米商務省、情報通信技術・サービス（ICTS）サプライチェーン保護の最終規則を発表（米国、中国、北朝鮮、イラン、ロシア、キューバ、ベネズエラ）

米国商務省産業安全保障局（BIS）は12月5日、情報通信技術・サービス（ICTS）のサプライチェーンを保護するための最終規則を発表した。12月6日に官報で公示し、60日後に発効する。商務省は、2021年1月に最終暫定規則（IFR）を発表していた（2021年1月22日記事参照）。

ICTS保護規則は、商務長官が「外国の敵対者に所有、支配されている、またはその管轄・指示に従属する主体によって設計、開発、製造もしくは供給されたICTSの買収、輸入、移転、導入、売買または利用を含む取引で、過度もしくは容認できないリスクをもたらすもの」に対し、調査などを経て、取引の中止かリスク軽減措置を指示する内容となっている。BISの発表によると、最終規則では、IFRに対するパブリックコメントを踏まえ、適用範囲、調査完了までのスケジュール、決定を行う際の商務省の手続き、他省庁間の役割などが明確化された。例えば、「外国の敵対者」としての中国の定義に、マカオが含まれることが明記された。IFRでは、「外国の敵対者」に、香港を含む中国、キューバ、イラン、北朝鮮、ロシア、およびベネズエラの政治家ニコラス・マドゥロ氏（マドゥロ体制）の6つの主体が指定されていた。そのほかIFRでは、審査対象となるICTS技術分野の1つとして「12カ月以上にわたり100万人を超える米国人の機微な個人情報を扱うデータホスト・コンピューティングサービスに関するソフトウエア、ハードウエアまたはその他のあらゆる製品・サービス」が指定されていたが、この要件から「100万人を超える」部分が削除された。ただし、最終規則は、IFRから実質的な変更はないとしている。

BISはまた、今回の最終規則について、2022年3月にBIS内に設立された情報通信技術・サービス局（OICTS）の業務を正式化する上で重要な一歩だとした。OICTSは2024年6月に、ICTS保護規則に基づく初めての最終決定として、ロシアのウイルス対策ソフト大手カスペルスキーの米国子会社に対して、アンチウイルス・ソフトウエアなどの製品・サービスの提供を禁止したほか（2024年6月24日記事参照）、9月には中国とロシアが関係するコネクテッドカーなどの輸入または販売を禁止する規則案を発表している（2024年9月24日記事参照、注）。

今回の発表に際し、商務省のアラン・エステべス次官は「この最終規則は、外国の敵対者に関わるICTS取引の調査、（リスク）緩和、禁止に関するBISの既存の権限を明確化し、強化するものだ。これにより、米国のインフラおよび技術・通信部門の強靭（きょうじん）性を保護する能力が大幅に強化される」と述べた。

（注）コネクテッドカーに対する規則案への、パブリックコメントを通じた企業の反応は、2024年10月31日記事参照。

（赤平大寿）

（米国、中国、北朝鮮、イラン、ロシア、キューバ、ベネズエラ）