Das Memorandum baut auf einer Anordnung vom März auf, mit der Bundesbehörden einen robusteren Kurs gegen Cyberkriminalität einschlagen sollten. Nach Darstellung des Weißen Hauses fließen Amerikanern jedes Jahr Milliarden durch Betrugsmaschen, Ransomware-Angriffe und andere Cyberangriffe ab. Im nun veröffentlichten Dokument heißt es, die Vereinigten Staaten wollten „alle Instrumente nationaler Macht“ nutzen, darunter auch die innovativen Fähigkeiten des Privatsektors, um Cyberkriminalität zu bekämpfen.
Teilnehmende Firmen sollen Verträge mit dem DOJ oder DHS abschließen und ein strenges Prüfverfahren durchlaufen. Das Memorandum verlangt, dass ihre Arbeit den in den Umsetzungsleitlinien festgelegten strikten operativen Verfahren entspricht. Außerdem sollen die Unternehmen Zugriff auf Bedrohungsinformationen erhalten, die ihre Einsätze unterstützen können, und zusammen mit Bundes-, Bundesstaats- und lokalen Behörden gegen Cyberkriminalität vorgehen.
Die Genehmigung einzelner Einsätze bleibt jedoch eng an staatliche Kontrolle gebunden. Regierungsvertreter sollen jedes Operationspaket prüfen und dem beteiligten Unternehmen vor Beginn schriftliche Zustimmung und Anweisungen erteilen. DHS und DOJ sollen zudem einen Rahmen schaffen, nach dem Ziele identifiziert werden. Unternehmen müssen ihre Aktivitäten regelmäßig an die Bundesregierung melden.
Innerhalb von zwei Monaten sollen die Behörden Mindestanforderungen für die Teilnahme definieren. Dazu zählen laut Memorandum technische Befähigung, nachgewiesene Erfahrung mit Cyberoperationen, Sicherheit der Einrichtungen, Überprüfung des Personals, Kompetenz, Zuverlässigkeit und weitere Faktoren. Gesucht werden laut Memorandum sowohl große als auch kleine Firmen für verschiedene Teile des Programms. Das Weiße Haus reagierte nicht auf Anfragen, ob bereits Unternehmen einer Teilnahme zugestimmt haben.
Zu den Auflagen gehört auch weitgehende Transparenz gegenüber dem Staat. Teilnehmende Unternehmen müssen alle ihre vertraglichen Beziehungen offenlegen. Bei Verstößen gegen irgendeinen Teil der Vereinbarung droht eine Strafe von mindestens 1 Million US-Dollar. Zudem sollen die Firmen jährlich bewertet werden, um weiterhin am Programm teilnehmen zu dürfen.
Das Memorandum enthält auch Vorgaben für Fehlentwicklungen während eines Einsatzes. Verfahren müssen regeln, wie Unternehmen reagieren, wenn sie operative Aktivitäten entdecken, die die festgelegten Parameter überschreiten, etwa die unbeabsichtigte Zielerfassung einer US-Person, eines in den USA befindlichen Informationssystems oder eines von einer US-Person kontrollierten Informationssystems. In solchen Fällen müssen Unternehmen die Operation beenden, Maßnahmen zur Begrenzung durchführen und unverzüglich das NCC informieren, das wiederum das Justizministerium benachrichtigen soll.
Zusätzlich müssen Firmen die Bundesregierung informieren, wenn sie einen unmittelbar bevorstehenden Cyberangriff auf kritische Infrastruktur in den USA entdecken oder ein Komplott aufdecken, das zu Todesfällen führen könnte.
Offen bleibt laut Bericht, wie mit Fällen umgegangen werden soll, in denen Cybercrime-Gruppen mit staatlich gestützten Hackergruppen oder Regierungsstellen verflochten sind. In diesem Jahr erklärten Vertreter des State Department, es gebe Belege für Verbindungen vieler chinesischer Gruppen, die Scam-Zentren in Südostasien betreiben, zu Projekten der chinesischen Regierung. Das DOJ bezog zuletzt mehrere Regierungs- und Militärvertreter in Kambodscha und Myanmar in Anklagen ein, die sich gegen transnationale kriminelle Organisationen richten, die in beiden Ländern lukrative Liebes- und Finanzbetrugsmaschen aus Anlagen heraus betreiben.
Mehrere Cybersicherheitsexperten kritisierten nach dem Bericht fehlende rechtliche Schutzmechanismen im Memorandum. Sie äußerten Bedenken, dass ausländische Regierungen Beschäftigte von Cyberfirmen, die an dem Programm mitwirken, direkt ins Visier nehmen könnten. Andere verwiesen auf den Fall eines chinesischen Staatsbürgers, der im Urlaub in Italien festgenommen und an die USA ausgeliefert wurde, weil ihm vorgeworfen wird, für ein Cyberunternehmen gearbeitet zu haben, das im Auftrag der chinesischen Regierung Angriffe auf amerikanische Firmen ausgeführt habe.