ITAR e DFARS: O que a Aquisição e Fabricação de Eletrônicos Precisam Saber

A indústria eletrônica é notoriamente um setor altamente regulamentado, como se esperaria, dada a sua importância em nossas vidas cotidianas. Isso é particularmente verdadeiro quando se trata de aplicações de defesa e aeroespaciais. Duas regulamentações chave, o Regulamento Internacional de Tráfego de Armas (ITAR) e o Suplemento de Regulamentação Federal de Aquisição de Defesa (DFARS), governam a exportação, importação e uso de tecnologias relacionadas à defesa; a não conformidade com essas regulamentações pode colocar os fabricantes de eletrônicos em uma situação difícil, com graves consequências legais e financeiras.

Se você é um fabricante contratado, empresa de design ou OEM procurando uma visão geral abrangente dessas duas regulamentações cruciais, você está no lugar certo. Continue lendo para descobrir sobre os requisitos, desafios e melhores práticas que ajudarão a garantir a conformidade e mitigar riscos, proteger suas operações comerciais e contribuir para a segurança nacional. 

Entendendo ITAR e DFARS

ITAR: Protegendo Tecnologias de Defesa

ITAR é um conjunto de regulamentações do governo dos EUA administrado pelo Departamento de Estado que controla a exportação e importação de artigos e serviços de defesa e dados técnicos relacionados, incluindo uma ampla gama de componentes e sistemas eletrônicos usados em aplicações militares e aeroespaciais.

Requisitos chave do ITAR incluem:

• Obtenção das licenças de exportação necessárias para a exportação de itens controlados. Por exemplo, a exportação de tipos específicos de algoritmos de criptografia, especialmente aqueles com capacidades criptográficas fortes ou microprocessadores especializados, como microprocessadores endurecidos à radiação, para um país estrangeiro exigiria uma licença.
• Controlar a disseminação de dados técnicos que poderiam contribuir para o desenvolvimento de artigos de defesa; compartilhar dados técnicos sobre um item controlado com um nacional estrangeiro, mesmo que seja um cidadão dos EUA, poderia ser considerado uma exportação presumida e exigir uma licença. 
• Cumprir com os requisitos do ITAR ao compartilhar dados técnicos com nacionais estrangeiros, mesmo dentro dos EUA.
• Manter registros precisos das atividades de exportação e transferências de dados técnicos. 

DFARS: Garantindo a Segurança da Cadeia de Suprimentos de Defesa

DFARS, por outro lado, é um conjunto de regulamentos emitidos pelo Departamento de Defesa dos EUA (DoD) que fornece diretrizes e requisitos adicionais para aquisições de defesa, incluindo contratos, aquisições e subcontratação.

Requisitos chave do DFARS incluem:

• Implementando medidas sólidas de cibersegurança para proteger Informações Controladas Não Classificadas (CUI) e outros dados sensíveis, incluindo medidas específicas como autenticação multifator, criptografia e auditorias de segurança regulares; seguindo o Framework de Cibersegurança NIST SP 800-171, que fornece um conjunto de padrões, diretrizes e melhores práticas para gerenciar o risco cibernético; e alinhando-se com ISO/IEC 27001, o padrão internacional que fornece um modelo para estabelecer, implementar, operar, monitorar, revisar, manter e melhorar Sistemas de Gestão de Segurança da Informação. 
• Protegendo os direitos de propriedade intelectual e cumprindo com os requisitos de direitos de dados.
• Garantindo a segurança e integridade da cadeia de suprimentos, incluindo a triagem e monitoramento de fornecedores. Isso envolve realizar uma due diligence minuciosa sobre os fornecedores, verificar suas práticas de segurança e garantir que eles não estejam localizados em países de preocupação. 
• Atendendo aos objetivos de subcontratação de pequenas empresas. Buscando ativamente pequenas empresas para cumprir os requisitos de subcontratação e fornecendo-lhes o suporte necessário para ter sucesso. 
• Adotando processos de concessão e administração de contratos, incluindo requisitos de dados de custo e preço. 
• Mantendo registros precisos e fornecendo os relatórios exigidos pelo DoD. 

Desafios de Conformidade para Empresas de Eletrônicos

As empresas de eletrônicos enfrentam um labirinto regulatório desafiador ao lidar com ITAR e DFARS. Pode ser assustador para novas empresas no setor, mas não é intransponível. Aqui estão alguns dos obstáculos mais comuns: 

ITAR e DFARS para Funções de Negócios Específicas

Requisitos centrais do ITAR para OEMs

Fabricantes de equipamento original (OEMs) envolvidos na indústria de defesa e aeroespacial devem aderir a uma série de regulamentações ITAR, que incluem:

• Classificar corretamente produtos, componentes e dados técnicos para determinar se estão sujeitos a controles ITAR. 
• Obter as licenças de exportação necessárias do Departamento de Estado para a exportação de itens controlados e dados técnicos, o que envolve completar aplicações detalhadas de licença de exportação e fornecer declarações precisas do usuário final. 
• Manter registros precisos de todas as atividades de exportação, incluindo licenças de exportação, documentos de envio e transferências de dados técnicos—crucial para auditorias de conformidade e possíveis investigações futuras.
• Implementar medidas de cibersegurança para proteger informações controladas pelo ITAR de acesso não autorizado, roubo ou perda; pode incluir a segurança de redes, sistemas e dados, bem como a realização de avaliações regulares de segurança. 

DFARS para Fabricantes Contratados

Fabricantes contratados que fornecem componentes ou sistemas para o DoD ou seus contratados devem cumprir com cláusulas específicas do DFARS, que incluem:

• Implementar medidas de cibersegurança para proteger CUI e outros dados sensíveis, o que frequentemente envolve aderir ao Framework de Cibersegurança da NIST e outros padrões da indústria.
• Realizar uma diligência detalhada sobre os fornecedores para avaliar suas práticas de segurança e conformidade com ITAR e DFARS. Esse processo envolverá verificar os locais dos fornecedores, conduzir auditorias e implementar acordos de segurança com fornecedores.
• Cumprir com os planos de subcontratação do DFARS, que podem incluir metas de subcontratação para pequenas empresas. 
• Entender e cumprir com as cláusulas de direitos de dados do DFARS, que regem a propriedade e o uso de dados técnicos e software. 

Empresas de Design e ITAR/DFARS

Empresas de design envolvidas em projetos de defesa e aeroespaciais também devem estar cientes das regulamentações ITAR e DFARS, que incluem:

Implicações do ITAR:

• Controlar a disseminação de dados técnicos para pessoas estrangeiras, mesmo dentro dos Estados Unidos. 
• Obter licenças de exportação para a exportação de dados técnicos. 

Requisitos do DFARS:

• Cumprir com os requisitos de cibersegurança, incluindo proteger CUI, direitos de dados e propriedade intelectual. 
• Adesão às cláusulas de direitos de dados, que podem limitar o uso e a divulgação de certos dados técnicos. 

Melhores Práticas para Conformidade com ITAR e DFARS

Existem muitos riscos associados à não conformidade com ITAR e DFARS. Com isso em mente, as empresas de eletrônicos devem estabelecer um programa de conformidade que seja eficaz e robusto. Um indivíduo dedicado ou equipe deve ser designado para supervisionar os esforços de conformidade com o objetivo de desenvolver políticas e procedimentos claros e concisos para o manuseio de itens controlados, controles de exportação, cibersegurança e segurança da cadeia de suprimentos. Sessões regulares de treinamento devem então ser conduzidas para educar — e manter atualizado — o conhecimento dos funcionários sobre os requisitos do ITAR e DFARS, com ênfase específica na importância da conformidade e nas potenciais consequências da não conformidade. 

Para garantir que controles de exportação eficazes estejam em vigor, as empresas precisam identificar itens controlados realizando revisões minuciosas de produtos, componentes e dados técnicos para estabelecer se estão sujeitos a controles do ITAR; solicitar e obter as licenças de exportação necessárias das agências governamentais apropriadas; e manter registros precisos de todas as atividades de exportação, que incluem licenças de exportação, documentos de envio e declarações de usuário final.

Além disso, é essencial que medidas de cibersegurança adequadas estejam em vigor para proteger informações e sistemas sensíveis de atores maliciosos.

• Identificar e avaliar riscos potenciais, como ciberataques, violações de dados, e acesso não autorizado.
• Limite o acesso a informações sensíveis e sistemas apenas ao pessoal autorizado.
• Mantenha tanto o software quanto o hardware atualizados com os últimos patches e atualizações de segurança.
• Mantenha os funcionários informados sobre as melhores práticas de cibersegurança, incluindo segurança de senhas, conscientização sobre phishing e táticas de engenharia social.

A segurança da cadeia de suprimentos é outro ponto crítico quando se trata de conformidade com ITAR e DFARS. Sempre conduza uma devida diligência minuciosa sobre os fornecedores; avalie e examine cada candidato para garantir a conformidade com os padrões necessários, incluindo o padrão de gestão da qualidade AS9100D e a estrutura de Certificação de Maturidade em Cibersegurança desenvolvida pelo DoD; monitore o desempenho deles para identificar potenciais ameaças de segurança e implemente medidas rigorosas de controle de qualidade para prevenir a introdução de componentes falsificados ou defeituosos. Também pode valer a pena considerar soluções de tecnologia blockchain, que fornecem dados imutáveis sobre a jornada de um componente pela cadeia de suprimentos desde a proveniência.

E não se esqueça de que atender às metas de subcontratação de pequenas empresas é um requisito chave para os contratados da defesa; as empresas devem identificar e criar uma rede de subcontratados de pequenas empresas qualificados que atendam aos requisitos técnicos e de segurança; manter um registro preciso dos gastos com subcontratação para garantir a conformidade com as metas de utilização de pequenas empresas; e documentar as etapas tomadas para identificar, solicitar e conceder contratos a pequenas empresas. 

Entender e aderir às regulamentações ITAR e DFARS é um dos elementos mais importantes que os fornecedores de eletrônicos devem considerar ao operar nas indústrias de defesa e aeroespacial; programas de conformidade sólidos podem ajudar as empresas a mitigar riscos, proteger sua reputação e manter sua capacidade de fazer negócios com o governo dos EUA. Mas é importante notar que ITAR e DFARS são, um, complexos, e dois, constantemente mudando. Para se manter atualizado com os últimos requisitos, vale a pena consultar especialistas jurídicos e de controle de exportações — orientação profissional ajuda muito a tomar todas as medidas necessárias para cumprir com essas regulamentações. 

E lembre-se, a conformidade proativa é essencial. Invista em um programa forte para proteger o futuro da sua empresa e contribuir para a segurança da nação. 

Procurando um ambiente seguro para gerenciar dados sensíveis de design eletrônico? Descubra o Altium 365 GovCloud!