Les nouvelles règles américaines sur la sécurisation de la chaîne d’approvisionnement des technologies de l’information et des communications et des services impliquent un examen plus approfondi des transactions ICTS – Gouvernement, secteur public

Le 19 janvier 2021, le Département du commerce («Commerce») a publié une règle finale provisoire, «Sécurisation de la chaîne d’approvisionnement des technologies et services de l’information et des communications» («Règle ICTS») mettant en œuvre le décret 13873.

La règle ICTS, qui est entrée en vigueur le 22 mars 2021, est conçue pour lutter contre les menaces à la sécurité nationale en interdisant certaines transactions impliquant les technologies et services de l’information et des communications («ICTS»), définies comme suit:

• Infrastructure critique;
• Infrastructure réseau, satellite et câble;
• Hébergement de données et services informatiques;
• Surveillance, surveillance, réseau domestique et systèmes aériens sans pilote;
• Logiciel de communication; et
• Intelligence artificielle, technologies quantiques et robotiques avancées.

Cette règle permet aux chefs d’agence de demander, ou au Secrétaire au commerce de lancer, un examen des transactions ICTS pour déterminer si elles présentent un «risque indu et inacceptable» et s’il faut interdire une transaction ou proposer une atténuation.

Les transactions ICTS soumises à examen peuvent inclure l’acquisition, l’importation, le transfert, l’installation, la négociation ou l’utilisation de tout ICTS, y compris les activités en cours, telles que les services gérés, la transmission de données, les mises à jour logicielles, les réparations, ou la plate-forme ou l’hébergement de données d’applications pour téléchargement destiné aux consommateurs conçu, développé, fabriqué ou fourni par des parties appartenant à, contrôlées par ou soumises à la juridiction ou à la direction des «adversaires étrangers»: Chine (y compris Hong Kong), Cuba, Iran, Corée du Nord, Russie et Venezuela.

Une fois qu’un examen est initié par un responsable d’agence en vertu de la règle ICTS, les parties ont 30 jours pour répondre, après quoi le Département du commerce rendra une décision finale d’interdire ou d’autoriser la transaction, ou de l’autoriser sous réserve de mesures d’atténuation négociées. Le processus total ne doit pas prendre plus de 180 jours.

Dans sa publication de la règle ICTS, pour répondre aux commentaires du public demandant un processus visant à réduire l’incertitude pour les entités cherchant à s’engager dans des transactions ICTS, le Département du commerce a déclaré qu’il mettrait en œuvre un processus de licence d’ici le 19 mai 2021. Le 29 mars 2021, le Département du commerce a publié un avis préalable de réglementation demandant des commentaires du public sur un processus de licence, et en particulier sur des questions liées à sa mise en œuvre, notamment:

• Si les processus impliquant des notifications au Comité des investissements étrangers aux États-Unis (« CFIUS ») ou des divulgations volontaires au Bureau de l’industrie et de la sécurité du commerce (« BIS ») peuvent être utilisés comme modèles pour l’autorisation ICTS;
• Si le processus de dédouanement doit impliquer l’obtention d’une autorisation avant de s’engager dans une transaction ICTS et / ou un avis consultatif du Département du commerce déclarant que la transaction ne serait pas interdite;
• La possibilité d’atténuer l’impact sur les petites entreprises d’une manière qui ne nuirait pas à l’objectif de protection de la sécurité nationale des États-Unis;
• Si certaines catégories ou certains types de transactions ICTS doivent être exemptés ou exclus des exigences de licence, ou doivent suivre un processus distinct;
• Quelles informations spécifiques devraient être requises dans le cadre du processus d’examen;
• Les délais appropriés pour l’examen de la transaction et la communication connexe;
• Comment l’atténuation potentielle d’une transaction devrait être évaluée dans le cadre du processus d’examen;
• Le processus à suivre si une transaction est modifiée après la délivrance d’une licence ou d’un pré-dédouanement; et
• Si et comment les titulaires de licences de transaction ou de pré-dédouanement peuvent renouveler ces autorisations.

Il semble que l’administration Biden se concentrera sur la mise en œuvre de cette règle, comme en témoigne l’émission du 17 mars 2021 des citations à comparaître aux entreprises chinoises impliquées dans les ICTS aux États-Unis. Cette action en particulier semble identifier des préoccupations concernant les ICTS impliquant des infrastructures critiques. En outre, on pense que les cyber-violations récentes aux États-Unis, attribuées à la Chine et à la Russie, pourraient également attirer l’attention de l’administration sur la mise en œuvre et l’application de la règle ICTS.

Compte tenu de la pression continue de l’administration Biden pour mettre en œuvre la règle ICTS et de l’émission de citations à comparaître indiquant une intention d’utiliser et de faire appliquer l’autorité en vertu de l’OE 13873 et de la règle ICTS, les entreprises actives dans affaires existantes ou en cours impliquant des parties de pays «adversaires étrangers».

Le contenu de cet article est destiné à fournir un guide général sur le sujet. Des conseils spécialisés doivent être recherchés sur votre situation particulière.