2024年2月29日，拜登政府发布声明，表示将采取“前所未有的行动”，防止外国带来的网联汽车领域国家安全风险。根据总统指示，美国商务部将对包括中国在内的相关国家的网联汽车技术进行调查，确定存在的国家安全风险。就在此前一天，拜登签发了第14117号行政命令，即《关于防止受关注国家获取美国人大量敏感个人数据和美国政府相关数据的行政命令》（ExecutiveOrderonPreventingAccesstoAmericans'BulkSensitivePersonalDataandUnitedStatesGovernment-RelatedDatabyCountriesofConcern），指示美国司法部颁布条例，以禁止或限制美国主体进行会导致中国、俄罗斯等“受关注国家”和相关主体访问美国人敏感个人数据（特定种类的个人识别符、地理位置数据和相关传感器数据、生物识别数据、人类组学数据、个人健康数据、个人财务数据）和美国政府相关数据的交易。（具体请见：《行至水穷处，坐看云起时——如何理解和应对美国限制访问敏感个人数据行政命令》）3月1日，美国商务部下属的工业和安全局（BIS）发布了拟制定规则的预通知（Advancenoticeofproposedrulemaking，ANPRM，以下称《预通知》），就网联汽车（ConnectedVehicles）领域涉及的信息通信技术（ICTs）和供应链（ServicesSupplyChain）安全问题，征求公众意见。

《预通知》提出了35个问题，BIS希望借此通过公众征询，确定在网联汽车领域应当监管的技术和市场主体，以进一步制定管理规则（以下称“拟议规则”）。从这35个问题的广度、深度和细度来看，BIS可能会制定非常全面、系统、细致的政策，来对在美网联汽车制造和供应链进行监管，目的是挤压中国车企在美市场份额，切断供应链关系，管控中美在网联汽车方面的数据处理和流动——这也可以理解为拜登14117号行政令，首次、迅速地在网联汽车领域的具体实践。《预通知》征询的意见，主要涉及网联汽车的定义、存在的风险、其他影响等三个部分，并且对来源于我国的数据安全风险做了相当大篇幅的论述和指摘，针对性意图十分明显。

一、背景

《预通知》所提及的拟议规则的权力依据是2019年特朗普政府发布的13873号行政令——《确保信息通信技术及服务供应链安全》（SecuringtheInformationandCommunicationsTechnologyandServicesSupplyChain）以及美国《国际紧急经济权力法》（InternationalEmergencyEconomicPowersAct，IEEPA）。13873号行政令授权美国商务部长可以对信息通信领域商业交易进行审查，并采取必要的风险缓解措施或禁止性措施，以确保美国国家安全。这些商业交易包括任何受美国管辖的人/财产对任何信息通信技术的收购、进口、转让、部署、交易或者使用行为。相关风险主要包括：

（1）破坏或颠覆美国信息通信技术、服务的设计、完整性、制造、生产、分销、部署、操作或者维护；

（2）对美国关键基础设施或美国数字经济的安全造成灾难性影响；

（3）对美国国家安全或美国主体的安全构成不可接受的风险。

《预通知》通篇在阐释一个假设性推论，认为“美国网联汽车领域存在巨大的、潜在的国家安全风险，而这样的风险来源于中国”。BIS之所以要在网联汽车领域使用13873号行政令的权力，是因为新技术推动了汽车的网络连接能力和自动驾驶能力。对于网联汽车而言，发动机、转向系统和其他传统汽车零部件已经无法体现其新型价值。网联汽车包含一系列的信息通信技术软件和硬件，如传感器、摄像头、电池等。这些软件和硬件高度依赖数据的收集，包括车辆数据、车内人员数据、车外环境数据以及联网基础设施数据。这些技术可能让网联汽车及其背后的支撑网络被网络攻击，对国家安全和公共安全造成新的、潜在的风险。

《预通知》称在网联汽车领域存在较大的国家安全风险，特别是来源于境外的供应链安全风险，拟通过制定规则的方式消除国家安全风险。《预通知》希望在公众意见征询的基础上，通过制定拟议规则，确保与网联汽车必需的信息通信技术安全可控。特别是，当设计、部署、制造、提供网联汽车必需的信息通信技术的人员，隶属于“外国对手”（foreignadversaries）、被这些国家控制或者处于这些实体的管辖控制区时，应当采取何种措施消除不适当或者不可接受的风险。

BIS在《预通知》中确定了网联汽车存在的两个方面数据安全风险，认为这两个环节收集大量数据，且数据敏感程度高，对美国国家安全和美国主体的安全都构成严重的威胁。

（一）数据收集方面

网联汽车十分依赖广泛收集和处理数据，以改进车辆的功能和提升安全性。这些数据包括车辆数据（如驾驶员行为、车辆状态、地理位置、生物特征、驾驶员手机数据）、环境数据（如精准地图数据、物体检测、交通模式等），传感器数据（如高级驾驶员辅助系统[ADAS]所依赖的雷达、激光雷达、超声波、音频和视频数据），以及座舱数据等。

（二）数据交互方面

网联汽车可以与外部通信，包括整车厂商（OEM）、第三方服务提供商以及智能手机等车载设备。很多网联汽车都基于云服务将车辆与远程信息处理系统连接，为车载系统提供外部数据，如地理定位、流媒体服务、援助服务、紧急通知等。车联万物（Vehicletoeverything，V2X）系统广泛部署后，将支持广播和接收信息，以支持安全警报和驾驶辅助。

BIS认为，外国对手可以通过法律迫使私营公司在信息通信设备中制造漏洞，对美国主体、关键基础设施和美国国家安全等造成灾难性的后果。外国对手可以从网联汽车供应链中的公司获取广泛的信息，包括位置、交通模式、汽车内外的音频和视频记录，以及有关司机身份、财务状况、联系方式和家庭住址的信息。甚至，嵌入在网联汽车软件中的后门可以使得外国对手获得对各种车辆功能的控制权，包括完全禁用车辆功能。

二、定义

《预通知》详细讨论了关于网联汽车的定义问题，这关系到后续政策的管制范围。结合《预通知》关于经济影响评估的问题，BIS在考虑管制范围时，可能希望将其严格限定在网联汽车产业及供应链范围以内，而暂时不波及到其他领域。

BIS首先给出了一个定义，认为网联汽车是集成了车载网络硬件和汽车软件系统，并且能够通过专用短距离通信、蜂窝网络通信、卫星通信或者其他无线电通信技术等进行通信的汽车。这些汽车包括能够使用全球导航卫星系统（GNSS）进行定位的汽车，能够与智能交通系统通信的汽车，能够远程接入或控制的汽车，能够进行无线软件、固件升级的汽车，或可以实现设备内道路救援（on-deviceroadsideassistance）的汽车，并且不区分其属于个人还是商用。

除了“网联汽车”的概念，BIS认为希望通过公众征询“网络汽车”（networkedvehicles）、“智能网联汽车”（intelligentconnectedvehicles）、“软件定义汽车”（software-definedvehicles）、“联网自动驾驶汽车”（connectedautonomousvehicles）等术语是否可以更好的涵盖其拟监管的网联汽车范围，以在拟议规则中使用确定的概念。具体而言，包括3个问题：

问题1：BIS应当如何详细阐述或修改上述定义？如果有修改的建议，修改后的定义如何使BIS能够更好地应对网联汽车所涉的国家安全风险？

问题2：网联汽车的覆盖面十分宽泛，是否有更好的术语替代“网联汽车”？

问题3：BIS在定义有关信息通信技术的交易时，是否应考虑更为常用的术语，包括产业、公民社会（civilsociety）和外国实体相关的定义。如果有的话，这些定义是否能更好地实现拟定规则的目标？

从BIS围绕定义提出的3个问题来看，其关注点在于定义的准确性、宽泛性和通用性，希望网联汽车的定义能够覆盖网联汽车本身及其全部供应链，同时也希望定义能够为各方所理解和接受，以保证拟定规则能够准确地为各方所遵守。

三、风险

网联汽车可能产生的风险，以及对美国国家安全造成的威胁是《预通知》的核心关注和主要部分。BIS认为“来源性”构成主要风险，认为来源于“外国对手”的网联汽车产品和服务直接构成了威胁，但同时也对网联汽车的产业结构、运行模式等因素进行了讨论。

外国对手美国通过15CFR7.4（a）确定了以下国家为外国对手：中国（包括香港特别行政区）、古巴、伊朗、朝鲜、俄罗斯和委内瑞拉。《预通知》中专门针对中国，阐述了可能对美国网联汽车及供应链数据安全的风险，认为中国对美国信息通信领域供应链具有精准、持续的威胁。这可能存在单方面臆测，曲解了有关企业配合义务的条款。对此，中国外交部及相关部门多次做出了说明和澄清，表明了让互联网在法治轨道上健康运行的总体态度。同时，中国也发布了《全球数据安全倡议》，充分介绍了中国的数据安全主张和全球合作决心。

《预通知》据此提出了以下问题：

问题4（供应链情况）：请描述美国网联汽车的信息通信技术供应链，特别是以下信息：（1）在美国运行的网联汽车中所必需的信息通信技术的类别（包括软件或硬件）；（2）网联汽车所必需的信息通信技术的供应链各个不同阶段（如设计、开发、制造或者供应）中的市场领导者，包括但不限于：整车厂（OEM），一级、二级和三级供应商以及服务提供商；（3）信息通信技术相关组件设计、开发、制造或者供应的地理位置，这些组件包括软件（如车载操作系统）、硬件（如光测距和激光雷达传感器）等；（4）由外国对手所有、控制或受其管辖或指示的人员参与美国信息通信技术供应链任何部门或子部门的情况；（5）美国网联汽车数据被传输、存储或者分析的地理位置。

问题5（技术替代性）：是否存在由外国对手拥有、控制或者受其管辖或指示的人员作为唯一来源供应商的网联汽车所必需的信息通信技术？美国网联汽车整车厂（OEM）在多大程度上依赖位于（全部或者部分）外国对手境内或受其控制的公司的供应链？

问题6（技术优势情况）：由外国对手拥有、控制或者受其管辖或指导的人员在网联汽车软件或硬件的哪些方面，比美国或者其他外国同行拥有技术优势，而这种优势在未来几年是否会继续维持？

问题7（GNSS系统）：网联汽车软件是如何连接到由外国对手拥有、控制或者受其管辖或指导的人员设计、开发、制造或提供的GNSS系统？这种连接达到了何种程度？是为了地理位置和其他功能？

问题8（断供影响）：如果美国网联汽车所使用的，由外国对手拥有、控制或者受其管辖或指导的人员设计、开发、制造或提供的信息通信技术组件（包括硬件和软件）发生中断，会对美国网联汽车整车厂（OEM）和供应商产生何种影响？如果可能，请具体说明哪些组件的中断所产生的影响特别严重？

问题9（依赖程度）：整车厂（OEM）在多大程度上可以从外国对手拥有、控制或者受其管辖或指导的人员以外，采购美国网联汽车所必需的信息通信技术组件？

问题10（数据共享方式）：请描述美国网联汽车整车厂（OEM）与其信息通信技术供应商之间的关系。特别是，美国网联汽车整车厂（OEM）和其供应商在正常业务中共享的信息类型、这些信息是如何共享的、通常会授予哪些访问权限或管理权限，以及供应商是否具有远程访问能力或提供固件或软件更新的能力。

问题11（售后系统风险）：车载集成的售后信息通信设备（aftermarketICTsintegratedonboardCVs，包括跟踪设备、摄像头和无线诊断接口等）有什么风险？与车载系统连接有什么风险？售后汽车系统或组件是否应被视为车载自动驾驶系统的组成部分？

问题12（关基渗透情况）：关键基础设施领域使用由外国对手拥有、控制或者受其管辖或指导的人员提供的网联汽车信息通信技术组件的情况是怎么样的？是否有市政级、州级或者联邦采购外国对手提供的网联汽车必需信息通信技术组件并用于关键基础设施部门的实例？

问题13（其他供应链）：还有哪些情况下，外国对手拥有、控制或者受其管辖或指导的人员被纳入网联汽车的信息通信技术供应链？

问题14（数据类型及权限）：网联汽车收集了哪些数据？网联汽车可以收集的有关美国个人、实体、地理位置和基础设施的数据规模有多大？谁有权访问或控制网联汽车收集的数据？

问题15（远程访问或控制）：整车厂（OEM）对其网联汽车有哪些类型的远程访问或控制？请描述哪些软件或其他机制允许整车厂（OEM）进行远程访问或控制。

问题16（传感器风险）：网联汽车中的传感器互联可能导致哪些网络安全问题？单个传感器和组件在多大程度上可以独立于网联汽车的操作系统进行远程下载技术（Over-the-Air，OTA）通信？

问题17（电池风险）：有哪些保障车辆和充电设施交互安全的标准、最佳实践和行业规范？电池管理系统（batterymanagementsystems，BMS）是如何整合到汽车软件系统的？它们如何确保不受到恶意软件攻击？

问题18（标准及实践更新）：整车厂（OEM）如何在自动驾驶汽车供应链的各个环节（包括设计、制造和运营）补充现有的网络安全标准和最佳实践？

问题19（汽车软件情况）：请描述汽车软件的开发周期？特别是整车厂（OEM）需要授权才能使用的软件情况？软件在美国境外开发的情况？开发过程中采取了哪些措施来确保软件的安全性和完整性？整车厂（OEM）是否与由外国对手拥有、控制或者受其管辖或指导的人员合作？软件嵌入硬件（如固件）的程度，以及受上述开发周期的影响是什么？

问题20（云服务商）：请描述网联汽车整车厂（OEM）和云服务商之间的关系。特别是整车厂（OEM）授予云服务商的访问权限、控制权限和远程控制能力。整车厂（OEM）和云服务商之间的责任关系如何？通信和系统如何得到保护？

问题21（可信性验证）：整车厂（OEM）如何验证供应商以及供应商材料清单和软件材料清单的真实性？特别是操作系统、远程信息处理系统、高级驾驶辅助系统（ADAS）、自动驾驶系统、卫星或蜂窝通信系统以及电池管理系统。如果有软件材料清单，在多大程度上能够提供有关软件漏洞信息？这些信息如何使用、存储和保护？

问题22（测试验证）：供应商的软件怎样经过测试和验证，以符合整车厂（OEM）的要求？

问题23（供应商审查）：整车厂（OEM）在采购网联汽车必需的信息通信技术时，会采取哪些供应商审查措施？

问题24（其他技术）：除了本《预通知》中确定的信息通信技术外，是否还有其他由外国对手拥有、控制或管辖的人员设计、开发、制造或提供的会带来重大风险的网联汽车所必需的信息通信技术？如果是，请说明其是如何利用信息通信技术来制造这些风险？

问题25（安全风险）：在本《预通知》中确定的网联汽车必需的信息通信技术，如果是由外国对手拥有、控制或管辖的人员设计、开发、制造或提供的，最大的安全风险是什么？

问题26（车联网安全）：随着自动驾驶技术的发展，开发人员依靠蜂窝通信系统与自动驾驶车辆进行通信，以支持整体操作能力（如与车队管理办公室的通信）。美国政府应当考虑采取何种措施以防止外国对手的恶意行为？

BIS在风险部分罗列了23个问题，占据了本次调查活动的主要内容。BIS认为网联汽车所必需的信息通信技术涉及硬件和软件，具体包括车载操作系统、远程信息处理系统、高级驾驶辅助系统、自动驾驶系统、卫星或蜂窝通信系统、电池管理系统、光测距和激光雷达传感器、GNSS系统、具备通信功能的传感器、云设施等。BIS还希望获取更多的供应链信息，以确定哪些技术是网联汽车所必需的。其核心关注是网联汽车数据与外界的交互，按照BIS的逻辑，因为外国对手不被信任，而所有具备通信能力的车载软件或硬件，都有可能将数据传输至外国对手，从而产生了基于“不被信任”而构成的威胁或风险。

四、其他

《预通知》在最后还考虑了一些替代性措施和经济成本问题，以评估和控制拟议规则可能带来的负面产业影响。

（一）授权和缓释措施

问题27：在哪些情况下，通过拟议规则授予原本被禁止交易的临时授权是必要的，并且符合美国的利益，以避免供应链中断或者其他意想不到的后果？

问题28：在考虑临时授权申请时，BIS应当采取哪些审查标准？

问题29：在评估授权请求的适当性时，BIS应当考虑哪些具体标准、缓释措施或网络安全最佳实践？

问题30：是否有任何美国政府的模式，如美国财政部海外资产控制办公室（OFAC），可以借鉴参考？

（二）经济的影响

问题31：根据《预通知》及拟议规则对网联汽车必需的信息通信技术监管，可能会对美国企业和公众有什么影响？对美国以外的当地企业和公众有什么影响？

问题32：根据《预通知》及拟议规则对网联汽车必需的信息通信技术监管，可能会对竞争秩序产生什么影响？如果有的话，采取何种措施可以缓和对竞争秩序的影响？

问题33：哪些领域的美国企业或公司（如小企业）可能受到预通知及拟议规则的影响？对美国以外的当地企业或公司（如小企业）可能受到影响？

问题34：BIS可以采取哪些措施，或者在拟议规则中规定什么条款，以尽量减少美国企业或公众承担的潜在成本？在美国以外的地方，如何尽量减少当地企业或公众承担的潜在成本？

问题35：美国主体需要采取哪些新的勤勉义务、合规和记录等措施，以遵守拟议规则的要求？

五、结语：对企业的合规启示

（一）需要关注《预通知》及拟议规则的中国企业

《预通知》围绕网联汽车的数据及供应链问题展开，覆盖硬件和软件的部分。因此，对于已在或者拟在美国开展业务的主机厂需要格外关注，只要具备联网功能或者搭载了智能车载系统的车厂，即有可能落入监管范围。同时，《预通知》并没有将网联汽车作为一个整体纳入考量，而是关注具备联网能力的硬件、系统和程序。《预通知》也专门将供应链安全作为重要的部分，那么提供相关硬件设备制造商（如芯片、电子组建生产企业，车载数据存储、处理系统生产企业，车载通信设备生产企业、电池制造商等）、软件支撑能力的企业（如车载操作系统、车联网控制系统、OTA系统、电池管理系统等服务提供商），提供数据服务（如云厂商、数据安全商）等也将进入管控范围。

《预通知》具有强烈的政治因素和指向性，中国企业本身就是被认定的构成要件之一。鉴于汽车产业链长、供应环节多的特性，因此我们倾向于认为，可以将关联性作为判定标准，即只要生产/计划生产智能网联汽车的企业，以及与智能网联汽车进行业务合作或可能开展业务合作的企业，就应该考虑合规的必要性，并及时开展相应合规动作。以下是相关企业需要考虑的部分合规措施：

1、数据处理记录：除明显的个人数据外，企业应当对出海网联汽车的整体数据处理情况进行完整和精准的记录，梳理收集关于美国个人、实体、地理位置和基础设施的情况，以及汽车和车外的数据交互情况，并且根据必要性原则进行调整收集的数据范围、频率、规模等；

2、安全措施评估：企业应当评估出海网联汽车及相关硬件和软件是否可以满足美国当地的网联汽车相关标准、最佳实践，例如美国国家公路交通安全管理局发布的《车辆网络安全最佳实践》（CybersecurityBestPracticesfortheSafetyofModernVehicles），《自动道路汽车安全指南：交通系统部分》（AutonomousGroundVehicleSecurityGuide:TransportationSystemsSector）等，根据实际情况落实相关安全措施，并对采取的安全措施进行详细的记录；

3、区域化运营：当位于我国境内的技术开发、运维等被美国认定为存在潜在风险的情况下，企业可能不得不考虑区域化管理运营策略，从公司管理、软件所有权、数据中心、访问权等角度建立屏障来尝试降低当地政府的顾虑。

（二）持续跟踪、参与和评估后续政策

本次征询意见的周期为60天，相关企业宜及时跟踪BIS调查动向，包括BIS本身的相关表态，相关美国公权力机构的表态，如国会议员、商务部官员以及美国海外投资委员会（CFIUS）官员可能的表态，以及美国主流媒体、网联汽车相关企业的表态，以准确判断下一步政策走向和可能最终确定的政策。我们也将持续关注、整理这方面的信息。

与此同时，在征询意见过程中，企业宜通过在美渠道积极参与BIS调查活动，结合其提出的问题，充分回应并表达态度和诉求，特别是就网联汽车及相关供应链的定义范围、风险考量等重点问题准备全面性、针对性材料，以回应关键要点。

（三）积极澄清和阐述有关事实

中国企业不应当然地接受《预通知》及拟议规则的管辖和适用。即便出于审慎考虑需要采取合规措施，但同时也建议企业根据《预通知》的相关问题，确定自身业务属性和产业合作模式。具体包括：（1）企业在网联汽车产业链中的位置和作用；（2）企业在网联汽车数据收集、使用的具体场景、效果和限制。

实际上，我国《国家安全法》《国家情报法》《数据安全法》等法律规定均作出了科学、合理、周延的规定，并不构成美方所提出的威胁。特别是，《汽车数据安全管理若干规定（试行）》即确定了“车内处理”原则，汽车数据默认不应该传输至车外，这一原则应该能够消释美方担心数据外传的核心关切。

（四）快速进行事实发现和风险识别

《预通知》所给出的调查问题，覆盖了产品范围、供应关系、运营模式、网络安全、数据安全等各个方面。建议相关企业结合中国法律规定和《预通知》的问题清单，确定本企业所涉问题类型和实际业务运行情况，摸排可能存在的风险点，并结合《预通知》下一步走向，制定有效的合规策略。

需要注意的是，中国法律规定具有更直接、更应然的约束力，在合规策略制定过程中，应将充分构建符合中国法律规定的合规体系，从而进一步在适配《预通知》的过程中寻找适当的合规方法。

（五）积极与中国主管部门等沟通应对

《预通知》具有浓厚的地缘政治色彩，其有关数据安全风险的担忧很大程度上已经进入了有罪推定的危险逻辑，即只要是来源于中国的产品及供应链，就可能对美国国家安全构成威胁。因此，问题的解决已经不仅限于企业自身层面的合规努力，还需要政府间努力等更多机制来促成妥善的合作方案。

在此过程中，企业宜积极与相关行业主管部门、行业协会、第三方专业机构等密切沟通，在国家利益、企业利益的综合考量之上形成合力，共同应对《预通知》的责难和下一步拟议规则的走向。

总的来说，根据《预通知》的信息，还不能准确预判拟议规则的具体细节，需要持续跟进美国政府的进一步动作。网联汽车是未来产业的主要方向和应用场景之一，如果中美在智能网联汽车领域仍然期待进一步友好合作，需要双方的共同努力，特别是需要来自公权力部门和私营部门的携手合作。值得感慨的是，汽车产业本身就是现代工业体系的产物，高度依赖供应链网络和全球分工协作体系。新中国成立以后，在一汽、二汽组建过程中，特别是二汽组建和生产中，中国排除万难寻求国际合作，共同推动汽车产业进步和利益共享。而在汽车走向智能化、网联化发展的今天，美国却在削弱汽车领域合作的可能性，这未必符合汽车产业发展的规律，也不应是解决问题的最优解。

来源：金杜研究院，https://www.kwm.com/cn/zh/home.html

作者：

• 宁宣凤，合伙人，合规业务部；业务领域：反垄断与反不正当竞争，以及网络安全与数据合规；邮箱：susan.ning@cn.kwm.com
• 吴涵，合伙人，合规业务部；业务领域：网络安全、数据合规与治理；邮箱：wuhan@cn.kwm.com
• 方禹，顾问，合规业务部

声明：本篇文章的所有内容仅供参考与交流，不代表金杜律师事务所的法律意见以及对法律的解读。