DeepSeek-producten geweerd bij federale civiele instanties; FASCSA-bevel Amerikaans ministerie van Binnenlandse Veiligheid op 20 oktober gepubliceerd in Federal Register

WASHINGTON

Het Amerikaanse ministerie van Binnenlandse Veiligheid (DHS) heeft op 20 oktober een bevel gepubliceerd in het Federal Register (jaargang 91, nr. 201, pp. 66346–66350) waarin wordt opgedragen producten van DeepSeek uit te sluiten van inkoop door de federale civiele uitvoerende macht en deze te verwijderen uit IT-systemen. Op grond van de Federal Acquisition Supply Chain Security Act (FASCSA) eiste DHS dat federale civiele instanties producten van DeepSeek en diens gelieerde ondernemingen weren uit aanbestedingen en producten die momenteel in gebruik zijn uit hun systemen verwijderen. De kennisgeving heeft als titel „Notice of Orders Concerning the Exclusion and Removal of DeepSeek Products From Federal Civilian Executive Branch Information Technology Systems and Procurement” en het bevelnummer is 2026-01. Minister van Binnenlandse Veiligheid Markwayne Mullin heeft het bevel ondertekend, en DHS vermeldde 24 juli als de datum van eerste uitvaardiging in de tekst van het bevel.

Federale civiele instanties moeten DeepSeek-producten uitsluiten van inkoop en uit systemen verwijderen

De eerste maatregel van DHS is uitsluiting. Alle federale civiele instanties moeten DeepSeek, gelieerde ondernemingen van DeepSeek en hun producten weren uit inkooptrajecten van civiele instanties. DHS verklaarde dat deze maatregel onmiddellijk na de uitvaardiging van het bevel van kracht wordt. Voorzieningen die de inkoop van IT-hardware, software en diensten faciliteren – zoals door instanties goedgekeurde productlijsten, apparatuurlijsten van dienstverleners en e-commercemarktplaatsen – vallen eveneens onder de uitsluiting.

De tweede maatregel is verwijdering. Producten die zijn geleverd door DeepSeek en gelieerde ondernemingen, evenals producten en diensten van derden die zijn gemaakt met behulp van DeepSeek-implementaties, moeten worden verwijderd uit de IT-systemen van federale civiele instanties. Ook dit moet onmiddellijk na uitvaardiging worden uitgevoerd, en instanties die daartoe niet in staat zijn, moeten een uitzondering aanvragen. Met IT wordt hier gedoeld op informatie- en communicatietechnologie zoals gedefinieerd in titel 41 van de U.S. Code, sectie 1321 (41 U.S.C. § 1321).

De reikwijdte van gelieerde ondernemingen volgt de definitie in de Federal Acquisition Regulation (48 CFR 2.101). Een entiteit is een gelieerde onderneming als de ene partij direct of indirect zeggenschap heeft over de andere of de bevoegdheid heeft om zeggenschap uit te oefenen, of als een derde partij zeggenschap heeft over beide of de bevoegdheid heeft om die uit te oefenen. Ook de reikwijdte van de instanties waarop dit bevel van toepassing is, is vastgelegd.

Bevel geldt voor federale civiele uitvoerende instanties, met uitzondering van nationale veiligheidssystemen en systemen voor gevoelige gecompartimenteerde informatie

DHS heeft de toepassing van het bevel beperkt tot federale civiele uitvoerende instanties, waarbij nationale veiligheidssystemen en systemen voor gevoelige gecompartimenteerde informatie van deze instanties buiten het toepassingsgebied zijn gelaten. In een voetnoot lichtte DHS de reden toe aan de hand van federale wettelijke bepalingen. De bevoegdheid van de minister van Binnenlandse Veiligheid om uitsluitings- en verwijderingsbevelen uit te vaardigen reikt niet tot gebieden die onder de bevoegdheid van de minister van Defensie of de directeur van de Nationale Inlichtingendiensten (DNI) vallen. De minister van Defensie kan soortgelijke bevelen uitvaardigen voor systemen van het ministerie van Defensie en nationale veiligheidssystemen die geen systemen voor gevoelige gecompartimenteerde informatie zijn, terwijl de DNI dit kan doen voor de inlichtingengemeenschap en systemen voor gevoelige gecompartimenteerde informatie.

De wettelijke grondslag is de Federal Acquisition Supply Chain Security Act van 2018 (FASCSA). Deze wet is vastgelegd in 41 U.S.C. §§ 1321–1328, en de uitvoeringsvoorschriften bevinden zich in deel 201-1 van titel 41 van de Code of Federal Regulations. Op grond van deze wet kunnen de minister van Binnenlandse Veiligheid, de minister van Defensie en de DNI binnen hun respectieve bevoegdheden bevelen uitvaardigen wanneer de Federal Acquisition Security Council (FASC) aanbeveelt risicovolle producten of diensten uit te sluiten van federale inkoop en IT-systemen. De definitieve FASC-regelgeving die op 26 augustus 2021 in het Federal Register werd gepubliceerd, trad op 27 september van dat jaar in werking. DHS verklaarde dat de minister dit bevel heeft uitgevaardigd na bestudering van de aanbeveling van de FASC en het relevante bewijsmateriaal. In het risico-overzicht van het bevel zette DHS de problemen met betrekking tot DeepSeek uiteen.

DHS noemt servers van DeepSeek in China en mogelijke verzameling van gebruikersgegevens als risico's

In het risico-overzicht omschreef DHS DeepSeek als een buitenlandse particuliere onderneming gevestigd in China. Het bedrijf biedt verschillende kunstmatige-intelligentietoepassingen breed en kosteloos aan. DHS verklaarde dat de servers van DeepSeek zich in China bevinden en legde uit dat het Chinese rechtskader cyber- en inlichtingendiensten van de overheid ruime bevoegdheden toekent om toegang te krijgen tot de infrastructuur van particuliere bedrijven.

Voor modellen die rechtstreeks door DeepSeek worden beheerd, verklaarde DHS dat bij het aanmaken van accounts persoonlijk identificeerbare informatie wordt verzameld, waardoor gebruikers kunnen worden gevolgd of van een digitale vingerafdruk kunnen worden voorzien. De meest gebruikte toepassingen van DeepSeek werken door informatie in te voeren in het model en antwoorden te ontvangen. DHS legde uit dat wanneer federale ambtenaren of gecontracteerde partijen hiervan gebruikmaken, gevoelige gegevens naar China kunnen worden overgedragen. Dergelijke overgedragen gegevens kunnen, hetzij op zichzelf, hetzij in combinatie met openbare bronnen, bruikbare inlichtingen opleveren over Amerikanen of overheidsprogramma's.

Er werd ook op gewezen dat de modellen zelf kwaadaardige code of andere beveiligingskwetsbaarheden kunnen bevatten. DHS verklaarde dat open-source beveiligingsonderzoek meerdere kritieke kwetsbaarheden heeft vastgesteld in de iOS-app van DeepSeek. Als onderbouwing verwees DHS in voetnoten onder meer naar een gegevensbeveiligingsadvies van DHS van 22 december 2020, een rapport over DeepSeek van de speciale commissie van het Amerikaanse Huis van Afgevaardigden voor strategische concurrentie tussen de Verenigde Staten en de Chinese Communistische Partij van 16 april 2025, en een analyse van het beveiligingsbedrijf NowSecure van 6 februari 2025. Los van dit bevel brachten Amerikaanse overheidsinstanties in september een advies uit over in China gevestigde AI-bedrijven.

NSA, CISA en FBI brachten op 8 september afzonderlijk advies uit waarin werd gewaarschuwd voor distillatieactiviteiten door in China gevestigde AI-bedrijven

De National Security Agency (NSA), het Federal Bureau of Investigation (FBI) en het Cybersecurity and Infrastructure Security Agency (CISA) publiceerden op 8 september het cyberbeveiligingsadvies AA26-251A. De titel luidt „Industrial-Scale AI Distillation Campaigns by China-Based AI Companies Targeting U.S. AI Companies”. De drie instanties noemden expliciet DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun en Z.AI. De instanties verklaarden dat DeepSeek sinds ten minste eind 2024 systematische distillatiecampagnes heeft gevoerd gericht op toonaangevende grensmodellen van Amerikaanse AI-bedrijven. Hoewel distillatie wordt erkend als een legitieme en nuttige techniek binnen AI-onderzoek, beoordeelden de drie instanties deze activiteiten als agressief en kwaadaardig.

De NSA verklaarde diezelfde dag in een persbericht dat de vooruitgang van Chinese AI-modellen militaire en cyberoffensieve capaciteiten kan versterken die kunnen worden gericht tegen de Verenigde Staten en hun bondgenoten. De X-accounts van CISA en NSA maakten de publicatie van het advies diezelfde dag bekend. DHS noemde dit advies in de kennisgeving van 20 oktober niet als grondslag. Noch DHS noch de NSA gaf toelichting op het verband tussen de twee maatregelen. Het bevel biedt een uitzonderingsprocedure voor instanties die moeite hebben met de uitvoering.

Instanties kunnen binnen 60 dagen na uitvaardiging schriftelijk een uitzondering aanvragen

Federale uitvoerende instanties kunnen op grond van 41 CFR 201-1.304(b) een uitzondering aanvragen bij de uitvaardigende functionaris van DHS. Instanties kunnen verzoeken om het bevel niet op de instantie toe te passen, niet toe te passen op specifieke handelingen, of om de implementatietermijn te verlengen. Verzoeken moeten binnen 60 dagen na uitvaardiging van het bevel schriftelijk worden ingediend. De aanvraag moet vijf elementen bevatten: identificatie van het toepasselijke bevel, een toelichting op het deel waarvoor een uitzondering wordt gevraagd, de naam of beschrijving van het product of de dienst waarop de uitzondering betrekking heeft, zwaarwegende redenen waarom de uitzondering moet worden verleend, en alternatieve risicobeperkende maatregelen die de instantie zal nemen om het risico te verminderen. Als voorbeelden van zwaarwegende redenen noemde DHS de gevolgen van het bevel voor het vermogen van de instantie om haar kerntaak uit te voeren, evenals overwegingen van nationaal belang zoals toetsingen van de nationale veiligheid, onderzoeken naar de nationale veiligheid en overeenkomsten inzake de nationale veiligheid.

CISA beoordeelt de verzoeken en stelt de instantie schriftelijk op de hoogte van de goedkeuring of afwijzing. Verzoeken moeten worden verzonden naar FASCSA.Orders@cisa.dhs.gov. Ditzelfde adres fungeert tevens als aanspreekpunt voor ondersteuning bij de uitvoering en rapportagevragen over dit bevel. De contactpersoon die in de kennisgeving in het Federal Register wordt genoemd, is het FASCSA Orders Implementation Team binnen de Cybersecurity Division van CISA.

DHS adviseerde federale instanties om in de periode voorafgaand aan de volledige verwijdering maatregelen te nemen tegen systeemrisico's. Daartoe behoort het monitoren van inkomend en uitgaand verkeer, het verscherpen van logging en controles op relevante systemen om data-exfiltratie te voorkomen, en het detecteren en markeren van afwijkende activiteiten. CISA kan technische bijstand verlenen aan instanties die niet over de interne capaciteit beschikken om het bevel uit te voeren. Zoals voorgeschreven door de FASCSA zal de minister van Binnenlandse Veiligheid het bevel binnen een jaar en daarna jaarlijks herzien. Dergelijke bevelen komen tot stand via de procedures die in de FASCSA zijn vastgelegd.

Na een FASC-aanbeveling kan het betrokken bedrijf binnen 30 dagen reageren; na het bevel kan binnen 60 dagen beroep bij de rechter worden ingesteld

Volgens de definitieve regels van de FASC moet de raad bedrijven die in een aanbeveling worden genoemd op de hoogte stellen van de aanbeveling. Deze kennisgeving bevat de criteria waarop de raad zich heeft gebaseerd en, voor zover verenigbaar met belangen van nationale veiligheid en wetshandhaving, de informatie die ten grondslag ligt aan de aanbeveling. Bedrijven kunnen binnen 30 dagen na ontvangst van de kennisgeving informatie en argumenten indienen tegen de aanbeveling. De FASC kan op basis van de reactie van het bedrijf de aanbeveling aanpassen of intrekken. Gebeurt dat niet, dan kunnen de bevoegde functionarissen van DHS, het ministerie van Defensie en de DNI op grond van de aanbeveling bevelen uitvaardigen. De FASC vaardigt zelf geen bevelen uit.

Bedrijven kunnen ook na uitvaardiging van het bevel bezwaar maken. Op grond van 41 U.S.C. § 1327 kan een onderneming binnen 60 dagen na ontvangst van de kennisgeving van uitvaardiging van het bevel een verzoek tot rechterlijke toetsing indienen. Het vaststellen van de ingangsdatum van het bevel en het informeren van het bedrijf is de verantwoordelijkheid van de uitvaardigende functionaris, niet van de FASC. DHS heeft niet bekendgemaakt hoe DeepSeek op dit bevel heeft gereageerd of wanneer het de kennisgeving heeft ontvangen.

De datum die DHS in het bevel vermeldt is 24 juli, terwijl de publicatie in het Federal Register op 20 oktober plaatsvond. DHS gaf geen verklaring voor het tijdsverschil tussen beide data. James H. Percival II, algemeen juridisch adviseur (General Counsel) van DHS, heeft de kennisgeving ondertekend en het DHS-dossiernummer is DHS-2026-0628. DHS liet weten dat een kopie van het ondertekende bevel kan worden gevonden op regulations.gov door op dit nummer te zoeken. In het bevel staat Russell Vought, directeur van het Office of Management and Budget van het Witte Huis, vermeld als geadresseerde in afschrift.

Bronnen (KST)

• Federal Register 91 FR 66346–66350, 2026-10-20, documentnummer 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
• Gezamenlijk advies AA26-251A van NSA, CISA en FBI, 2026-09-08 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
• Persbericht NSA · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
• X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
• X @NSACyber · https://x.com/NSACyber/status/2097374444062732374