במכרזים ביטחוניים ותעשייתיים בישראל חוזרת שורת דרישה אחת: "הציוד יהיה NDAA compliant". בשימוש השוטף היא קיצור ל"בלי סין בפנים" — וזה לא מה שהיא אומרת משפטית. המאמר מפריד בין מה שהחוק האמריקאי אוסר לבין מה שקונים מניחים שהוא אוסר, ומה צריך להיכתב במפרט אם הדרישה האמיתית היא ברמת הרכיב.

5
ישויות ששמן נקוב בהגדרת "ציוד מכוסה"
4
משטרים נפרדים שהשוק מכנה כולם "NDAA"
2
הערוצים היחידים שדרכם סעיף 889 מגיע לספק ישראלי

מה סעיף 889 אוסר, ועל מי הוא חל

המקור הוא סעיף 889 לחוק ההרשאה הביטחוני האמריקאי (National Defense Authorization Act — NDAA) לשנת הכספים 2019, חוק ציבורי 115-232, שנחתם ב-13 באוגוסט 2018. הסעיף מחולק לשני איסורים נפרדים.

החלק הראשון, (a)(1)(A), אוסר על ראש סוכנות ביצועית פדרלית לרכוש או לחדש חוזה לרכישת "כל ציוד, מערכת או שירות המשתמש בציוד תקשורת מכוסה או בשירותים מכוסים כרכיב מהותי או חיוני של מערכת כלשהי, או כטכנולוגיה קריטית". סעיף 4.2102(a)(1) ל-FAR קובע שהאיסור חל מ-13 באוגוסט 2019.

החלק השני, (a)(1)(B), אוסר על הסוכנות להתקשר בחוזה עם ישות שמשתמשת בציוד כזה — כלומר על השימוש הפנימי של הספק, ובלשון התקנה "בלי קשר לשאלה אם השימוש נעשה בביצוע עבודה תחת חוזה פדרלי". הוא נכנס לתוקף ב-13 באוגוסט 2020.

הנקודה הנשכחת: נמען האיסור הוא "ראש סוכנות ביצועית" — גוף ממשלתי פדרלי אמריקאי. ספקים כפופים לו דרך סעיף 52.204-25 שמוכנס לחוזה, וסעיף (e) שם מחייב לגלגל את מהותו לקבלני המשנה — למעט פסקה (b)(2), כלומר האיסור על "ישות שמשתמשת" אינו מגולגל למטה. ערוץ שני ונפרד הוא סעיף 889(b): איסור על ראש סוכנות "להתחייב או להוציא כספי הלוואה או מענק" לרכישת ציוד מכוסה. הוא נכנס לתוקף ב-13 באוגוסט 2020 ומגולגל לנמעני מענקים פדרליים דרך 2 CFR 200.216, לא דרך סעיף חוזי — ישות ישראלית שמקבלת מענק אמריקאי כפופה לו בלי חוזה רכש כלל. מעבר לשני הערוצים אין בסעיף 889 דבר שחל על רוכש מסחרי פרטי או על ממשלה שאינה אמריקאית.

איסור מבוסס-ישות, לא מבוסס-מקור — וזה כל ההבדל

הגדרת "ציוד תקשורת מכוסה או שירותים מכוסים" בסעיף 889(f)(3), שהועתקה לסעיף 4.2101 ל-FAR, מונה ארבע קטגוריות:

ההגדרה נוקבת בחמש ישויות בשמן, לא ב"סין". המונח "מדינה זרה מכוסה", המוגדר כרפובליקה העממית של סין, מופיע רק בקטגוריה הרביעית — זו שדורשת החלטה פרטנית המתפרסמת ב-SAM. שלוש הקטגוריות הראשונות אינן תלויות בארץ הייצור.

התוצאה המעשית

מצלמה שמיוצרת בסין, בחיישן ומעבד סיניים ובקושחה סינית, אך אינה מיוצרת על ידי אף אחת מחמש הישויות ואינה נופלת בקטגוריה השיורית — היא ציוד תואם 889 באופן חוקי לחלוטין. זו לא פרצה; זה מה שהחוק אומר.

מה הספק בעצם מצהיר

גם רמת הבדיקה מוגדרת בחוק. "בירור סביר" (reasonable inquiry) מוגדר בסעיף 4.2101 כבירור שנועד לחשוף כל מידע שבחזקת הישות בנוגע לזהות היצרן או הספק של ציוד מכוסה, ו"שאינו כולל צורך בביקורת פנימית או חיצונית". ההצהרה שעליה נשענת שרשרת התאימות היא אפוא הצהרה על זהות היצרן, לפי מידע שכבר קיים אצל הספק ובלי חובת ביקורת. מי שקורא "NDAA compliant" ומדמיין מאחוריו סקר רכיבים — קורא משהו שלא נמצא שם.

תיוג מחדש: הפרצה שהרגולטור עדיין מנסה לסגור

אם ההגדרה היא לפי יצרן, השאלה המתבקשת היא מי נחשב יצרן. ה-FCC מתמודד עם זה מאז 2022 וטרם סיים.

בהחלטה שאומצה ב-22 ביולי 2026 (FCC 26-50) קובע ה-FCC בפסקה 130 שכבר בהחלטתו הראשונה הבהיר ש"תיוג מחדש (white labeling) של ציוד מכוסה כלשהו אינו משנה את מעמדו כציוד מכוסה". אבל בפסקה 134 הוא עדיין מבקש הערות ציבור על עיגון בתקנות של הגדרת "יוצר על ידי" — שמונה שנים אחרי חקיקת סעיף 889, המונח שעליו נשען כל המשטר אינו מוגדר בתקנה.

🔴 פעמוני הדלת של Eken — אותה חומרה, מזהה חדש

הדוגמה שההחלטה מתעדת: בפברואר 2024 חשפו חוקרי אבטחה ליקויים בפעמוני דלת עם מצלמה במותג Eken, ודוח Consumer Reports מאותו חודש זיהה מצלמות זהות הנשלטות באותה אפליקציה ונמכרות תחת השמות Eken, Tuck, Fishbot, Rakeblue "ואחרים". שנים-עשר יום לאחר החשיפה קיבלה ישות בשם Converge Beauty מספרי FCC ID חדשים לפעמוני דלת "זהים מבחינה חשמלית", בלי דוחות בדיקה חדשים, ובקשתה נחתמה בידי עובדי Eken. ב-21 בנובמבר 2024 הוציא ה-FCC ל-Eken הודעה על חבות לכאורה (FCC 24-122) והציע קנס של 734,872 דולר — אך בגין הצהרות כוזבות לכאורה לגבי נציגה בארצות הברית, לא בגין התיוג מחדש. ההליך טרם הוכרע.

🟠 Aventura Technologies — הודאה באשמה בבית משפט

מקרה שני, שנפסק בבית משפט: Aventura Technologies הודתה באשמה ב-19 במרץ 2024 בקשירת קשר להונאת דואר והונאה באמצעי תקשורת (mail and wire fraud conspiracy) ובייבוא בלתי חוקי — היא רכשה ציוד אבטחה מתוצרת סין ומכרה אותו כמיוצר בארצות הברית לסוכנויות ממשל וצבא.

הנקודה אינה שכל מותג מערבי חשוד, אלא שהמשטר נשען על הצהרות — ושבשני המקרים ההצהרות הכוזבות התגלו בדיעבד, אחרי מחקר אבטחה או הליך חקירה, ולא בבקרה שוטפת. ויש צד לגיטימי לאותו מטבע: ב-24 בנובמבר 2022 הודיעה Dahua על הסכם מחייב למכירת חברת הבת Lorex ל-Skywatch הטייוואנית. הבעלות התאגידית קובעת אם מוצר נופל להגדרת "חברת בת או חברה קשורה", והיא יכולה להשתנות בלי שדבר במפעל ישתנה. אבל הודעה על עסקה אינה קובעת מעמד של דגם מסוים: לשם כך יש לבדוק מועד ייצור, זהות יצרן בפועל וקשרים שנותרו.

ארבעה משטרים נוספים שהשוק מערבב עם סעיף 889

"NDAA" הפך למילה גנרית, וזה מקור לחלק גדול מהבלבול. אלה משטרים נפרדים, עם נמענים, תאריכים ולוגיקה שונים:

הרשימה המכוסה של ה-FCC (Covered List) פורסמה ב-12 במרץ 2021 מכוח סעיף 2 ל-Secure Networks Act, ופרסומה כשלעצמו לא אסר אישור ציוד. האיסור נוצר בחוק Secure Equipment Act של נובמבר 2021, אומץ בהחלטת ה-FCC מ-2022 ונכנס לתוקף ב-6 בפברואר 2023: ציוד מכוסה אינו יכול לקבל אישור ציוד חדש — חסם כניסה לשוק האמריקאי כולו ולא רק לרכש ממשלתי — אך אישורים שניתנו קודם אינם מבוטלים בגינו. ב-22 בדצמבר 2025 נוספו לרשימה כלי טיס בלתי מאוישים ורכיביהם הקריטיים "המיוצרים במדינה זרה" — ההוספה הראשונה המבוססת על מקום ייצור — ובמרץ 2026 גם נתבים כאלה. לשתיהן נקבעו חריגים: כלי טיס שברשימת Blue UAS Cleared List וכאלה שהם "מוצר קצה מקומי" הוסרו זמנית עד 1 בינואר 2028, ונתבים בעלי אישור מותנה מוחרגים במפורש מנוסח ההוספה.

כלי טיס בלתי מאוישים: חוק הרחפנים לביטחון אמריקאי (American Security Drone Act of 2023), שנחקק בחוק ההרשאה לשנת 2024 (חוק ציבורי 118-31), מגדיר "ישות זרה מכוסה" לפי רשימה שמנהלת מועצת ביטחון שרשרת האספקה הפדרלית ומפורסמת ב-SAM. סעיף 52.240-1 ל-FAR אוסר על קבלנים, מ-22 בדצמבר 2025, להפעיל מערכת כזו בביצוע חוזה או לרכוש אותה בכספים פדרליים — גם כאן, רשימת ישויות.

רשימת 1260H של משרד ההגנה מזהה "חברות צבאיות סיניות" הפועלות בארצות הברית; הפרסום מ-10 ביוני 2026 כולל בין היתר את Hikvision, Dahua, Huawei, SMIC ו-DJI. עד סעיף 805 השלכתה הישירה הייתה מוגבלת בעיקר לאיסורי התקשרות לפי 10 U.S.C. 4663; סעיף 805 לחוק ההרשאה לשנת 2024 הפך אותה לאיסור רכש של משרד ההגנה מ-30 ביוני 2026, ולאיסור רחב יותר על מוצרים המשלבים תוצרת של אותן ישויות מ-30 ביוני 2027. וכאן החוק אומר את הדבר בכתב מלא: סעיף 805(a)(3)(C) קובע שהאיסור "לא יחול לגבי רכיבים", כהגדרתם בסעיף 105 לכותר 41 לקוד האמריקאי.

והמשטר הזה נמצא בהתדיינות פעילה: בצו מ-5 ביולי 2026 בעניין Alibaba Group Holding Limited נ' משרד ההגנה (26-cv-6227-EKL, מחוז צפון קליפורניה) הורה בית המשפט להשעות זמנית את האיסור שבסעיף 10 U.S.C. 4663, וסטייה כיתתית 2026-O0025, עדכון 2, מיישמת זאת. ההשעיה צרה: היא חלה על שתי ישויות Alibaba בלבד, לצורכי סעיף 4663 בלבד, וקצובה עד הכרעת בית המשפט בבקשת הצו או 60 יום מהדיון בה — ולכל שאר העניינים קציני החוזים מחויבים להמשיך להתייחס ל-Alibaba כחברה צבאית סינית. הכללה ברשימת 1260H אינה סוף פסוק, אך גם הצו אינו ביטולה.

רשימת הישויות של משרד המסחר (Entity List): Dahua ו-Hikvision נוספו אליה ב-9 באוקטובר 2019. זהו משטר בקרת יצוא — הוא מגביל יצוא אמריקאי אליהן ואינו אוסר לקנות מהן.

סעיף 5949 — הדוגמה הנגדית הכנה

יש חריג אחד שמתקרב באמת לרמת הרכיב, וכדאי להכירו. סעיף 5949 לחוק ההרשאה הביטחוני לשנת 2023 (חוק ציבורי 117-263) אוסר על סוכנויות פדרליות לרכוש "חלקים, מוצרים או שירותים אלקטרוניים הכוללים מוצרי או שירותי מוליכים למחצה מכוסים" — הגדרה שכוללת "מוצר המשלב מוצר מוליך למחצה" שתוכנן, יוצר או סופק על ידי SMIC, CXMT או YMTC.

זה כבר חודר לתוך המוצר: קופסה של יצרן שאינו סיני עלולה להיפסל בגלל שבב בודד. אבל גם כאן ההדק הוא זהות היצרן של השבב, לא ארץ הייצור. האיסור נכנס לתוקף ב-23 בדצמבר 2027, והצעת תקנה מיישמת פורסמה ב-17 בפברואר 2026.

זהו כיוון ההתפתחות. ה-FCC בהחלטת יולי 2026 הרחיב את האיסור לרכיבי חומרה "נושאי לוגיקה", אך הבהיר בפסקה 37 שהוא חל "אך ורק על רכיבי חומרה נושאי לוגיקה שיוצרו על ידי ישות המזוהה ברשימה המכוסה". במקביל פתח הליך הערות על חובה להגיש, בבקשות לאישור ציוד, רשימת רכיבי חומרה (HBOM — Hardware Bill of Materials) ורשימת רכיבי תוכנה (SBOM — Software Bill of Materials) מלאות, כולל יצרן ומקום ייצור של כל רכיב. זו הצעה, לא תקנה.

מה זה אומר בפועל

אם הדרישה האמיתית של הלקוח היא "בלי סין", "must be NDAA compliant" במפרט לא תשיג אותה. מפרט שמטפל בדרישה ברצינות מפריד אותה לארבעה סעיפים, כי הם נבדקים בארבע דרכים שונות:

01
הדרה לפי ישות
לא "NDAA" כמילה, אלא רשימה מפורשת: הישויות שבסעיף 889(f)(3), הרשימה המכוסה, רשימת 1260H ורשימת ה-FASC — כולל חברות בת, קשורות ויורשות, ועם חובת עדכון אם ישות נוספת במהלך חיי החוזה.
02
ארץ מקור ברמת הרכיב
הצהרה על ארץ הייצור של מחלקות רכיבים מוגדרות — מעבד ראשי, חיישן תמונה, מודול רדיו, זיכרון — ברמת מספר קטלוגי של יצרן הרכיב, ולא הצהרה גורפת על המוצר.
03
תחום שיפוט של הקושחה ושרתי העדכון
מי מקמפל וחותם את הקושחה, היכן שרתי העדכון והענן ולאיזה דין הם כפופים. זה הצינור שדרכו מכשיר "נקי" הופך למכשיר אחר אחרי עדכון — ובדיוק הפרמטר שבמחלוקת בהגדרת "יוצר על ידי".
04
זכות ביקורת על ה-BOM
זכות חוזית לדרוש HBOM ו-SBOM, לבקר או להסתמך על ביקורת צד שלישי, ולקבל התראה על שינוי ברכיב. בלעדיה שלושת הקודמים הם הצהרות בלבד — וכזכור, "בירור סביר" פוטר מפורשות מחובת ביקורת.

המטרה היא סיכון תחום, לא טוהר

ואמירה ללקוח לפני חתימה: אימות ארץ המקור של כל רכיב במוצר אלקטרוני מסחרי הוא מהלך מורכב ויקר, ולכן יש להגדיר מראש את עומק הבדיקה ואת מחלקות הרכיבים הנבדקות. המטרה היא סיכון תחום — לדעת מה בפנים, מי שולט בעדכונים ומה קורה אם רכיב נכנס לרשימה מחר — ולא טוהר. מפרט שמבטיח טוהר יוצר חשיפה חוזית, לא ביטחון.

ההערה הישראלית

סעיף 889 אינו חל על אף רוכש ישראלי, פרטי או ממשלתי — רק דרך חוזה עם לקוח פדרלי אמריקאי, דרך קבלן ראשי שמגלגל את 52.204-25 למטה, או דרך מענק פדרלי לפי 889(b). אינטגרטור שכותב ללקוח ישראלי "הציוד תואם NDAA" מייבא מונח אמריקאי שאין מאחוריו חובה מקומית — ושאינו עונה על השאלה שנשאלה. וזו גם לא שאלת ה-TAA, שנקבעת לפי ארץ המקור של מוצר הקצה ולא לפי זהות היצרן.

מה עדיין לא ידוע

מה שהחוק והתקנות אומרים אפשר לקבוע בוודאות, כי הם כתובים. מה שאיני יכול לקבוע הוא כמה מהמוצרים המשווקים בישראל כ"תואמי NDAA" הם חומרה של יצרן מכוסה בתיוג מחדש — אין נתון מבוקר, וכל מספר שיוצג הוא הערכה.

איני יכול גם לומר מי יהיו היצרנים הבאים שיתווספו לרשימות. הרשימה המכוסה משתנה מדי כמה חודשים, רשימת 1260H מתעדכנת לפחות אחת לשנה עד סוף 2030, וסעיף 5949 מאפשר להוסיף יצרני שבבים בהודעה ב-Federal Register. מפרט שמפנה לרשימה בתאריך קבוע יתיישן; מפרט שמפנה אליה כפי שהיא מעת לעת מטיל על הספק סיכון פתוח. האיזון הוא החלטה מסחרית.

ולבסוף, הגדרת "יוצר על ידי" עדיין פתוחה. ההצעות שעל שולחן ה-FCC רחוקות זו מזו — אחת מחריגה מקרים שבהם צד אמריקאי אחראי מחזיק בשליטה בלעדית בתכנון ובחתימת הקושחה, ואחרת מחילה את המונח על כל מי שמתכנן, מייצר, חותם קושחה או מחזיק מפתחות הצפנה. עד שתוכרע, כל תשובה לשאלה אם מוצר מסוים "מיוצר על ידי" ישות מכוסה היא זמנית.

מקורות

  1. U.S. Government Publishing Office (govinfo) — Public Law 115-232
  2. eCFR — FAR 48 CFR 4.2102 (Prohibition)
  3. eCFR — FAR 48 CFR 4.2101 (Definitions)
  4. eCFR — FAR 48 CFR 52.204-25(e)
  5. FCC — Third Report and Order and Third Further Notice of Proposed Rulemaking, FCC 26-50, ET Docket No. 21-232, para. 130
  6. FCC Public Safety and Homeland Security Bureau — Public Notice DA 21-309
  7. eCFR — FAR 48 CFR 52.240-1 (NOV 2024)
  8. Federal Register — Department of Defense, Notice of Availability of Designation of Chinese Military Companies, 91 FR 35189
  9. U.S. Government Publishing Office (govinfo) — Public Law 118-31, Sec. 805(b)
  10. ‎41 U.S.C. § 105 (Legal Information Institute, Cornell Law School)
  11. Federal Register — Bureau of Industry and Security, Addition of Certain Entities to the Entity List
  12. U.S. Government Publishing Office (govinfo) — Public Law 117-263, Sec. 5949(j)(3)
  13. Federal Register — Federal Acquisition Regulation: Prohibition on Certain Semiconductor Products and Services (proposed rule), FR Doc. 2026-03065
  14. Dahua Technology — press release, DAHUA TECHNOLOGY TO SELL LOREX TO SKYWATCH
  15. U.S. Attorney's Office, Eastern District of New York (כפי שפורסם גם על ידי משרד המפקח הכללי של GSA)
  16. eCFR — FAR 48 CFR 25.003 (Definitions)
  17. FCC — Notice of Apparent Liability for Forfeiture, FCC 24-122 (In the Matter of Eken Group Limited)
  18. Consumer Reports
  19. FCC — First Report and Order, FCC 22-84 (Secure Equipment Act of 2021, Pub. L. 117-55)
  20. OUSD(A&S) — Class Deviation 2026-O0025, Revision 2 (DFARS Part 240)