前一篇讲技术材料的组织与商业秘密保护时，提到含加密功能的产品另有一条专门通道。这条通道与常规物项的分岔，从义务是否强制就开始了。常规物项申不申请 CCATS，企业可以自己权衡；一颗芯片只要带上加密功能落入 Category 5 Part 2，某些类型的分类请求就是强制的，不申请即不得依赖许可例外出口。这一篇梳理现行框架下的义务分层、提交要求与等待期，以及取得编码之后的持续报告。需要先更正一个仍在流传的说法，加密登记（Encryption Registration）这一环已经废止，写申请时不必再找它。
不少中文材料至今仍把"先做加密登记拿到 ERN，再提交分类请求"作为加密产品的第一步。这一步在现行 EAR 中已不存在。BIS 于 2016 年 9 月 20 日的规则（81 FR 64656）删除了加密登记要求，Supplement No. 5 to Part 742 自此标注为 [Reserved]，740.17(d)(1)(i) 与 (d)(2)(i) 同样留空。企业今天在 SNAP-R 里只提交分类请求，没有需要先行完成的登记环节。原先登记所收集的联系人、通信地址、非美加密组件、非美制造地点等信息，被并入自分类年报，成为 Supplement No. 8 中 (a)(7) 至 (a)(12) 这六个字段。按已废止的流程准备材料，不会换来一份更稳妥的申请，只会在第一步就找不到对应的提交入口。
现行框架下真正要先回答的，是这颗芯片落在 740.17 的哪一层，因为义务分层就挂在这里。
第一层是 740.17(a)。向 Supplement No. 3 所列国家总部的私营部门最终用户、美国公司境外子公司等特定对象出口，既不需要分类请求，也不需要任何报告。
第二层是 740.17(b)(1)，条文称为即时授权（immediate authorization）。自分类的 5A002.a、5B002 及对应的 5D002，只要不落入 (b)(2) 或 (b)(3) 的描述，企业自行分类即可出口，代价是每年提交一份自分类年报。已经就该产品取得 BIS 出具的 CCATS 的，年报可以免提。
第三层是 740.17(b)(2) 与 (b)(3)，这两类必须提交分类请求。(b)(2) 涵盖网络基础设施（network infrastructure）、非公开的源代码、定制或可变密码、量子密码、渗透测试工具、公共安全无线电、超宽带与扩频等；(b)(3) 涵盖非量产的加密组件与工具包、非标准密码（non-standard cryptography）、高级网络漏洞分析与数字取证、以及"密码激活"（cryptographic activation）功能。条文对此写得很直接，"For products described in paragraphs (b)(2) and (3) of this section, a thirty-day (30-day) classification request is required in accordance with paragraph (d) of this section."
据此，第一步的工作是把产品对照 (b)(2) 与 (b)(3) 的各项描述逐条排除。排得掉，走自分类加年报；排不掉，分类请求就是法定动作，不再是成本收益的权衡题。这与本专题第四篇讨论的"该自分类还是申请 CCATS"是两回事，那一篇讲的是可选情形下的判断，加密物项的 (b)(2) 与 (b)(3) 没有裁量空间。
需要一并说明的是，出口商可以依赖生产商的分类结论，(b)(1) 项下可依赖生产商的自分类，(b)(1) 至 (b)(3) 项下均可依赖已有的 CCATS。Fabless 企业与分销环节据此不必重复申请，但依赖他人分类并不免除出口商自身的报告义务。
加密物项的分类请求仍走 SNAP-R，与常规物项同一入口，差别在附件与审查方。
按 740.17(d)(1)(ii)，凡 (b)(2) 或 (b)(3) 项下的分类请求，必须附具 Supplement No. 6 to Part 742 的技术问卷，即 (a) 至 (d) 四部分。问卷问得相当细，(a) 部分要求给出产品名称、既往分类记录、加密的使用方式与所保护的数据类别，量产产品还要对照 Note 3 说明营销方式；(b) 部分是分类请求的主体，列了十四项，包括对称与非对称算法及密钥长度、密钥生成与管理、是否构成非标准密码（构成的须提交文字描述与算法源代码）、通信与密码协议及 API、如何防止用户修改算法与密钥空间、第三方密码组件、是否境外制造及具体城市与国家；其中 (b)(11) 与 (b)(12) 要求逐项对照 740.17(b)(2) 与 (b)(3) 的各项参数作答。(c) 部分针对加密组件，(d) 部分针对源代码。适格自分类的物项若主动提交 BIS 分类，BIS 也可能个案要求补充这份问卷。
这份问卷的颗粒度，与上一篇讲的最小必要披露之间有张力。问卷要的算法、密钥管理、源代码片段，恰恰贴近企业的核心设计。可行的处理是把披露严格锁定在问卷所问的字段上，逐项作答，不主动附加问卷未要求的工艺与实现资料。BIS 对分类请求中的商业秘密按机密商业信息处理这一层制度保障，对加密通道同样适用。
审查方是这条通道最特别的地方。740.17 的引言写明，"All classification requests, and reports submitted to BIS pursuant to this section for encryption items will be reviewed by the ENC Encryption Request Coordinator, Ft. Meade, MD."。通信地址为 9800 Savage Road, Suite 6940, Ft. Meade, MD 20755-6000，报告邮箱为 enc@nsa.gov。需说明的是，条文自始至终只写"ENC 加密请求协调员"，没有出现国家安全局的字样，该机构的实际参与是从地址与邮箱域名推知的，条文层面并无明文。
等待期的规则要读准。740.17(d)(2)(ii)(A) 规定，需要三十日等待期的分类请求，自完整的分类请求在 SNAP-R 中登记之日起满三十日，BIS 未告知该物项不得适用 ENC 许可例外的，企业即可依 ENC 出口。起算点是完整请求在系统中登记之日，不是企业点击提交之日，材料不完整则计时不启动。
这里有两处容易失算。其一，BIS 可将请求置于暂缓处理（hold without action）状态以索取补充信息，条文明定该状态占用的时间不计入三十日。其二，BIS 要求补充技术资料的，企业须在收到要求后十四日内提交，逾期 BIS 可退回不处理，或中止乃至撤销该物项适用 ENC 的资格；确需延期的，应在期限届满前提出，可再延十四日。据此，把三十日当作可预期的排期基准来安排交付计划，风险不小，笔者的做法是在客户合同交付节点上按更长的窗口留出余量。
还需注意，三十日等待并不适用于全部 (b)(2) 与 (b)(3) 物项。两类项下均有提交后即可出口的子集，例如 (b)(2) 项下向 Supplement No. 3 国家最终用户出口的非密码分析类物项。产品对得上这些子集的，无须干等三十日。
加密通道与常规物项的另一处不同，是取得编码之后义务并未终结。
一是自分类年报。依 740.17(e)(3)，按 (b)(1) 出口、再出口或境内转移的企业，须就日历年度内出口的适格加密物项提交年报，截止日为次年 2 月 1 日，报送至 crypt-supp8@bis.doc.gov 与 enc@nsa.gov。报送内容为 Supplement No. 8 所列字段，格式为 CSV。每个产品只需报一次，当年无新产品的，仍须发邮件声明较上次报告无变化。
这里有一处规范本身的瑕疵，值得向合规团队点明。Supplement No. 8 的 (a) 段列了十二个字段，同一附录的 (b)(5) 段却仍写着每行须由六项构成，并只引用 (a)(1) 至 (a)(6)。成因是 2016 年废止加密登记时，把原登记的字段并入 (a)(7) 至 (a)(12)，(b)(5) 未同步修订，遗留至今。实务口径以十二字段为准，BIS 官网年度自分类报告页面明确要求十二列并提供了样表，按 (b)(5) 的字面只报六列不符合 BIS 的实际要求。
二是半年度销售报告。这一项常被误称为年报。740.17(e)(1) 规定，(b)(2) 与 (b)(3)(iii) 项下的物项，向澳大利亚、加拿大、英国以外目的地出口的，须提交半年报，1 月 1 日至 6 月 30 日的出口于当年 8 月 1 日前报送，7 月 1 日至 12 月 31 日的出口于次年 2 月 1 日前报送，邮箱为 crypt@bis.doc.gov 与 enc@nsa.gov，与年报的邮箱不同。(b)(1) 与 (b)(3) 的其余各项不触发半年报。免报情形包括对称密钥不超过六十四位、免费匿名下载出口、美国银行与金融机构及其关联方用于银行或金融业务等。豁免目的地由原先的加拿大扩至澳大利亚、加拿大与英国，是 2024 年 4 月 19 日 AUKUS 规则（89 FR 28594）的修订结果。
三是 5A002 与 5A992 的分界，这一层决定前两项义务的归属。5A992 的标题即"5A002 不控制的设备"，5A992.c 指按 740.17(b) 认定的量产加密物项。从 5A002 释放到 5A992.c 不是自动发生的，740.17(b)(1) 写明，符合 Note 3（即 Cryptography Note）标准的物项，须经自分类或 BIS 分类之后，方归入 5A992 或 5D992 并解除 EI 与 NS 管制。Note 3 本身要求物项通过零售渠道无限制公开销售、加密功能不易被用户更改、供用户自行安装且无须供应商实质支持。其 N.B. 段还设了门槛，对称算法密钥长度超过六十四位的量产加密物项，须按 740.17(b) 提交分类请求或自分类年报，才能从 5A002 或 5D002 的 EI 与 NS 管制中释放。换言之，企业主张自己是量产产品并据此按 5A992.c 处理，前提是把 740.17(b) 的动作做完，主张本身不产生释放的效果。
对芯片企业还有一层要单独关注。2023 年 10 月的先进计算规则向 Category 5 Part 2 引入了 .z 段落，5A992.z.1 与 z.2 指的是已构成 5A992.c 的量产加密物项，同时达到 3A090.a/4A090.a 或 3A090.b/4A090.b 的性能门槛者。一颗量产加密芯片经 Note 3 释放出 EI 与 NS 管制之后，若性能触到先进计算的门槛，会落入 5A992.z，继续受 RS 管制。加密这条线走通，不等于这颗芯片就此不受管制，先进计算的门槛是另一道独立的关口。这一点在带加密引擎的高性能计算芯片上尤其现实。施沈畅律师团队处理这类产品时，会把 Category 5 Part 2 与 3A090/4A090 两条线并行核对，避免只清了一条线就下结论。
把加密物项的分类落到实处，重心在三处，先按 740.17 的分层判断义务是否强制，再按 Supplement No. 6 的字段逐项组织问卷并锁定披露范围，最后把年报与半年报的时点纳入合规日历。至于性能贴近 3A090 门槛的先进计算与 AI 芯片在申请中如何定性与举证、被 BIS 定成更严编码的风险如何管理，施沈畅律师团队将在下一篇专门展开。
END
国际贸易合规观察公众号：
本公众号由行业领先的专业法律团队维护运营，聚焦于海关、出口管制、经济制裁及国际贸易衍生的法律工作，致力于成为企业跨境经营与国际贸易领域的合规智库，以专业视角追踪全球最新动态，为读者提供兼具时效性与深度的合规分析与实务指南。
作者介绍：
施沈畅
协力律师事务所
中国及美国纽约州执业律师
+86 17702110912
业务领域：出口管制与经济制裁、海关、国际贸易
教育背景：美国宾夕法尼亚大学法学硕士、华东政法大学法学学士
执业经历：
作为核心律师，主办的案件荣获2024年度《商法》监管合规领域年度大奖；
受聘为多个政府部门提供专业的政策咨询；
协助多家大型央国企及民营企业解决复杂的出口管制与制裁问题；
协助多家内地及香港贸易企业解决货物扣押、款项冻结及相关许可证申请事宜；
协助多家半导体企业开展产品分类、出口许可证申请及合规出口方案设计；
通过接受《南华早报》《环球时报》等各类权威媒体采访及《国际贸易合规观察》公众号，持续解读最新的贸易合规动态。
