Amerikaans routerverbod in de VS treft vrijwel de hele markt

Met onmiddellijke ingang laten de VS alleen nog in eigen land geproduceerde consumentenrouters toe. Zulke modellen zijn er alleen niet.

De VS laten met onmiddellijke ingang geen nieuwe routers voor de consumentenmarkt meer toe, tenzij die volledig in eigen land zijn geproduceerd. De FCC heeft dat maandag bekendgemaakt en daarmee de markt opgeschrikt. Het gaat niet alleen om assemblage: de hele productieketen moet in de VS plaatsvinden, van ontwerp en chips tot software. Daarnaast moeten de betrokken bedrijven Amerikaans eigendom hebben en onder Amerikaans management staan. Dat geldt voor routers met en zonder draadloze functionaliteit.

Volgens de toezichthouder is de maatregel nodig voor de nationale veiligheid. Het praktische bezwaar is alleen dat wij tot nu toe geen consumentenrouters hebben gevonden die volledig in de VS en op schaal worden geproduceerd.

Volgens de FCC (Federal Communications Commission) mogen al goedgekeurde modellen wel gewoon worden gebruikt en verkocht. In combinatie met een reglementswijziging uit december heeft het verbod echter ook gevolgen voor bestaande apparaten: firmware- en software-updates voor al goedgekeurde modellen zouden vanaf nu in beginsel niet meer toelaatbaar zijn. Een uitzonderingsregeling staat bepaalde software-updates nog toe tot 1 maart 2027.

Die uitzondering lijkt niet te gelden voor updates die nieuwe functies toevoegen. Beveiligingslekken mogen voorlopig nog wel worden gedicht, en ook compatibiliteitsproblemen met besturingssystemen mogen nog worden verholpen. Of die tijdelijke toestemming voor beperkte software- en firmware-updates begin 2027 wordt verlengd, is vooralsnog onduidelijk.

Uitzonderingsvergunningen zijn wel mogelijk, maar de drempel ligt zo hoog dat waarschijnlijk maar weinig fabrikanten die route zullen nemen. Voor ieder model moet afzonderlijk een aanvraag worden ingediend. Dat geldt niet alleen voor routers voor de vrije markt, maar ook voor modellen die internetproviders aan klanten leveren of die via de groothandel voor zakelijk gebruik worden verkocht.

De aanvraag begint met een uitvoerige doorlichting van de aanvrager. Fabrikanten moeten informatie overleggen over hun bedrijfsstructuur, partners en eventuele joint ventures, eigenaars met een belang van vijf procent of meer, het management en elke denkbare vorm van invloed door buitenlandse overheden. Daarna volgen concurrentiegevoelige gegevens: een volledige stuklijst met land van herkomst, de houders van alle relevante intellectuele-eigendomsrechten, de verantwoordelijkheid voor software-updates, de exacte locaties waar routers worden geproduceerd, geassembleerd en getest, de herkomst van firmware en software, en alle single points of failure in de toeleveringsketen, inclusief alternatieve scenario’s. Daarbovenop moet worden gemotiveerd waarom het apparaat niet in de VS wordt geproduceerd, waarom voor bepaalde buitenlandse leveranciers is gekozen en welke alternatieven er zijn.

Daar blijft het niet bij. Voor iedere router waarvoor een uitzondering wordt gevraagd, moet ook een ‘gedetailleerd, tijdgebonden plan’ worden overgelegd voor de opzet of uitbreiding van productie in de VS. Dat plan moet concreet zijn: met al gedane en geplande investeringen, financieringsbronnen en nauwkeurige tijdschema’s met mijlpalen. Wie een vergunning krijgt, moet vervolgens per kwartaal over de voortgang rapporteren. Bij iedere volgende aanvraag moet bovendien verantwoording worden afgelegd over eerdere toezeggingen uit eerdere vergunningen.

De aanvraag moet worden ingediend bij het ministerie van Defensie of het ministerie van Binnenlandse Veiligheid. Eventuele vergunningen zijn bovendien slechts tijdelijk geldig. Dat laat ruimte om voorwaarden later aan te scherpen en dient tegelijk als drukmiddel om productie naar de VS te verplaatsen. Daarbij hanteert de overheid een ruime definitie van productie: daaronder vallen in elk geval alle wezenlijke fasen, waaronder vervaardiging, assemblage, ontwerp en ontwikkeling.

Het concept is nadrukkelijk gemodelleerd naar het verbod op nieuwe buitenlandse dronemodellen dat de FCC kort voor het einde van 2025 aankondigde. Vorige week heeft de autoriteit de eerste uitzonderingsvergunningen verleend: drie dronemodellen en één software-defined radio voor drones mogen nu tot het einde van het jaar een toelatingsaanvraag indienen.

Of deze inspanning voor routers voor de consumentenmarkt, die doorgaans slechts lage marges opleveren, economisch zinvol is, valt te betwijfelen. Dat roept de vraag op wat de FCC precies verstaat onder routers voor de consumentenmarkt (consumer-grade routers). Daarvoor verwijst de autoriteit allereerst naar een gepubliceerde samenvatting van een beoordeling door niet nader genoemde Amerikaanse inlichtingendiensten, die op haar beurt verwijst naar een publicatie van het Amerikaanse normalisatie-instituut NIST (National Institute of Standards and Technology).

NIST heeft in september 2024 voorstellen gepubliceerd om de, onmiskenbaar bescheiden, IT-beveiliging van routers te verbeteren (NIST IR 8425A). Daarin staat: “Routers forward data packets, most commonly Internet Protocol (IP) packets, between networked systems.” In het Nederlands: routers sturen datapakketten door, meestal volgens het internetprotocol (IP), tussen met elkaar verbonden systemen. Veel concreter wordt het ook bij de FCC niet.

Die omschrijving bestrijkt een opvallend breed spectrum aan apparaten, van wifi-repeaters tot smartphones, afhankelijk van hun feitelijke inzet. Wat precies onder het verbod valt, lijkt daardoor mede afhankelijk van hoe ruim de FCC het begrip op een gegeven moment wil uitleggen. De autoriteit verwijst naar uiteenlopende incidenten en IT-aanvallen die door kwetsbaarheden in routers zijn vergemakkelijkt. Daarbij spreekt zij consequent over ‘buitenlandse’ routers – wat formeel juist is, omdat er volgens haar eigen definitie geen binnenlandse bestaan. Waarom hypothetische routers uit Amerikaanse productie veiliger zouden zijn, onderbouwt de FCC intussen niet.

Tegelijkertijd benadrukt de FCC dat zij niet verantwoordelijk is voor het verbod zelf, maar slechts voor de bekendmaking en handhaving ervan. Het bevel zou afkomstig zijn van niet nader genoemde Amerikaanse inlichtingendiensten. FCC-voorzitter Brendan Carr laat er echter geen twijfel over bestaan dat hij die stap toejuicht: hij verwelkomt het bevel uitdrukkelijk en toont zich verheugd dat in het buitenland geproduceerde routers nu op de verbodslijst staan.

Voor de consumentenmarkt lijkt dit verbod vooral tot stilstand en onzekerheid te leiden, omdat breed beschikbare binnenlandse alternatieven feitelijk ontbreken. Daarmee verschuift de discussie al snel van veiligheid naar uitvoerbaarheid en markteffecten.