Il cambiamento vero non è un nuovo bersaglio, ma una nuova regola di ingaggio: imprese private di sicurezza potranno essere autorizzate dal governo federale a condurre offensive cyber operations oltre confine. Questo sposta una capacità finora riservata allo Stato dentro un modello a contractor, con più esposizione su attribuzione, catena di comando e responsabilità legale.
Un memorandum presidenziale incarica l'NCC di costruire un programma sotto supervisione di DOJ e DHS per operazioni di cyber surveillance e cyber effects contro organizzazioni criminali transnazionali all'estero. Il perimetro citato include ransomware, sextortion, phishing, frodi finanziarie e impersonation scam, e non esclude tecniche pensate per bloccare o degradare sistemi e dati del bersaglio.
Per le società che potrebbero essere reclutate o candidarsi al programma, la novità è che l'operazione offensiva entra nel loro raggio d'azione contrattuale. Per il resto del settore, il segnale è più ampio: il confine tra difesa e azione attiva non è più solo una linea di policy interna, ma una questione di autorizzazione federale e controllo pubblico.