Grenzüberschreitende M&A: Due Diligence für sensible Technologien

Grenzüberschreitende Fusionen und Übernahmen befinden sich in einer Phase, die durch strenge nationale Sicherheitskontrollen und strategischen Technologiewettbewerb geprägt ist. Während strategische Käufer und Private-Equity-Investoren Zielunternehmen früher primär nach Marktposition, Marktanteilen und Umsatzwachstum bewerteten, unterliegen Transaktionen mit sensiblen Technologien heute einer behördlichen Prüfung über mehrere Jurisdiktionen hinweg. In einem Umfeld, in dem Softwarealgorithmen, moderne Rechenarchitekturen und proprietäre Datensätze über die nationale Wettbewerbsfähigkeit entscheiden, ist der Zukauf von Kapazitäten im Bereich künstlicher Intelligenz zu einer Priorität auf Vorstandsebene geworden. Eine PwC-Analyse der 100 größten Unternehmenstransaktionen im Jahr 2025 ergab, dass rund ein Drittel KI in der strategischen Begründung anführte; im Technologiesektor bezogen sich nahezu alle der größten angekündigten Deals in ihrer Begründung auf KI.[1]

Transaktionen, die KI-Modelle, fortschrittliches Halbleiterdesign, Quantencomputingsysteme, Biotechnologie und Dual-Use-Software umfassen, bringen jedoch erhebliche regulatorische Hürden mit sich. Grenzüberschreitende Kapitalallokationen, die früher innerhalb standardisierter vertraglicher Fristen abgeschlossen wurden, erfordern heute obligatorische Prüfanträge, behördenübergreifende Sicherheitsüberprüfungen und FDI-Untersuchungen. Werden Dual-Use-Risiken in der Datenraum-Due-Diligence nicht frühzeitig identifiziert, drohen gravierende Verzögerungen im Transaktionsprozess – von verlängerten Fristen bis zum Vollzug über kostspielige Auflagen bis hin zu behördlichen Untersagungen.

Zentrale sensible Technologiebereiche unter verstärkter Beobachtung

Deal-Teams, die Zielunternehmen in fortgeschrittenen Technologiesektoren bewerten, müssen erkennen, dass regulatorische Definitionen sensibler Technologien weit über die traditionelle Rüstungsbeschaffung hinausgehen. Moderne regulatorische Rahmenwerke erfassen handelsübliche Software und Hardware, wenn die zugrunde liegenden Vermögenswerte ein Dual-Use-Potenzial aufweisen:

Künstliche Intelligenz und maschinelles Lernen: Proprietäre Basismodelle, feinabgestimmte Modellgewichte, Pipelines für bestärkendes Lernen, autonome Entscheidungssysteme und Trainingsinfrastrukturen für Hochleistungsrechnen.

Halbleiter und Mikroelektronik: Software zur Automatisierung des Elektronikdesigns (EDA), Layouts integrierter Schaltkreise, fortschrittliche Verpackungstechnologien und Komponenten für Lithografieanlagen.

Quanteninformationstechnologien: Quantencomputer-Hardware, Quantensensorik-Geräte, Quantenschlüsselverteilung und kryptografische Algorithmen, die anfällig für Post-Quanten-Entschlüsselung sind.

Biotechnologie und synthetische Biologie: Automatisierte Software zur Genom-Editierung, proprietäre Genomdatenbanken, Plattformen zum Pathogenscreening und geistiges Eigentum für Biomanufacturing-Prozesse.

Fortschrittliche Dual-Use-Software: Autonome Navigation, Pipelines für Geointelligence, militärische Verschlüsselungsprotokolle und Firmware für industrielle Steuerungssysteme.

Da diese Technologie-Assets für militärische, nachrichtendienstliche oder Überwachungszwecke angepasst werden können, dürfen grenzüberschreitende Käufer die regulatorische Due Diligence nicht als isolierten Arbeitsstrang behandeln, der den finalen Phasen der Transaktionsdokumentation überlassen bleibt. Die frühzeitige Identifizierung und Quantifizierung regulatorischer Risiken im Diligence-Zeitplan ist unerlässlich, um den Transaktionswert und die Transaktionssicherheit zu wahren.

Prüfmechanismen für ausländische Direktinvestitionen (FDI) haben sich in ganz Nordamerika, Europa und dem asiatisch-pazifischen Raum rasant ausgeweitet. In den Vereinigten Staaten verfügt das Committee on Foreign Investment in the United States (CFIUS) über weitreichende Befugnisse zur Prüfung von Transaktionen, die zu einer ausländischen Kontrolle über ein US-Unternehmen führen könnten, sowie über bestimmte nicht-kontrollierende Investitionen in US-Unternehmen, die im Bereich kritischer Technologien, kritischer Infrastrukturen oder sensibler personenbezogener Daten tätig sind (TID-US-Unternehmen). Grenzüberschreitende Deal-Teams stehen vor erhöhten operativen Anforderungen, da die Executive Order 14083 das Komitee anweist, Faktoren wie die Widerstandsfähigkeit der Lieferkette und die technologische Führungsrolle der USA bei der Bewertung einer erfassten Transaktion zu berücksichtigen.[2]

Aktuelle regulatorische Daten verdeutlichen, wie selektiv formelle Abhilfemaßnahmen eingesetzt werden. Von den 209 Meldungen erfasster Transaktionen, die 2024 bei CFIUS eingereicht wurden, schloss das Komitee das Verfahren erst nach Annahme einer Minderungsvereinbarung oder Anordnung bei lediglich 16 Fällen ab – rund 8 Prozent –, wobei eine weitere Vereinbarung für eine Meldung getroffen wurde, die zurückgezogen und aufgegeben wurde.[2] Informelle Risikominderungen und die Transaktionsstrukturierung vor der Einreichung tragen daher die Hauptlast. Wenn formelle Vereinbarungen geschlossen werden, erlegen sie den Beteiligten oft erhebliche operative Beschränkungen auf, darunter Cybersicherheitsprüfungen durch Dritte, strukturelle Carve-outs sensiblen geistigen Eigentums und eingeschränkte Beobachterechte im Board. Darüber hinaus unterhalten Regulierungsbehörden aggressive Einheiten für nicht gemeldete Transaktionen, die ungeprüfte Deals proaktiv untersuchen, was ein langfristiges Rückabwicklungsrisiko für Sponsoren darstellt, die keine freiwillige Meldung abgeben.

Ermittlung der wirtschaftlich Berechtigten und Kontrahentenrisiken

Ein entscheidendes Erfordernis bei grenzüberschreitenden Inbound-Prüfungen ist die umfassende Zuordnung der letztendlichen wirtschaftlich Berechtigten (Ultimate Beneficial Ownership, UBO). Transaktionen, an denen direktes oder indirektes Kapital aus besorgniserregenden Ländern – insbesondere China und Russland – beteiligt ist, stoßen sofort auf regulatorische Hindernisse. Erwerber müssen über das unmittelbare Fondsvehikel oder die Unternehmensstruktur hinausblicken und vorgelagerte Limited Partners (LPs), Zuweisungen von Staatsfonds, Co-Investment-Vehikel und Kreditsyndikate eingehend analysieren.

Die Durchführung mehrstufiger Eigentümerprüfungen stellt sicher, dass nicht-kontrollierende Minderheitspositionen nicht unbeabsichtigt Schwellenwerte für nationale Sicherheitsüberprüfungen überschreiten – sei es durch Zugangsrechte zu technischen Daten oder durch informelle Sitze in Beratungsgremien.

Während sich Inbound-Prüfregime auf ausländisches Kapital konzentrieren, das in heimische Märkte fließt, agieren grenzüberschreitende Transaktionsakteure nun auch unter Prüfmechanismen für Outbound-Investitionen – umgangssprachlich als Reverse CFIUS bezeichnet. In den Vereinigten Staaten erließ das Finanzministerium am 28.[3] Oktober 2024 endgültige Vorschriften zur Umsetzung der Executive Order 14105, kodifiziert unter 31 CFR Part 850 und wirksam ab dem 2. Januar 2025. Dieses Rahmenwerk schränkt inländische Personen und ihre ausländischen Tochtergesellschaften darin ein, Kapital, Management-Know-how und technische Ressourcen in sensiblen Sektoren im Ausland bereitzustellen.

Das Reverse-CFIUS-Regime zielt speziell auf Investitionen in erfasste ausländische Personen mit Bezug zur Volksrepublik China ab, einschließlich der Sonderverwaltungszonen Hongkong und Macau. Die Vorschriften etablieren einen zweigleisigen Rahmen, der Transaktionen in verbotene Investitionen und verbindliche Meldepflichten unterteilt. Das Hauptziel besteht darin zu verhindern, dass inländisches Kapital und damit verbundene immaterielle Vorteile wie Vorstands- oder Beiratssitze, strategische Talentnetzwerke und operative Beratung militärische sowie Überwachungstechnologien in ausländischen Jurisdiktionen vorantreiben.

Bewertung von Meldepflichten im Vergleich zu strikten Verboten

Private-Equity-Deal-Teams, Venture-Capital-Fonds und strategische Unternehmenskäufer müssen potenzielle ausländische Zielunternehmen anhand präziser technischer Parameter in drei Kernsektoren klassifizieren:

Fortgeschrittene Halbleiter und Mikroelektronik: Strikte Verbote gelten für Transaktionen im Zusammenhang mit bestimmter Electronic Design Automation (EDA)-Software, bestimmten Fertigungs- oder hochentwickelten Packaging-Werkzeugen, dem Design oder der Fertigung bestimmter moderner integrierter Schaltkreise sowie Supercomputern. Das Design, die Fertigung oder das Packaging von integrierten Schaltkreisen, die nicht anderweitig verboten sind, lösen eine Meldepflicht aus.[3]

Quanteninformationstechnologien: Verbote greifen auf breiter Front bei Transaktionen zur Entwicklung von Quantencomputern und kritischen Komponenten, bestimmten Quantensensorik-Plattformen sowie bestimmten Quantennetzwerken oder Kommunikationssystemen aufgrund ihrer direkten Anwendungen in der Kryptanalyse und Überwachung.

Künstliche Intelligenzsysteme: Strikte Verbote gelten für KI-Systeme, die ausschließlich für bestimmte Endverwendungen konzipiert oder bestimmt sind, sowie für KI-Systeme, die mit mehr als 10^25 Rechenoperationen trainiert wurden (oder mehr als 10^24, wenn sie primär auf biologischen Sequenzdaten trainiert wurden). KI-Systeme, die mit mehr als 10^23 Rechenoperationen trainiert wurden oder für bestimmte andere Endverwendungen entwickelt wurden, unterliegen der Meldepflicht.

Unter diesen Outbound-Regeln müssen Investment-Professionals vor dem Vollzug jeder grenzüberschreitenden Transaktion eine angemessene und sorgfältige Prüfung durchführen. Transaktionsdokumente müssen spezifische Garantien und Gewährleistungen enthalten, die bestätigen, dass das Zielunternehmen keine erfassten Aktivitäten ausübt oder Offshore-Forschungstochtergesellschaften in beschränkten Gebieten betreibt.

Exportkontrollen stellen eines der unmittelbarsten operativen Risiken bei M&A-Transaktionen im Bereich sensibler Technologien dar. Erwerber unterschätzen häufig, wie Exportkontrollgesetze auf immaterielle Software-Assets angewendet werden. Nach den U.S. Export Administration Regulations (EAR), den International Traffic in Arms Regulations (ITAR) und der EU-Dual-Use-Verordnung (Verordnung (EU) 2021/821) gilt die grenzüberschreitende Übertragung technischer Daten, von Quellcode oder KI-Modellgewichten rechtlich als Export.[4]

Selbst die Gewährung des Zugriffs auf interne Code-Repositories oder technische Baupläne für ausländische Mitarbeiter im Inland kann nach US-amerikanischem und europäischem Recht Deemed-Export-Regeln auslösen. Wenn ein Zielunternehmen grenzüberschreitende Entwicklerteams in Asien, Osteuropa oder Lateinamerika beschäftigt, können ungenehmigte Softwaretransfers zu verschuldensunabhängigen Rechtsverstößen, erheblichen Geldstrafen und dem sofortigen Entzug von Exportlizenzen führen.

Immaterielle Technologietransfers und Governance von Modellgewichten

Im Bereich der künstlichen Intelligenz werden Modellgewichte, Trainingsskripte und Pipelines zur Datensatzkuration zunehmend als kontrollierte Dual-Use-Technologien eingestuft. Deal-Teams müssen eine tiefgehende technische Due Diligence durchführen, um festzustellen, ob die proprietäre Software des Zielunternehmens Schnittstellen zu kontrollierter Mikroelektronik aufweist oder spezialisierte Algorithmen enthält, die multilateralen Exportkontrollregimen unterliegen.

Export Control Classification Number (ECCN) Audit: Überprüfen Sie, ob das Zielunternehmen sämtliche proprietäre Software, Hardwaremodule und Verschlüsselungsbibliotheken gemäß der Commerce Control List (CCL) und den Kontrolllisten des EU-Anhangs I korrekt klassifiziert hat.

Verifizierung von Deemed Exports: Prüfen Sie die Einstellungspraktiken im Engineering-Bereich, die Visaklassifizierungen und die internen Zugriffskontrollsysteme des Zielunternehmens, um sicherzustellen, dass ausländische Entwickler keinen unbefugten Zugriff auf kontrollierte technische Daten besitzen.

Globales Entity-List-Screening: Gleichen Sie die gesamte Lieferantenbasis, Unternehmenskunden, Vertriebskanäle und akademischen Forschungspartner des Zielunternehmens mit der Entity List des U.S. Bureau of Industry and Security (BIS), der Unverified List und den konsolidierten EU-Sanktionslisten ab.

Eindämmung der technischen Architektur: Überprüfen Sie die Grenzen der Cloud-Infrastruktur, um sicherzustellen, dass automatisierte Pipelines zur Modellsynchronisation keine proprietären Gewichte auf Server in beschränkten Rechtsräumen übertragen.

Ein umfassendes Exportkontroll-Audit verhindert Haftungsrisiken nach der Akquisition und stellt sicher, dass Ziel-Assets in die breitere Unternehmensplattform des Erwerbers integriert werden können, ohne gegen internationale Sanktionen oder Handelsbeschränkungen zu verstoßen.

Grenzüberschreitende Datenströme haben sich von reinen Fragen des Datenschutzes zu zentralen Themen der nationalen Sicherheit gewandelt. In den Vereinigten Staaten veröffentlichte das Department of Justice seine Final Rule unter 28 CFR Part 202 zur Umsetzung der Executive Order 14117, um zu verhindern, dass feindselige ausländische Staaten Zugriff auf sensible personenbezogene Massendaten von US-Bürgern und Daten mit Bezug zur US-Regierung erhalten. Dieses Regulierungsprogramm setzt klare Grenzen für Datentransfers in benannte bedenkliche Staaten.[5]

Die Regelung deckt bestimmte Kategorien sensibler personenbezogener Daten ab, sobald das Transaktionsvolumen definierte Mengenschwellen überschreitet, darunter humangenomische und andere 'omics-Daten, biometrische Identifikatoren, präzise Geolokalisierungsdaten, persönliche Gesundheitsdaten und Finanzunterlagen. Die Verordnung legt zudem eine strikte Eigentumsschwelle von 50 Prozent fest und stuft jede Einheit, die nach ausländischem Recht organisiert ist oder sich zu mindestens 50 Prozent im Eigentum eines bedenklichen Staates oder einer erfassten Person befindet, als beschränkte Partei ein.[5]

Evaluierung von Daten-Pipelines und geopolitischen Risiken

Dealmaker, die Software-, Digital-Health-, Fintech- oder Cloud-Plattformen ins Visier nehmen, müssen in der Diligence-Phase detaillierte Data-Lineage-Audits durchführen. Regulatorische Beschränkungen gelten nicht nur für den direkten Verkauf von Datensätzen, sondern auch für Dienstleisterverträge, Arbeitsverträge und Investitionsvereinbarungen, die ausländischen Vertragspartnern administrativen oder analytischen Zugriff auf personenbezogene Massendatensätze gewähren.

Kartierung der Datenarchitektur: Dokumentation der geografischen Speicherung, Übertragungswege und Cloud-Hosting-Regionen für sämtliche Verbraucher- und regierungsbezogenen Daten im Besitz des Zielunternehmens.

Exposition gegenüber Drittanbietern: Identifizierung von Offshore-Analyseanbietern, Software Development Kits (SDKs) von Drittanbietern und externen Daten-Labeling-Dienstleistern, die in erfassten Rechtsordnungen tätig sind.

Sicherheitsanforderungen und datenschutzfördernde Technologien: Überprüfung, ob das Zielunternehmen vorgeschriebene Cybersicherheitskontrollen wie Ende-zu-Ende-Verschlüsselung, automatisierte Datenminimierung und datenschutzfreundliche Maskierung bei der Interaktion mit internationalen Cloud-Diensten durchsetzt.

Auditierung von Zugriffskontrollen: Überprüfung interner administrativer Zugriffsprotokolle, um sicherzustellen, dass Offshore-Entwicklungsteams keine Abfragen auf rohe personenbezogene Datensätze oder Geolokalisierungsdatenbanken durchführen können.

Das Versäumnis, nicht konforme Datentransfer-Pipelines zu identifizieren, kann Erwerber schweren Durchsetzungsmaßnahmen, behördlichen Datenlöschungsanordnungen und erheblichen operativen Störungen während der Post-Merger-Integration aussetzen.

Traditionelle Due-Diligence-Ansätze stützen sich stark auf stichprobenartige manuelle Prüfungen in virtuellen Datenräumen (VDR) – ein Verfahren, das angesichts des Umfangs und der Komplexität regulatorischer Compliance-Dokumentationen bei modernen grenzüberschreitenden Transaktionen zunehmend unzureichend ist. Ein einzelnes mittelständisches Software-Zielunternehmen kann problemlos Zehntausende von Seiten generieren, die kommerzielle Verträge, Exportklassifizierungsunterlagen, Open-Source-Softwarelizenzen, öffentliche Beschaffungspläne und Auftragsverarbeitungsverträge umfassen.

Manuelle Prüfungsteams stehen unter hohem Zeitdruck und haben oft Mühe, subtile regulatorische Anomalien zu erkennen, die über verstreute Datenraumordner verteilt sind. Ein Offshore-Softwarelieferantenvertrag in einem IT-Anhang, eine nicht genehmigte akademische Forschungskooperation in einem Entwickler-Memo oder eine unklare Endnutzerzertifizierung in einem Kundenvertrag können standardmäßigen Stichwortsuchen leicht entgehen.

Automatisierte Extraktion von Signalen zu sensiblen Technologien

Moderne Deal-Teams setzen zunehmend spezialisierte KI-Diligence-Plattformen ein, um die Dokumentenaufnahme zu automatisieren und die Risikoerkennung bei anspruchsvollen Transaktionen zu beschleunigen. Fortschrittliche Plattformen wie die AI-Analysis Engine erfassen und analysieren Tausende komplexer Dokumente, technischer Whitepaper und Cap Tables innerhalb von Minuten. Durch den Abgleich vielschichtiger Vertragsklauseln mit internationalen Kontrolllisten und Sanktionsdatenbanken deckt die Engine verborgene Compliance-Schwachstellen mit hoher Präzision auf.

Automatisierter Vertragsabgleich: Durchsucht alle kommerziellen Vereinbarungen, Lizenzverträge und Vertriebspläne, um restriktive geografische Klauseln, Dual-Use-IP-Transferklauseln und Offshore-Serververpflichtungen zu identifizieren.

Sanktions- und Entity-List-Prüfung: Gleicht Kundenregister, Offshore-Lieferanten und akademische Forschungspartner automatisch mit globalen Handels-Watchlists ab.

Rückverfolgbarkeit vom Befund zur Quelle: Verknüpft jeden identifizierten Compliance-Hinweis direkt mit den genauen Seitenzahlen und Klauseln in der Quelldokumentation des Datenraums und schafft so einen nachprüfbaren Prüfpfad.

Mehrdimensionale Diligence-Synthese: Führt technische, kommerzielle und regulatorische Erkenntnisse in strukturierten Risikoprofilen zusammen, sodass Deal-Leads das regulatorische Risiko ganzheitlich bewerten können.

Die automatisierte Extraktion regulatorischer und technischer Signale ermöglicht es Private-Equity- und Corporate-Development-Experten, sich ganz auf die strategische Risikobewertung und Verhandlungen auf höchster Ebene zu konzentrieren.

Das Aufdecken regulatorischer Risiken während der Due Diligence verschafft Dealmakern den nötigen Hebel, um Transaktionsstrukturen anzupassen und den Unternehmenswert nach unten abzusichern. Statt komplexe Transaktionen abzubrechen, nutzen erfahrene Sponsoren strukturierte Diligence-Ergebnisse, um risikobereinigte Bewertungen, Governance-Anpassungen und robuste vertragliche Schutzmechanismen zu verhandeln.

Wenn die Due Diligence erhebliche Risiken im Bereich ausländischer Direktinvestitionen oder Exportkontrollen aufdeckt, können die Transaktionsparteien die Deal-Architektur durch gezielte Mechanismen anpassen:

Governance-Carve-Outs: Beschränkung des Zugangs ausländischer Investoren zu technischen Ausschüssen, Board-Observer-Sitzen und ungeschwärztem Engineering-Quellcode, um die Auslösung verpflichtender nationaler Sicherheitsprüfungen zu vermeiden.

Vollzugsbedingungen und regulatorische Covenants: Aufnahme ausdrücklicher Vollzugsbedingungen (Closing Conditions), die eine explizite behördliche Genehmigung (wie eine CFIUS-Freigabe oder nationale Sicherheitsgenehmigung) vor der Freigabe von Transaktionsgeldern vorschreiben.

Spezifische Freistellungen und Sonder-Treuhandkonten: Einrichtung zweckgebundener Escrow-Konten und maßgeschneiderter Verkäuferfreistellungen zur Deckung potenzieller historischer Exportkontrollstrafen, nicht gemeldeter Transaktionsverbindlichkeiten oder Datenbereinigungskosten.

Operatives und IP-Ring-Fencing: Strukturierung von Post-Closing-Integrationsplänen, die sensible Technologieeinheiten physisch und logisch isolieren und so eine unbefugte grenzüberschreitende Weitergabe von Quellcode verhindern.

Wesentlichkeitsbewertung mit Risk Radar

Um komplexe Transaktionsrisiken effektiv zu steuern, nutzen Deal-Teams spezialisierte Analysetools wie Risk Radar, um die Wesentlichkeit von Anomalien zu bewerten, potenzielle finanzielle Verbindlichkeiten zu quantifizieren und den Umsetzungsgrad von Minderungsmaßnahmen über alle Workstreams hinweg zu verfolgen. Durch die Kategorisierung regulatorischer Warnsignale nach Schweregrad und Deal-Relevanz können Investment Committees fundierte, evidenzbasierte Kapitalallokationsentscheidungen treffen.

Verpflichtender Hinweis zur anwaltlichen Prüfung: Während KI-native Due-Diligence-Tools Anomalien zügig aufdecken, Offenlegungslücken kennzeichnen und komplexe Datenraum-Nachweise strukturieren, erfordern alle KI-generierten Ergebnisse – insbesondere regulatorische, rechtliche, sanktionsbezogene und steuerliche Bewertungen – eine unabhängige Bestätigung und Prüfung durch qualifizierte Rechts- und Regulierungsberater. KI-Diligence-Tools bieten keine Rechts-, Steuer- oder Regulierungsberatung, und Deal-Teams müssen sich auf erfahrene Rechtsberater verlassen, um formelle Anmeldungen zu strukturieren und grenzüberschreitende Transaktionsverträge abzuschließen.

Plausity ist eine KI-native Due-Diligence-Plattform, die M&A-Beratungen, VC- und PE-Fonds sowie Corporate-Development-Teams dabei unterstützt, Nachweise, Findings und Fragen entlang eines Datenraums zu strukturieren. Plausity ersetzt keine menschlichen Berater, garantiert keine Deal-Ergebnisse und liefert keine Rechts-, Steuer-, Prüfungs- oder Regulierungsberatung — insbesondere regulatorische Findings müssen durch qualifizierte Fachberater bestätigt werden.

Weitere Details zu den Kernbausteinen finden Sie beim Plausity AI Analysis Engine und in der Findings & Risk Intelligence-Übersicht. Für team-spezifische Workflows sehen Sie, wie VC- und PE-Fonds und M&A-Beratungen Plausity in laufenden Deals einsetzen.

1. [1] pwc.com — https://www.pwc.com/gx/en/issues/c-suite-insights/the-leadership-agenda/m-and-a-outlook.html
2. [2] home.treasury.gov — https://home.treasury.gov/system/files/206/2024-CFIUS-Annual-Report.pdf
3. [3] home.treasury.gov — https://home.treasury.gov/news/press-releases/jy2690
4. [4] eur-lex.europa.eu — https://eur-lex.europa.eu/EN/legal-content/summary/dual-use-export-controls.html
5. [5] justice.gov — https://www.justice.gov/archives/opa/pr/justice-department-issues-final-rule-addressing-threat-posed-foreign-adversaries-access