Esportare la cifratura: le regole EAR e chi viaggia con un portatile

Perché l'esportazione della cifratura è regolata

Le EAR sono gestite dal Bureau of Industry and Security (BIS), un ufficio del Dipartimento del commercio. La lista dei beni controllati si chiama Commerce Control List (CCL) ed è il supplemento n. 1 alla parte 774. Ogni voce ha un codice di classificazione (ECCN): la prima cifra è la categoria, la lettera il gruppo di beni (A apparati e componenti, D software, E tecnologia).

La ragione dei controlli è scritta nel § 742.15: la cifratura può mantenere segrete le informazioni e quindi essere usata all'estero contro la sicurezza nazionale, la politica estera e le attività di polizia degli Stati Uniti; gli Stati Uniti esercitano il controllo anche come membri dell'Intesa di Wassenaar. Il software di cifratura è controllato, dice il testo, per la sua «functional capacity to encrypt information», non per il valore informativo o teorico del codice.

Per il software la nozione di esportazione è ampia. Secondo il § 734.17 esportare software di cifratura controllato come 5D002 comprende anche scaricarlo, o farlo scaricare, verso luoghi fuori dagli Stati Uniti, e renderlo disponibile per il trasferimento all'estero, salvo che chi lo mette a disposizione prenda precauzioni adeguate contro i trasferimenti non autorizzati. Il codice sorgente di cifratura pubblicamente disponibile, invece, non è soggetto alle EAR; se usa una crittografia «non-standard» serve una notifica al BIS e al coordinatore delle richieste ENC (§ 742.15(b)).

Le voci che contano

EI indica i controlli sugli encryption items (beni di cifratura), NS quelli per la sicurezza nazionale. Per le voci soggette a EI la licenza è richiesta verso tutte le destinazioni, eccetto il Canada (§ 742.15(a)(1)). Lo stesso articolo precisa che la maggior parte dei beni di cifratura può essere esportata con la License Exception ENC e che i beni del mass market, classificati 5A992 o 5D992, non sono più soggetti al § 742.15.

La Cryptography Note: il mass market

La Nota 3 alla Categoria 5, parte 2, chiamata Cryptography Note, esclude dalle voci 5A002 e 5D002 (per le parti indicate) i prodotti che soddisfano tutte queste condizioni:

1. Venduti al pubblico. Generalmente disponibili al pubblico, venduti senza restrizioni dal magazzino di punti vendita al dettaglio, al banco, per corrispondenza, per via elettronica o per telefono.
2. Funzione crittografica non modificabile. L'utente non può cambiarla facilmente.
3. Installazione da parte dell'utente. Il prodotto è pensato per essere installato senza un sostanziale supporto del fornitore.
4. Informazioni disponibili. Se necessario, i dettagli del prodotto sono forniti all'autorità competente, su richiesta, per verificare le condizioni precedenti.

Una nota aggiunge che il prodotto deve interessare un ampio numero di persone e imprese e che prezzo e funzioni principali devono essere noti prima dell'acquisto, senza consultare il venditore. Il BIS può tenere conto di quantità, prezzo, competenze richieste, canali di vendita, clienti tipici e pratiche di esclusione del fornitore.

La nota non opera da sola. Per alcuni prodotti del mass market con chiavi simmetriche più lunghe di 64 bit serve una richiesta di classificazione o un rapporto di autoclassificazione secondo il § 740.17(b): solo dopo il prodotto è classificato 5A992 o 5D992 ed esce dai controlli EI e NS. I prodotti del mass market per cui il rapporto non è richiesto sono comunque classificati 5A992 o 5D992. Il software del mass market che sarebbe pubblicamente disponibile resta soggetto alle EAR finché gli adempimenti di classificazione non sono completati.

La License Exception ENC

La License Exception (esenzione dalla licenza) ENC, al 15 C.F.R. § 740.17, autorizza l'esportazione, la riesportazione e il trasferimento all'interno di un paese dei beni classificati 5A002, 5B002, 5D002 e 5E002, oltre ad alcuni strumenti di crittoanalisi e di analisi forense. Non autorizza operazioni verso i paesi dei gruppi E:1 o E:2, né la consegna di codice sorgente o tecnologia ai loro cittadini.

• Senza classificazione né rapporti (§ 740.17(a)). Tra l'altro: forniture a utenti privati con sede in uno dei paesi del supplemento n. 3 alla parte 740 per lo sviluppo o la produzione interna di nuovi prodotti; forniture alle controllate di società americane e ai loro dipendenti stranieri per uso interno. L'Italia è tra i paesi del supplemento n. 3.
• Autorizzazione immediata con autoclassificazione (§ 740.17(b)(1)). Per i prodotti autoclassificati nelle voci indicate, con un rapporto di autoclassificazione.
• Richiesta di classificazione di trenta giorni (§ 740.17(b)(2) e (b)(3)). Per i prodotti elencati in quei paragrafi; per alcuni si aggiungono rapporti semestrali sulle vendite verso paesi diversi da Australia, Canada e Regno Unito.

Le richieste e i rapporti sono esaminati anche dal coordinatore delle richieste ENC (ENC Encryption Request Coordinator) di Fort Meade, nel Maryland.

Chi viaggia con un portatile: la License Exception BAG

La nota 2 alla Categoria 5, parte 2, stabilisce che i prodotti di sicurezza delle informazioni che accompagnano il loro utente, per uso personale o come strumenti di lavoro, possono usare le eccezioni TMP o BAG, alle condizioni previste. La BAG (baggage, bagaglio), al 15 C.F.R. § 740.14, riguarda chi lascia gli Stati Uniti per un viaggio o per trasferirsi, e gli equipaggi dei vettori. Copre effetti personali, beni per la casa, veicoli e tools of trade (strumenti di lavoro).

Per i beni di cifratura il paragrafo (f) distingue due casi:

• il cittadino americano o il residente permanente può esportare o riesportare beni e software di cifratura verso qualsiasi destinazione non compresa nel gruppo E:1;
• chi non è cittadino né residente permanente può fare lo stesso, verso le stesse destinazioni, salvo che sia cittadino di un paese del gruppo E:1.

Nel testo in vigore il gruppo E:1 (terrorist supporting countries) comprende Iran, Corea del Nord e Siria; il gruppo E:2 (embargo unilaterale), rilevante per la ENC, comprende Cuba. Una nota alla tabella ricorda che il Dipartimento del Tesoro applica un embargo completo verso Cuba e Iran.

Altre condizioni della BAG che contano per chi viaggia:

• Il ritorno. Chi lascia gli Stati Uniti temporaneamente deve riportare i beni esportati con la BAG, salvo che li consumi all'estero o sia autorizzato altrimenti a disporne.
• Il bagaglio non accompagnato. I beni soggetti a controlli EI spediti separatamente devono partire entro tre mesi prima o dopo il mese della partenza, e non possono essere spediti così verso i gruppi D:1, D:2, D:3, D:4 o E:1.
• La tecnologia come strumento di lavoro. Portare con sé technology (tecnologia) come strumento di lavoro è consentito solo a chi è una U.S. person secondo la definizione del paragrafo, per uso proprio all'estero e con precauzioni contro accessi non autorizzati: il testo cita connessioni sicure come le VPN, password sui dispositivi e firewall personali. La tecnologia di cifratura 5E002 non può andare verso il gruppo E:1.

Per le aziende italiane

Un'azienda italiana con attività americane incontra le EAR soprattutto quando porta fuori dagli Stati Uniti prodotti, software o tecnologia di cifratura, o li riesporta. Le regole descritte sopra sono il punto di partenza per capire le domande da porre: la classificazione del prodotto, l'eventuale eccezione applicabile, la destinazione e la nazionalità di chi riceve codice sorgente o tecnologia. La classificazione di un prodotto specifico dipende dalle sue caratteristiche tecniche: questa pagina non la sostituisce. Sui dispositivi di lavoro in viaggio vedi Dispositivi aziendali e segreti commerciali e Aziende: una politica per chi viaggia negli USA; sul quadro generale, Negli Stati Uniti criptare è legale?.

Fonti

15 C.F.R. § 734.17, § 740.14 (License Exception BAG, in particolare i paragrafi (a), (b), (d), (f) e (g)), § 740.17 (License Exception ENC), § 742.15; supplemento n. 1 alla parte 740 (gruppi di paesi) e supplemento n. 3 alla parte 740; supplemento n. 1 alla parte 774, Categoria 5, parte 2 (note 2 e 3, voci 5A002, 5D002, 5A992, 5D992). Testo dall'eCFR aggiornato al 22 settembre 2026. Verificato il 24 settembre 2026.