Anders als im Telekommunikationsrecht müssten Ministerinnen und Minister einen Anbieter nicht mehr vorab öffentlich als Sicherheitsrisiko einstufen, bevor sie gegen ihn vorgehen. Auch eine Pflicht, dem betroffenen Lieferanten eine Kopie der Anordnung zuzustellen, ist nicht vorgesehen. Der Anwendungsbereich reicht deutlich über die Telekommunikation hinaus.
Die Regierung begründet das Vorhaben damit, eingreifen zu können, wenn Betreiber wesentlicher Dienste Technik „von Lieferanten beschaffen wollen, die ein kritisches Risiko für die nationale Sicherheit darstellen könnten, insbesondere wenn sie Verbindungen zu feindlich gesinnten Staaten haben, die Produkte zur Spionage, zur Sabotage von Systemen oder zur Verursachung von Störungen nutzen könnten".
Das neue Instrument heißt in den Änderungsanträgen „lieferantenbezogene Anordnung" (vendor-related direction) und folgt eng dem Mechanismus des Telecommunications (Security) Act 2021, mit dem Huawei-Technik aus den britischen 5G-Netzen gedrängt wurde. Beide Regelwerke erlauben Eingriffe aus Gründen der nationalen Sicherheit. Zwar müssten normalerweise sowohl das betroffene Unternehmen als auch der Lieferant vorab Gelegenheit zur Stellungnahme erhalten – dieser Schritt kann nach den neuen Vorschlägen jedoch mit Verweis auf die nationale Sicherheit übergangen werden.
Eine Neuerung gegenüber dem Telekommunikationsgesetz ist eine Veröffentlichungspflicht: Die Regierung müsste bekanntgeben, dass eine Anordnung ergangen ist und an wen sie sich richtet. Der betroffene Anbieter muss dabei aber nicht genannt werden. Einzelheiten dürfen aus Gründen der nationalen Sicherheit oder aus kommerziellen Erwägungen zurückgehalten werden, und dem Empfänger kann untersagt werden, öffentlich über die Anordnung zu sprechen. Auch wer vorab konsultiert wurde, kann zum Schweigen über die Konsultation verpflichtet werden.
In der Praxis könnte damit ein Wasserversorger, ein Krankenhausbetreiber oder ein Rechenzentrumsbetreiber öffentlich als Empfänger einer Regierungsanweisung benannt werden, ohne dass bekannt wird, von welchem Lieferanten er sich trennen soll. Der Gesetzentwurf lässt der Regierung allerdings Spielraum, eine Anordnung zu veröffentlichen, wenn sie das für im nationalen Interesse liegend hält. Sicherheitsbehörden haben in anderen umstrittenen Fällen auf mehr Transparenz gedrungen – etwa bei Apples Vorstoß zur Ende-zu-Ende-Verschlüsselung für iCloud, wo vergleichbare geheime Befugnisse als nicht haltbar und nicht zu rechtfertigen bezeichnet wurden.
Gegenüber dem Parlament soll die Regierung jährlich über die Zahl der erlassenen Anordnungen, die betroffenen Sektoren sowie darüber berichten, wie viele davon später geändert oder aufgehoben wurden.
Die Befugnisse blieben nicht auf die regulierten kritischen Sektoren beschränkt: Per Verordnung könnten Ministerinnen und Minister jede Person benennen, die aus ihrer Sicht in Großbritannien einer wesentlichen Tätigkeit nachgeht oder wesentliche Güter und Dienstleistungen bereitstellt – und damit auch Unternehmen erfassen, die vom Gesetz sonst nicht abgedeckt wären.
Wer eine Anordnung erhält, benötigt zudem eine schriftliche Genehmigung der Regierung, bevor er externe Fachleute zur Umsetzung hinzuzieht. Bei der Entscheidung darüber kann sich die Regierung auf eine vom GCHQ veröffentlichte Liste von Spezialisten stützen.