ITAR und DFARS: Was Einkauf und Fertigung in der Elektronikbranche wissen müssen

Die Elektronikindustrie ist, wie zu erwarten, ein notorisch stark regulierter Sektor, angesichts ihrer Bedeutung in unserem täglichen Leben. Dies gilt insbesondere für Verteidigungs- und Luft- und Raumfahrtanwendungen. Zwei wichtige Vorschriften, die International Traffic in Arms Regulations (ITAR) und die Defense Federal Acquisition Regulation Supplement (DFARS), regeln den Export, Import und die Nutzung von verteidigungsbezogenen Technologien; die Nichteinhaltung dieser Vorschriften kann Elektronikhersteller in ernsthafte Schwierigkeiten bringen, mit schwerwiegenden rechtlichen und finanziellen Konsequenzen.

Wenn Sie ein Auftragsfertiger, ein Designbüro oder ein OEM sind und nach einem umfassenden Überblick über diese beiden entscheidenden Vorschriften suchen, sind Sie hier genau richtig. Lesen Sie weiter, um mehr über die Anforderungen, Herausforderungen und bewährten Verfahren zu erfahren, die Ihnen helfen werden, die Einhaltung zu gewährleisten und Risiken zu mindern, Ihre Geschäftsoperationen zu schützen und zur nationalen Sicherheit beizutragen. 

Verständnis von ITAR und DFARS

ITAR: Schutz von Verteidigungstechnologien

ITAR ist ein Satz von US-Regierungsvorschriften, verwaltet vom Außenministerium, der den Export und Import von Verteidigungsartikeln und -dienstleistungen sowie zugehörigen technischen Daten kontrolliert, einschließlich einer breiten Palette von elektronischen Komponenten und Systemen, die in militärischen und luft- und raumfahrttechnischen Anwendungen verwendet werden.

Wichtige ITAR-Anforderungen umfassen:

• Das Erlangen der notwendigen Exportlizenzen für den Export kontrollierter Güter. Beispielsweise würde der Export spezifischer Arten von Verschlüsselungsalgorithmen, insbesondere solcher mit starken kryptografischen Fähigkeiten oder spezialisierten Mikroprozessoren, wie strahlungsfesten Mikroprozessoren, in ein fremdes Land eine Lizenz erfordern.
• Die Kontrolle der Verbreitung technischer Daten, die zur Entwicklung von Verteidigungsartikeln beitragen könnten; das Teilen technischer Daten über einen kontrollierten Gegenstand mit einem ausländischen Staatsangehörigen, selbst wenn es sich um einen US-Bürger handelt, könnte als angenommener Export angesehen werden und eine Lizenz erfordern. 
• Die Einhaltung der ITAR-Anforderungen beim Teilen technischer Daten mit ausländischen Staatsangehörigen, auch innerhalb der USA.
• Das Führen genauer Aufzeichnungen über Exportaktivitäten und den Transfer technischer Daten. 

DFARS: Sicherstellung der Sicherheit der Verteidigungsversorgungskette

DFARS ist andererseits eine Reihe von Vorschriften, die vom US-Verteidigungsministerium (DoD) herausgegeben wurden und zusätzliche Richtlinien und Anforderungen für Verteidigungsbeschaffungen, einschließlich Verträgen, Beschaffung und Untervergabe, bieten.

Wichtige DFARS-Anforderungen umfassen:

• Umsetzung solider Cybersicherheitsmaßnahmen zum Schutz von Controlled Unclassified Information (CUI) und anderen sensiblen Daten, einschließlich spezifischer Maßnahmen wie Multi-Faktor-Authentifizierung, Verschlüsselung und regelmäßigen Sicherheitsaudits; Befolgung des NIST SP 800-171 Cybersecurity Frameworks, das einen Satz von Standards, Richtlinien und Best Practices zur Verwaltung von Cyber-Risiken bereitstellt; und die Ausrichtung an ISO/IEC 27001, dem internationalen Standard, der ein Modell für die Einrichtung, Implementierung, Betrieb, Überwachung, Überprüfung, Aufrechterhaltung und Verbesserung von Informationssicherheits-Managementsystemen bietet. 
• Schutz von geistigem Eigentum und Einhaltung von Datenrechtsanforderungen.
• Sicherstellung der Sicherheit und Integrität der Lieferkette, einschließlich Lieferantenauswahl und -überwachung. Dies beinhaltet die Durchführung gründlicher Sorgfaltsprüfungen bei Lieferanten, die Überprüfung ihrer Sicherheitspraktiken und die Sicherstellung, dass sie sich nicht in bedenklichen Ländern befinden. 
• Erreichung der Subunternehmerziele für kleine Unternehmen. Aktive Suche nach kleinen Unternehmen, um Subunternehmeranforderungen zu erfüllen und ihnen die notwendige Unterstützung für ihren Erfolg zu bieten. 
• Einhaltung von Vergabe- und Verwaltungsprozessen für Verträge, einschließlich Anforderungen an Kosten- und Preisdaten. 
• Führung genauer Aufzeichnungen und Bereitstellung der erforderlichen Berichte an das DoD. 

Compliance-Herausforderungen für Elektronikunternehmen

Elektronikunternehmen stehen einem harten regulatorischen Labyrinth gegenüber, wenn es um ITAR und DFARS geht. Für neue Unternehmen in diesem Bereich kann dies entmutigend sein, aber es ist nicht unüberwindlich. Hier sind einige der häufigsten Hürden: 

ITAR und DFARS für spezifische Geschäftsrollen

Kernanforderungen von ITAR für OEMs

OEMs, die in der Verteidigungs- und Luftfahrtindustrie tätig sind, müssen eine Reihe von ITAR-Vorschriften einhalten, zu denen gehören:

• Produkte, Komponenten und technische Daten genau zu klassifizieren, um festzustellen, ob sie den ITAR-Kontrollen unterliegen. 
• Die erforderlichen Exportlizenzen vom Außenministerium für den Export kontrollierter Artikel und technischer Daten zu erhalten, was das Ausfüllen detaillierter Exportlizenzanträge und die Bereitstellung genauer Endbenutzererklärungen umfasst. 
• Genau Aufzeichnungen über alle Exportaktivitäten zu führen, einschließlich Exportlizenzen, Versanddokumenten und Übertragungen technischer Daten – entscheidend für Compliance-Audits und mögliche Untersuchungen später.
• Cybersicherheitsmaßnahmen umzusetzen, um ITAR-kontrollierte Informationen vor unbefugtem Zugriff, Diebstahl oder Verlust zu schützen; könnte die Sicherung von Netzwerken, Systemen und Daten sowie die Durchführung regelmäßiger Sicherheitsbewertungen umfassen. 

DFARS für Vertragsfertiger

Vertragsfertiger, die Komponenten oder Systeme an das DoD oder dessen Auftragnehmer liefern, müssen spezifische DFARS-Klauseln einhalten, zu denen gehören:

• Cybersicherheitsmaßnahmen umzusetzen, um CUI und andere sensible Daten zu schützen, was oft die Einhaltung des NIST Cybersecurity Frameworks und anderer Branchenstandards beinhaltet.
• Eine gründliche Due-Diligence-Prüfung von Lieferanten durchführen, um deren Sicherheitspraktiken und die Einhaltung von ITAR und DFARS zu bewerten. Dieser Prozess wird die Überprüfung der Standorte von Lieferanten, die Durchführung von Audits und die Implementierung von Sicherheitsvereinbarungen mit Lieferanten umfassen.
• Die Einhaltung von DFARS-Untervertragsplänen, die Unterziele für kleine Unternehmen beinhalten können. 
• Das Verständnis und die Einhaltung von DFARS-Datenrechtsklauseln, die das Eigentum und die Nutzung von technischen Daten und Software regeln. 

Designfirmen und ITAR/DFARS

Designfirmen, die an Verteidigungs- und Luft- und Raumfahrtprojekten beteiligt sind, müssen ebenfalls sowohl die ITAR- als auch die DFARS-Vorschriften kennen, zu denen gehören:

ITAR-Implikationen:

• Die Kontrolle der Verbreitung von technischen Daten an ausländische Personen, auch innerhalb der Vereinigten Staaten. 
• Das Erlangen von Exportlizenzen für den Export von technischen Daten. 

DFARS-Anforderungen:

• Die Einhaltung von Cybersicherheitsanforderungen, einschließlich des Schutzes von CUI, Datenrechten und geistigem Eigentum. 
• Das Befolgen von Datenrechtsklauseln, die die Nutzung und Offenlegung bestimmter technischer Daten einschränken können. 

Best Practices für die Einhaltung von ITAR und DFARS

Es gibt viele Risiken, die mit der Nicht-Einhaltung von ITAR und DFARS verbunden sind. Vor diesem Hintergrund sollten Elektronikunternehmen ein Compliance-Programm einrichten, das sowohl effektiv als auch robust ist. Eine dedizierte Einzelperson oder ein Team sollte beauftragt werden, die Compliance-Bemühungen zu überwachen, mit dem Ziel, klare und präzise Richtlinien und Verfahren für den Umgang mit kontrollierten Artikeln, Exportkontrollen, Cybersicherheit und Lieferkettensicherheit zu entwickeln. Regelmäßige Schulungssitzungen sollten dann durchgeführt werden, um das Wissen der Mitarbeiter über ITAR- und DFARS-Anforderungen zu schulen und auf dem neuesten Stand zu halten, mit einem speziellen Schwerpunkt auf der Bedeutung der Compliance und den potenziellen Konsequenzen der Nicht-Einhaltung. 

Um sicherzustellen, dass wirksame Exportkontrollen vorhanden sind, müssen Unternehmen kontrollierte Artikel identifizieren, indem sie gründliche Überprüfungen von Produkten, Komponenten und technischen Daten durchführen, um festzustellen, ob sie ITAR-Kontrollen unterliegen; die erforderlichen Exportlizenzen von den zuständigen Regierungsbehörden beantragen und erhalten; und genaue Aufzeichnungen über alle Exportaktivitäten führen, zu denen Exportlizenzen, Versanddokumente und Endbenutzererklärungen gehören.

Darüber hinaus ist es wesentlich, dass geeignete Cybersicherheitsmaßnahmen vorhanden sind, um sensible Informationen und Systeme vor böswilligen Akteuren zu schützen.

• Potentielle Risiken identifizieren und bewerten, wie Cyberangriffe, Datenverletzungen und unbefugter Zugriff.
• Beschränken Sie den Zugang zu sensiblen Informationen und Systemen ausschließlich auf autorisiertes Personal.
• Aktualisieren Sie sowohl Software als auch Hardware stets mit den neuesten Sicherheitspatches und Updates.
• Halten Sie Mitarbeiter über die besten Praktiken der Cybersicherheit auf dem Laufenden, einschließlich Passwortsicherheit, Phishing-Bewusstsein und Taktiken der sozialen Ingenieurskunst.

Die Sicherheit der Lieferkette ist ein weiterer kritischer Schmerzpunkt, wenn es um die Einhaltung von ITAR und DFARS geht. Führen Sie immer eine gründliche Sorgfaltspflicht bei Lieferanten durch; prüfen und bewerten Sie jeden Kandidaten, um die Einhaltung notwendiger Standards zu gewährleisten, einschließlich des AS9100D-Qualitätsmanagementsstandards und des vom DoD entwickelten Cybersecurity Maturity Model Certification-Rahmens; überwachen Sie deren Leistung, um potenzielle Sicherheitsbedrohungen zu identifizieren, und implementieren Sie strenge Qualitätskontrollmaßnahmen, um die Einführung von gefälschten oder defekten Komponenten zu verhindern. Es könnte auch erwägenswert sein, Blockchain-Technologielösungen in Betracht zu ziehen, die unveränderliche Daten bezüglich der Reise einer Komponente durch die Lieferkette vom Ursprung her bereitstellen.

Und vergessen Sie nicht, dass die Erfüllung von Subunternehmerzielen für kleine Unternehmen eine Schlüsselanforderung für Verteidigungsunternehmer ist; Unternehmen müssen ein Netzwerk von qualifizierten kleinen Geschäftssubunternehmern identifizieren und aufbauen, die die technischen und Sicherheitsanforderungen erfüllen; eine genaue Aufzeichnung der Subunternehmerausgaben führen, um die Einhaltung der Ziele für die Nutzung kleiner Unternehmen zu gewährleisten; und die Schritte dokumentieren, die unternommen wurden, um kleine Unternehmen zu identifizieren, anzusprechen und Verträge mit ihnen abzuschließen. 

Das Verständnis und die Einhaltung der ITAR- und DFARS-Vorschriften sind eines der wichtigsten Elemente, die Elektronikanbieter berücksichtigen müssen, wenn sie in den Verteidigungs- und Luft- und Raumfahrtindustrien tätig sind; solide Compliance-Programme können Unternehmen helfen, Risiken zu mindern, ihren Ruf zu schützen und ihre Fähigkeit, Geschäfte mit der US-Regierung zu tätigen, aufrechtzuerhalten. Es ist jedoch wichtig zu beachten, dass ITAR und DFARS erstens komplex und zweitens ständig im Wandel sind. Um mit den neuesten Anforderungen Schritt zu halten, lohnt es sich, rechtliche und exportkontrollfachliche Experten zu konsultieren – professionelle Beratung trägt wesentlich dazu bei, alle notwendigen Schritte zur Einhaltung dieser Vorschriften zu unternehmen. 

Und denken Sie daran, proaktive Compliance ist unerlässlich. Investieren Sie in ein starkes Programm, um die Zukunft Ihres Unternehmens zu schützen und zur Sicherheit der Nation beizutragen. 

Suchen Sie eine sichere Umgebung, um sensible Elektronik-Design-Daten zu verwalten? Entdecken Sie Altium 365 GovCloud!