Was ist DFARS? Definition, Compliance und mehr

„Oh nein, nicht noch ein weiteres Akronym …“

Wenn es um Regulierung geht, gibt es zahlreiche Akronyme, die nicht immer leicht zu überblicken sind. RoHS, REACH, DFARS, TSCA … die Liste wächst, da jedes Jahr weitere Vorschriften hinzukommen. 

Dieses Mal beschäftigen wir uns mit DFARS – steigen wir also direkt ein. 

Was ist DFARS?

Das Akronym DFARS steht für Defense Federal Acquisition Regulation Supplement.

Was bedeutet das? Eine zusätzliche Reihe von Vorschriften, die das United States Department of Defense (DoD) zum Federal Acquisition Regulation (FAR) hinzugefügt hat. Das FAR ist ein allgemeines Regelwerk für staatliche Beschaffungen und Vergaben, das in den 1980ern eingeführt wurde. DFARS kam später hinzu und bildete eine Ergänzung zum FAR – speziell für Beschaffungen im Verteidigungsbereich. Mit anderen Worten: DFARS reguliert, wie die US-Regierung Waren und Dienstleistungen für militärische oder verteidigungsrelevante Zwecke beschafft. 

Welchen Zweck hat DFARS?

Laut Acquisition.gov besteht das Hauptziel von DFARS darin, hochwertige Materialien und Dienstleistungen zu beschaffen, die die Anforderungen der Nutzer erfüllen und messbare Verbesserungen der Einsatzfähigkeit und des operationellen Supports zu einem fairen und angemessenen Preis liefern. Zudem regelt DFARS die Investitionen der Vereinigten Staaten in Technologien, Programme und Produktunterstützung, die notwendig sind, um die nationale Sicherheitsstrategie zu erreichen und die US-Streitkräfte zu unterstützen. 

Ein Blick zurück in die 1980er zeigt Ursprung und Zweck dieser Regelungen: Am 1. April 1981 ersetzte das FAR die Federal Procurement Regulation (FSR) mit dem Ziel, ein einheitliches Regelwerk für staatliche Beschaffungen zu schaffen. Das FAR deckte ein breites Spektrum ab, von der Beschaffungsplanung und Vertragstypen bis zu Umwelt- und Sicherheitsstandards, geistigem Eigentum und vielem mehr. Allerdings erkannte das Verteidigungsministerium schnell, dass verteidigungsbezogene Beschaffungen eigene Herausforderungen mit sich bringen – etwa im Bereich sensible Technologien und nationale Sicherheit. Daraus entstand DFARS. 

Heute wird DFARS kontinuierlich aktualisiert, um aktuellen Herausforderungen wie Cybersicherheit sowie den sich wandelnden Anforderungen in nationaler Sicherheit und Beschaffungswesen zu begegnen. Zu den wichtigsten Zwecken zählen:

• Nationale Sicherheit

• Faire & wettbewerbsfähige Beschaffung

• Harmonisierung mit nationalen Richtlinien

• Qualitätssicherung & Rechenschaftspflicht 

Wen betrifft DFARS?

DFARS beeinflusst eine Vielzahl von Interessengruppen – von Unternehmen mit direkten Verträgen mit dem US-Verteidigungsministerium bis hin zu Subunternehmern und Support-Dienstleistern. Am unmittelbarsten betroffen sind Verteidigungsauftragnehmer, darunter Hersteller von militärischer Ausrüstung, IT-Dienstleister und mehr. Subunternehmer und Lieferanten spüren die Auswirkungen ebenfalls, da DFARS-Anforderungen häufig entlang der gesamten Lieferkette durchgesetzt werden. Weitere Betroffene sind Rechts- und Compliance-Teams, Programmleiter und Auditoren in beauftragten Unternehmen.

Über die Stakeholder hinaus wirkt sich DFARS direkt auf eine Reihe zentraler Branchen aus, darunter:

• Luft- und Raumfahrt & Verteidigung

• IT & Cybersicherheit

• Fertigung & Ingenieurwesen

• Bau & Infrastruktur

• Logistik & Lieferkettenmanagement

• Beratung

Welche Güter, Dienstleistungen & Materialien werden durch DFARS abgedeckt?

Militärausrüstung

Alle Waren und Materialien, die im Produktionsprozess von Militärausrüstung verwendet werden, unterliegen den DFARS-Vorschriften. Hierzu zählen Militärfahrzeuge, Waffen, Flugzeuge, medizinische Versorgung, Kommunikationstechnik und mehr. Man kann sich leicht vorstellen, wie vielfältig die notwendigen Materialien sind – und alle müssen den spezifischen Vorgaben und Standards von DFARS entsprechen. 

Ein Beispiel: DFARS 252.225-7009 regelt die Beschaffung bestimmter Metalle, damit sie verantwortungsvoll beschafft werden und den Anforderungen der nationalen Sicherheit genügen. Hierzu zählen Spezialmetalle wie Titan, Tantal und Wolfram, um nur einige zu nennen. Ein weiteres Beispiel ist DFARS 252.225-7030, in dem sich das Bestreben der US-Regierung widerspiegelt, die Integrität und Sicherheit der Lieferkette bei wesentlichen Stahlprodukten für Verteidigungsanwendungen zu wahren – zum Beispiel bei Kohlenstoff-, Legierungs- oder Panzerstahlplatten sowie beim Verbot bestimmter ausländischer Stahlprodukte.

Technologie & Cybersicherheit

Bei Militärausrüstung denkt man zuerst an Waffen und Fahrzeuge. Doch Technologie, Software und Cybersicherheit sind ebenso entscheidend für die nationale Sicherheit und daher ebenfalls durch DFARS reguliert. Diese Vorgaben betreffen Themen wie Cybersicherheit und geistiges Eigentum und sollen Cyber-Bedrohungen begegnen – im Gegensatz zu Regelungen für physische Materialien oder Bauteile. 

Wenn zum Beispiel ein Unternehmen Computerprogramme oder Cybersicherheitsdienste für das Militär bereitstellt, verpflichtet DFARS zur Einhaltung spezifischer Sicherheitsstandards, etwa zum Schutz sensibler Informationen. Die gleichen Anforderungen gelten für Telekommunikationsanbieter, die Kommunikationsdienste für das DoD liefern.

Controlled Unclassified Information (CUI)

Eng verbunden mit der Cybersicherheit steht CUI für Controlled Unclassified Information („kontrollierte, nicht klassifizierte Informationen“) und bezeichnet sensible Informationen, die geschützt werden müssen. Dazu können sicherheitsrelevante, personenbezogene oder andere kritische Daten zählen. 

DFARS enthält mehrere Klauseln zum Schutz von Controlled Unclassified Information (CUI), zum Beispiel DFARS 252.204-7012. Diese Klausel verpflichtet Auftragnehmer, beim Umgang mit verteidigungsrelevanten Informationen CUI zu schützen. Zudem verlangt DFARS, dass Auftragnehmer bestimmte Sicherheitsmaßnahmen gemäß der National Institute of Standards and Technology (NIST) Special Publication 800-171 umsetzen, sobald CUI verarbeitet wird.

DFARS-Compliance aufrechterhalten 

Ganz gleich, ob Sie ein Hauptauftragnehmer, Subunternehmer oder an einer anderen Stelle in der Lieferkette sind: DFARS-Konformität ist essentiell für die nationale Sicherheit und den Unternehmenserfolg. Verstöße können zu Vertragsausfällen, finanziellen Sanktionen der Regierung, rechtlichen Konsequenzen und Schäden am Unternehmensruf führen. 

Sie können die DFARS-Konformität Ihres Unternehmens auf verschiedene Weise sicherstellen, zum Beispiel durch eine Selbstbewertung, die Beauftragung einer Beratung oder mithilfe einer Lieferkettenrisikoplattform wie Z2Data – das sind wir! Unabhängig von Ihrer Branche unterstützt Sie unsere flexible, integrierte und kollaborative Plattform beim Erreichen Ihrer Compliance-Ziele sowie in weiteren Bereichen wie Lieferkette, Risikomanagement, Supplier Insights und mehr. 

Wenn Sie keine Plattform oder Beratung nutzen und eine Selbstbewertung eigenständig durchführen, ist die NIST Special Publication 800-171A: Assessing Security Requirements for Controlled Unclassified Information unerlässlich als Referenz. Diese kostengünstigere Option kann allerdings ohne die richtigen Ressourcen ein langwieriger und komplexer Prozess sein, dessen vollständige Umsetzung zwischen sechs und elf Monaten dauern kann. Außerdem müssen Sie besonders sorgfältig planen, wie Sie die DFARS-Compliance dauerhaft einhalten und kontinuierlich überwachen.