:quality(85))
«Oh no, un altro acronimo…»
Quando si parla di normativa, gli acronimi sono davvero molti e non sempre è semplice tenerli a mente. RoHS, REACH, DFARS, TSCA… l’elenco si allunga ogni anno con l’introduzione di nuove regolamentazioni.
Questa volta ci concentriamo su DFARS: analizziamolo insieme.
Che cos’è DFARS
L’acronimo DFARS indica il Defense Federal Acquisition Regulation Supplement.
Che cosa rappresenta? Un insieme aggiuntivo di regolamenti introdotti dal Dipartimento della Difesa degli Stati Uniti (DoD) come integrazione al Federal Acquisition Regulation (FAR). Il FAR è un insieme generale di regole applicate agli acquisti e all’approvvigionamento governativo, introdotto negli anni ‘80. Successivamente, DFARS è diventato il complemento del FAR, specificando i requisiti relativi agli acquisti per la difesa. In altre parole, DFARS regola il modo in cui il governo degli Stati Uniti acquista beni e servizi a fini militari o di difesa.
Qual è lo scopo di DFARS
Secondo Acquisition.gov, l’obiettivo principale di DFARS è acquisire beni e servizi di qualità che soddisfino le esigenze degli utenti con miglioramenti tangibili alle capacità operative e al supporto della missione, a un prezzo equo e ragionevole. Viene inoltre specificato che DFARS è stato sviluppato per gestire gli investimenti degli Stati Uniti in tecnologie, programmi e supporto prodotto necessari per perseguire la strategia di sicurezza nazionale e sostenere le Forze Armate statunitensi.
Guardando agli anni ‘80, si può capire come sono nate queste regole e con quale finalità. Il 1° aprile 1981, il FAR ha sostituito il Federal Procurement Regulation (FSR) con l’obiettivo di creare un insieme unico e completo di regolamenti per gli acquisti governativi. Il FAR copriva un ampio spettro, dalla pianificazione dell’acquisizione ai tipi di contratto, dagli standard di sicurezza ambientale alla proprietà intellettuale, e molto altro ancora. Tuttavia, il Dipartimento della Difesa si rese ben presto conto che gli acquisti legati alla difesa comportavano complessità specifiche, come tecnologie sensibili e requisiti di sicurezza nazionale. Da qui la nascita di DFARS.
Oggi, DFARS viene costantemente aggiornato per affrontare nuove sfide come la cybersecurity, oltre a rispondere a un panorama in continuo cambiamento nella sicurezza nazionale e nelle prassi di approvvigionamento. Alcuni degli scopi principali comprendono:
- Sicurezza nazionale
- Approvvigionamento equo e competitivo
- Allineamento alle politiche nazionali
- Assicurazione della qualità e tracciabilità
:quality(85))
Chi è interessato da DFARS
DFARS coinvolge un’ampia gamma di soggetti, dalle aziende direttamente sotto contratto con il Dipartimento della Difesa degli Stati Uniti a subappaltatori e servizi di supporto. I contractor per la difesa sono il gruppo più direttamente interessato: possono includere produttori di equipaggiamento militare, fornitori di servizi IT e altri. Anche subappaltatori e fornitori possono subire l’influenza di DFARS, specialmente se i contraenti principali applicano specifiche clausole DFARS lungo la catena di approvvigionamento. Altri soggetti coinvolti sono i team legali e di compliance, responsabili di programma e revisori interni alle aziende contraenti.
Oltre agli stakeholder, DFARS ha un impatto diretto su diversi settori strategici, tra cui:
- Aerospazio e Difesa
- IT e Cybersecurity
- Produzione e Ingegneria
- Costruzioni e Infrastrutture
- Logistica e Gestione della catena di approvvigionamento
- Consulenza
Quali beni, servizi e materiali sono coperti da DFARS
Equipaggiamento militare
Tutti i beni e i materiali utilizzati nella produzione di equipaggiamento militare sono soggetti alle normative DFARS. Questo include veicoli militari, armamenti, aeromobili, forniture mediche, apparecchiature di comunicazione e altro ancora. Si possono facilmente immaginare le diverse tipologie di materiali richiesti per produrre queste risorse: sì, tutti rientrano in regolamenti e standard precisi secondo DFARS.
Ad esempio, DFARS 252.225-7009 regola l’acquisizione di alcuni metalli, garantendo che siano approvvigionati responsabilmente e rispondano alle esigenze di sicurezza nazionale. Tra questi, metalli speciali come titanio, tantalio e tungsteno, per citarne alcuni. Un ulteriore esempio è DFARS 252.225-7030, che riflette l’impegno del governo statunitense nel proteggere l’integrità e la sicurezza della catena di approvvigionamento per prodotti siderurgici essenziali in ambito difesa, come le lamiere in acciaio al carbonio, legato o da corazzatura, oltre al divieto d’uso di determinati materiali siderurgici di origine estera.
Tecnologia e cybersecurity
Quando si parla di equipaggiamento militare, si pensano subito ad armamenti e veicoli; in realtà, anche tecnologia, software e cybersecurity sono essenziali per la sicurezza nazionale—e anch’essi disciplinati da DFARS. Queste norme regolano la cybersecurity e la proprietà intellettuale per contrastare le minacce informatiche, diversamente dai materiali e dai componenti fisici.
Ad esempio, se un’azienda fornisce software o servizi di cybersecurity alle forze armate, DFARS impone il rispetto di standard specifici per la protezione delle informazioni sensibili. Gli stessi criteri valgono per i fornitori di telecomunicazioni che offrono servizi di comunicazione al DoD.
Controlled Unclassified Information (CUI)
Strettamente collegato alla cybersecurity, CUI («Controlled Unclassified Information») si riferisce a informazioni non classificate ma che richiedono comunque protezione. Può trattarsi di dati riservati relativi alla sicurezza nazionale, alla privacy o ad altri ambiti critici.
DFARS include molte clausole sulla protezione delle Controlled Unclassified Information (CUI), come DFARS 252.204-7012. Questa clausola impone ai contraenti di proteggere le CUI durante la gestione di informazioni legate alla difesa. Inoltre, i contractor devono adottare le misure di sicurezza indicate dalla National Institute of Standards and Technology (NIST) Special Publication 800-171 in caso di trattamento di CUI.
Mantenere la compliance DFARS
Sia che Lei sia contractor principale, subappaltatore o in qualsiasi altra posizione della catena di approvvigionamento, mantenere la compliance DFARS è fondamentale per la sicurezza nazionale e per il successo della Sua impresa. La non conformità può comportare la rescissione dei contratti, sanzioni economiche da parte delle autorità governative, conseguenze legali e danni alla reputazione aziendale.
Esistono vari modi per assicurare la compliance della propria azienda a DFARS: effettuare un’autovalutazione, rivolgersi a una società di consulenza o utilizzare una piattaforma di supply-chain risk come Z2Data – sì, stiamo parlando di noi! Indipendentemente dal settore, la nostra piattaforma integrata, flessibile e collaborativa può supportare i Suoi obiettivi di compliance e aiutare anche in ambiti come la catena di approvvigionamento, la gestione del rischio, le supplier insights, e molto altro.
Se non si ricorre a una piattaforma o a un consulente e si intende effettuare un’autovalutazione in autonomia, è essenziale consultare la NIST Special Publication 800-171A: Assessing Security Requirements for Controlled Unclassified Information. Seppur più economico, avvisiamo che il processo può risultare lungo e complesso senza le giuste risorse: per raggiungere la piena compliance, possono occorrere tra sei e undici mesi. È indispensabile anche essere estremamente scrupolosi nella pianificazione del mantenimento della conformità e nei relativi controlli continui.
Scopri altri approfondimenti di Z2Data
Vuole ulteriori risorse e contenuti su tematiche come catena di approvvigionamento, compliance o approvvigionamento? Scopra il blog Z2Data Insights e approfondisca altri temi, dalle regolamentazioni all’obsolescenza, dalle novità dei semiconduttori a molto altro ancora.
