美国BIS发布最终规则保障信息通信技术和服务供应链的安全

当地时间 2024 年 12 月 5 日，美国商务部工业和安全局（BIS）发布了一项最终规则，明确了该机构在调查外国敌对势力对信息和通信技术和服务（Information and Communications Technology and Services，ICTS）交易构成的威胁时将遵循的程序，这些交易可能损害美国国家安全，该最终规则是根据第13873号行政令《保障信息和通讯的技术和服务供应链安全》（Securing the Information and Communications Technology and Services Supply Chain）制定的。

一、背景信息

2019年5月15日，美国总统特朗普签发了第13873号《保障信息和通讯的技术和服务供应链安全》行政命令。为了应对ICTS交易对国家安全带来的风险，美国总统在第13873号行政令中禁止涉及外国敌对ICTS的交易，这些交易可能对美国国家安全、技术或关键基础设施构成特定风险。具体来说，要受到这项禁令的约束，商务部部长在与相关机构负责人协商后必须确定任何涉及信息和通信技术及服务（即ICTS交易）的行为符合：

（1）涉及由外国敌对实体（即任何外国政府或外国非政府实体，其长期从事或严重违反美国国家安全或美国公民安全与安全的行为）拥有、控制或受其管辖或指导的人所设计、开发、制造或提供的ICTS；

（2）A. 对美国的信息和通信技术或服务的设计、完整性、制造、生产、分发、安装、运行或维护构成不当的蓄意破坏或颠覆风险；B. 对美国关键基础设施的安全性或弹性或美国的数字经济造成灾难性影响的过度风险；或者C. 否则会对美国的国家安全或美国公民的安全保障构成不可接受的风险。

根据第13873号行政命令，美国商务部被授权处理涉及外国对手的ICTS交易，这些交易可能对美国的国家安全、外交政策或经济构成异常和特别的威胁。还要求美国政府的所有机构在职权范围内采取一切适当措施执行该命令。

2019 年 11 月 27 日，美国商务部公布了一项拟议规则，以执行第 13873 号行政命令（84 FR 65316）的条款。

2021 年 1 月 19 日，美国商务部发布了一项临时最终规定，为其审查涉及由外国对手拥有、控制或受其管辖或指示的人员所设计、开发、制造或供应的信息和通信技术及服务（ICTS）的交易确立了程序，这些交易可能对美国或美国人员构成不当或不可接受的风险。在该临时最终规定中，该部门征求了公众意见，并承诺颁布最终规定。

本最终规定是对关于该临时最终规定的公众评论的回应，并最终确定了指导审查 ICTS 交易的做法，修改了在某些情况下被证明是不必要、低效或无效的条款或概念。

二、修订后的定义

1、适当的机构负责人是指财政部长、国务卿、国防部长、司法部长、国土安全部长、美国贸易代表、国家情报总监、总务署署长、联邦通信委员会主席以及部长认为适当的任何其他行政部门和机构的负责人， 或其指定人员。

2、受监管的ICTS交易是指符合第791.3节所述条件的ICTS交易或一类ICTS交易。“交易”是指购买、销售、转售、接收、许可或获取ICTS，或者以其他方式从事或参与涉及ICTS传递的业务活动。

3、进口指的是将外国信息通信技术带到或引入美国的过程或活动，不论运输方式如何，包括通过电子传输。

4、交易的一方或多方是指参与 ICTS 交易或 ICTS 交易类别的一个或多个人，包括但不限于以下人员：设计师、开发商、提供商、买方、卖方、转让方、许可方、经纪人、收购方、中介（包括收货人）和最终用户。交易的一方或多方包括旨在逃避或规避行政命令应用的实体。就本规则而言，此定义不包括公共承运人，除非公共承运人知道或应该知道（如“知道”一词在 15 CFR 772.1 中定义）它正在向国务卿做出的最终书面决定中禁止的交易的一方或多方提供 ICTS 运输服务，或者， 如果允许，则违反此类缓解措施。

5、由外国对手拥有、受其控制或受其管辖或指示的人是指：（1） 根据外国对手或其活动受到直接或间接监督的人的命令、要求、指示或控制担任代理人、代表或雇员的任何人，或以任何其他身份行事的任何人，无论身在何处， 全部或部分由外国对手指导、控制、资助或补贴;（2） 任何属于外国敌对方或外国敌方控制的国家的公民或居民，并且不是美国公民或美国永久居民的人，无论其位于何处;（3） 任何主要营业地点位于外国对手或由外国对手控制的国家/地区、总部设在外国对手或受外国对手控制的国家/地区的法律中注册成立或以其他方式组织的公司、合伙企业、协会或其他组织;或 （4） 由外国对手拥有或控制的公司、合伙企业、协会或其他组织，无论其组织或经营方式如何，包括本定义第 （1） 至 （3） 段中确定的任何人通过拥有实体总已发行投票权的多数或占主导地位的少数人而直接或间接拥有权力的情况， 董事会代表、代理投票、特别股份、合同安排、一致行动的正式或非正式安排，或其他方式，以确定、指导或决定影响实体的重要事项。

6、美国人是指任何美国公民；任何永久居住外国人；根据美国法律或美国境内任何司法管辖区的法律组建的任何实体（包括此类实体的外国分支机构）；或美国境内的任何人。

三、受涵盖的信息通信技术交易的范围

涉及信息通信技术以及软件、硬件或任何其他与以下内容之一不可分割的产品或服务：

1、信息和通信硬件及软件包括无线局域网、移动网络、卫星运行与控制、路由器、调制解调器以及任何其他网络设备等。

2、数据托管、计算或存储，包括软件、硬件或任何其他与数据托管或计算服务不可或缺的产品或服务，包括诸如虚拟专用服务器等软件定义的服务，这些服务使用、处理或保留，或者预期使用、处理或保留美国人的敏感个人数据。

3、联网软件应用程序，包括主要为实现联网和通过互联网进行通信而设计的软件，可通过有线电视、电话线、无线、卫星或其他方式接入互联网，在截至国际货物和技术的销售交易发生前的十二个月内的任何时间点，美国人在使用此类联网软件应用程序，包括但不限于桌面应用程序、移动应用程序、游戏应用程序和基于网络的应用程序。

4、关键基础设施，包括化工、商业设施、通信、关键制造业、水坝、国防工业基地、应急服务、能源、金融服务、食品和农业、政府服务和设施、医疗保健和公共卫生、信息技术、核反应堆、材料和废物、交通系统以及水和废水系统等部门的任何子部门。

5、关键和新兴技术，包括先进的网络感知和特征管理；先进计算；人工智能；清洁能源生产和存储；数据隐私、数据安全和网络安全技术；高度自动化、自主和无人系统及机器人技术；综合通信和网络技术；定位、导航和时间技术；量子信息及使能技术；半导体和微电子；以及生物技术。

加入“北美外贸微信交流群”，了解最新市场资讯>>

四、外国对手的确定

中国，包括香港特别行政区和澳门特别行政区。

五、审查流程

美国商务部启动对ICTS交易的审查，包括初步评估、通知相关机构负责人、发布初步决定和最终决定的流程。

1、提供资料

商务部长可以要求此类报告包括提供与任何此类行为、交易或财产相关的、由要求提供此类报告的人保管或控制的任何账本、合同、信件、文件或其他纸质或电子文件。关于交易的报告可以在此类交易之前、期间或之后要求提供。部长可以通过任何人或机构进行调查、举行听证会、进行宣誓、询问证人、接收证据、进行证词记录，并要求通过传票要求证人出庭作证以及提供与任何调查事项相关的任何账本、合同、信件、文件和其他纸质或电子文件，无论是否已要求或提交与此相关的任何报告。

2、初步评估

在审议了第 791.100(a) 节所述的材料之后，商务部长可酌情启动对信息通信技术服务交易的审查。

3、首次跨部门通知

(a) 如果部长评估一项信息通信技术服务交易符合第 791.103(b) 条规定的标准，部长应将评估结果记录在案，向适当的机构负责人提供该评估结果，并给予适当的机构负责人二十一天的时间以书面形式对部长的评估发表评论。

(b) 如果部长在发出通知后的二十一天内未收到来自相关机构负责人的关于评估的书面意见，部长可假定该机构无意见。

(c)部长可酌情根据从相关机构负责人收到的意见修改或修订评估结果。无论收到何种意见，部长仍保留酌情作出初始裁定的权力，如第 791.105 条所规定。

4、初步判定

初步判定结果为不再接受审查、补充资料、接受审查做出书面裁定，商务部长可自行决定在《联邦公报》上公布任何初步裁定的通知。

5、最终裁决

对于部长发布初步决定的每项涵盖的 ICTS 交易，部长应发布关于涵盖的 ICTS 交易是否：（1） 被禁止的最终决定;（2） 未禁止;或 （3） 根据采取缓解措施，由部长酌情允许。

部长应在《联邦公报》上公布禁止信息通信技术服务交易的最终决定通知。

六、处罚

最高处罚：

(1) 民事处罚。任何违反、企图违反、共谋违反或导致任何明知故犯违反本节(a)款的人，可能会受到不超过《国际紧急经济权力法》第206条（50 U.S.C. 1705）所规定金额的民事处罚。《国际紧急经济权力法》规定，最高民事处罚不超过每次违规250万美元，经通胀调整后，或为违规行为所依据的交易金额的两倍。

（i）应向该人送达处罚通知，包括对受罚行为的书面解释，指明据称违反的法律法规以及拟议的处罚金额，并通知收件人有权在 30 天内就为何不应处罚提交书面申诉。

（ii）应审查任何陈述，并在收到申请后 30 天内作出最终行政决定。

(2) 刑事处罚。故意实施、故意企图实施、故意共谋实施或协助和教唆违反本节（a）款规定的人，在违反《国际紧急经济权力法》被定罪后，应被处以不超过 100 万美元的罚款，如果是自然人，还应被监禁不超过 20 年，或两者并罚。

七、生效日期

本规则于12月6日发布完成60天后生效。

（本文来自微信公众号“合规观澜”，已授权转载，欢迎关注）