2024年9月23日，根据美总统第13873号行政令，美国商务部产业与安全局（BIS）发布一项《保障信息和通信技术及服务供应链：网联车辆》的拟议规则通知[1]（NPRM，以下简称“拟议规则”），该拟议规则将禁止含有中俄和其他受关注国家（country of concern）的某些硬件或软件的网联汽车进口至美国或在美国销售。该拟议规则基于第13873号行政令的授权，并采纳了2024年3月1日发布的拟议规则预先通知所收集的部分公众反馈意见。针对本次拟议规则的评论意见可在联邦公报发布后的30天内提交，政策目标是在拜登政府换届前公布正式生效规则。下文将详细分析该拟议规则的主要内容。

一、背景

该立法公告宣称, 鉴于中国汽车制造业已经主导了全球及美国市场网联汽车的技术市场，对美国供应链安全造成了巨大危险。现代化汽车配备了大量网络连接设备, 如果这些在美国境内收集的信息被外国对手获取, 将对美国国家安全和公民隐私构成严重威胁。BIS的立法目的就是为了加强网联汽车供应链的安全性而采取禁限制措施，拟议规则将禁止销售或进口与中俄等受关注国家有"充分关联"的特定硬件和软件, 以及集成了这些组件的网联汽车，以应对和控制上述潜在风险。

二、目的与范围

为应对外国对手（foreign adversaries）对美国国家安全构成不当或不可接受的风险，该拟议规则通过（1）禁止性规定；（2）合规机制；（3）通用授权与特别授权；以及（4）激励网联汽车制造商、车联网系统硬件进口商和相关供应商采取措施，协力确保美国网联汽车的信息与通信技术供应链的安全。

三、相关关键定义

Connected Vehicle(CV)，网联汽车是指由机械动力驱动或牵引，主要为在公共街道、公路和高速公路上使用而制造的汽车，该汽车集成了车载网络硬件和汽车软件系统，可通过专用短程通信、蜂窝式电信连接、卫星通信或其他无线频谱连接与任何其他网络或设备进行通信。本拟议规则的限制范围不包括仅在铁路线上运行的车辆。

Automated Driving System（ADS），自动驾驶系统是指能够为网联汽车整车持续执行整个动态驾驶任务的硬件和软件的总称，无论其是否仅限于一个特定的运行设计域。

Vehicle Connectivity System (VCS)，车辆连接系统是指用于网联汽车整车的硬件或软件，其功能是以450兆赫以上的频率传输、接收、转换或处理射频通信。

VCS hardware，车辆连接系统硬件是指支持车辆连接系统功能或作为支持车辆连接系统功能的部件的下列软件或可编程部件和子部件：微控制器、微型计算机或模块、片上系统、网络或远程信息处理单元、蜂窝调制解调器/模块、Wi-Fi微控制器或模块、蓝牙微控制器或模块、卫星导航系统、卫星通信系统、其他无线通信微控制器或模块以及外部天线。车辆连接系统硬件不包括对车辆连接系统硬件的通信功能无作用的部件（如支架、紧固件、塑料和无源电子元件）。

Connected Vehicle Manufacturer(CVM)，网联汽车制造商是指从事以下活动的美国人（包括个人和实体）：

（1）在美国制造或组装网联汽车整车；和/或

（2）进口网联汽车整车并在美国销售。

Covered Software(CS)，受辖软件是指由存在外国利益的各系统的主处理单元执行的基于软件的组件，这些组件是在车辆层面支持车辆连接系统或自动驾驶系统功能的项目的一部分。受辖软件不包括固件，因为固件的特点是专门为硬件设备编程的软件，其主要目的是控制、配置硬件设备并与之通信。受辖软件也不包括可由任何人自由使用、修改和分发（distribute）的开放源码软件，任何人都可以访问源代码并为软件的开发和改进做出贡献，除非该开放源码软件已为专有目的进行了修改，且未重新分发（distribute）或共享。

Hardware Bill of Materials (HBOM)，硬件物料清单是指创建一个物理产品所需的零件、装配、文件、图纸和组件的一个综合清单，包括制造商标识信息、相关固件、技术信息和说明信息。

Model year，车型年份是指用于指定各别车型的年份，与车辆实际生产的日历年无关，但生产期不得超过24个月。

Software Bill of Materials，软件物料清单 (SBOM) 是指一份正式的、动态的、机器可读的清单，详细列出软件组件和子组件之间的软件供应链关系，包括软件依赖关系、层次关系和基线软件属性，包括作者姓名、时间戳、供应商名称、组件名称、版本字符串、组件hash package URL、唯一标识符以及与其他软件组件的依赖关系。

四、限制规则

(一) 禁止VCS硬件的交易（Prohibited VCS hardware transactions）

1.      禁止VCS硬件进口商在明知的情况下（knowingly）进口由受关注国家拥有、控制、受其管辖或听从其指示的主体设计、开发、制造或供应的VCS硬件[2]。

但是，该禁止规则不会仅仅根据受雇、签约或以其他类似方式参与设计、开发、制造或供应VCS硬件的自然人的国籍，而将VCS硬件视为由中俄等受关注国家所拥有、控制、受其管辖或听从其指示的人员所设计、开发、制造或供应的[3]。

(二) 禁止“受辖软件”的交易（Prohibited covered software transactions）

1、禁止网联汽车制造商（connected vehicle manufacturers）在明知的情况下进口包含“受辖软件”的网联汽车整车到美国，其中“受辖软件”由受关注国家拥有、控制、受其管辖或听从其指示的人员设计、开发、制造或供应[4]。

2、禁止网联汽车制造商在明知的情况下在美国销售（sell）包含受辖软件的网联汽车整车，其中“受辖软件”由受关注国家拥有、控制、受其管辖或听从其指示的人员设计、开发、制造或供应[5]。

但是，该禁止规则不会仅仅根据受雇、签约或以其他类似方式参与设计、开发、制造或供应受辖软件的自然人的国籍，而将受辖软件视为由受关注国家所拥有、控制、受其管辖或听从其指示的人员所设计、开发、制造或供应的[6]。

(三) 相关禁止交易

1、禁止由受关注国家拥有、控制、受其管辖或听从其指示的网联汽车制造商在明知的情况下在美国销售包含VCS硬件或受辖软件的网联汽车整车[7]。

(四) 具体举例说明

BIS在拟议规则中提供了部分示例，用以详细说明禁止交易的范围，下表为节选的部分示例：

点击可查看大图

五、合规机制

(一)年度合规声明（Declaration of Conformity）

点击可查看大图

网联汽车制造商如欲进口或制造在美国销售的含有受辖软件的网联汽车整车，应在网联汽车整车的每个车型年份（each model year）的首次进口或首次销售前60天提交合规声明（根据品牌、型号和装饰分类）。

VCS硬件进口商如欲进口任何VCS硬件，应在首次进口VCS硬件前60天提交合规声明，对于与车型年份相关的设备，应在每个车型年份提交；对于与车型年份不相关的设备，应在日历年提交。VCS硬件进口商可提交一份单一的合规声明，详细说明将在“车型年份”或“日历年份”进口的所有VCS硬件型号。

最后，任何人从事被禁止的VCS硬件交易或被禁止的受辖软件交易，并提交欺诈或虚假合规声明（无合理理由相信合规声明的真实性），均可能受到处罚（详见下文）。

(二)通用授权（General Authorization）

VCS硬件进口商和网联汽车制造商如果符合相关规定的要求或条件，可以获得通用授权。获得任何通用授权的人都必须在10年内保留每笔被禁止的交易的记录。

如果与通用授权相关的网联汽车整车或VCS硬件的用途发生任何变化，使用通用授权的VCS硬件进口商或网联汽车制造商必须确定其是否仍有资格获得通用授权，或者是否必须申请特别授权。此外，获得通用授权的VCS硬件进口商和网联汽车制造商须接受BIS的审计和检查。

最后，如果出现以下一种或多种情况，VCS硬件进口商和网联汽车制造商不得利用任何通用授权：

（1）BIS已通知VCS硬件进口商或网联汽车制造商，其不符合获得通用授权的条件。

（2）VCS硬件进口商或网联汽车制造商由中俄等受关注国家拥有、控制或受其管辖、或听从其指示。

(三)特别授权（Specific Authorization）

对于被禁止的交易，如未获得豁免或通用授权，BIS可通过特别授权以允许VCS硬件进口商或网联汽车制造商从事某些被禁止的交易。获得特别授权的人需要将相关记录保存10年，并根据每项特别授权中规定的说明提交报告和声明。

BIS将采用“逐案审查”的政策审理特别授权申请，并确定适用于每项特别授权的必要条件。此类审查可能包括对申请人为特定交易提出的风险和潜在缓解措施进行评估，包括但不限于网联汽车的数据外泄和远程操纵或操作风险；外国对手参与设计、开发、制造或供应VCS硬件或受辖软件的程度和性质；申请人限制受关注国家访问或影响设计、开发、制造或供应VCS硬件或受辖软件的能力；申请人采用的安全标准，以及该标准是否可由BIS或第三方验证；申请人为减轻不适当或不可接受的风险而计划采取的其他行动和建议。BIS将向每个申请人告知对所提交申请的决定。

对于任何特别授权申请，BIS应在收到申请后90天内作出答复，说明最新情况，并要求提供补充资料或文件（如有）。

最后，除法律另有规定，BIS可随时修正、修改或撤销任何特别授权或据此发布的指令。

六、豁免

在一定期限内，VCS硬件进口商和网联汽车制造商无需申请授权或提交合格声明从而进行部分被禁止的交易。在符合以下相关条件的情况下，可以豁免审查。BIS建议缩短涉及受辖软件的交易实施周期，延长涉及VCS硬件的交易实施周期，以便各市场主体有足够的时间建立替代供应链。具体规定如下表：

点击可查看大图

由受关注国家拥有、控制或受其管辖或听从其指示的网联汽车制造商，可以在美国销售在2027车型年之前制造的包含VCS硬件或受辖软件的网联汽车。

七、行政复议

该拟议规则规定，被采取行政措施而受到直接、不利影响的任何人，均可向副部长（Under Secretary）提起行政复议，要求重新审议该行政措施。只有以下类型的行政措施适用本复议程序：

（1）拒绝特别授权的申请；

（2）暂停或撤销已签发的特别授权；或

（3）确定无资格适用通用授权。

八、咨询（Advisory opinions）

BIS拟建立类似《出口管理条例》（EAR）概述中的咨询意见机制，以方便网联汽车制造商、VCS硬件进口商和其他相关方了解如何遵守拟议规则。BIS强调，拟咨询的整个交易必须是实际发生的交易，而非假设性交易，并且交易各方是公开的，不得匿名。

九、处罚

确定违反、企图违反、共谋违反或故意导致违反本规则的，会依据IEEPA的规定并结合具体违规情况，被处以民事和/或刑事处罚。故意向美国政府提供虚假或虚构信息，可能被处以刑事罚款、监禁或两者兼有。

罚金将根据《2015年联邦民事处罚通货膨胀调整改进法案》（Federal Civil Penalties Inflation Adjustment Act Improvements Act of 2015）调整。目前，违反IEEPA最高可处以368,136美元民事处罚，以及1,000,000美元刑事处罚。

十、影响分析与合规建议

（一）持续关注该拟议规则进展。本次的拟议规则暂未生效，仍在公众意见收集阶段。且该拟议规则的部分定义较为模糊，没有明确的边界，例如“由外国对手拥有、控制、受其管辖或听从其指挥”的公司这一定义的具体边界等。这将可能导致该拟议规则义务主体的混淆和不明确，中国网联汽车企业需要判断自身是否属于该拟议规则的管制主体。

（二）风险评估。该拟议规则生效后，可能会对中国网联汽车制造商以及VCS硬件或VCS/ADS相关软件的供应商施加更严格的合规要求。相关企业将面临更严格的合规审查。因此，我们建议相关企业制定内部计划并进行风险评估，以确保其不属于该拟议规则所管制的主体且不涉及被禁止的交易。

（三）供应链尽调和布局变革。基于该拟议规则，中国网联汽车商及VCS硬件或VCS/ADS相关软件的供应商可能需要针对自身供应链进行尽职调查，明确各硬件、软件的原产地，并依据公司业务及市场布局进行供应链的调整和变革。

（四）针对其他高科技行业的企业的影响。该拟议规则作为第13873号行政令下的首批重大行动之一，可能为美国未来对其他高风险技术的进口管制监管铺平道路，开启更多脱钩断链的行动。

最后，随着美国推动供应链透明化，拟议规则对中国网联汽车企业产生了关键影响。中国汽车制造商可能需要彻底改革其合规和供应链体系，进行深入的供应链尽职调查开展风险评估，并可能需要重新考虑采购策略，特别是针对VCS和ADS两大类相关物项。一旦相关规则最终生效，中国汽车制造商及相关硬件、软件供应商将面临严格的供应链审查，如涉及本次拟议规则规定的范围，则将被禁止进入美国市场。

[注] 

[1] Securing the Information and Communications Technology and Services Supply Chain:

Connected Vehicles

https://www.federalregister.gov/public-inspection/2024-21903/securing-the-information-and-communications-technology-and-services-supply-chain-connected-vehicles

[2] VCS hardware importers are prohibited from knowingly importing VCS hardware that is designed, developed, manufactured, or supplied by persons owned by, controlled by, or subject to the jurisdiction or direction of the PRC or Russia.

[3] In the context of this subpart, VCS hardware will not be considered to be designed, developed, manufactured, or supplied by persons owned by, controlled by, or subject to the jurisdiction or direction of the PRC or Russia, solely based on the country of citizenship of natural persons who are employed, contracted, or otherwise similarly engaged to participate in the design, development, manufacture, or supply of the VCS hardware.

[4] Connected vehicle manufacturers are prohibited from knowingly importing into the United States completed connected vehicles that incorporate covered software, designed, developed, manufactured, or supplied by persons owned by, controlled by, or subject to the jurisdiction or direction of the PRC or Russia.

[5] Connected vehicle manufacturers are prohibited from knowingly selling in the United States completed connected vehicles that incorporate covered software, designed, developed, manufactured, or supplied by persons owned by, controlled by, or subject to the jurisdiction or direction of the PRC or Russia.

[6] In the context of this subpart, covered software will not be considered to be designed, developed, manufactured, or supplied by persons owned by, controlled by, or subject to the jurisdiction or direction of the PRC or Russia, solely based on the country of citizenship of natural persons who are employed, contracted, or otherwise similarly engaged to participate in the design, development, manufacture, or supply of the Covered Software.

[7] Connected vehicle manufacturers who are persons owned by, controlled by, or subject to the jurisdiction or direction of the PRC or Russia, are prohibited from knowingly selling in the United States completed connected vehicles that incorporate VCS hardware or covered software.