据美国政府公报网站《联邦公报》5月26日消息，美国商务部工业和安全局(下简称“BIS”)发布《信息安全控制：网络安全物项》(No.220520-0118)。

根据该规定，出于所谓国家安全和反恐需要，美国实体(如互联网企业)与中国政府相关的组织和个人就网络安全漏洞合作时，要先经过美国商务部审核。

在新规征求意见阶段，微软就提出异议，但未被美国当局采纳。

如何理解美国商务部此次新规出台的背景?

汇业律师事务所高级合伙人杨杰律师对观察者网表示，从美国商务部此次关于网络安全物项出口管制新规出台的背景来看，其主要的依据还是2013年瓦森纳协定国之间就控制网络安全物项达成的共识。网络安全物项既有技术，又有软件。在瓦协看来，它们既可以用于民事，也可以用于军事：比如像一些监听、入侵的软件和技术，它们可能会被未来的敌国用于大规模的网络战，给西方国家带来网络安全问题。

瓦协是美国主导下，西方盟国对军民两用物项进行管控的一个国际组织，中国是被排除在这个组织之外的。在2013年瓦协共识的基础上，美国商务部后来开始针对网络安全管控物项，起草有关出口管制的意见稿，供微软等众多美国企业讨论，并最终形成了现在出台的新规。其目的在于：该框架既足以“保护美国国家安全”，又不会对美国网络公司的正常经营活动造成影响。

在上述管控基础上，美国还创设性地设立了ACE许可制度(AuthorizedCybersecurityExports，即经授权的网络安全物项出口例外)。符合相关条件的网络安全物项的出口和交流，是不需要向美国商务部申请许可证的。反之则需要许可证。

当美国公司和外国公司就特定网络物项进行合作时，如果美国商务部认定其不会影响美国国家安全和反恐利益，那么就会颁发许可证。对应的，没有许可证的相关出口和交流活动，将会受到限制和阻碍。

世界上绝大多数国家被美国ABCDE分组(C组名单为保留项)管控。其中的A组国家往往都是美国的盟友，例如瓦森纳协定国;E组国家主要是被美国认定为“敌对国家”的朝鲜、伊朗和古巴等;而D组国家，大多被视为美国的“战略竞争对手”，比如中国和俄罗斯。

在美国一揽子管控机制下，中国受限较多。比如许可例外制度，对D组国家就有一种不适用的情况：如果你的合作对象是高度敏感的D组国家的政府用户，比如中国政府资助的大专院校实验室、公检法机关等，是不适用ACE许可例外制度的。

杨杰表示，对于出口管制文件规定ECCN编码下的网络安全物项，只可以在中国市场出售给四类“非政府用户”，它们是：美国企业在华子公司、银行和金融服务公司、保险服务公司和从事人体和生命安全的医药机构。同时，网络安全补丁(Vulnerabilitydisclosur)和网络事件响应(cyberincidentresponse)是可以和“非政府用户”合作的。

杨杰指出，过去很多有关网络安全漏洞的技术分享都是在开源社区中展开的。现在美国出台了管控新规，那么像微软这样的企业，在从事开源社区相关技术合作的时候，就会很犹豫——它无法确定自己的合作对象到底有没有中国官方背景。如果是政府用户，是不允许进行网络安全方面的分享合作的。

管控新规引发微软等本土企业反对，美国BIS：利大于弊，不听不听

在上述规定的征求意见阶段，微软就曾提出异议。

微软方面认为，如果参与网络安全活动的个人和实体因和(中国等)政府有关联而受限，那么这将抑制全球网络安全市场目前部署的常规网络安全活动的能力。况且美国当局至少应该对所谓的“政府最终用户”，给予更为明确的定义，或者清楚说明哪些个人或者实体，属于受限的“政府最终用户”。

虽然并没有点名微软，但BIS在最终文件中明确：“有公司表示，对代表‘政府最终用户’人的限制，将阻碍与网络安全人员的跨境合作，因为在与这些人沟通之前，要检查其是否与政府有联系。该公司建议取消这一要求或对其进行修改。BIS不同意这一建议(disagreeswiththisrecommendation)。”

BIS坚称，该规定对美国国家安全而言“利大于弊”。

BIS新规出台后各方争议不断，它能否达到美方期待的目的也有待观察。但杨杰提醒，需要认清的是，美国现在提出了这样一种制度创设，日后伴随着美国企业的实际操作和具体案例，肯定还有会更多的补充细节会添加进去。在“强化管控”和“技术出口”之间找到平衡点，这也是美国政府在考虑的。

杨杰表示，从2013年的瓦森纳协定共识，到现在出台的BIS管制新规，很明显体现了美国政府想跟中国进行全面“脱钩”的趋势。同美国最近推动的“印太经济框架”一样，这些新规都可以看出，美国政府在加速本土企业与中国“脱钩”，这是一个值得警惕的动向。

美国再次将企业置于两难境地

微软的反对关乎其自身利益，在美国BIS新规之下，许多拥有在华相关业务的企业再次被置于合规两难境地。

一方面，在中国经营的企业有遵守中国法律的义务。

网络安全和数据合规法律专家、汇业律师事务所高级合伙人李天航指出，对华销售网络产品服务的美国企业，通常在中国需要有销售主体，一般为合资企