FCC Covered List: de Amerikaanse zwarte lijst voor telecomapparatuur
Stel je voor dat een winkelketen besluit om nooit meer producten in te kopen bij een leverancier waarvan vermoed wordt dat die onder druk van een buitenlandse overheid stiekem iets aan de producten zou kunnen toevoegen — niet omdat er al bewijs is dat het is gebeurd, maar omdat het risico simpelweg te groot wordt geacht. Zoiets is de FCC Covered List: een officiële Amerikaanse lijst van telecomapparatuur en -diensten die volgens de Amerikaanse overheid een risico vormen voor de nationale veiligheid. Bedrijven die op de lijst staan, mogen hun spullen niet langer verkopen aan Amerikaanse telecombedrijven die daarvoor gebruikmaken van bepaalde federale subsidies.
De lijst wordt beheerd door de Federal Communications Commission (FCC), de Amerikaanse toezichthouder op telecommunicatie, vergelijkbaar met wat de Autoriteit Consument & Markt voor telecom in Nederland doet, maar dan met veel meer bevoegdheden. Op de lijst staan vooral Chinese fabrikanten van netwerkapparatuur en bewakingscamera's, zoals Huawei en ZTE. Het gaat niet om een verbod voor consumenten om zelf zo'n toestel te kopen, maar om een verbod voor Amerikaanse telecomproviders om deze apparatuur met belastinggeld in hun netwerken te bouwen of te onderhouden.
Wat is het precies?
De juridische basis voor de lijst is de Secure and Trusted Communications Networks Act, een wet die in maart 2020 door president Trump werd ondertekend. Deze wet draagt de FCC op om een lijst bij te houden van communicatieapparatuur en -diensten die "een onaanvaardbaar risico" vormen voor de nationale veiligheid van de Verenigde Staten of voor de veiligheid van Amerikaanse burgers.
Het criterium daarvoor is niet dat een specifiek apparaat betrapt is op spionage. Het gaat om structureel risico: een bedrijf komt op de lijst als het onder zeggenschap staat van, of sterk beïnvloed kan worden door, een overheid die door de VS als "buitenlandse tegenstander" wordt beschouwd — in de praktijk vrijwel altijd China, naast Rusland, Iran en Noord-Korea. De redenering is dat zulke overheden bedrijven wettelijk kunnen dwingen om mee te werken aan spionage of sabotage, ook als het bedrijf zelf dat niet zou willen.
De FCC publiceerde de eerste versie van de Covered List in maart 2021. Het directe gevolg van plaatsing op de lijst is dat geld uit het Universal Service Fund — een federaal subsidiepotje waarmee de VS telefoon- en internetaansluitingen in dunbevolkte of arme gebieden betaalbaar houdt — niet meer mag worden besteed aan het kopen, installeren of onderhouden van apparatuur van geliste bedrijven. Voor apparatuur die al in netwerken hing voordat de wet er was, kwam er het zogeheten Rip and Replace-programma: een terugbetalingsregeling waarmee kleine en landelijke telecomproviders financieel worden geholpen om verdachte apparatuur letterlijk te verwijderen en te vervangen.
Los van de Covered List bestaat er nog een oudere, verwante maatregel: sectie 889 van de National Defense Authorization Act uit 2019. Die regelt iets anders, namelijk dat Amerikaanse overheidsinstanties zelf geen apparatuur van dezelfde soort bedrijven mogen inkopen. De Covered List en sectie 889 overlappen dus in de bedrijven die ze raken, maar het zijn twee losse instrumenten met een eigen wettelijke basis.
Wat wil men ermee bereiken?
De achterliggende zorg is dat telecomnetwerken — vooral het nieuwere, snellere 5G — steeds meer de zenuwbanen van een land vormen. Niet alleen consumenten bellen en internetten erover, maar ook ziekenhuizen, energiebedrijven, het leger en overheidsdiensten zijn ervan afhankelijk. Wie de apparatuur in zo'n netwerk beheerst of kan manipuleren, kan in theorie meeluisteren, data onderscheppen of in een crisis complete verbindingen platleggen via een verborgen "achterdeurtje": een geheime toegangsweg in software of hardware die door de fabrikant is ingebouwd.
De Covered List is daarmee vooral een preventieve maatregel. De VS wacht niet tot er een concreet incident is aangetoond, maar sluit bepaalde leveranciers bij voorbaat uit van door de overheid gefinancierde netwerken, puur op basis van het risicoprofiel van het land van herkomst. Critici wijzen erop dat dit onvermijdelijk ook bedrijven raakt die zelf nooit iets fout hebben gedaan, terwijl voorstanders stellen dat je bij kritieke infrastructuur niet kunt wachten tot het kwaad al is geschied.
Daarnaast past de lijst in een bredere, jarenlange strijd tussen de Verenigde Staten en China om technologische dominantie, waarin ook exportcontroles op chips en investeringsbeperkingen een rol spelen. De Covered List is in die context een van de instrumenten waarmee Washington probeert te voorkomen dat Chinese technologie een structurele positie krijgt in westerse digitale infrastructuur.
Voorbeelden uit de praktijk
De bekendste namen op de lijst zijn Huawei Technologies en ZTE Corporation, sinds de allereerste versie van de lijst in 2021. Beide zijn Chinese fabrikanten van telecomnetwerkapparatuur — denk aan de zendmasten en kernnetwerkcomponenten die mobiele netwerken laten draaien. Ook Hytera Communications, een fabrikant van portofoons en professionele radiosystemen, en de camerafabrikanten Hangzhou Hikvision en Zhejiang Dahua Technology staan sinds 2021 op de lijst.
Verder zijn de Amerikaanse dochterondernemingen van de grote Chinese telecomoperators toegevoegd: onderdelen van China Mobile, China Telecom en China Unicom, evenals Pacific Network Corp en zijn dochter ComNet. Deze bedrijven hadden voor die tijd al hun vergunning verloren om als operator in de VS actief te zijn; plaatsing op de Covered List was in die zin een aanvullende stap.
Een concreet, minder zichtbaar gevolg speelt zich af bij kleine, landelijke Amerikaanse telecomproviders. In de jaren 2010 kozen veel van deze providers in dunbevolkte staten voor Huawei-apparatuur, simpelweg omdat die goedkoper was dan concurrerende merken. Na invoering van de wet moesten zij die apparatuur eruit slopen en vervangen — een kostbare operatie waarvoor het Rip and Replace-programma compensatie biedt. Providers dienden gezamenlijk voor naar verluidt ongeveer 5,6 miljard dollar aan claims in, terwijl er aanvankelijk zo'n 1,9 miljard dollar aan federale financiering beschikbaar was. Dat tekort van ruim 3 miljard dollar is publiekelijk gerapporteerd door de FCC en branchegroepen; de precieze actuele stand van financiering en eventuele latere bijstortingen door het Congres kan sindsdien zijn gewijzigd, dus voor de meest actuele cijfers is de officiële FCC-rapportage de betrouwbaarste bron.
Hoe ver is de techniek?
Bij dit onderwerp gaat het niet om een technologie die "rijper" wordt, maar om een beleidsinstrument waarvan de uitvoering nog volop loopt. Het juridische kader staat sinds 2020-2021 stevig overeind en de lijst wordt sindsdien periodiek uitgebreid en herzien door de FCC, telkens na formele beoordeling of een bedrijf aan de criteria voldoet.
De uitvoering van het Rip and Replace-programma verloopt trager dan gepland, grotendeels door het genoemde financieringstekort: providers moeten soms wachten op geld voordat ze vervangende apparatuur kunnen inkopen en installeren, wat de daadwerkelijke "schoonmaak" van netwerken vertraagt. Huawei heeft de aanwijzing bovendien juridisch aangevochten en stapte naar de rechter met het argument dat de FCC buiten haar bevoegdheden trad; het bedrijf verloor die zaak bij een Amerikaans hof van beroep, waarmee de wettelijke basis van de lijst overeind bleef.
Belangrijk om eerlijk te vermelden: de exacte, actuele samenstelling van de Covered List kan zijn veranderd sinds de hier genoemde voorbeelden, omdat de FCC de lijst met enige regelmaat bijwerkt en er procedures bestaan waarmee bedrijven in theorie verwijdering kunnen aanvragen. Voor de meest actuele en volledige lijst is de officiële FCC-pagina de aangewezen bron, niet een momentopname in een artikel als dit.
Wie werken eraan?
De FCC is de instantie die de lijst feitelijk beheert en publiceert. Het Amerikaanse Congres schreef de onderliggende wet en houdt via aanvullende financieringswetten invloed op hoeveel geld er beschikbaar is voor het Rip and Replace-programma. Andere federale instanties opereren op aanpalende terreinen: het Bureau of Industry and Security van het Amerikaanse ministerie van Handel voert aparte exportcontroles uit tegen dezelfde soort bedrijven, en het cybersecurity-agentschap CISA (Cybersecurity and Infrastructure Security Agency) adviseert over risico's voor kritieke infrastructuur in bredere zin. Belangenorganisaties van kleine, landelijke telecomproviders lobbyen actief in Washington voor meer geld om het financieringstekort van het vervangingsprogramma te dichten.
De Verenigde Staten staan niet alleen in deze aanpak. Het Verenigd Koninkrijk besloot in 2020 om Huawei-apparatuur uit de kern van zijn 5G-netwerken te weren, met als streefdatum volledige verwijdering rond 2027. Australië ging de VS zelfs voor en sloot Huawei en ZTE al in 2018 uit van zijn 5G-netwerken. Canada nam in 2022 een vergelijkbaar besluit. Deze landen werken onderling en met de VS samen binnen inlichtingensamenwerkingsverbanden, wat betekent dat zorgen over één leverancier zich vaak in meerdere bondgenootschappelijke landen tegelijk vertalen naar beleid.