Un elenco che nominava aziende adesso nomina luoghi

Il 27 luglio un organismo interistituzionale convocato dalla Casa Bianca ha trasmesso alla Federal Communications Commission due determinazioni di sicurezza nazionale. Il giorno dopo l'Ufficio per la sicurezza pubblica e la sicurezza interna della Commissione ha pubblicato l'avviso DA 26-786, e la Covered List, ferma dal 18 marzo, ha guadagnato due righe nuove: inverter di potenza prodotti all'estero e dispositivi robotici avanzati prodotti all'estero.

Ogni voce aggiunta a quell'elenco dal marzo 2021 nominava un'azienda. Huawei e ZTE sono entrate nel marzo 2021, insieme a Hytera, Hikvision e Dahua per gli apparati di videosorveglianza. Kaspersky è seguita nel marzo 2022, poi China Mobile International. Un fornitore poteva leggere l'elenco, verificare l'assenza del proprio nome e proseguire. L'Ufficio ha spiegato il cambiamento in un'unica proposizione: queste apparecchiature appena coperte sono identificate dal luogo di produzione, non dal soggetto giuridico.

La lettura pratica è netta. La determinazione sugli inverter riguarda quelli prodotti in un paese estero, a prescindere dalla nazionalità del produttore. Dal punto di vista statunitense, uno stabilimento a Vimercate, a Valencia o a Lodz è un paese estero esattamente come uno stabilimento nell'Anhui. La determinazione sulla robotica è ancora più ampia e copre tutti i dispositivi robotici avanzati prodotti all'estero, cioè macchine mobili come umanoidi e quadrupedi.

Che cosa dicono davvero le due determinazioni

La motivazione sugli inverter è un argomento di controllo della rete, non di commercio. La determinazione afferma che la connettività remota degli inverter introduce vulnerabilità aggiuntive che si aggravano man mano che le risorse basate su inverter proliferano sulla rete statunitense, e che tali vulnerabilità potrebbero consentire ad aziende estere di spegnere gli inverter oppure di usarli per raccogliere ed esfiltrare dati. L'organismo ha concluso che gli inverter prodotti fuori dal paese creano insieme una fragilità della catena di fornitura per la sicurezza economica e un rischio informatico per le infrastrutture critiche.

La motivazione sulla robotica poggia sulla raccolta dei dati e sul controllo a distanza. I dispositivi robotici avanzati, si legge, raccolgono dati che attori malevoli potrebbero sfruttare per sorvegliare gli americani, ampliare le capacità dei servizi di intelligence esteri o prendere il comando dei robot da remoto. Nessuno dei due documenti dipende da chi possiede il produttore. Entrambi dipendono dal fatto che la macchina sia connessa, aggiornabile e costruita altrove.

L'eccezione passa dal Dipartimento della Guerra

Qui non si applica nulla in porto: si applica in fase di omologazione, che arriva prima ed è più difficile da aggirare. Ai sensi dell'articolo 2.903(a) delle regole della Commissione, le apparecchiature inserite nella Covered List non possono ricevere un'autorizzazione, e ai sensi dell'articolo 2.911 ogni domanda deve certificare che l'apparecchio non è coperto. Senza quell'autorizzazione un dispositivo non può essere importato, commercializzato né venduto negli Stati Uniti. I modelli già autorizzati e già installati non vengono ritirati.

L'organismo interistituzionale un'uscita l'ha costruita. I soggetti che producono inverter o dispositivi robotici avanzati in un paese estero possono chiedere una valutazione e ottenere una Conditional Approval che esenta l'apparecchio. Per gli inverter quella valutazione può essere svolta dal Dipartimento della Guerra o da quello della Sicurezza Interna. Per i dispositivi robotici avanzati, soltanto dal Dipartimento della Guerra. Chi presenta domanda deve fornire quanto richiede il relativo documento di orientamento.

Va letto come una voce del piano di prodotto e non come una nota a piè di pagina legale. Un produttore europeo che voglia continuare a vendere nuovi modelli di inverter negli Stati Uniti ha adesso un ministero della difesa americano seduto fra la propria tabella di marcia e il proprio maggiore mercato d'esportazione, su un calendario di verifica che non governa. Il costo di quella verifica non sono le spese di istruttoria. Sono i trimestri che un lancio perde mentre resta pendente.

Bruxelles è arrivata allo stesso timore dalla parte opposta

L'Europa si è mossa prima su questo rischio e ha tracciato la linea in un punto completamente diverso. Il 4 maggio la Commissione europea ha stabilito che eliminerà gradualmente gli inverter di fabbricazione cinese dai progetti energetici finanziati dall'Unione, agendo attraverso controlli a livello di progetto e disposizioni del regolamento finanziario europeo anziché con nuova legislazione. Un funzionario dell'Unione ha riassunto il quadro come rischi economici e di cibersicurezza seri, con uno scenario estremo di interferenza nelle infrastrutture energetiche europee capace di provocare blackout.

Il meccanismo è una condizione di finanziamento, non un divieto. Nei progetti che non ricevono denaro europeo gli inverter cinesi restano leciti. La fase transitoria comincia il 1 novembre e l'applicazione piena ai nuovi contratti arriva ad aprile 2027, mentre i produttori di Giappone, Corea del Sud, Svizzera e Stati Uniti restano ammissibili per tutto il periodo. La Lituania è andata più lontano e prima: dal 1 maggio 2025 una legge vieta ai produttori cinesi l'accesso remoto via software agli impianti solari, eolici e di accumulo del paese.

La distanza fra i due approcci è tutta la notizia. Bruxelles chiede chi sia il fornitore, e uno stabilimento europeo è la risposta a quella domanda. Washington chiede adesso dove sia stato fatto l'apparecchio, e uno stabilimento europeo è il problema. I produttori cinesi detengono circa l'80 per cento del mercato mondiale degli inverter, ed entrambe le capitali puntano a quel numero, ma solo una lo fa in un modo che un produttore europeo possa soddisfare essendo europeo.

Due domande dove prima ne bastava una

Gli uffici acquisti hanno passato due anni a imparare a porre una sola domanda sull'hardware connesso alla rete: chi l'ha fabbricato. Quella domanda continua a rispondere al test europeo e non risponde più a quello americano. Se la vostra organizzazione compra inverter, inverter di batteria o robot mobili, nella scheda di ogni asset va inserito da adesso il paese di fabbricazione oltre al fornitore, e i due possono divergere all'interno della stessa linea di prodotto.

Se la vostra organizzazione vende qualcosa di tutto ciò negli Stati Uniti, il lavoro è diverso e ha una data. I modelli nuovi hanno bisogno di produzione statunitense oppure di una Conditional Approval prima che una domanda di omologazione superi la certificazione, e la coda per quelle approvazioni comincia adesso e non al primo rifiuto. I modelli già autorizzati continuano a vendersi, il che dà respiro e nasconde la scadenza.

Da leggere ora: Tutti e 27 sono in ritardo. La vostra scadenza no.  |  Metà degli aiuti irlandesi ha un vincolo