Що зміниться, коли ФКК заборонає логічні компоненти від компаній із Covered List

Прогалина в компонентах, яка залишалася відкритою

ФКК вперше заблокувала авторизації для повних пристроїв, виготовлених суб'єктами зі списку Covered List, у 2022 році. Це правило зупинило видачу дозволів маршрутизаторам або базовим станціям, якщо іменований виробник перебував у списку. Воно не заважало іншій компанії збирати пристрій навколо процесора, радіомодуля чи пам'яті від постачальника зі списку.

З технічної точки зору, такі компоненти створюють те саме неприйнятні ризики, що й сам заборонений обладнання, заявляє Комісія зараз. Скомпрометований логічний елемент може забезпечити перехоплення, збивання, саботаж. Несанкціонований доступ також стає можливим — незалежно від того, хто збирає чи випускає готовий продукт під власним брендом.

Нова заборона поширюється лише на логічні апаратні компоненти. Комісія визначає цей термін як будь-яку фізичну частину, яка генерує та використовує таймінгові сигнали або імпульси частотою понад 9000 імпульсів на секунду з використанням цифрових методів. Або яка генерує та використовує радіочастотну енергію для виконання функцій обробки даних — обчислення, зберігання. Передача даних теж входить у визначення. Воно базується на існуючому визначенні цифрового пристрою у розділі 15.3(k), щоб надати чіткий стандарт.

Чисто механічні або пасивні деталі — корпуси, кріплення, резистори, дроти, звичайні батарейні елементи — виключені.

Програмні або вбудовані компоненти правило не охоплює на даний момент. Воно також не застосовується до записів у Covered List, заснованих на місці виробництва: безпілотні авіаційні системи, критичні компоненти БАС. Маршрутизатори, виготовлені в іноземній країні, теж не підпадають під дію, якщо виробничий суб'єкт не ідентифікований у списку незалежно.

Дія лише на майбутнє: раніше авторизоване обладнання не зачіпається. Заявки, що розглядаються на дату набуття чинності, звільнені. Виняток — якщо пізніше їх змінюють щодо додавання, заміни або зміни логічного апаратного компонента.

Що онлайн-маркетплейси тепер мають показувати

Розділ 2.803 уточнює: розповсюдження з метою продажу включає розміщення регульованого обладнання на онлайн-маркетплейсі в поєднанні з діями типу консигнації, складивання, управління запасами. Обробка замовлень, маркування, пакування, виставлення рахунків або виконання замовлень теж належать сюди — навіть якщо обладнання продає сторонній продавець. Перевізники, які лише транспортують пристрої без торгівлі ними, залишаються поза маркетинговими правилами за розділом 302(c) Закону про зв'язок.

Маркетплейси, що просувають неавторизовані пристрої, підлягають примусовому дії на тих самих підставах, що й будь-яка інша особа. Елемент умислу чи знання не потрібен.

Онлайн-маркетплейси також зобов'язані відображати FCC ID сертифікованого пристрою в точці онлайн-продажу, вимагає правило. Маркетплейси, що продають власні пристрої, або мають фізичний доступ до пристрою стороннього продавця чи набувають на нього право власності, мають показувати дійсний і точний FCC ID. Маркетплейси, що просувають сторонні оголошення без фізичного доступу до пристрою чи права власності на нього, мають лише перевірити, що надане FCC ID дійсно видане, і вимагати від продавця підтвердити його точність.

Три категорії виключені з вимоги відображення: оголошення, опубліковані до дати набуття чинності правила, які пізніше не змінювалися чи не оновлювалися; оголошення продавців, які не є продавцями з великим обсягом продажів за визначенням INFORM Consumers Act; оголошення для вживаних пристроїв.

Введено диференційовані терміни дотримання. Маркетплейси з фізичним доступом до пристрою чи правом власності на нього мають дотриматися до 1 березня 2027 року. Маркетплейси, що покладаються на сертифікації сторонніх продавців, мають до 1 червня 2027 року. Комісія відмовилася вимагати відображення FCC ID на зовнішній упаковці продукту, але залишила питання відкритим.

Модифікації та тригер повторної сертифікації

Дозволені зміни та модифікації у розділах 2.932 та 2.1043 тепер заборонені для обладнання, вже забороненого за розділом 2.903, і для обладнання, яке стало б забороненим через пропоновану модифікацію. Перенесення виробництва до суб'єкта зі списку Covered List або зміна, яка призведе до втрати статусу вітчизняного кінцевого продукту, запускає заборону.

Жодних нових обов'язків щодо розслідування походження компонентів не накладається за винятком тих, що вже вимагаються для відповідності. Стандарт «вироблений» продовжує оцінюватися за тестом «загальності обставин», який дивиться на суттєву відповідальність або контроль над дизайном, розробкою, виробництвом або збиранням пристрою.

Будь-який суб'єкт зі списку Covered List, що шукає дозволену зміну для обладнання — незалежно від того, чи є саме обладнання забороненим — має подати заяву на повторну сертифікацію, а не покладатися на обмежений процес дозволеної зміни. Жоден суб'єкт зі списку не може використовувати процес Декларації відповідності постачальника для будь-якої модифікації.

Ця вимога діє лише там, де заявник на модифікацію є самим суб'єктом зі списку Covered List. Вона не поширюється на модифікацію виробником не зі списку обладнання, спочатку виготовленого суб'єктом зі списку, якщо модифікація сама не робить пристрій виготовленим цим суб'єктом. Вимога не застосовується до записів у Covered List, заснованих на місці виробництва.

Раніше надані Офісом інженерних технологій обмежені відступи, що дозволяли дозволені зміни класів I та II для обладнання БАС зі списку та заборонених маршрутизаторів, до 1 січня 2029 року, залишаються в силі за їх умовами.

Перепис визначення за рішенням суду

Апеляційний суд Округу Колумбія частково повернув попереднє визначення критичної інфраструктури Комісії на перегляд. Комісія відповіла збереженням визначення, закладеного у розділі 1016(e) Закону USA PATRIOT Act 2001 року: системи та активи, настільки життєво важливі для Сполучених Штатів, що нездатність або знищення таких систем мав би руйнівний вплив на безпеку, національну економічну безпеку, національне охорону здоров'я або безпеку, або будь-яке поєднання цих факторів. Вона продовжує покладатися на 16 секторів критичної інфраструктури, виділених Департаментом внутрішньої безпеки, та 55 Національних критичних функцій, опублікованих Національним центром управління ризиками DHS.

Попередня мова «підключені до», яку Апеляційний суд Округу Колумбія знайшов необґрунтовано широкою, усунута. Оновлене визначення охоплює системи та активи, що використовуються при наданні послуг або функцій у 16 секторах критичної інфраструктури, коли вони використовуються для надання будь-якої з 55 Національних критичних функцій. Комісія вважає цю редакцію відповідною рішенню суду і одночасно узгодженою з існуючою політикою виконавчої влади щодо критичної інфраструктури.

Два адміністративні виправлення

Письмова помилка у розділі 2.903 виправлена, відновлено перехресні посилання всередині перенумерованих параграфів (d)(1)–(d)(3), які несподіванно продовжували посилатися на колишній параграф (b). Розділ 2.1204(a) також отримав виправлення: додано пропущене слово «та» між «технічними» та «адміністративними» у параграфі (a)(2), а параграф (a)(4)(iv) видалено як дублювання параграфу (a)(4)(iii).

Що Комісія каже про витрати та економію

Разових витрат на впровадження оцінюється не більше 300 мільйонів доларів, переважно через оновлення маркетплейсами систем оголошень для відображення FCC ID. Щорічні повторювані витрати прогнозуються нижче 40 мільйонів доларів, переважно через ідентифікацію продавцями FCC ID та включення їх у охоплені оголошення. Ці оцінки враховують винятки для продавців з малим обсягом, вживаних пристроїв та певних попередніх оголошень.

Оскільки заборона логічних апаратних компонентів діє лише на майбутнє і зачіпає досить вузьку підмножину виробників, а уточнення щодо маркетингу та модифікацій переважно закодифікували існуючі інтерпретації, Комісія не очікує значних додаткових відпові