
interest or other earnings on those accounts;
(b)
payments due under contracts, agreements or obligations that were concluded or arose before the date on which the natural or legal person, entity or body referred to in Article 3(1) was included in Annex I; or
(c)
payments due under judicial, administrative or arbitral decisions rendered in a Member State or enforceable in the Member State concerned,
provided that any such interest, other earnings and payments remain subject to the measures provided for in Article 3(1).
Article 8
1.   Without prejudice to the applicable rules concerning reporting, confidentiality and professional secrecy, natural and legal persons, entities and bodies shall:
(a)
supply immediately any information which would facilitate compliance with this Regulation, such as information on accounts and amounts frozen in accordance with Article 3(1), to the competent authority of the Member State where they are resident or located, and transmit such information, directly or through the Member State, to the Commission; and
(b)
cooperate with the competent authority in any verification of the information referred to in point (a).
2.   Any additional information received directly by the Commission shall be made available to the Member States.
3.   Any information provided or received in accordance with this Article shall be used only for the purposes for which it was provided or received.
Article 9
It shall be prohibited to participate, knowingly and intentionally, in activities the object or effect of which is to circumvent the measures referred to in Article 3.
Article 10
1.   The freezing of funds and economic resources or the refusal to make funds or economic resources available, carried out in good faith on the basis that such action is in accordance with this Regulation, shall not give rise to liability of any kind on the part of the natural or legal person or entity or body implementing it, or its directors or employees, unless it is proved that the funds and economic resources were frozen or withheld as a result of negligence.
2.   Actions by natural or legal persons, entities or bodies shall not give rise to any liability of any kind on their part if they did not know, and had no reasonable cause to suspect, that their actions would infringe the measures set out in this Regulation.
Article 11
1.   No claims in connection with any contract or transaction the performance of which has been affected, directly or indirectly, in whole or in part, by the measures imposed under this Regulation, including claims for indemnity or any other claim of this type, such as a claim for compensation or a claim under a guarantee, in particular a claim for extension or payment of a bond, guarantee or indemnity, in particular a financial guarantee or financial indemnity, of whatever form, shall be satisfied, if they are made by:
(a)
designated natural or legal persons, entities or bodies listed in Annex I;
(b)
any natural or legal person, entity or body acting through or on behalf of one of the natural or legal persons, entities or bodies referred to in point (a).
2.   In any proceedings for the enforcement of a claim, the onus of proving that satisfying the claim is not prohibited by paragraph 1 shall be on the natural or legal person, entity or body seeking the enforcement of that claim.
3.   This Article is without prejudice to the right of the natural or legal persons, entities and bodies referred to in paragraph 1 to judicial review of the legality of the non-performance of contractual obligations in accordance with this Regulation.
Article 12
1.   The Commission and Member States shall inform each other of the measures taken under this Regulation and share any other relevant information at their disposal in connection with this Regulation, in particular information in respect of:
(a)
funds frozen under Article 3 and authorisations granted under Articles 4, 5 and 6;
(b)
violation and enforcement problems and judgments handed down by national courts.
2.   The Member States shall immediately inform each other and the Commission of any other relevant information at their disposal which might affect the effective implementation of this Regulation.
Article 13
1.   Where the Council decides to subject a natural or legal person, entity or body to the measures referred to in Article 3, it shall amend Annex I accordingly.
2.   The Council shall communicate the decision referred to in paragraph 1, including the grounds for listing, to the natural or legal person, entity or body concerned, either directly, if the address is known, or through the publication of a notice, providing that natural or legal person, entity or body with an opportunity to present observations.
3.   Where observations are submitted, or where substantial new evidence is presented, the Council shall review the decision referred to in paragraph 1 and inform the natural or legal person, entity or body concerned accordingly.
4.   The list in Annex I shall be reviewed at regular intervals and at least every 12 months.
5.   The Commission shall be empowered to amend Annex II on the basis of information supplied by Member States.
Article 14
1.   Annex I shall include the grounds for the listing of natural or legal persons, entities or bodies concerned.
2.   Annex I shall contain, where available, the information necessary to identify the natural or legal persons, entities or bodies concerned. With regard to natural persons, such information may include: names and aliases; date and place of birth; nationality; passport and identity card numbers; gender; address, if known; and function or profession. With regard to legal persons, entities or bodies, such information may include names, place and date of registration, registration number and place of business.
Article 15
1.   Member States shall lay down the rules on penalties applicable to infringements of the provisions of this Regulation and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive.
2.   Member States shall notify the Commission of the rules referred to in paragraph 1 without delay after the entry into force of this Regulation and shall notify it of any subsequent amendment.
Article 16
1.   The Commission shall process personal data in order to carry out its tasks under this Regulation. These tasks include:
(a)
adding the contents of Annex I to the electronic, consolidated list of persons, groups and entities subject to Union financial sanctions and to the interactive sanctions map, both publicly available;
(b)
processing information on the impact of the measures of this Regulation such as the value of frozen funds and information on authorisations granted by the competent authorities.
2.   For the purposes of this Regulation, the Commission service listed in Annex II is designated as ‘controller’ for the Commission within the meaning of Article 3(8) of Regulation (EU) 2018/1725, in order to ensure that the natural persons concerned can exercise their rights under that Regulation.
Article 17
1.   Member States shall designate the competent authorities referred to in this Regulation and identify them on the websites listed in Annex II. Member States shall notify the Commission of any changes in the addresses of their websites listed in Annex II.
2.   Member States shall notify the Commission of their competent authorities, including the contact details of those competent authorities, without delay after the entry into force of this Regulation, and shall notify it of any subsequent amendment.
3.   Where this Regulation sets out a requirement to notify, inform or otherwise communicate with the Commission, the address and other contact details to be used for such communication shall be those indicated in Annex II.
Article 18
This Regulation shall apply:
(a)
within the territory of the Union, including its airspace;
(b)
on board any aircraft or vessel under the jurisdiction of a Member State;
(c)
to any natural person inside or outside the territory of the Union who is a national of a Member State;
(d)
to any legal person, entity or body, inside or outside the territory of the Union, which is incorporated or constituted under the law of a Member State;
(e)
to any legal person, entity or body in respect of any business done in whole or in part within the Union.
Article 19
This Regulation shall enter into force on the day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Brussels, 17 May 2019.
For the Council
The President
E.O. TEODOROVICI
(
1
)
  See page 13 of this Official Journal.
(
2
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
3
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
ANNEX I
List of natural and legal persons, entities and bodies referred to in Article 3
[…]
ANNEX II
Websites for information on the competent authorities and address for notifications to the Commission
BELGIUM
https://diplomatie.belgium.be/nl/Beleid/beleidsthemas/vrede_en_veiligheid/sancties
https://diplomatie.belgium.be/fr/politique/themes_politiques/paix_et_securite/sanctions
https://diplomatie.belgium.be/en/policy/policy_areas/peace_and_security/sanctions
BULGARIA
https://www.mfa.bg/en/101
CZECHIA
www.financnianalytickyurad.cz/mezinarodni-sankce.html
DENMARK
http://um.dk/da/Udenrigspolitik/folkeretten/sanktioner/
GERMANY
http://www.bmwi.de/DE/Themen/Aussenwirtschaft/aussenwirtschaftsrecht,did=404888.html
ESTONIA
http://www.vm.ee/est/kat_622/
IRELAND
http://www.dfa.ie/home/index.aspx?id=28519
GREECE
http://www.mfa.gr/en/foreign-policy/global-issues/international-sanctions.html
SPAIN
http://www.exteriores.gob.es/Portal/en/PoliticaExteriorCooperacion/GlobalizacionOportunidadesRiesgos/Paginas/SancionesInternacionales.aspx
FRANCE
http://www.diplomatie.gouv.fr/fr/autorites-sanctions/
CROATIA
http://www.mvep.hr/sankcije
ITALY
https://www.esteri.it/mae/it/politica_estera/politica_europea/misure_deroghe
CYPRUS
http://www.mfa.gov.cy/mfa/mfa2016.nsf/mfa35_en/mfa35_en?OpenDocument
LATVIA
http://www.mfa.gov.lv/en/security/4539
LITHUANIA
http://www.urm.lt/sanctions
LUXEMBOURG
https://maee.gouvernement.lu/fr/directions-du-ministere/affaires-europeennes/mesures-restrictives.html
HUNGARY
http://www.kormany.hu/download/9/2a/f0000/EU%20szankci%C3%B3s%20t%C3%A1j%C3%A9koztat%C3%B3_20170214_final.pdf
MALTA
https://foreignaffairs.gov.mt/en/Government/SMB/Pages/Sanctions-Monitoring-Board.aspx
NETHERLANDS
https://www.rijksoverheid.nl/onderwerpen/internationale-sancties
AUSTRIA
http://www.bmeia.gv.at/view.php3?f_id=12750&LNG=en&version=
POLAND
https://www.gov.pl/web/dyplomacja
PORTUGAL
http://www.portugal.gov.pt/pt/ministerios/mne/quero-saber-mais/sobre-o-ministerio/medidas-restritivas/medidas-restritivas.aspx
ROMANIA
http://www.mae.ro/node/1548
SLOVENIA
http://www.mzz.gov.si/si/omejevalni_ukrepi
SLOVAKIA
https://www.mzv.sk/europske_zalezitosti/europske_politiky-sankcie_eu
FINLAND
http://formin.finland.fi/kvyhteistyo/pakotteet
SWEDEN
http://www.ud.se/sanktioner
UNITED KINGDOM
https://www.gov.uk/sanctions-embargoes-and-restrictions
Address for notifications to the European Commission:
European Commission
Service for Foreign Policy Instruments (FPI)
EEAS 07/99
B-1049 Brussels, Belgium
E-mail: relex-sanctions@ec.europa.eu

Summary:
EU restrictive measures against cyber-attacks
SUMMARY OF:
Decision (CFSP) 2019/797 — restrictive measures against cyber-attacks threatening the EU or its Member States
Regulation (EU) 2019/796 — restrictive measures against cyber-attacks threatening the EU or its Member States
WHAT ARE THE AIMS OF THE DECISION AND THE REGULATION?
Decision (CFSP) 2019/797 and Regulation (EU) 2019/796 introduce a framework which allows the 
European Union
 (EU) to impose sanctions to deter and respond to cyber-attacks
1
 constituting an external threat to the EU or to EU 
Member States
. These cyber-attacks include those against third countries or international organisations where action is considered necessary to achieve the EU’s 
common foreign and security policy
 objectives.
KEY POINTS
Sanctions for listed persons and entities
This framework allows the EU to impose sanctions on persons or entities responsible for cyber-attacks or attempted cyber-attacks, who provide financial, technical or material support for such attacks or who are involved in other ways. Sanctions may also be imposed on persons or entities associated with them. Restrictive measures include bans on persons travelling to the EU, and asset freezing.
Persons subject to such sanctions will be listed in Annex I of Decision (CFSP) 2019/797, as identified by the 
Council of the European Union
; all funds and economic resources belonging to, owned, held or controlled by any natural or legal person, entity or body listed in Annex I will be frozen.
Member States are responsible for setting out rules on penalties for infringements.
Cyber-attacks
The cyber-attacks falling within the scope of this new sanctions regime are those which have significant impact and which:
originate or are carried out from outside the EU; or
use infrastructure outside the EU; or
are carried out by persons or entities established or operating outside the EU; or
are carried out with the support of person or entities operating outside the EU.
Cyber-attacks which are a threat to Member States include those affecting information systems relating to:
critical infrastructure essential to the vital functions of society, or citizens’ health, safety, security, and economic or social well-being;
services necessary for essential social and economic activities, in particular energy, transport, banking; finance, healthcare, drinking water, digital infrastructure;
critical state functions, in particular defence, the governance and functioning of institutions, public elections, economic and civil infrastructure, internal security, and external relations, including diplomatic missions;
the storage or processing of classified information; or
government emergency response teams.
FROM WHEN DO THE DECISION AND THE REGULATION APPLY?
They have applied since 
18 May 2019
.
BACKGROUND
A 
joint communication
 issued in June 2018 pointed out that activities by State and non-state actors such as cyber-attacks disrupting the economy and 
public services
, through targeted disinformation campaigns, to hostile military actions continue to pose a serious and acute threat to the EU and to Member States. It identified areas where action should be intensified to further deepen and strengthen the EU contribution to addressing these threats, and called upon Member States and the 
European Commission
 to ensure swift follow-up.
In October 2018, in the wake of the cyber-attacks on the 
Organisation for the Prohibition of Chemical Weapons
, the 
European Council
 adopted 
conclusions
 calling for measures to be drawn up to further strengthen the EU’s deterrence, resilience and response to hybrid, cyber as well as chemical, biological, radiological and nuclear threats. The Council was called upon to devise a sanctions regime specific to cyber-attacks.
For further information, see:
Resilience, Deterrence and Defence: Building strong cybersecurity in Europe
 (European Commission)
EU cybersecurity: strategy and key policies
 (European Council and Council of the European Union)
Cyber-attacks: Council is now able to impose sanctions
 — Press release (European Council and Council of the European Union).
KEY TERMS
Cyber-attacks:
 unauthorised actions involving access to and interference with information systems, data interference or data interception.
MAIN DOCUMENTS
Council Decision (CFSP) 
2019/797
 of 
17 May 2019
 concerning restrictive measures against cyber-attacks threatening the Union or its Member States (OJ L 129I, 
17.5.2019
, 
pp. 13–19
).
Successive amendments to Decision (CFSP) 2019/797 have been incorporated in the original text. This 
consolidated version
 is of documentary value only.
Council Regulation (EU) 
2019/796
 of 
17 May 2019
 concerning restrictive measures against cyber-attacks threatening the Union or its Member States (OJ L 129I, 
17.5.2019
, 
pp. 1–12
).
See 
consolidated version
.
RELATED DOCUMENTS
Joint communication to the European Parliament, the European Council and the Council — Increasing resilience and bolstering capabilities to address hybrid threats (
JOIN(2018) 16 final
, 
13.6.2018
).
last update 
18.7.2025

--- DANISH ---

Document:
17.5.2019
DA
Den Europæiske Unions Tidende
LI 129/1
RÅDETS FORORDNING (EU) 2019/796
af 17. maj 2019
om restriktive foranstaltninger til bekæmpelse af cyberangreb, der truer Unionen eller dens medlemsstater
RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 215,
under henvisning til Rådets afgørelse (FUSP) 2019/797 af 17. maj 2019 om restriktive foranstaltninger til bekæmpelse af cyberangreb, der truer Unionen eller dens medlemsstater 
(
1
)
,
under henvisning til fælles forslag fra Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik og Europa-Kommissionen, og
ud fra følgende betragtninger:
(1)
Den 18. oktober 2018 vedtog Det Europæiske Råd konklusioner, hvori det opfordrede til at fremme arbejdet med kapaciteten til at reagere på og afskrække fra cyberangreb gennem Unionens restriktive foranstaltninger i forlængelse af Rådets konklusioner af 19. juni 2017.
(2)
Den 17. maj 2019 vedtog Rådet afgørelse (FUSP) 2019/797. Afgørelse (FUSP) 2019/797 fastlægger en ramme for målrettede restriktive foranstaltninger til at afværge og reagere på cyberangreb med betydelige konsekvenser, der udgør en ekstern trussel mod Unionen eller dens medlemsstater. Personer, enheder og organer, der er underlagt de restriktive foranstaltninger, er opført i bilaget til nævnte afgørelse.
(3)
Denne forordning er i overensstemmelse med de grundlæggende rettigheder og de principper, som anerkendes i Den Europæiske Unions charter om grundlæggende rettigheder, navnlig retten til adgang til effektive retsmidler og til en upartisk domstol og retten til beskyttelse af personoplysninger. Denne forordning bør anvendes i overensstemmelse med disse rettigheder.
(4)
Beføjelsen til at oprette og ændre listen i bilag I til denne forordning bør udøves af Rådet for at sikre sammenhæng med proceduren for oprettelse, ændring og revurdering af bilaget til afgørelse (FUSP) 2019/797.
(5)
Med henblik på gennemførelsen af denne forordning og for at skabe størst mulig retssikkerhed i Unionen bør navne og andre relevante oplysninger om de fysiske og juridiske personer, enheder og organer, hvis pengemidler og økonomiske ressourcer skal indefryses i henhold til denne forordning, offentliggøres. Enhver behandling af personoplysninger bør ske i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
2
)
 og (EU) 2018/1725 
(
3
)
.
(6)
Medlemsstaterne og Kommissionen bør underrette hinanden om foranstaltninger, der træffes i henhold til denne forordning, og om andre relevante oplysninger, som de råder over i forbindelse med denne forordning.
(7)
Medlemsstaterne bør fastsætte bestemmelser om sanktioner for overtrædelse af bestemmelserne i denne forordning og sikre, at de gennemføres. Sådanne sanktioner bør være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning —
VEDTAGET DENNE FORORDNING:
Artikel 1
1.   Denne forordning finder anvendelse på cyberangreb med betydelige konsekvenser, herunder forsøg på cyberangreb med potentielt betydelige konsekvenser, der udgør en ekstern trussel mod Unionen eller dens medlemsstater.
2.   Cyberangreb, der udgør en ekstern trussel, omfatter dem, der:
a)
hidrører eller udføres fra områder uden for Unionen
b)
anvender infrastruktur uden for Unionen
c)
udføres af fysiske eller juridiske personer, enheder eller organer, der er etableret eller opererer uden for Unionen, eller
d)
udføres med støtte fra, under ledelse af eller under kontrol af fysiske eller juridiske personer, enheder eller organer, der opererer uden for Unionen.
3.   Med henblik herpå er cyberangreb handlinger, der omfatter et eller flere af følgende elementer:
a)
adgang til informationssystemer
b)
indgreb i informationssystemer
c)
indgreb i data, eller
d)
opfangelse af data,
når ejeren eller en anden rettighedsindehaver af systemet eller dataene eller en del heraf ikke har givet behørig tilladelse til sådanne handlinger, eller de ikke er tilladt i henhold til EU-retten eller den berørte medlemsstats ret.
4.   Cyberangreb, der udgør en trussel mod medlemsstaterne, omfatter dem, der påvirker informationssystemer med tilknytning til bl.a.:
a)
kritisk infrastruktur, herunder undervandskabler og genstande, der sendes ud i det ydre rum, som er væsentlig for opretholdelsen af vitale funktioner i samfundet eller menneskers sundhed, sikkerhed og økonomiske eller sociale velfærd
b)
tjenester, der er nødvendige for opretholdelsen af væsentlige sociale og/eller økonomiske aktiviteter, navnlig i sektorerne energi (elektricitet, olie og gas), transport (luft-, jernbane-, vand- og vejtransport), bankvæsen, finansielle markedsinfrastrukturer, sundhed (sundhedstjenesteyder, hospitaler og private klinikker), forsyning med og distribution af drikkevand, digital infrastruktur og andre sektorer, der er væsentlige for den berørte medlemsstat
c)
kritiske statslige funktioner, navnlig inden for forsvar, regeringsførelse og institutioners funktion, herunder i forbindelse med offentlige valg eller afstemningsprocessen, økonomisk og civil infrastrukturs funktion, intern sikkerhed og eksterne forbindelser, herunder gennem diplomatiske missioner
d)
lagring eller behandling af fortrolige oplysninger eller
e)
statslige beredskabsenheder.
5.   Cyberangreb, der udgør en ekstern trussel mod Unionen, omfatter dem, der udføres mod dens institutioner, organer, kontorer og agenturer, dens delegationer i tredjelande eller internationale organisationer, operationer og missioner som led i dens fælles sikkerheds- og forsvarspolitik (FSFP-operationer og -missioner) og dens særlige repræsentanter.
6.   Hvis det skønnes nødvendigt for at nå målene i den fælles sikkerheds- og forsvarspolitik (FUSP) i de relevante bestemmelser i artikel 21 i traktaten om Den Europæiske Union, kan restriktive foranstaltninger i henhold til denne forordning også anvendes som reaktion på cyberangreb med betydelige konsekvenser over for tredjelande eller internationale organisationer.
7.   I denne forordning forstås ved:
a)   
»informationssystemer«
: en anordning eller gruppe af indbyrdes forbundne eller beslægtede anordninger, hvoraf en eller flere ved hjælp af et program automatisk behandler digitale data, samt digitale data, som lagres, behandles, fremfindes eller overføres af den anordning eller gruppe af anordninger med henblik på drift, brug, beskyttelse og vedligeholdelse af samme
b)   
»indgreb i informationssystemer«
: hindring eller afbrydelse af et informationssystems drift ved indlæsning af digitale data, ved overførsel, beskadigelse, sletning, forvanskning, ændring eller tilbageholdelse af sådanne data eller ved utilgængeliggørelse af sådanne data
c)   
»indgreb i data«
: sletning, beskadigelse, forvanskning, ændring eller tilbageholdelse af digitale data i et informationssystem eller utilgængeliggørelse af sådanne data; det omfatter også tyveri af data, pengemidler, økonomiske ressourcer eller intellektuel ejendom
d)   
»opfangelse af data«
: opfangelse via tekniske midler af ikkeoffentlige overførsler af digitale data til, fra eller inden for et informationssystem, herunder elektromagnetiske emissioner fra et informationssystem, der indeholder sådanne digitale data.
8.   I denne forordning forstås desuden ved:
a)   
»fordring«
: enhver omtvistet eller uomtvistet fordring, som er gjort gældende før eller efter datoen for denne forordnings ikrafttræden i henhold til eller i forbindelse med en kontrakt eller transaktion, herunder navnlig:
i)
en fordring, som tager sigte på opfyldelse af enhver forpligtelse, som opstår som resultat af eller i forbindelse med en kontrakt eller transaktion
ii)
en fordring, som tager sigte på forlængelse eller indfrielse af en kaution, finansiel garanti eller godtgørelse, uanset dens form
iii)
et erstatningskrav i forbindelse med en kontrakt eller transaktion
iv)
et modkrav
v)
en fordring, som tager sigte på, herunder ved eksigibilitet, at opnå anerkendelse eller fuldbyrdelse af en dom, en voldgiftskendelse eller en tilsvarende afgørelse, uanset hvor den er afsagt eller truffet
b)   
»kontrakt eller transaktion«
: enhver transaktion uanset form, og uanset hvilken ret der finder anvendelse på den, bestående af en eller flere kontrakter eller lignende forpligtelser, der er indgået mellem de samme eller mellem forskellige parter; begrebet »kontrakt« omfatter med henblik herpå alle kautioner, garantier eller godtgørelser, navnlig finansielle garantier eller økonomiske godtgørelser, og alle kreditter, uanset om de er juridisk uafhængige eller ej, samt enhver tilknyttet bestemmelse, der opstår som resultat af eller i forbindelse med en sådan transaktion
c)   
»kompetente myndigheder«
: medlemsstaternes kompetente myndigheder, jf. webstederne i bilag II
d)   
»økonomiske ressourcer«
: aktiver af enhver art, både materielle og immaterielle, såvel løsøre som fast ejendom, som ikke er pengemidler, men som kan bruges til at erhverve pengemidler, varer eller tjenesteydelser
e)   
»indefrysning af økonomiske ressourcer«
: hindring af, at økonomiske ressourcer på nogen måde bruges til at erhverve pengemidler, varer eller tjenesteydelser, herunder bl.a. ved salg, leje eller pantsætning
f)   
»indefrysning af pengemidler«
: hindring af enhver form for flytning, overførsel, ændring, eller brug af, adgang til eller håndtering af pengemidler, der ville resultere i enhver form for ændring med hensyn til omfang, beløb, anbringelsessted, ejerforhold, besiddelse, art eller formål eller andre ændringer, som ville gøre det muligt at bruge de pågældende pengemidler, herunder porteføljeforvaltning
g)   
»pengemidler«
: finansielle aktiver og fordele af enhver art, herunder bl.a.:
i)
kontante pengebeløb, checks, pengefordringer, veksler, betalingsordrer og andre betalingsinstrumenter
ii)
indeståender i finansielle institutioner eller andre enheder, saldi på konti, tilgodehavender og tilgodehavendebeviser
iii)
børsnoterede og unoterede værdipapirer og gældsinstrumenter, herunder aktier og andre ejerandele, værdipapircertifikater, obligationer, gældsbeviser, warrants, usikrede værdipapirer og derivatkontrakter
iv)
rente, udbytte eller anden form for indtægt fra aktiver eller værditilvækst hidrørende fra aktiver
v)
kreditter, modregningsrettigheder, garantier, opfyldelsesgarantier eller andre finansielle forpligtelser
vi)
remburser, konnossementer og løsørepantebreve, og
vii)
dokumenter, der godtgør en rettighed til pengemidler eller økonomiske ressourcer
h)   
»Unionens område«
: de af medlemsstaternes områder, hvorpå traktaten finder anvendelse på de betingelser, der er fastsat i traktaten, herunder deres luftrum.
Artikel 2
Til de faktorer, der bestemmer, om et cyberangreb har betydelige konsekvenser, jf. artikel 1, stk. 1, hører følgende:
a)
omfanget, størrelsen, virkningerne eller alvoren af de forstyrrelser, der forårsages, herunder for økonomiske og samfundsmæssige aktiviteter, væsentlige tjenester, kritiske statslige funktioner, den offentlige orden eller den offentlige sikkerhed
b)
antallet af berørte fysiske eller juridiske personer, enheder eller organer
c)
antallet af berørte medlemsstater
d)
værdien af det økonomiske tab, der er forårsaget af f.eks. omfattende tyveri af pengemidler, økonomiske ressourcer eller intellektuel ejendom
e)
den økonomiske fordel, som gerningsmanden har opnået for sig selv eller andre
f)
mængden eller arten af stjålne data eller omfanget af brud på datasikkerheden, eller
g)
arten af kommercielt følsomme data, der er opnået adgang til.
Artikel 3
1.   Alle pengemidler og økonomiske ressourcer, som tilhører, ejes, besiddes eller kontrolleres af de fysiske eller juridiske personer, enheder eller organer, der er opført på listen i bilag I, indefryses.
2.   Pengemidler eller økonomiske ressourcer må hverken direkte eller indirekte stilles til rådighed for eller stilles til rådighed til fordel for de fysiske eller juridiske personer, enheder eller organer, der er opført på listen i bilag I.
3.   Bilag I omfatter som fastlagt af Rådet i henhold til artikel 5, stk. 1, i afgørelse (FUSP) 2019/797:
a)
fysiske eller juridiske personer, enheder eller organer, der er ansvarlige for cyberangreb eller forsøg på cyberangreb
b)
fysiske eller juridiske personer, enheder eller organer, der yder finansiel, teknisk eller materiel støtte til eller på anden vis er involveret i cyberangreb eller forsøg på cyberangreb, herunder gennem planlægning af, forberedelse af, deltagelse i, ledelse af, medvirken til eller tilskyndelse til sådanne angreb [eller formidling af dem ved enten handling eller undladelse]
c)
fysiske eller juridiske personer, enheder eller organer med tilknytning til de fysiske eller juridiske personer, enheder eller organer, der er omfattet af denne artikels litra a) og b).
Artikel 4
1.   Uanset artikel 3 kan medlemsstaternes kompetente myndigheder på sådanne vilkår, som de skønner hensigtsmæssige, give tilladelse til frigivelse af visse indefrosne pengemidler eller økonomiske ressourcer eller til, at visse pengemidler eller økonomiske ressourcer stilles til rådighed, efter at have konstateret, at de pågældende pengemidler eller økonomiske ressourcer:
a)
er nødvendige til at dække basale behov hos de fysiske personer, der er opført på listen i bilag I, og de familiemedlemmer, som disse fysiske personer har forsørgerpligt over for, herunder betaling af fødevarer, husleje eller renter og afdrag på boliglån, medicin og lægebehandling, skatter, forsikringspræmier og offentlige forbrugsafgifter
b)
alene er bestemt til betaling af rimelige honorarer eller godtgørelse af udgifter i forbindelse med juridisk bistand
c)
alene er bestemt til betaling af afgifter eller gebyrer for rutinemæssig opbevaring eller forvaltning af indefrosne pengemidler eller økonomiske ressourcer
d)
er nødvendige til afholdelse af ekstraordinære udgifter, såfremt den relevante kompetente myndighed har meddelt de øvrige medlemsstaters kompetente myndigheder og Kommissionen, hvorfor den skønner, at der bør gives særlig tilladelse, mindst to uger før tilladelsen gives, eller
e)
skal betales til eller fra en konto, der indehaves af en diplomatisk eller konsulær repræsentation eller en international organisation, der nyder immunitet i overensstemmelse med international ret, for så vidt de pågældende betalinger skal anvendes til den diplomatiske eller konsulære repræsentations eller internationale organisations officielle formål.
2.   Den pågældende medlemsstat underretter de øvrige medlemsstater og Kommissionen om alle tilladelser, der gives i medfør af stk. 1, inden for to uger efter tilladelsen.
Artikel 5
1.   Uanset artikel 3, stk. 1, kan medlemsstaternes kompetente myndigheder give tilladelse til frigivelse af visse indefrosne pengemidler eller økonomiske ressourcer, hvis følgende betingelser er opfyldt:
a)
pengemidlerne eller de økonomiske ressourcer er omfattet af en voldgiftsmæssig afgørelse, der er truffet forud for den dato, hvor de fysiske eller juridiske personer, enheder eller organer, der er omhandlet i artikel 3, blev opført på listen i bilag I, eller af en retslig eller administrativ afgørelse, der er truffet i Unionen, eller en retslig afgørelse, der kan fuldbyrdes i den pågældende medlemsstat, forud for eller efter denne dato
b)
pengemidlerne eller de økonomiske ressourcer skal udelukkende anvendes til at opfylde fordringer, der er sikret ved en sådan afgørelse eller er anerkendt som gyldige ved en sådan afgørelse, inden for de grænser, som er fastsat ved gældende lovgivning og administrative bestemmelser om sådanne fordringshaveres rettigheder
c)
afgørelsen er ikke til fordel for fysiske eller juridiske personer, enheder eller organer, der er opført i bilag I, og
d)
anerkendelse af afgørelsen er ikke i strid med almindelige retsprincipper i den pågældende medlemsstat.
2.   Den pågældende medlemsstat underretter de øvrige medlemsstater og Kommissionen om alle tilladelser, der gives i medfør af stk. 1, inden for to uger efter tilladelsen.
Artikel 6
1.   Uanset artikel 3, stk. 1, kan medlemsstaternes kompetente myndigheder, når fysiske eller juridiske personer, enheder eller organer, der er opført i bilag I, skal betale forfaldne beløb i henhold til kontrakter, aftaler eller forpligtelser, som de pågældende fysiske eller juridiske personer, enheder eller organer har indgået eller pådraget sig inden den dato, hvor de pågældende fysiske eller juridiske personer, enheder eller organer blev opført på listen i bilag I, give tilladelse til frigivelse af visse indefrosne pengemidler eller økonomiske ressourcer på sådanne vilkår, som de skønner hensigtsmæssige, når den pågældende kompetente myndighed har konstateret:
a)
at pengemidlerne eller de økonomiske ressourcer skal anvendes til en betaling, der skal foretages af en fysisk eller juridisk person, en enhed eller et organ, som er opført på listen i bilag I, og
b)
at betalingen ikke er i strid med artikel 3, stk. 2.
2.   Den pågældende medlemsstat underretter de øvrige medlemsstater og Kommissionen om alle tilladelser, der gives i medfør af stk. 1, inden for to uger efter tilladelsen.
Artikel 7
1.   Artikel 3, stk. 2, er ikke til hinder for, at finansielle institutioner eller kreditinstitutter, der modtager pengemidler overført af tredjeparter til en konto tilhørende en fysisk eller juridisk person, en enhed eller et organ, der er opført på listen, krediterer indefrosne konti med disse beløb, forudsat at de således tilførte beløb på disse konti også indefryses. Den finansielle institution eller kreditinstituttet underretter straks den relevante kompetente myndighed om sådanne transaktioner.
2.   Artikel 3, stk. 2, gælder ikke beløb, der tilføres indefrosne konti i form af:
a)
renter eller anden form for afkast fra disse konti
b)
forfaldne betalinger i henhold til kontrakter, aftaler eller forpligtelser, som er indgået eller opstået forud for den dato, hvor den fysiske eller juridiske person, enheden eller organet, jf. artikel 3, stk. 1, blev opført på listen i bilag I, eller
c)
forfaldne betalinger i henhold til retslige, administrative eller voldgiftsmæssige afgørelser, der er truffet i en medlemsstat, eller som kan fuldbyrdes i den pågældende medlemsstat,
forudsat at sådanne renter eller andre indtægter og betalinger fortsat er omfattet af de foranstaltninger, der er fastsat i artikel 3, stk. 1.
Artikel 8
1.   Uden at det berører gældende regler vedrørende indberetning, fortrolighed og tavshedspligt, skal fysiske og juridiske personer, enheder og organer:
a)
øjeblikkeligt videregive oplysninger, der kan fremme overholdelsen af denne forordning, herunder oplysninger om konti og beløb, som er indefrosset i medfør af artikel 3, stk. 1, til den kompetente myndighed i den medlemsstat, hvor de pågældende er bosat eller befinder sig, og direkte eller via medlemsstaten fremsende oplysningerne til Kommissionen, og
b)
samarbejde med den kompetente myndighed om efterprøvning af de oplysninger, der er omhandlet i litra a).
2.   Alle yderligere oplysninger, som Kommissionen modtager direkte, stilles til rådighed for medlemsstaterne.
3.   Alle oplysninger, der afgives eller modtages i medfør af denne artikel, må kun anvendes til de formål, til hvilke de blev afgivet eller modtaget.
Artikel 9
Bevidst og forsætlig deltagelse i aktiviteter, hvis formål eller virkning er at omgå foranstaltningerne i artikel 3, er forbudt.
Artikel 10
1.   Når indefrysning af pengemidler og økonomiske ressourcer eller afvisning af at stille pengemidler eller økonomiske ressourcer til rådighed er sket i god tro i forvisning om, at det er i overensstemmelse med denne forordning, kan den fysiske eller juridiske person, den enhed eller det organ, som har foretaget indefrysningen eller afvisningen, herunder dens ledelse og personale, ikke på nogen måde drages til ansvar herfor, medmindre det godtgøres, at indefrysningen eller tilbageholdelsen skyldtes forsømmelighed.
2.   Handlinger foretaget af fysiske eller juridiske personer, enheder eller organer medfører ikke ansvar af nogen form for de pågældende, hvis de ikke vidste og ikke havde rimelig grund til at antage, at deres handling ville være i strid med foranstaltningerne i denne forordning.
Artikel 11
1.   Ingen fordringer må indfries i forbindelse med kontrakter eller transaktioner, hvis opfyldelse eller gennemførelse direkte eller indirekte er blevet påvirket helt eller delvis af foranstaltninger i denne afgørelse, herunder erstatningskrav og andre tilsvarende fordringer, såsom krav om modregning og erstatning i henhold til garanti, navnlig fordringer, som tager sigte på forlængelse eller indfrielse af garantier eller modgarantier, navnlig finansielle garantier eller modgarantier, uanset form, såfremt disse fordringer gøres gældende af:
a)
fysiske eller juridiske personer, enheder eller organer, der er opført i bilag I
b)
andre fysiske eller juridiske personer, enheder eller organer, som handler gennem eller på vegne af en eller et af de i litra a) omhandlede fysiske eller juridiske personer, enheder eller organer.
2.   I forbindelse med enhver procedure vedrørende inddrivelse af en fordring påhviler det den fysiske eller juridiske person, den enhed eller det organ, der søger fordringen inddrevet, at bevise, at indfrielsen af fordringen ikke er forbudt i henhold til stk. 1.
3.   Denne artikel berører ikke de rettigheder, som de i stk. 1 omhandlede fysiske eller juridiske personer, enheder og organer har til ved en domstol at få prøvet lovligheden af den manglende opfyldelse af de kontraktlige forpligtelser i henhold til denne forordning.
Artikel 12
1.   Kommissionen og medlemsstaterne underretter hinanden om foranstaltninger, der træffes i medfør af denne forordning, og udveksler alle andre relevante oplysninger, som de råder over i forbindelse med denne forordning, navnlig oplysninger om:
a)
indefrosne pengemidler i medfør af artikel 3 og tilladelser, der gives i medfør af artikel 4, 5 og 6
b)
overtrædelser, håndhævelsesproblemer og domme afsagt af nationale retter.
2.   Medlemsstaterne underretter straks hinanden og Kommissionen om andre relevante oplysninger, som de råder over, og som kan påvirke den effektive gennemførelse af denne forordning.
Artikel 13
1.   Såfremt Rådet vedtager at lade en fysisk eller juridisk person, en enhed eller et organ være omfattet af de foranstaltninger, der er omhandlet i artikel 3, ændrer det bilag I i overensstemmelse hermed.
2.   Rådet underretter den pågældende fysiske eller juridiske person, den pågældende enhed eller det pågældende organ om den afgørelse, der er omhandlet i stk. 1, herunder om begrundelsen for opførelsen på listen, enten direkte, hvis adressen er kendt, eller ved offentliggørelse af en bekendtgørelse, og giver den pågældende fysiske eller juridiske person, den pågældende enhed eller det pågældende organ mulighed for at fremsætte bemærkninger.
3.   Når der fremsættes bemærkninger eller forelægges væsentlig ny dokumentation, tager Rådet den i stk. 1 omhandlede afgørelse op til fornyet vurdering og underretter den pågældende fysiske eller juridiske person, den pågældende enhed eller det pågældende organ herom.
4.   Listen i bilag I tages op til revision med regelmæssige mellemrum og mindst hver 12. måned.
5.   Kommissionen tillægges beføjelser til at ændre bilag II på grundlag af oplysninger fra medlemsstaterne.
Artikel 14
1.   Bilag I skal indeholde grundene til at opføre de pågældende fysiske eller juridiske personer, enheder eller organer på listen.
2.   Bilag I skal, hvis de er tilgængelige, indeholde de oplysninger, som er nødvendige for at identificere de pågældende fysiske eller juridiske personer, enheder eller organer. For så vidt angår fysiske personer kan sådanne oplysninger omfatte navne og aliasser, fødselsdato og fødested, nationalitet, pas- og identitetskortnumre, køn, adresse, hvis denne er kendt, og funktion eller erhverv. For så vidt angår juridiske personer, enheder eller organer kan sådanne oplysninger omfatte navne, registreringssted og -dato, registreringsnummer og forretningssted.
Artikel 15
1.   Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af bestemmelserne i denne forordning, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.
2.   Medlemsstaterne giver straks efter denne forordnings ikrafttræden Kommissionen meddelelse om de i stk. 1 omhandlede regler og underretter den om senere ændringer.
Artikel 16
1.   Kommissionen behandler personoplysninger for at kunne udføre sine opgaver i henhold til denne forordning. Disse opgaver omfatter:
a)
tilføjelse af indholdet af bilag I i den elektroniske, konsoliderede liste over personer, grupper og enheder, der er omfattet af Unionens finansielle sanktioner, og på det interaktive kort over sanktioner, som begge offentliggøres
b)
behandling af oplysninger om konsekvensen af foranstaltningerne i denne forordning, såsom værdien af de indefrosne pengemidler og oplysninger om tilladelser givet af de kompetente myndigheder.
2.   Med henblik på denne forordning udpeges den tjenestegren i Kommissionen, der er opført på listen i bilag II, som »dataansvarlig« for Kommissionen, jf. artikel 3, nr. 8), i forordning (EU) 2018/1725, for at sikre, at de pågældende fysiske personer kan udøve deres rettigheder i henhold til nævnte forordning.
Artikel 17
1.   Medlemsstaterne udpeger de kompetente myndigheder, der henvises til i denne forordning, og angiver dem på de websteder, der er opført i bilag II. Medlemsstaterne underretter Kommissionen om eventuelle ændringer af de webadresser, der er opført i bilag II.
2.   Medlemsstaterne giver Kommissionen meddelelse om deres kompetente myndigheder, herunder disses kontaktoplysninger, straks efter denne forordnings ikrafttræden og underretter den om senere ændringer.
3.   Når der i denne forordning fastsættes krav om, at der skal gives meddelelse eller underretning til eller på anden måde kommunikeres med Kommissionen, benyttes de adresser og øvrige kontaktoplysninger, der er angivet i bilag II.
Artikel 18
Denne forordning finder anvendelse:
a)
på Unionens område, herunder også i dens luftrum
b)
om bord på fly og skibe under en medlemsstats jurisdiktion
c)
for enhver fysisk person inden eller uden for Unionens område, som er statsborger i en medlemsstat
d)
for juridiske personer, enheder eller organer inden eller uden for Unionens område, som er stiftet eller oprettet i henhold til en medlemsstats ret
e)
for juridiske personer, enheder eller organer i relation til virksomhed, der helt eller delvis udøves i Unionen.
Artikel 19
Denne forordning træder i kraft dagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 17. maj 2019.
På Rådets vegne
E.O. TEODOROVICI
Formand
(
1
)
  Se side 13 i denne EUT.
(
2
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
3
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
BILAG I
Liste over fysiske og juridiske personer, enheder og organer som omhandlet i artikel 3
[…]
BILAG II
Websteder med oplysninger om de kompetente myndigheder og adresse til brug ved meddelelser til Kommissionen
BELGIEN
https://diplomatie.belgium.be/nl/Beleid/beleidsthemas/vrede_en_veiligheid/sancties
https://diplomatie.belgium.be/fr/politique/themes_politiques/paix_et_securite/sanctions
https://diplomatie.belgium.be/en/policy/policy_areas/peace_and_security/sanctions
BULGARIEN
https://www.mfa.bg/en/101
TJEKKIET
www.financnianalytickyurad.cz/mezinarodni-sankce.html
DANMARK
http://um.dk/da/Udenrigspolitik/folkeretten/sanktioner/
TYSKLAND
http://www.bmwi.de/DE/Themen/Aussenwirtschaft/aussenwirtschaftsrecht,did=404888.html
ESTLAND
http://www.vm.ee/est/kat_622/
IRLAND
http://www.dfa.ie/home/index.aspx?id=28519
GRÆKENLAND
http://www.mfa.gr/en/foreign-policy/global-issues/international-sanctions.html
SPANIEN
http://www.exteriores.gob.es/Portal/en/PoliticaExteriorCooperacion/GlobalizacionOportunidadesRiesgos/Paginas/SancionesInternacionales.aspx
FRANKRIG
http://www.diplomatie.gouv.fr/fr/autorites-sanctions/
KROATIEN
http://www.mvep.hr/sankcije
ITALIEN
https://www.esteri.it/mae/it/politica_estera/politica_europea/misure_deroghe
CYPERN
http://www.mfa.gov.cy/mfa/mfa2016.nsf/mfa35_en/mfa35_en?OpenDocument
LETLAND
http://www.mfa.gov.lv/en/security/4539
LITAUEN
http://www.urm.lt/sanctions
LUXEMBOURG
https://maee.gouvernement.lu/fr/directions-du-ministere/affaires-europeennes/mesures-restrictives.html
UNGARN
http://www.kormany.hu/download/9/2a/f0000/EU%20szankci%C3%B3s%20t%C3%A1j%C3%A9koztat%C3%B3_20170214_final.pdf
MALTA
https://foreignaffairs.gov.mt/en/Government/SMB/Pages/Sanctions-Monitoring-Board.aspx
NEDERLANDENE
https://www.rijksoverheid.nl/onderwerpen/internationale-sancties
ØSTRIG
http://www.bmeia.gv.at/view.php3?f_id=12750&LNG=en&version=
POLEN
https://www.gov.pl/web/dyplomacja
PORTUGAL
http://www.portugal.gov.pt/pt/ministerios/mne/quero-saber-mais/sobre-o-ministerio/medidas-restritivas/medidas-restritivas.aspx
RUMÆNIEN
http://www.mae.ro/node/1548
SLOVENIEN
http://www.mzz.gov.si/si/omejevalni_ukrepi
SLOVAKIET
https://www.mzv.sk/europske_zalezitosti/europske_politiky-sankcie_eu
FINLAND
http://formin.finland.fi/kvyhteistyo/pakotteet
SVERIGE
http://www.ud.se/sanktioner
DET FORENEDE KONGERIGE
https://www.gov.uk/sanctions-embargoes-and-restrictions
Europa-Kommissionen underrettes på følgende adresse:
European Commission
Service for Foreign Policy Instruments (FPI)
EEAS 07/99
B-1049 Bruxelles/Brussel, Belgium
E-mail: relex-sanctions@ec.europa.eu

Summary:
Restriktive EU-foranstaltninger til bekæmpelse af cyberangreb
RESUMÉ AF:
Afgørelse (FUSP) 2019/797 — restriktive foranstaltninger til bekæmpelse af cyberangreb, der truer EU eller dens medlemsstater
Forordning (EU) 2019/796 — restriktive foranstaltninger til bekæmpelse af cyberangreb, der truer EU eller dens medlemsstater
HVAD ER FORMÅLET MED AFGØRELSEN OG FORORDNINGEN?
Afgørelse (FUSP) 2019/797 og forordning (EU) 2019/796 indfører en ramme, der gør det muligt for 
Den Europæiske Union
 (EU) at indføre sanktioner med henblik på at afskrække fra og reagere på cyberangreb
1
, der udgør en ekstern trussel mod EU eller EU’s 
medlemsstater
. Disse cyberangreb omfatter også angreb mod tredjelande eller internationale organisationer, når det vurderes, at handling er nødvendig for at nå målene for EU’s 
fælles udenrigs- og sikkerhedspolitik
.
HOVEDPUNKTER
Sanktioner for anførte personer og enheder
Denne lovgivning giver EU mulighed for at indføre sanktioner over for personer elle enheder, der er ansvarlige for cyberangreb eller forsøg på cyberangreb, som yder finansiel, teknisk eller materiel støtte til sådanne angreb, eller som på anden måde er involveret heri. Sanktioner kan desuden pålægges personer eller enheder med tilknytning til disse personer eller enheder. Restriktive foranstaltninger omfatter forbud mod at rejse til EU og indefrysning af aktiver.
Personer, der pålægges sådanne sanktioner, opføres i bilag I til afgørelse (FUSP) 2019/797, som identificeret af 
Rådet for Den Europæiske Union
. Alle pengemidler og økonomiske ressourcer, som tilhører, ejes, besiddes eller kontrolleres af fysiske personer eller juridiske personer opført i bilag I, indefryses.
Medlemsstaterne er ansvarlige for at fastsætte regler om sanktioner for overtrædelser.
Cyberangreb
De cyberangreb, der falder inden for rammerne af disse nye sanktioner, er angreb med betydelige konsekvenser, som:
hidrører eller udføres fra områder uden for EU
anvender infrastruktur uden for EU
udføres af personer eller enheder, der er etableret eller opererer uden for EU, eller
udføres med støtte fra personer eller enheder, der opererer uden for EU.
Cyberangreb, der udgør en trussel mod medlemsstaterne, omfatter angreb, der påvirker informationssystemer vedrørende:
kritisk infrastruktur, som er væsentlig for opretholdelsen af vitale funktioner i samfundet eller menneskers sundhed, sikkerhed og økonomiske eller sociale velfærd
tjenester, der er nødvendige for opretholdelsen af væsentlige sociale og økonomiske aktiviteter, navnlig i sektorerne energi, transport, bankvæsen, finans, sundhed, forsyning med og distribution af drikkevand, digital infrastruktur
kritiske statslige funktioner, navnlig inden for forsvar, regeringsførelse og institutioners funktion, offentlige valg, økonomisk og civil infrastrukturs funktion, intern sikkerhed og eksterne forbindelser, herunder gennem diplomatiske missioner
lagring eller behandling af fortrolige oplysninger, eller
statslige beredskabsenheder.
HVORNÅR GÆLDER AFGØRELSEN OG FORORDNINGEN FRA?
De har været gældende siden den 
18. maj 2019
.
BAGGRUND
En 
fælles meddelelse
 udsendt i juni 2018 påpegede, at aktiviteter fra statslige og ikkestatslige aktører — fra cyberangreb, der forstyrrer økonomien og 
offentlige tjenester
, over målrettede desinformationskampagner, til fjendtlige militære handlinger — fortsat udgør en alvorlig og akut trussel mod EU og dets medlemsstater. Meddelelsen identificerede områder, hvor indsatsen bør intensiveres med henblik på yderligere at uddybe og styrke EU’s bidrag til at imødegå disse trusler, og den opfordrede medlemsstaterne og 
Europa-Kommissionen
 til at sikre en hurtig opfølgning.
I oktober 2018, i kølvandet på cyberangrebene mod 
Organisationen for Forbud mod Kemiske Våben
, vedtog 
Det Europæiske Råd
 
konklusioner
, der opfordrede til udarbejdelse af foranstaltninger med henblik på yderligere at styrke EU’s afskrækkelse, modstandsdygtighed og reaktion over for hybride trusler, cybertrusler samt kemiske, biologiske, radiologiske og nukleare trusler. Rådet blev opfordret til at to udvikle en sanktionsordning, der finder specifik anvendelse på cyberangreb.
For yderligere oplysninger, se:
Modstandsdygtighed, afskrækkelse og forsvar: opbygning af en stærk cybersikkerhed for EU
 (Europa-Kommissionen)
Cybersikkerhed i EU: strategi og centrale politikker
 (Det Europæiske Råd og Rådet for Den Europæiske Union)
Cyberangreb: Rådet er nu klar til at pålægge sanktioner
 — Pressemeddelelse (Det Europæiske Råd og Rådet for Den Europæiske Union).
VIGTIGE BEGREBER
Cyberangreb:
 uautoriserede handlinger, der omfatter adgang til og indgreb i informationssystemer, indgreb i data eller opfangelse af data.
HOVEDDOKUMENTER
Rådets afgørelse (FUSP) 
2019/797
 af 
17. maj 2019
 om restriktive foranstaltninger til bekæmpelse af cyberangreb, der truer Unionen eller dens medlemsstater (EUT L 129I af 
17.5.2019
, 
s. 13-19
).
Efterfølgende ændringer af afgørelse (FUSP) 2019/797 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Rådets forordning (EU) 
2019/796
 af 
17. maj 2019
 om restriktive foranstaltninger til bekæmpelse af cyberangreb, der truer Unionen eller dens medlemsstater (EUT L 129I af 
17.5.2019
, 
s. 1-12
).
Se den 
konsoliderede udgave
.
TILHØRENDE DOKUMENTER
Fælles meddelelse til Europa-Parlamentet, Det Europæiske Råd og Rådet — Øget modstandsdygtighed og bedre kapacitet til at imødegå hybride trusler (
JOIN(2018) 16 final
, 
13.6.2018
).
seneste ajourføring 
18.7.2025