米国輸出管理規制アップデート ～サイバーセキュリティ関連の輸出管理強化～

背景

　通常兵器に関する国際的な枠組みであるワッセナー・アレンジメント（以下、「WA」といいます。）の2013年総会において、サイバーセキュリティに関する輸出管理の強化が合意されて以降、サイバーセキュリティに対する輸出管理の強化は国際的な課題となっており、WA2013年総会の合意に基づき、EUではサイバーセキュリティ技術に対する輸出管理強化が行われ、日本においても2019年の告示改正※2によってサイバーセキュリティ業種を対内直接投資等における指定業種に指定する等の改正が行われていました。

　他方で、米国では、BISが、2015年にWA2013年総会の合意に基づきサイバーセキュリティに関する輸出管理強化を目的としたEARの規則案を発表しましたが、特に不正侵入ソフトウェア（intrusion software）に関する項目について規制範囲が広範であるとの産業界等からの反発があり、米国議会は、WA2013年総会の合意内容を再交渉するよう米国政府に要請しました。2016年のWA総会では交渉は不調に終わりましたが、WA2017年総会において、サイバーセキュリティに関する規制対象範囲を大きく修正することが合意されました。WA2017年総会後もなおサイバーセキュリティ技術を管理することへの懸念は多く表明されていましたが、長年議論されてきたサイバーセキュリティ技術に対する輸出管理に関する暫定最終規則がついに公表されるに至りました。

暫定最終規制の概要

　暫定最終規則において、ある製品がEARの規制対象に該当し、その輸出、再輸出又は移転（みなし輸出・再輸出を含みます。）にBISの許可が必要になるか否かを判断するにあたっては、以下の二段階で判断することになります。

• １ 当該製品がEARの規制品目リスト（Commerce Control List）に記載されている品目に該当するか。
• ２ 規制品目リストに記載されている品目に該当するとして、許可例外ACE（Authorized Cybersecurity Exports）の適用があるか。

　以下、各段階における概要を紹介します。

1 規制品目リストの該当性

　暫定最終規則は、サイバーセキュリティ品目として以下の品目を規制品目リストに追加しています。

2 許可例外ACEの適用

　規制品目リストの検討を踏まえて、ある製品が上記品目に該当するとしても、暫定最終規則では広範な許可例外制度を設けています。すなわち、許可例外ACEでは、以下の場合を除くサイバーセキュリティ品目のみなし輸出を含む輸出、再輸出又は移転は、BISの輸出許可なく行うことが認められています。

① 制裁対象国（キューバ、イラン、北朝鮮及びシリア）に対する輸出等

② エンドユーザー規制

• (a) 政府エンドユーザー（government end user）※6に対する輸出等の規制：規制品目リストに添付されているカントリーグループのうち、D:1、D:2、D:3、D:4又はD:5に指定される国・地域に所在する政府エンドユーザーに対する輸出等は許可例外ACEの適用対象外となります。

  しかし、上記国・地域のうち、A:6に指定されるキプロス、イスラエル及び台湾を仕向地とする以下のいずれかの輸出等は政府エンドユーザーの規制対象外（すなわち許可例外ACEの適用あり）となります。

  • (i)優遇サイバーセキュリティエンドユーザー（favorable treatment cybersecurity end user）※7によって所有又は運営される情報システムを含むサイバーインシデントに関連するデジタルアーティファクツ（digital artifacts）※8の輸出等や(ii)そのようなサイバーインシデントの調査又は訴追を目的とする警察又は司法機関への輸出等※9
  • (i)サイバーインシデントへの対応、(ii)脆弱性開示又は(iii)サイバーインシデントの調査又は訴追を目的とする、これらの事象に対応するチームに対する輸出等
• (b) 非政府エンドユーザーに対する輸出等の規制：規制品目リストに添付されているカントリーグループのうち、D:1又はD:5に指定された国・地域に所在する非政府エンドユーザーに対して、脆弱性開示又はサイバーインシデントに対応すること以外を目的として行う一定の輸出等は許可例外ACEの適用対象外となります。

　なお、暫定最終規則では、上記規制に加えて、輸出者、再輸出者又は移転者が、輸出、再輸出又は移転の時に、サイバーセキュリティ品目が所有者等の許可なく情報又は情報システムの機密性、完全性又は可用性に影響を及ぼす目的で使用されることを認識等していた場合にも、許可例外ACEの適用はないとされています。なお、BISは「認識」について、実際に認識していたことや特定の事実を認識していたことを要求せず、該当する取引における事実・状況等から、上記目的で使用されることを認識していたか又は認識すべき事由があったかを広く解釈する可能性があることに留意する必要があります。

今後に向けて

　上記のとおり、暫定最終規則の適用を判断するためには、複雑かつ専門的な判断が必要となり、自社のサイバーセキュリティに関する製品がEARの規制品目リストに該当するか否か、該当するとして許可例外ACEの適用があるか否かという検討には専門的な観点からの分析・検討が必要になると思われます。暫定最終規則の前文では、暫定最終規則の対象範囲は限定的であることから、その影響は最小限になるだろうと記載されていますが、暫定最終規則の上記内容に鑑みると、暫定最終規則がサイバーセキュリティに関するビジネスを展開している米国内外の企業に与える実務的影響は大きいと思われます。

　上記のとおり、暫定最終規則はパブリックコメントを踏まえて、さらに修正がなされる余地がありますので、暫定最終規則の最終案が公表されるまで、引き続きその動向に注視する必要があります。