DFARS란 무엇인가 · 정의·규제 준수·주요 사항

DFARS란 무엇이며, 미국 정부에 납품하는 공급업체에 어떤 영향을 미치는가

Michelle Adams

4분 소요
DFARS란 무엇인가 · 정의·규제 준수·주요 사항

“또 다른 약어라니…”

규제와 관련해서는 수많은 약어가 존재하며, 이들을 모두 파악하고 관리하는 것이 항상 쉬운 일은 아닙니다. RoHS, REACH, DFARS, TSCA… 해마다 규제가 추가될수록 약어의 목록도 늘어나고 있습니다. 

이번에는 DFARS에 대해 살펴보려고 합니다. 함께 알아보겠습니다. 

DFARS란 무엇인가

DFARS는 Defense Federal Acquisition Regulation Supplement(국방 연방 조달 규정 보완)의 약어입니다.

구체적으로 DFARS는 무엇을 의미할까요? 미국 국방부(DoD)가 연방 조달 규정(FAR)에 추가한 별도의 규정 집합을 의미합니다. FAR은 1980년대에 도입된 정부 조달 및 구매에 대한 일반 규정으로, 정부의 조달 활동을 표준화하기 위한 기본 규정입니다. DFARS는 이후 FAR에 추가되어, 국방 관련 조달에 대해 별도의 요구 사항을 명확하게 규정하고 있습니다. 즉, DFARS는 미국 정부가 군사 또는 국방 목적으로 상품 및 서비스를 구매하는 방식을 규제합니다. 

DFARS의 목적

Acquisition.gov에 따르면, DFARS의 주요 목적은 사용자 요구를 충족하는 품질 높은 제품 및 서비스를 공정하고 합리적인 가격에 확보함으로써 임무 역량과 운영 지원의 실질적인 개선을 달성하는 데 있습니다. 또한 DFARS는 미국의 국가 안보 전략 달성과 미군 지원에 필수적인 기술, 프로그램, 제품 지원에 대한 투자를 효과적으로 관리하기 위해 존재한다고 명시되어 있습니다. 

1980년대로 돌아가 보면, 이러한 규정이 어떻게 시작되고 목적이 설정되었는지 알 수 있습니다. 1981년 4월 1일, FAR은 Federal Procurement Regulation(FSR)을 대체하며, 정부 조달에 대한 포괄적 규정 체계를 마련하는 것을 목표로 도입되었습니다. FAR은 조달 계획부터 계약 유형, 환경 안전 기준, 지적 재산권 등 광범위한 항목을 아우릅니다. 그러나 국방부는 곧 국방 관련 조달에는 민감한 기술 및 국가 안보 고려사항 등 별도의 복잡성이 따른다는 점을 인식했고, 그에 따라 DFARS가 마련되었습니다. 

오늘날 DFARS는 사이버 보안 등 최신 과제를 반영하여 지속적으로 업데이트되고 있으며, 변화하는 국가 안보 및 조달 환경에 발맞춰 발전하고 있습니다. 주요 목적은 다음과 같습니다.

  • 국가 안보

  • 공정성·경쟁성 있는 조달

  • 국가 정책 부합

  • 품질 보증·책임성 

dfar compliance regulations

DFARS의 적용 대상

DFARS는 미국 국방부와 직접 계약을 체결하는 기업부터 하청업체, 지원 서비스까지 다양한 이해관계자에 영향을 미칩니다. 가장 직접적인 영향권에 있는 집단은 방위 산업계로, 군수 장비 제조사, IT 서비스 제공업체 등 다양한 형태의 방위 계약자가 포함됩니다. 또한, 1차 계약자가 특정 DFARS 조항 적용을 요구할 경우, 하청업체 및 공급업체까지 영향이 확산될 수 있습니다. 그 외에도 계약기업 내 법무·규제 준수팀, 프로그램 매니저, 감사 담당자 등도 DFARS의 영향을 받습니다.

이해관계자 외에도 DFARS는 다음과 같은 주요 산업에도 직접적인 영향을 미칩니다.

  • 항공우주·방위

  • IT·사이버 보안

  • 제조·엔지니어링

  • 건설·인프라

  • 물류·공급망 관리

  • 컨설팅

DFARS 적용 품목·서비스·자재

군수 장비

군수 장비 제조 과정에 사용되는 모든 품목 및 자재는 DFARS 규정이 적용됩니다. 여기에는 군용 차량, 무기, 항공기, 의료용품, 통신 장비 등이 포함됩니다. 이러한 제품을 제조하기 위해 필요한 다양한 자재 역시 모두 DFARS에 따라 특정 규정과 기준의 적용을 받습니다. 

예를 들어, DFARS 252.225-7009는 특정 금속 조달을 관리하며, 국가 안보 요건에 부합하도록 소싱의 책임성을 보장합니다. 이는 티타늄, 탄탈럼, 텅스텐 등 특수 금속이 포함됩니다. 또 다른 사례로, DFARS 252.225-7030은 방위산업용 필수 철강 제품 공급망의 무결성과 보안을 유지하기 위한 미국 정부의 의지를 반영합니다. 탄소·합금강·장갑강 플레이트 등은 물론, 특정 외국산 철강 제품 사용도 금지됩니다.

기술·사이버 보안

군수 장비 하면 무기나 차량이 먼저 떠오르지만, 기술·소프트웨어·사이버 보안도 국가 안보를 위해 똑같이 중요한 도구이며 DFARS의 적용을 받습니다. 이 영역의 규정은 물리적 부품 및 소재와 달리, 사이버 위협 대응을 위한 사이버 보안 및 지적 재산권 보호에 초점을 둡니다. 

예를 들어, 군에 컴퓨터 프로그램 또는 사이버 보안 서비스를 제공하는 기업은 DFARS에 따라 민감 정보 보호 등 특정 보안 기준을 반드시 준수해야 합니다. 같은 규정은 도입에 통신 서비스를 제공하는 통신 기업에도 적용됩니다.

통제 미분류 정보(CUI)

사이버 보안과 밀접하게 연관된 CUI는 Controlled Unclassified Information(통제 미분류 정보)의 약어로, 보호가 필요한 미분류 정보를 의미합니다. 여기에는 국가 안보, 개인정보, 기타 주요 분야와 관련된 민감 정보가 포함될 수 있습니다. 

DFARS에는 CUI 보호와 관련된 여러 조항이 포함되어 있으며, 대표적으로 DFARS 252.204-7012는 방위 산업 정보 취급 시 CUI 보호를 계약자에게 의무화합니다. 이에 따라, 계약자는 CUI와 관련해 미국 국립표준기술연구소(NIST) 특별 간행물 800-171에 명시된 특정 보안 조치를 도입해야 합니다.

DFARS 규제 준수 유지

주계약자·하청업체·공급망 내 모든 위치에 있더라도, DFARS 규제 준수는 국가 안보와 기업 성공을 위해 필수적입니다. 비준수가 발생할 경우 계약 해지, 정부의 금전적 제재, 법적 책임 발생, 기업 신뢰도 훼손 등 중대한 결과가 초래될 수 있습니다. 

회사에서 DFARS 규제 준수를 위해 할 수 있는 방법으로는 자체 점검, 컨설팅 업체 활용, 혹은 Z2Data와 같은 공급망 리스크 플랫폼과 협력하는 방법이 있습니다. 저희 Z2Data는 모든 산업에 걸쳐 유연하고 통합적인 협업 플랫폼을 제공하여, 규제 준수 목표 달성뿐만 아니라 공급망·리스크 관리·공급업체 인사이트 등 다양한 영역에서 지원합니다. 

플랫폼이나 컨설턴트 없이 자체 점검을 계획한다면, NIST 특별 간행물 800-171A  통제 미분류 정보 보안 요구사항 평가 지침을 반드시 참고해야 합니다. 이는 비용 측면에서는 효율적일 수 있지만, 적절한 리소스 없이 진행할 경우 전면적인 규제 준수까지 6~11개월이 소요될 수 있으며, 과정 또한 복잡하고 많은 시간이 들 수 있습니다. 규제 준수 계획의 체계성과 지속적 모니터링 방안에 각별히 신경써야 함을 강조드립니다.