Die neue Einstufung ist nicht an bestimmte Marken oder ein namentlich genanntes Land gebunden. Nach den beiden nationalen Sicherheitsbewertungen, die der FCC am 27. Juli übermittelt wurden, gilt als „ausländisch produziert“ jeder Artikel, der nicht als „inländisches Endprodukt“ nach dem Buy-American-Standard in 48 CFR 25.101(a) qualifiziert. Welche Geräte konkret erfasst sind, entscheidet damit nicht eine veröffentlichte Hersteller- oder Modellliste, sondern eine Kombination aus Produktionskriterien und technischen Merkmalen.
Für mobile Roboter zieht die FCC die Grenze vergleichsweise detailliert. Erfasst sind mechanische, mobile Geräte, die sich am Boden fortbewegen, Hindernisse umgehen oder navigieren können und in Distanz zu einem menschlichen Bediener auf Basis von Befehlen oder Sensordaten arbeiten. Sie müssen einschließlich gegebenenfalls zugehöriger Docking- oder Bodenstation mehr als 4,4 Pfund wiegen, einen Umgebungssensor mitführen und kabelgebundene oder drahtlose Kommunikation mit 200 kbps oder mehr in beide Richtungen unterstützen.
Hinzu kommt eine Software-Komponente: Das Gerät muss lokal oder aus der Ferne Software ausführen, die Bewegung, Wahrnehmung, Datenerfassung oder Fernsteuerung kontrolliert. Laut FCC umfasst diese Anforderung auch Firmware sowie Gewichte von Modellen für künstliche Intelligenz oder maschinelles Lernen. In einem Faktenblatt nennt die Behörde die Kategorie „mobile Roboter wie Humanoide und Quadrupeden“, die eigentliche Festlegung reicht aber weiter. Ausgenommen sind vernetzte Straßenfahrzeuge unabhängig vom Gewicht, reine Schienenfahrzeuge, unbemannte Luftfahrzeuge, unbemannte Unterwasserfahrzeuge, von der FDA regulierte Medizin- und Mobilitätshilfen sowie fest installierte Industriearme einschließlich SCARA-, Portal- und Delta-Bauformen.
Die Sicherheitsbegründung für Roboter stützt sich unter anderem auf drei veröffentlichte Berichte. Einer beschreibt eine Feststellung aus dem frühen Jahr 2026, wonach ein Forscher auf Kamerabilder, Mikrofon-Audio und Grundrisskarten von Tausenden Haushaltsrobotern zugreifen konnte. Außerdem verweist die FCC auf UniPwn-Forschung zu vier mit Bluetooth Low Energy zusammenhängenden CVEs, darunter CVE-2025-35027. Die Angriffskette verschaffte den Forschern Root-Befehlsausführung auf Geräten der Modelle Go2, B2, G1 und H1 und konnte sich über Bluetooth Low Energy auf nahe Geräte ausbreiten. Als drittes nennt die Behörde CVE-2025-2894, wodurch jeder mit dem korrekten API-Schlüssel über den CloudSail-Dienst die vollständige Fernsteuerung von Unitree-Go1-Quadrupeden erlangen konnte.
Bei Wechselrichtern erfasst die Definition Systeme, die Gleichstrom in Wechselstrom oder umgekehrt umwandeln und Komponenten für Fernkommunikation, Steuerung, Sensorik, Datenerfassung oder Überwachung enthalten. In ihrer Begründung schreibt die FCC, Fernzugriffe könnten genutzt werden, um Geräte abzuschalten, Daten abzuziehen, Überwachung zu ermöglichen oder Cyberangriffe auf kritische Infrastruktur zu unterstützen.
Als Belege nennt die Behörde unter anderem Forescouts SUN:DOWN-Forschung, die 46 Schwachstellen in Produkten von Sungrow, SMA und Growatt dokumentierte. Der Bericht beschrieb mögliche Manipulationen ganzer Geräteflotten und Instabilitäten im Stromnetz, jedoch keine beobachtete Störung. Zudem verweist die Entscheidung auf das Idaho National Laboratory zu Risiken in Lieferketten und bei Fernverbindungen, auf ERCOT zur Möglichkeit eines schnellen Netzzusammenbruchs im schlimmsten Fall sowie auf einen Fall, in dem ein ausländischer Hersteller nach einem Streit mit einem US-Vertriebspartner Wechselrichter aus der Ferne deaktivierte. Das betroffene Unternehmen wird nicht genannt.
Hersteller können bei der FCC eine bedingte Genehmigung beantragen. Für Robotikgeräte kann das Department of War zustimmen, für Wechselrichter das Department of War oder das Department of Homeland Security. Anträge müssen bis zum 1. Januar 2028 eingereicht werden. Die Maßnahme ist die dritte kategorieweite Covered-List-Entscheidung nach ausländisch produzierten Drohnen im Dezember 2025 und Verbraucher-Routern im März 2026.