Доклад посвящён экспортному контролю технологий кибернаблюдения и практическому применению Регламента (ЕС) 2021/821. Центральный вопрос исследования заключается в том, как определить, какие именно возможности поставщик передаёт конкретному пользователю, подпадает ли такая передача под экспортный контроль и какие обстоятельства должны учитываться при оценке риска использования технологии для внутренних репрессий или серьёзных нарушений прав человека и международного гуманитарного права.

Автор разграничивает два основных механизма контроля. Для продукции, включённой в приложение I, исходным этапом является точная техническая классификация. Для не включённых в перечень средств кибернаблюдения действует специальный механизм статьи 5. При этом отсутствие продукта в приложении I само по себе не завершает проверку, но и гипотетическая возможность использовать обычное программное обеспечение для наблюдения не означает автоматического возникновения лицензионного требования. Важны фактические функции конкретной версии продукта, маршрут передачи, конечный пользователь и предполагаемое применение.

Значительная часть исследования посвящена должной проверке конечного использования. Рассматриваются роли покупателя, получателя, оператора системы и лица, принимающего решение о наблюдении, а также посредники, облачный и удалённый доступ, программные обновления, техническая помощь и смена страны или пользователя после первоначального согласования. Отдельно анализируются три различных механизма статьи 5: уведомление компетентного органа, обязанность экспортёра сообщить о выявленном опасном назначении и возможные национальные правила, основанные на наличии подозрения.

Доклад предлагает практическую модель корпоративного контроля: технический паспорт продукта, проверяемое досье по сделке, фиксацию нерешённых вопросов, точные условия лицензии, договорные и технические ограничения, событийный пересмотр после поставки и безопасную процедуру реагирования на сообщения о злоупотреблениях. Особое значение придаётся качеству доказательств: техническая связь продукта с инцидентом, установление оператора и доказательство незаконного применения рассматриваются как разные выводы.

Позиция ARGA заключается в необходимости адресного контроля, способного предотвращать серьёзные злоупотребления без превращения всей отрасли кибербезопасности и наблюдения в автоматически запрещённую сферу. Практический стандарт сводится к пяти вопросам: какая возможность передана, кому, почему операция допустима, какие новые факты способны изменить решение и каким образом организация сможет своевременно узнать об этих фактах.