Registro Federal, Volume 90 Edição 10 (Jueves, Janeiro 16, 2025 ). [Volume do Registo Federal 90, Número 10 (Jueves, Janeiro 16, 2025 )] [Regras e regulamentos] [Páginas 5360 - 5424 ] Do Registo Federal Online via o Escritório de Publicações do Governo [ www.gpo.gov ] [FR Doc No: 2025 - 00592 ] Departamento de Comércio. -----------------------------------------------------------------------.
Bureau of Industry and Security. ----------------------------------------------------------------------- Proteção da Cadeia de Suprimentos de Tecnologia e Serviços de Informação e Comunicações: Veículos Conectados; Regra Final.
Registo Federal / Vol. 90 Não. 10 / Quinta-feira, Janeiro 16, 2025 / Regras e regulamentos DEPARTAMENTO DO COMERCIO. Bureau of Industry and Security.
[Documento Não. 250107 - 0005 ] RIN 0694 - AJ 56. Proteção da Cadeia de Suprimentos de Tecnologia e Serviços de Informação e Comunicações: Veículos Conectados AGÊNCIA: Departamento de Indústria e Segurança, Departamento de Comércio.
-----------------------------------------------------------------------. RESUMEN: Esta regra final, publicada pelo Departamento de Comércio (Department) Bureau of Industry and Security (BIS), estabelece regulamentos e procedimentos para abordar riscos indevidos ou inaceitáveis para a segurança nacional e pessoas dos EUA apresentadas por classes de transações envolvendo tecnologia e serviços de informação e comunicações (TICS) que são projetadas, desenvolvidas, fabricadas ou fornecidas por pessoas pertencentes a, controladas por ou sujeitas à jurisdição ou direcção de certos adversários estrangeiros e que são integrantes de veículos conectados conforme definido aqui. DATAS: Esta regra final entra em vigor em março 17, 2025.
PARA OUTRAS INFORMAÇÕES CONTACTO: Marc Coldiron, EUA Departamento de Comércio, telefone: ( 202 ) 482 - 3678. Para perguntas na mídia: Escritório do Congresso e Assuntos Públicos, Bureau of Industry and Security, EUA. Departamento de Comércio: [email protected].
INFORMAÇÃO COMPLEMENTAR. Nesta regra final, o BIS proíbe transações envolvendo hardware do Veículo Conectividade (VCS) e software coberto projetado, desenvolvido, fabricado ou fornecido por pessoas pertencentes a, controladas por ou sujeitas à jurisdição ou direcção da República Popular da China, incluindo a Região Administrativa Especial de Hong Kong e a Região Administrativa Especial de Macau (PRC); ou a Federação Russa (Rússia). Seguiu um aviso prévio de elaboração de regras (ANPRM), 89 FR 15066 (Março) 1, 2024 ), e um aviso de regulação proposta (NPRM), 89 FR 79088 (Setembro) 26, 2024 ). No ANPRM, o BIS procurou um comentário público para informar uma regulamentação que iria abordar os riscos indevidos ou inaceitáveis, conforme identificado na Ordem Executiva (E.O.) 13873, ``Segurando a Cadeia de Suprimentos de Tecnologia e Serviços de Informação e Comunicações'' 84 FR 22689 (Maio) 17, 2019 ), apresentada por uma classe de transações que envolvem o TICS projetado, desenvolvido, fabricado ou fornecido por pessoas pertencentes a, controlados por ou sujeitos à jurisdição ou direção de um adversário estrangeiro e integral a veículos conectados. O NPRM propôs uma regra para abordar os riscos indevidamente ou inaceitável identificados no ANPRM e solicitou comentários públicos. O BIS considerou os comentários recebidos durante ambas as rondas de comentários públicos, e está fazendo revisões, a partir da regra proposta, que abordam partes significativas dessa reação. Em E.O. 13873, o Presidente delegado ao Secretário de Comércio (Secretário), na medida necessária para implementar a Ordem, a autoridade concedida sob a Lei Internacional de Poderes Econômicos de Emergência (IEEPA) ( 50 U.S.C. 1701, e seguintes), "" para lidar com qualquer ameaça externa incomum e extraordinária" para a segurança nacional, política externa ou economia dos Estados Unidos, se o Presidente declarar uma emergência nacional com respeito a tal ameaça. 50 U.S.C. 1701 (a). Em E.O. 13873, o Presidente declarou uma emergência nacional com respeito à ameaça externa ""incomum e extraordinária"" que representava para a cadeia de suprimentos do ICS e, de acordo com a Lei Nacional de Emergenças (NEA), estendia a declaração desta emergência nacional em cada ano desde a E.O. 13873 A publicação. Veja Continuação da emergência nacional em relação à segurança da cadeia de fornecimento de tecnologia e serviços de informação e comunicações, 85 FR 29321 (Maio) 14, 2020 ); Continuação da emergência nacional em relação à segurança da cadeia de fornecimento de tecnologia e serviços de informação e comunicações, 86 FR 26339 (Maio) 13, 2021 ); Continuação da emergência nacional em relação à segurança da cadeia de fornecimento de tecnologia e serviços de informação e comunicações, 87 FR 29645 (Maio) 13, 2022 ); Continuação da emergência nacional em relação à segurança da cadeia de fornecimento de tecnologia e serviços de informação e comunicações, 88 FR 30635 (Maio) 11, 2023 ); Continuação da emergência nacional em relação à segurança da cadeia de fornecimento de tecnologia e serviços de informação e comunicações, 89 FR 40353 (Maio) 9, 2024 ). Especificamente, o Presidente identificou a ``acquisição ou uso sem restrições nos Estados Unidos do TICS projetado, desenvolvido, fabricado ou fornecido por pessoas pertencentes a, controladas ou sujeitas à jurisdição ou direcção de adversários estrangeiros' como '`uma ameaça externa incomum e extraordinária' à segurança nacional, política externa e economia dos Estados Unidos que ``existe tanto no caso de aquisição ou usos individuais de tais tecnologias ou serviços, como quando as aquisição ou usos de tais tecnologias são considerados como uma classe''. 13873, e 50 U.S.C. 1701 (a)- (b). Uma vez que o Presidente declara uma emergência nacional, a IEEPA habilita o Presidente a, entre outros atos, investigar, regular, prevenir ou proibir qualquer "" aquisição, detenção, retenção, uso, transferência, retirada, transporte, importação ou exportação de, ou negociação, ou exercício de qualquer direito, poder ou privilégio com relação a, ou transações envolvendo, qualquer propriedade em que qualquer país estrangeiro ou um nacional dele tenha qualquer interesse por qualquer pessoa, ou com relação a qualquer propriedade, sujeita à jurisdição dos Estados Unidos." 50 U.S.C. 1702 (a) ( 1 (B). Para abordar os riscos identificados para a segurança nacional das transações do TICS, o Presidente em E.O. 13873 impõe uma proibição às transações que o Secretário, em consulta com os responsáveis relevantes da agência, determinou envolver o adversário estrangeiro TICS e representar certos riscos para a segurança nacional dos EUA, incluindo tecnologia e infraestrutura crítica dos EUA, ou a segurança e segurança das pessoas dos EUA. Especificamente, para entrar no âmbito da proibição, o Secretário deve determinar que uma transação: ( 1 ) ``Envolve [ICTS] projetado, desenvolvido, fabricado ou fornecido, por pessoas pertencentes a, controladas por, ou sujeitas à jurisdição ou direção de um adversário estrangeiro'', definidas em E.O. 13873 como ``qualquer governo estrangeiro ou pessoa não governamental estrangeira envolvida em um padrão de longo prazo ou casos sérios de conduta significativamente prejudicial à segurança nacional dos Estados Unidos ou segurança e segurança de pessoas dos Estados Unidos, que, de acordo com E.O. 13873 's regulamentos de implementação no 15 CFR 791.4 são a República Popular Democrática da Coreia (Corea do Norte), a República de Cuba (Cuba), a República Islâmica do Irão (Irão), a República Popular Democrática da Coreia (Corea do Norte), a Rússia e o político venezuelano Nicol[aaacute]s Maduro (Regime de Maduro); e ( 2 ): A. ``Possibilita um risco indevido de sabotagem ou subversão do projeto, integridade, fabricação, produção, distribuição, instalação, operação ou manutenção de tecnologias ou serviços de informação e comunicações nos Estados Unidos;'' B. ``Possibilita um risco indevido de efeitos catastróficos na segurança ou.
Resiliência da infraestrutura crítica dos Estados Unidos ou da economia digital dos Estados Unidos; '' ou C. "De outra forma, representa um risco inaceitável para a segurança nacional dos Estados Unidos ou para a segurança e segurança das pessoas dos Estados Unidos.'' Os fatores A a C são collectivemente referidos como "`riscos inaceitáveis ou inaceitável'''. Além disso, seção 1 (b) de E.O. 13873 concede ao Secretário a autoridade para projetar ou negociar medidas de mitigação para permitir uma transação proibida. O Presidente também delegou ao Secretário a capacidade de promulgar regulamentos que, entre outras coisas, estabelecem quando transações envolvendo tecnologias específicas podem ser categoricamente proibidas. E. O. 13873 seção 2 (a)- (b); veja também 3 U.S.C. 301 - 02. Especificamente, o Secretário pode emitir regulamentos estabelecendo critérios, coerentes com a seção 1 de E.O. 13873, através da qual tecnologias específicas ou participantes no mercado podem ser categoricamente incluídos ou categoricamente excluídos das proibições estabelecidas de acordo com E.O. 13873.
Os veículos de hoje contêm uma miríade de componentes conectados que proporcionam maior conveniência para os consumidores e aumentam a segurança rodoviária tanto para motoristas como para pedestres, como Wi-Fi, Bluetooth, celular e conectividade por satélite. No entanto, a incorporação de sistemas de hardware e software progressivamente mais complexos que facilitam estas funcionalidades também aumentou as superfícies de ataque através das quais atores malignos e adversários estrangeiros podem explorar vulnerabilidades para obter acesso a um veículo. Como o BIS delineou em sua março 1, 2024, ANPRM e seu setembro 26, 2024, NPRM, certos ICS integrais a veículos conectados apresentam um risco indevido ou inaceitável para a segurança nacional dos EUA quando esses sistemas são projetados, desenvolvidos, fabricados ou fornecidos por pessoas pertencentes a, controladas por ou sujeitas à jurisdição ou direção de um adversário estrangeiro. Na regra final interina de Garantia da Cadeia de Suprimentos de Tecnologia e Serviços de Informação e Comunicações, 86 FR 4909 (Jan. 19, 2021 ), o Secretário determinou que certos governos estrangeiros ou pessoas não governamentais estrangeiros - a RPC, Cuba, Irã, Coreia do Norte, Rússia e o Regime Maduro - constituem adversários estrangeiros para fins de E.O. 13873 e regulamentos promulgados em conformidade com E.O. 13873. Veja 15 CFR 791.4 (na medida em que a lista de adversários estrangeiros identificados no 15 CFR 791.4 é atualizado para adicionar ou remover governos ou pessoas não governamentais, esta regra final pretende refletir as designações mais atualizadas de adversários estrangeiros. Além disso, seção 2 (b) de E.O. 13873 fornece que o Secretário pode emitir regras que identifiquem tecnologias ou países específicos com relação a transações envolvendo o TICS que mereçam um escrutínio particular. Para os fins desta regra final sobre transações envolvendo o TICS integral a veículos conectados, o BIS está focando seus esforços regulamentares no TICS que são projetados, desenvolvidos, fabricados ou fornecidos por pessoas pertencentes a, controlados por ou sujeitos à jurisdição ou direcção da RPC ou Rússia. O BIS identificou que, para os propósitos de abordar os riscos de segurança nacional que os veículos conectados apresentam, esses dois adversários estrangeiros apresentam riscos indevida e inaceitável para a segurança nacional dos EUA, devido aos regimes legais, políticos e regulamentares desses adversários, combinados com o crescimento e envolvimento atuais e esperados no setor de veículos conectados. Como discutido abaixo, a RPC e a Rússia são capazes de alavancar a legislação nacional e os regimes regulamentares para obrigar empresas sujeitas à sua jurisdição, incluindo fabricantes de carros e seus fornecedores, a cooperar com serviços de segurança e inteligência. Tal controle sobre as empresas e seus produtos e serviços significa que seu equipamento é facilmente explorável pelas autoridades da RPC e da Rússia. O acesso privilegiado que a RPC e a Rússia podem obter aos veículos conectados através de seus componentes, incluindo software e hardware, pode habilitar aqueles adversários estrangeiros a ( 1 ) exfiltrar dados sensíveis coletados pelos veículos conectados e ( 2 ) permite acesso remoto e manipulação de veículos conectados conduzidos por pessoas dos EUA. De acordo com E.O. 13873, o BIS determinou que certas classes de transações que podem facilitar a exfiltração de dados e a manipulação remota de veículos conectados pela RPC e Rússia representam riscos indevidos ou inaceitáveis para a segurança nacional dos EUA e para a segurança e segurança das pessoas dos EUA. Estes riscos, além disso, apresentam um risco de segurança nacional urgente para a segurança e segurança da tecnologia usada nos Estados Unidos e para pessoas dos EUA. A PRC tem malware pré- posicionado em tecnologia de informação e redes de infraestrutura críticas dos EUA. A PRC também estabeleceu objetivos para a conclusão da modernização do Exército Popular de Libertação (PLA) e outros objetivos militares e tecnológicos através da 2027, que - à luz da estratégia de fusão civil-militar do PLA e da crescente prevalência de tecnologias de duplo uso da RPC nas cadeias comerciais de suprimentos dos EUA, incluindo na indústria automóvel - representa riscos adicionais para a segurança nacional dos EUA. Montar evidências de ameaças como estas para infraestrutura crítica, segurança de dados e segurança nacional mais ampla dos EUA requer esta ação urgente do governo dos EUA para abordar o risco de cadeias de suprimentos adversas estrangeiras no setor de veículos conectados.
a. Visão geral do aviso prévio de elaboração de regras proposta (ANPRM). O BIS emitiu um ANPRM, 89 FR 15066 (Mar. 1, 2024 ), procurando comentários públicos para informar uma regulamentação que abordaria os riscos indevidos ou inaceitáveis que se colocam em uma classe de transações que envolvem o TICS projetado, desenvolvido, fabricado ou fornecido por pessoas pertencentes a, controlados por ou sujeitos à jurisdição ou direcção de um adversário estrangeiro e integral a veículos conectados. No ANPRM, o BIS posou 35 perguntas ao público para comentários e feedback. As questões relacionadas com as definições potenciais usadas no estabelecimento de regras, o grau de envolvimento adversário estrangeiro na cadeia de suprimentos de veículos conectados, quais sistemas devem ser o foco de uma regra potencial.