Publication de règles d'interdiction: Pas de contrat du gouvernement américain pour Dahua, Hikvision

Le gouvernement américain a récemment publié des règles prônant l'interdiction de conclure des contrats avec des entités utilisant" des produits basés sur Dahua, Hikvision et Huawei. Il s'agit de la clause dite de "liste noire", qui fait suite à l'ordonnance de la GSA (Administration des services généraux) ordonnant aux entrepreneurs du gouvernement de retirer immédiatement les produits des marques cités ci-dessus.

L’objectif du gouvernement a pour objet d’assurer la sécurité nationale et la protection des citoyens contre des équipements ou des services qui présentent un problème de sécurité nationale

Ce nouveau règlement de 86 pages, qui s’applique également aux produits de la vidéosurveillance, entrera en vigueur le 13 août 2020 avec la possibilité d’introduire des modifications pendant 60 jours après sa publication.

Un certain flou entoure ces règles, le gouvernement ne définit pas correctement ce qu’il entend par "utilisations" et n’indique pas si la simple vente d'équipements interdits est considérée comme une "utilisation". La règle ne définit pas, non plus les procédures de retrait des équipements existants. Toutefois, la GSA a récemment imposé un retrait "immédiat", sous peine d'être mise sur liste noire d'ici le 13 août 2021.

A partir du 13 août 2020, il sera "interdit" aux agences fédérales de conclure des contrats avec une entité "qui utilise des équipements ou des services de télécommunications couverts".

L’agence fédérale exige qu’une enquête soit menée au préalable pour savoir si un entrepreneur utilise un équipement/service interdit. De même, les entrepreneurs doivent prouver au gouvernement qu'ils n'utilisent pas d'équipements ou de services interdits. Cette interdiction concernera bientôt toute société filiale ou filière. Si cette disposition est retenue elle prendra effet le 13 août 2021

Par ailleurs, les produits assujettis à la maintenance doivent être divulgués. L'entrepreneur doit indiquer le code de service produit (PSC) pour les produits "non associés à la maintenance".

Toute entreprise qui ne supprime pas l'équipement interdit de ses systèmes ne sera pas considérée comme «conforme». L’entrepreneur doit répertorier et identifier l'équipementier qui est “interdit”. La date limite de déclaration est prévue pour le 13 août 2021:

Les intégrateurs qui continuent à entretenir des caméras Hikvision / Dahua / HiSilicon installées auparavant prennent le risque de figurer sur la liste noire et se verront annulés des contrats s'ils ne retirent pas les équipements au 13 août 2021

Quelques exceptions font partie de la clause de liste noire: si une dérogation est accordée pour l'utilisation d'un équipement interdit, un processus laborieux sera mis en place nécessitant l'approbation du chef d'une agence exécutive fédérale qui devra soumettre un relevé complet de la présence des équipements ou services de télécommunications couverts.

La clause de liste noire ne couvre que le "niveau du contractant principal", et non les sous-traitants, Le contractant principal doit toujours examiner et divulguer l’information relative aux "sous-traitants ou fournisseurs" qui utilisent des équipements interdits :

L'administration Trump appelle la Chine (RPC) en particulier, à déclarer les entreprises interdites par le NDAA (National Defense Authorization Act,) et est légalement tenue de coopérer avec leur service de renseignement" :

Toutes les organisations et tous les citoyens sont invitées à soutenir, assister et coopérer aux efforts nationaux de renseignement conformément à la loi

Kenza Bargach, Surtymar Engineering