Loi sur la sécurité des puces et la vérification des exportations

Résumé#

Ce projet de loi, appelé la Loi sur la sécurité des puces, obligerait le ministère du Commerce à exiger des caractéristiques de sécurité sur certains puces avancées et ordinateurs avant que ces articles ne soient exportés, réexportés ou transférés à l'intérieur d'un pays étranger. Le principal changement est une nouvelle exigence selon laquelle les produits de circuits intégrés couverts doivent inclure une vérification de localisation et éventuellement d'autres mécanismes de sécurité. L'objectif général est de réduire le vol, la diversion, la falsification et l'utilisation non autorisée de matériel informatique avancé et de soutenir les objectifs de contrôle des exportations et de sécurité nationale.

• Qui est concerné : Circuits intégrés et ordinateurs dans des catégories spécifiques de contrôle des exportations (blocs d'articles actuellement contrôlés selon les règles d'exportation des États-Unis).
• Règle principale : Dans les 180 jours suivant l'adoption, les produits couverts doivent avoir des mécanismes de sécurité des puces qui fournissent une vérification de localisation.
• Devoir de signalement : Les titulaires de licences d'exportation doivent rapidement signaler des informations crédibles indiquant qu'un produit n'est pas à l'endroit ou avec qui la licence a dit qu'il serait, ou a été falsifié.
• Étude et règles supplémentaires : Le Commerce doit, avec la Défense, évaluer des mesures de sécurité supplémentaires dans un délai d'un an et peut exiger ces mesures secondaires dans les deux ans suivant l'évaluation.
• Pouvoirs d'application : Le Commerce peut vérifier les emplacements, tenir des dossiers sur les produits (y compris l'emplacement et l'utilisateur final) et exiger des informations des titulaires de licences pour maintenir des dossiers.
• Examen continu : Le Commerce doit évaluer de nouveaux mécanismes de sécurité des puces chaque année pendant trois ans et faire rapport au Congrès.

Ce que cela signifie pour vous#

• Fabricants de puces et dispositifs couverts

  • Doivent concevoir et expédier des produits couverts avec des caractéristiques de vérification de localisation dans les 180 jours suivant l'entrée en vigueur de la loi.
  • Pourraient faire face à de nouvelles exigences techniques plus tard si le Commerce et la Défense identifient des mesures de sécurité supplémentaires.

• Exportateurs et entreprises qui demandent des licences d'exportation

  • Doivent signaler rapidement si un article sous licence se trouve à un autre emplacement, a un utilisateur non autorisé ou montre des signes de falsification.
  • Doivent fournir les informations demandées par le Commerce pour soutenir la tenue de dossiers et la vérification.

• Équipes technologiques et de sécurité

  • Pourraient avoir besoin d'ajouter ou de modifier le micrologiciel, le logiciel ou le matériel pour soutenir la vérification de localisation et, plus tard, des mécanismes secondaires.
  • Doivent considérer les impacts sur la performance des produits, les tests et les procédures de chaîne d'approvisionnement.

• Agences gouvernementales américaines (Commerce et Défense)

  • Effectueront des évaluations, établiront des normes, vérifieront les articles exportés et tiendront des dossiers sur les produits exportés et les utilisateurs finaux.
  • Produiront des rapports au Congrès, y compris éventuellement des annexes classifiées.

• Acheteurs étrangers ou utilisateurs finaux de produits couverts

  • Pourraient recevoir des dispositifs incluant des caractéristiques de sécurité intégrées et de suivi de localisation.
  • Le projet de loi ne précise pas comment les préoccupations en matière de confidentialité ou de souveraineté étrangères seront traitées.

• Grand public et clients de produits concernés

  • Si les produits incluent de nouvelles caractéristiques de sécurité, cela pourrait affecter la performance des dispositifs, la réparabilité ou la revente — le projet de loi ne détaille pas ces effets.

Dépenses#

Aucune information disponible publiquement.

• Le projet de loi exige des évaluations, des rapports, la tenue de dossiers et des activités de vérification, ce qui augmenterait probablement les coûts administratifs pour le ministère du Commerce et éventuellement pour la Défense.
• Les entreprises qui fabriquent ou exportent des produits couverts pourraient encourir des coûts de conformité pour concevoir, tester et déployer les mécanismes de sécurité requis.
• Il pourrait y avoir des coûts pour valider et maintenir un enregistrement des emplacements des produits et des utilisateurs finaux, ainsi que des coûts potentiels dus aux changements de performance des dispositifs ou au délai de mise sur le marché.
• Le projet de loi demande au Commerce d'analyser les coûts de mise en œuvre dans le cadre de l'évaluation requise, mais ne fournit pas de budget ou de financement spécifique dans le texte.

Point de vue des partisans#

• Le projet de loi semble destiné à réduire le vol, la diversion, la falsification et l'utilisation non autorisée de puces avancées et de matériel informatique exporté des États-Unis.
• Il pourrait améliorer la conformité avec les lois existantes sur le contrôle des exportations en fournissant aux exportateurs et aux régulateurs des outils techniques pour vérifier la localisation et l'utilisation finale.
• La loi pourrait faciliter la détection de la contrebande ou de l'utilisation abusive, permettant potentiellement au Commerce de assouplir les restrictions à l'exportation pour des partenaires de confiance où des mécanismes de sécurité sont présents.
• Le projet de loi soutient l'utilisation de la technologie américaine pour faire avancer la politique étrangère et les objectifs de sécurité nationale des États-Unis et pour aider les alliés et partenaires à utiliser l'informatique avancée de manière sécurisée.

Point de vue des opposants#

• Une préoccupation est la faisabilité technique : le projet de loi exige une vérification de localisation dans les 180 jours mais ne définit pas quelles méthodes sont acceptables ni à quel point elles doivent être fiables.
• Le projet de loi n'explique pas complètement qui paie pour la conception, les tests et le déploiement des mécanismes de sécurité ; cela pourrait augmenter les coûts pour les fabricants et les exportateurs.
• L'exigence d'enregistrer et de vérifier les emplacements et les utilisateurs finaux pourrait soulever des questions de confidentialité ou de souveraineté pour les utilisateurs étrangers ; le projet de loi ne détaille pas les garanties pour ces préoccupations.
• Le projet de loi demande au Commerce de tenir des dossiers et de vérifier la propriété et l'emplacement, mais il n'est pas clair comment cela fonctionnera en pratique, à quel point les dossiers seront précis ou comment l'application sera gérée à l'étranger.
• L'ajout de mécanismes de sécurité pourrait affecter la performance des dispositifs, augmenter la surface d'attaque si mal conçu, ou introduire de nouvelles vulnérabilités ; le projet de loi exige que le Commerce étudie de tels risques mais ne fixe pas de protections spécifiques.