Dual use w oprogramowaniu - co podlega kontroli eksportu?
Definicja z rozporządzenia 2021/821, trzy obszary softwaru objęte kontrolą i dwa wyłączenia, które ratują większość rynku. Z przykładem.
Dual use kojarzy się z rakietami i dronami. W praktyce polskiego rynku IT znacznie częściej dotyczy zwykłych produktów komercyjnych: komunikatora z szyfrowaniem, narzędzia do testów bezpieczeństwa, systemu analizującego zdjęcia satelitarne.
Co podlega kontroli
Produkty podwójnego zastosowania to zgodnie z rozporządzeniem (UE) 2021/821 produkty, włącznie z oprogramowaniem i technologią, które mogą być stosowane zarówno w celach cywilnych, jak i wojskowych. O objęciu kontrolą decyduje wpis na liście w załączniku I do rozporządzenia, a intencja twórcy pozostaje bez znaczenia.
Software najczęściej wpada pod kontrolę w trzech obszarach: kryptografia do ochrony informacji (kategoria 5 część 2, pozycje 5A002 i 5D002), narzędzia ofensywne związane z „oprogramowaniem włamującym” (kategoria 4) oraz analiza danych o potencjale wojskowym - obrazy satelitarne, sygnały, geodane.
Co niekoniecznie będzie dual use?
Dwa wyłączenia ratują większość rynku. Nota kryptograficzna wyłącza produkty masowego rynku: sprzedawane powszechnie i instalowane przez użytkownika bez wsparcia dostawcy. Ogólna uwaga do oprogramowania wyłącza software powszechnie dostępny publicznie, w tym typowy open source. Oba wyłączenia mają jednak warunki brzegowe - kończą się tam, gdzie zaczyna się zamknięta wersja enterprise wdrażana przez zespół dostawcy.
Przykład
Konsumencka aplikacja z logowaniem przez standardowe TLS korzysta z wyłączenia mass market i zezwolenia nie wymaga. Ten sam mechanizm szyfrowania w module dla klientów enterprise, wdrażanym i konfigurowanym przez dostawcę, może już odpowiadać pozycji 5D002, a wtedy eksportem jest nawet nadanie dostępu do repozytorium kontraktorowi spoza UE.
Za obrót bez zezwolenia grożą wysokie kary pieniężne, a nawet kara pozbawienia wolności od roku do 10 lat. Klasyfikacja produktu, czyli porównanie jego parametrów z wpisami załącznika I, zamyka temat jednoznacznym wynikiem: kodami kontrolnymi albo potwierdzeniem, że produkt pozostaje poza kontrolą.