:quality(85))
«Oh no, un altro acronimo…»
Nel campo della regolamentazione, gli acronimi non mancano e non sempre è facile tenerli sotto controllo. RoHS, REACH, DFARS, TSCA… l’elenco si allunga ogni anno con l’introduzione di nuove normative.
Oggi approfondiamo il tema DFARS: vediamo di cosa si tratta.
Che cos’è il DFARS
L’acronimo DFARS indica il Defense Federal Acquisition Regulation Supplement.
Ma cosa significa esattamente? Si tratta di un insieme aggiuntivo di regolamenti adottati dal Department of Defense (DoD) degli Stati Uniti rispetto al Federal Acquisition Regulation (FAR). Il FAR è un insieme generale di norme per gli acquisti e l’approvvigionamento governativo, introdotto negli anni ’80. Il DFARS è stato implementato successivamente come una integrazione al FAR, specificando i requisiti per gli acquisti collegati alla difesa. In altre parole, il DFARS regola le modalità con cui il governo statunitense acquista beni e servizi per fini militari o di difesa.
Qual è lo scopo del DFARS
Secondo Acquisition.gov, l’obiettivo principale del DFARS è acquisire forniture e servizi di qualità che rispondano alle esigenze operative, offrendo miglioramenti misurabili in termini di capacità di missione e di supporto operativo, il tutto a un prezzo equo e ragionevole. Inoltre, viene specificato che il DFARS esiste per gestire gli investimenti degli Stati Uniti in tecnologie, programmi e supporto ai prodotti necessari per raggiungere la strategia di sicurezza nazionale e sostenere le Forze Armate statunitensi.
Se torniamo agli anni ’80, possiamo comprendere come e perché siano nate queste regolamentazioni. Il 1° aprile 1981 il FAR ha sostituito il Federal Procurement Regulation (FSR), con l’intento di istituire un unico insieme di regole complete per l’approvvigionamento governativo. Il FAR ha stabilito un perimetro molto ampio, coprendo tutto dall’organizzazione degli acquisti alle tipologie di contratto, dagli standard per la sicurezza ambientale alla proprietà intellettuale e oltre. Tuttavia, il Department of Defense si è reso conto rapidamente che gli acquisti legati alla difesa comportavano complessità aggiuntive, tra cui tecnologie sensibili e considerazioni legate alla sicurezza nazionale. Da qui, la nascita del DFARS.
Oggi il DFARS viene aggiornato di continuo per rispondere alle nuove sfide – tra cui la cybersecurity – e all’evoluzione delle pratiche di sicurezza nazionale e di procurement. Tra i principali obiettivi:
Sicurezza nazionale
Approcci equi e competitivi agli acquisti
Allineamento alle politiche nazionali
Assicurazione qualità & responsabilizzazione
:quality(85))
Chi è coinvolto dal DFARS
Il DFARS interessa un’ampia gamma di stakeholder: dalle aziende titolari di contratti diretti con il Department of Defense statunitense ai subappaltatori e ai fornitori di servizi di supporto. I principali soggetti coinvolti sono i contractor della difesa, come produttori di equipaggiamenti militari, fornitori di servizi IT e simili. Anche subappaltatori e fornitori possono essere interessati dalle disposizioni DFARS, soprattutto se i contractor principali impongono clausole specifiche. Altri soggetti impattati sono i team legali e di compliance, i responsabili di programma e i revisori interni delle società fornitrici.
Oltre agli stakeholder diretti, il DFARS riguarda anche diversi settori strategici, tra cui:
Aerospazio & Difesa
IT & Cybersecurity
Manifattura & Ingegneria
Costruzioni & Infrastrutture
Logistica & Gestione della catena di approvvigionamento
Consulenza
Quali beni, servizi e materiali copre il DFARS
Equipaggiamento militare
Tutti i prodotti e i materiali impiegati nella produzione di equipaggiamento militare sono soggetti alle normative DFARS. Ciò include veicoli militari, armamenti, aeromobili, forniture mediche, apparecchiature di comunicazione e molto altro. Si possono facilmente immaginare i numerosi materiali necessari alla produzione di questi sistemi, tutti sottoposti a regolamentazioni e standard specifici grazie al DFARS.
Ad esempio, la clausola DFARS 252.225-7009 disciplina l’acquisizione di determinati metalli, garantendo che siano reperiti in modo responsabile per rispondere alle esigenze della sicurezza nazionale. Ciò comprende metalli speciali come titanio, tantalio, tungsteno, tra gli altri. Un altro esempio è la clausola DFARS 252.225-7030, che riflette l’impegno del governo statunitense per tutelare l’integrità e la sicurezza della filiera dei prodotti siderurgici essenziali per l’industria della difesa. Sono inclusi acciaio al carbonio, acciaio legato e acciaio per corazze, insieme al divieto di determinati prodotti siderurgici di origine estera.
Tecnologia & Cybersecurity
Parlando di equipaggiamento militare, vengono subito in mente armi e veicoli, ma tecnologie, software e cybersecurity sono strumenti altrettanto cruciali per la sicurezza nazionale – anch’essi regolamentati tramite DFARS. Queste disposizioni riguardano cybersecurity e proprietà intellettuale per contrastare le minacce informatiche, diversamente da materiali fisici e componenti produttivi.
Ad esempio, se un’azienda fornisce programmi informatici o servizi di cybersecurity alla difesa, il DFARS impone il rispetto di specifici standard di sicurezza, come la protezione delle informazioni sensibili. Le stesse norme si applicano anche alle società di telecomunicazioni che offrono servizi di comunicazione al DoD.
Controlled Unclassified Information (CUI)
Collegata alla cybersecurity, la CUI (Controlled Unclassified Information) indica informazioni non classificate che necessitano comunque di protezione. Ciò può includere dati sensibili legati alla sicurezza nazionale, privacy e altre aree critiche.
Il DFARS presenta numerose clausole sulla protezione della Controlled Unclassified Information (CUI), come la 252.204-7012, che obbliga i contractor a proteggere la CUI nei processi connessi alle informazioni della difesa. Inoltre, i contractor devono implementare specifiche misure di sicurezza indicate dalla pubblicazione speciale 800-171 del National Institute of Standards and Technology (NIST) in materia di CUI.
Mantenere la compliance DFARS
Che si tratti di contractor principali, subappaltatori o altri operatori lungo la catena di approvvigionamento, garantire la conformità al DFARS è essenziale sia per la sicurezza nazionale che per il successo dell’impresa. La mancata compliance può comportare la risoluzione dei contratti, penalità finanziarie da parte del governo, conseguenze legali e danni alla reputazione aziendale.
Esistono diversi metodi per assicurare la conformità al DFARS, tra cui l’autovalutazione, la consulenza specializzata, oppure la collaborazione con una piattaforma di supply-chain risk come Z2Data – esatto, siamo noi! Indipendentemente dal settore, la nostra piattaforma flessibile, integrata e collaborativa può supportare il raggiungimento degli obiettivi di compliance, oltre ad assistere in ambiti come gestione della catena di approvvigionamento, risk management, supplier insights e molto altro.
Se non si utilizza una piattaforma o una consulenza e si desidera eseguire un’autovalutazione in autonomia, è fondamentale fare riferimento alla NIST Special Publication 800-171A: Assessing Security Requirements for Controlled Unclassified Information. Anche se economicamente più conveniente, si segnala che il processo può essere lungo e complesso senza risorse adeguate, richiedendo da sei a undici mesi per raggiungere la piena conformità. Sarà inoltre necessario pianificare con la massima attenzione il mantenimento della compliance e monitorarla costantemente.
