我在我们的美国初创公司负责产品安全，我计划使用NaCl 进行加密（实际上是Sodium）。

我正试图在美国出口法规的迷宫中导航——这是我以前从未处理过的。

到目前为止，我知道美国的加密出口受 EAR 和 BIS 管辖。后者对包含加密的软件进行分类，并将每个产品分配给 ECCN（出口分类控制编号）类别。

我不是在这里寻求法律建议，您将如何解决？真的需要外行来对使用开源加密库的产品进行分类吗？

更新： Apache Foundation 矩阵将其所有软件分类为 ECCN 5D002，并在 EAR 740.13(e) 中的 TSU 例外下将其导出。 OpenSSL 软件基金会走同样的路。

也就是说，我现在必须弄清楚使用开源加密库的封闭源代码软件是否也可以在 EAR 740.13(e) 例外情况下导出，或者是否存在另一个适用的例外情况。

先感谢您。