:quality(85))
„Oh nein, nicht noch ein weiteres Akronym …“
Im Bereich Regulierung gibt es zahlreiche Akronyme, und es ist nicht immer einfach, den Überblick zu behalten. RoHS, REACH, DFARS, TSCA … die Liste wächst jedes Jahr, da neue Vorschriften hinzukommen.
Dieses Mal richten wir unseren Blick auf DFARS. Steigen wir ein.
Was ist DFARS?
Das Akronym DFARS steht für Defense Federal Acquisition Regulation Supplement.
Wofür steht DFARS? Es handelt sich um einen ergänzenden Regelungskatalog, den das US-Verteidigungsministerium (Department of Defense, DoD) zur Federal Acquisition Regulation (FAR) hinzugefügt hat. Die FAR ist ein allgemeines Regelwerk für staatliche Beschaffungsprozesse, das in den 1980er Jahren eingeführt wurde. DFARS kam später als Ergänzung zur FAR und regelt spezifisch die Anforderungen für Verteidigungsbeschaffungen. Anders gesagt: DFARS definiert, wie die US-Regierung Waren und Dienstleistungen für militärische bzw. verteidigungsbezogene Zwecke einkauft.
Zweck von DFARS
Laut Acquisition.gov ist das Hauptziel von DFARS, hochwertige Produkte und Dienstleistungen zu beschaffen, die die Anforderungen der Anwender erfüllen, die Einsatzfähigkeit und den operativen Support nachweislich verbessern und dies zu einem fairen und angemessenen Preis. Darüber hinaus dient DFARS der Verwaltung der Investitionen der Vereinigten Staaten in Technologien, Programme und Produktunterstützung, die notwendig sind, um die nationale Sicherheitsstrategie zu erreichen und die amerikanischen Streitkräfte zu unterstützen.
Ein Blick zurück in die 1980er zeigt Ursprung und Zweck dieser Regelungen: Am 1. April 1981 ersetzte die FAR die Federal Procurement Regulation (FPR), um ein einheitliches, umfassendes Regulierungssystem für staatliche Beschaffung zu schaffen. Die FAR deckte ein breites Feld ab – von Beschaffungsplanung und Vertragsarten über Umwelt- und Sicherheitsstandards bis hin zu geistigem Eigentum und mehr. Das Verteidigungsministerium stellte jedoch schnell fest, dass Beschaffungen im Verteidigungsbereich zusätzliche Komplexität beinhalten, etwa durch sensitive Technologien und nationale Sicherheitsanforderungen. So entstand DFARS.
Heute wird DFARS laufend aktualisiert, um aktuellen Herausforderungen wie Cybersicherheit sowie der sich wandelnden Sicherheits- und Beschaffungslandschaft gerecht zu werden. Zu den Hauptzielen zählen unter anderem:
- nationale Sicherheit
- faire & wettbewerbsfähige Beschaffung
- Abgleich mit nationalen Politiken
- Qualitätssicherung & Rechenschaftspflicht
:quality(85))
Wen betrifft DFARS?
DFARS betrifft eine Vielzahl von Akteuren – von Firmen, die direkt mit dem US-Verteidigungsministerium kontrahieren, über Unterauftragnehmer bis hin zu Dienstleistern. Am stärksten betroffen sind Defense Contractors, also Hersteller von Militärausrüstung, IT-Dienstleister und vergleichbare Unternehmen. Auch Unterauftragnehmer und Lieferanten spüren die Auswirkungen, besonders wenn Hauptauftragnehmer spezifische DFARS-Klauseln durchsetzen. Ebenfalls betroffen sind Rechts- und Compliance-Teams, Programmmanager und Auditoren innerhalb von Vertragsunternehmen.
Darüber hinaus hat DFARS direkte Auswirkungen auf mehrere Schlüsselsektoren, darunter:
- Luft- & Raumfahrt sowie Verteidigung
- IT & Cybersicherheit
- Fertigung & Ingenieurwesen
- Bau & Infrastruktur
- Logistik & Lieferkettenmanagement
- Beratung
Welche Güter, Dienstleistungen & Materialien werden von DFARS erfasst?
Militärausrüstung
Alle Güter und Materialien, die im Herstellungsprozess militärischer Ausrüstung eingesetzt werden, unterliegen den DFARS-Vorschriften. Dazu zählen Militärfahrzeuge, Waffen, Flugzeuge, medizinische Geräte, Kommunikationsausrüstung und mehr. Die Bandbreite der benötigten Materialien ist groß – und ja, all diese sind durch DFARS spezifischen Standards verpflichtet.
Ein Beispiel: DFARS 252.225-7009 regelt die Beschaffung bestimmter Metalle und stellt sicher, dass diese verantwortungsvoll beschafft werden, um den Anforderungen der nationalen Sicherheit zu genügen. Dazu gehören z.B. Sondermetalle wie Titan, Tantal oder Wolfram. Ein weiteres Beispiel: DFARS 252.225-7030 unterstreicht das Bekenntnis der US-Regierung zur Integrität und Sicherheit der Lieferkette von Stahlprodukten für militärische Zwecke. Das betrifft Carbonstahl, legierten Stahl, Panzerstahlplatten und verbietet bestimmte ausländische Stahlwaren.
Technologie & Cybersicherheit
Im Kontext militärischer Ausrüstung denken viele zuerst an Waffen und Fahrzeuge – aber Technologie, Software und Cybersicherheit sind ebenso entscheidende Werkzeuge für die nationale Sicherheit und werden selbstverständlich auch durch DFARS geregelt. Diese Vorgaben adressieren Cybersecurity und geistiges Eigentum, um Cyberbedrohungen vorzubeugen – im Gegensatz zu materiellen Teilen und Bauteilen.
Bietet beispielsweise ein Unternehmen Software oder Cybersicherheitsdienste für das Militär an, stellt DFARS sicher, dass spezifische Sicherheitsstandards eingehalten – etwa sensible Informationen geschützt – werden. Gleiches gilt für Telekommunikationsanbieter, die Kommunikationsleistungen für das DoD bereitstellen.
Controlled Unclassified Information (CUI)
Eng mit Cybersicherheit verbunden ist CUI (Controlled Unclassified Information), was nicht klassifizierte Informationen mit besonderem Schutzbedarf meint. Hierunter fallen sensible Daten zu nationaler Sicherheit, Datenschutz und weiteren kritischen Bereichen.
DFARS enthält diverse Klauseln zum Schutz von Controlled Unclassified Information (CUI), etwa DFARS 252.204-7012. Diese Klausel verpflichtet Auftragnehmer zum Schutz von CUI bei der Handhabung verteidigungsbezogener Daten. Zudem müssen Auftragnehmer die in der National Institute of Standards and Technology (NIST) Special Publication 800-171 festgelegten Sicherheitsmaßnahmen für CUI umsetzen.
DFARS-Compliance aufrechterhalten
Ob Hauptauftragnehmer, Unterauftragnehmer oder sonstige Position in der Lieferkette – DFARS-konform zu bleiben, ist essenziell für nationale Sicherheit und den Unternehmenserfolg. Nichtbeachtung kann zur Kündigung von Verträgen, finanziellen Sanktionen durch Behörden, rechtlichen Konsequenzen und Reputationsschäden führen.
Es gibt einige Wege, die DFARS-Compliance sicherzustellen – etwa durch Selbsteinschätzung, die Beauftragung einer Beratung oder durch die Zusammenarbeit mit einer Lieferkettenrisikoplattform wie Z2Data – das sind übrigens wir! Mit unserer flexiblen, integrierten und kollaborativen Plattform unterstützen wir Sie nicht nur bei Compliance-Zielen, sondern auch in Bereichen wie Lieferkette, Risikomanagement, Supplier Insights und mehr.
Wenn Sie ohne externe Plattform oder Beratung auf eigene Faust eine Selbsteinschätzung durchführen möchten, ist es unerlässlich, auf die NIST Special Publication 800-171A zuzugreifen: Assessing Security Requirements for Controlled Unclassified Information. Obwohl diese Methode kostengünstiger ist, warnen wir davor, dass der Prozess ohne passende Ressourcen aufwändig und komplex werden kann – der Weg zur vollständigen Compliance kann sechs bis elf Monate dauern. Ebenso wichtig ist ein präziser Plan zur kontinuierlichen Einhaltung und Überwachung der Compliance.
Erfahren Sie mehr mit Z2Data Insights
Suchen Sie weiterführende Ressourcen und Lektüre rund um Lieferkette, Compliance oder Beschaffung? Entdecken Sie den Z2Data Insights Blog und holen Sie sich aktuelle Inhalte zu Themen wie Regulierung, Obsoleszenz, Halbleiter-News und mehr.
