:quality(85))
De Defense Federal Acquisition Regulation Supplement (DFARS) is een verzameling regels en voorschriften die bepalen hoe het Amerikaanse Department of Defense (DoD) inkoop- en aanbestedingsactiviteiten beheert. Daarnaast vormt het een kader voor particuliere contractanten die zaken doen met het agentschap. DFARS is een aanvulling op de Federal Acquisition Regulation (FAR)—die het inkoopproces van alle 15 grote federale agentschappen regelt—en is terug te vinden in Hoofdstuk 2 van Titel 48 van de Code of Federal Regulations.
Door de nationale veiligheidsimplicaties van veel werkzaamheden van het DoD zijn veel gegevens, informatie en andere materialen die tussen het agentschap en haar private contractanten worden uitgewisseld, van zeer gevoelige aard. Het DoD gebruikt de term "covered defense information (CDI)" als brede categorie voor deze kennis, welke wordt gedefinieerd als “niet-geclassificeerde gecontroleerde technische informatie of andere informatie… waarvoor bescherming of verspreidingsbeperking vereist is overeenkomstig wetgeving, voorschriften en overheidsbeleid.”
In de afgelopen tien jaar hebben particuliere defensiecontractanten en andere entiteiten binnen de uitgebreide netwerken van de Amerikaanse defensie-industrie (DIB) geconfronteerd gestaan met een verontrustende toename van cyberaanvallen en andere cybersecuritydreigingen, gericht op het binnendringen van de DIB en het stelen van dergelijke informatie.
Als reactie op deze nieuwe bedreigingen en het toenemend aantal kwaadwillenden heeft het DoD een nieuwe clausule toegevoegd aan zijn inkoopreglement. Deze nieuwe bepaling, DFARS 252.204-7012, is gericht op het aanscherpen van de bescherming van CDI door contractanten te verplichten een uitgebreid pakket aan beveiligingsmaatregelen te implementeren. De belangrijkste doelstellingen van deze nieuwe DFARS-clausule zijn het standaardiseren van cybersecurity onder alle defensiecontractanten en het tegengaan van de toenemende criminaliteit die misbruik maakt van kwetsbaarheden binnen de DIB.
Deze nieuwe bepaling, DFARS 252.204-7012, is gericht op het aanscherpen van de bescherming van CDI door contractanten te verplichten een uitgebreid pakket aan beveiligingsmaatregelen te implementeren.
DFARS 252.204-7012 en het NIST-beveiligingsprotocol
DFARS 252.204-7012, officieel getiteld Safeguarding Covered Defense Information and Cyber Incident Reporting, is op oudejaarsavond 2017 in werking getreden. De clausule—ook wel aangeduid als subsectie—heeft een reeks nieuwe cybersecuritymaatregelen geïntroduceerd waaraan alle defensiecontractanten zich moeten houden. Subsectie 252.204-7012 waarborgt dat alle covered defense information wordt beschermd tegen datalekken, cyberaanvallen en andere significante dreigingen via een aangescherpt beveiligingsprotocol.
De maatregelen die vallen onder DFARS 252.204-7012 brengen verschillende nieuwe eisen met zich mee. Ongetwijfeld de belangrijkste hiervan is de verplichting voor alle contractanten om te voldoen aan een reeks beveiligingsmaatregelen, gepubliceerd door het National Institute of Standards and Technology (NIST), een afdeling van het Amerikaanse ministerie van Handel die zich inzet voor innovatie en concurrentievermogen op het gebied van wetenschap, technologie en engineering. Dit protocol staat bekend als NIST Special Publication 800-171, oftewel NIST SP 800-171. Deze richtlijnen bevatten 110 beveiligingsmaatregelen die zijn ingedeeld in 14 categorieën:
- Access Control (AC)
- Awareness and Training
- Audit and Accountability
- Configuration Management
- Identification and Authentication
- Incident Response
- Maintenance
- Media Protection
- Personnel Security
- Physical Protection
- Risk Assessment
- Security Assessment
- System and Communications Protection
- System and Information Integrity
Door DFARS subsectie 252.204-7012 zijn nu alle defensiecontractanten verplicht om NIST SP 800-171 volledig na te leven en om meer dan 100 beveiligingsmaatregelen te implementeren bij het uitvoeren van werkzaamheden voor het DoD. De federale overheid onderhoudt een CUI Registry die dient als universele bron voor organisaties die CDI of controlled unclassified information (CUI) op de juiste wijze willen verwerken. Zoals uiteengezet in het oorspronkelijke SP 800-171-document, identificeert deze bron de goedgekeurde CUI-categorieën en -subcategorieën, biedt algemene beschrijvingen, benoemt de basis voor de controles en stelt procedures vast voor gebruik van CUI, waaronder, maar niet beperkt tot, markeren, beschermen, vervoeren, verspreiden, hergebruiken en vernietigen van de informatie.
Alle defensiecontractanten vallen nu onder NIST SP 800-171 en zijn verplicht om meer dan 100 beveiligingsmaatregelen te implementeren bij het uitvoeren van opdrachten voor het Department of Defense.
Aanvullende vereisten voor DFARS-clausule 252.204-7012
Hoewel de belangrijkste nieuwe eis van DFARS 252.204-7012 het NIST cybersecurityprotocol betreft, bevat de clausule ook diverse andere belangrijke verplichtingen.
- De eerste van deze aanvullende eisen betreft het beoordelen en melden van cybersecurity-incidenten. Indien een particulier bedrijf dat een opdracht uitvoert voor het DoD een cyberincident ontdekt dat gevolgen heeft voor CDI, of voor een online systeem dat verantwoordelijk is voor de opslag en bescherming van CDI, dan moet dit incident onmiddellijk worden gemeld via de opgegeven DoD-kanalen.
- De contractant is ook verantwoordelijk voor het uitvoeren van een grondige beoordeling en evaluatie van het incident. Een dergelijke beoordeling omvat het identificeren van gecompromitteerde data, hardware, accounts en informatiesystemen.
- Indien er bij het incident kwaadaardige software wordt aangetroffen, dient de contractant deze te isoleren en aan te leveren aan het Defense Department’s Cyber Crime Center (DC3).
- Tot slot dient de betrokken partij blijvend samen te werken met het DoD tijdens het onderzoek naar het incident, onder meer door toegang te verlenen tot gevraagde gegevens, systemen en apparatuur.
DFARS 252.204-7012 vereist dat alle contractanten en onderaannemers dezelfde beveiligingsmaatregelen doorvoeren en aan dezelfde meldingsverplichtingen voldoen bij het verwerken van CDI. Hiertoe bepaalt het derde onderdeel van de clausule dat hoofdaannemers de nieuwe cybersecurityverplichtingen moeten doorgeven aan alle onderaannemers door 252.204-7012 in de betreffende contracten op te nemen.
De nieuwste DFARS-clausules
Het Department of Defense heeft in het najaar van 2020 een DFARS Interim Rule uitgevaardigd, die op 30 november 2020 van kracht werd. Deze interimregel voegde drie nieuwe clausules toe aan Part 252 van DFARS: 252.204-7019, -7020, en -7021. Deze subsecties bouwen voort op de verplichtingen uit 252.204-7012 en introduceren daarnaast nieuwe verantwoordingsmechanismen voor contractanten van het DoD.
In 2019 kreeg de Defense Contract Management Agency de taak om een methode te ontwikkelen om de mate van implementatie van het NIST SP 800-171-protocol door individuele contractanten te standaardiseren (een vereiste volgens 252.204-7012). Dit resulteerde in de uitgifte van de NIST SP 800-171 DoD Assessment Methodology, een uitgebreid stappenplan voor contractanten bij het beoordelen van hun naleving van de NIST-beveiligingsmaatregelen. Het eerste deel van de Interim Rule, 252.204-7019, formalisert de DoD Assessment Methodology binnen DFARS door alle defensiecontractanten te verplichten deze zelfbeoordelingen uit te voeren en te scoren. Daarnaast zijn zij verplicht deze scores te rapporteren in het Supplier Performance Risk System (SPRS).
Het eerste deel van de Interim Rule, 252.204-7019, formalisert de DoD Assessment Methodology binnen DFARS door alle defensiecontractanten te verplichten deze zelfbeoordelingen uit te voeren en te scoren. Daarnaast zijn zij verplicht deze scores te rapporteren in het Supplier Performance Risk System (SPRS).
Subsectie 252.204-7020 legt een extra controlelaag op aan contractanten die moeten voldoen aan het NIST-protocol. Deze clausule kent het DoD het recht toe om toegang te krijgen tot de locaties, systemen en medewerkers van een contractant indien het agentschap dat nodig acht voor het uitvoeren van haar eigen onafhankelijke beoordeling. 252.204-7020 verplicht ook alle hoofdaannemers om onderaannemers te laten toetsen op NIST SP 800-171-compliance via de DoD Assessment Methodology en deze bepaling door te voeren in alle relevante onderaannemingscontracten.
Ten slotte introduceert clausule 252.204-7021 het Cybersecurity Maturity Model Certification (CMMC), een nieuw raamwerk voor het beoordelen van de implementatie van cybersecuritypraktijken en gerelateerde beveiligingsmaatregelen door contractanten. Aangezien de richtlijnen rondom CMMC bij het DoD nog worden afgerond, fungeert deze subsectie op dit moment vooral als placeholder voor wat uiteindelijk een essentieel nieuw cybersecuritystandaard zal worden. Het DoD zal uiteindelijk van alle contractanten eisen dat zij gecertificeerd zijn via CMMC—mogelijk eind 2024 of begin 2025—en DFARS 7021 zal dienen als de contractuele basis voor deze eis in DoD-contracten.
Het belang van naleving van DFARS 252.204-7012
Cyberaanvallen en de daaruit voortvloeiende datalekken vormen een steeds grotere bedreiging voor de Amerikaanse overheid, het Department of Defense en de gehele DIB. DFARS 252.204-7012 werd in 2017 geïntroduceerd als krachtig en gedegen tegenmaatregel tegen het groeiende aantal incidenten en hun toenemende ernst, en vandaag de dag zijn vrijwel alle defensiecontractanten verplicht zich eraan te houden. De clausule vereist dat bedrijven over uitgebreide beveiligingsmaatregelen beschikken, procedures hebben voor de beoordeling en melding van cyberincidenten en aanvallen door malafide software, en zorgen voor doorstroom van CDI-beschermingsmaatregelen naar onderaannemers.
DFARS 252.204-7012 werd in 2017 geïntroduceerd als krachtig en gedegen tegenmaatregel tegen het groeiende aantal incidenten en hun toenemende ernst, en vandaag de dag zijn vrijwel alle defensiecontractanten verplicht zich eraan te houden.
De gevolgen van het negeren van of onvoldoende reageren op DFARS 252.204-7012 zijn aanzienlijk en kostbaar. Defensiecontractanten die de NIST-beveiligingsmaatregelen niet implementeren, zijn kwetsbaar voor cybercriminelen, hackers en andere kwaadwillenden die gevoelige gegevens willen stelen en kunnen uiteindelijk geconfronteerd worden met hoge herstelkosten. Misschien nog belangrijker: het Department of Defense heeft zijn eigen reeks maatregelen uiteengezet voor contractanten die niet aan DFARS 252.204-7012 en het bijbehorende NIST-beveiligingsprotocol voldoen.
De gevolgen van het negeren van of onvoldoende reageren op DFARS 252.204-7012 zijn aanzienlijk en kostbaar. Defensiecontractanten die de NIST-beveiligingsmaatregelen niet implementeren, zijn kwetsbaar voor cybercriminelen, hackers en andere kwaadwillenden die gevoelige gegevens willen stelen en kunnen uiteindelijk geconfronteerd worden met hoge herstelkosten.
In een memo uit 2022 verklaarde het Office of the Under Secretary of Defense dat het onvoldoende implementeren van NIST SP 800-171 zal worden aangemerkt als contractbreuk. “Remedies voor dergelijke contractbreuk,” aldus het memo, kunnen onder andere “het inhouden van betaling, het laten vervallen van resterende contractopties en mogelijk gehele of gedeeltelijke beëindiging van het contract” zijn. Contractanten die deze essentiële beveiligingsregelgeving nalaten, brengen zichzelf in een precaire positie ten opzichte van hun opdrachtgever en lopen het risico hun huidige contract te verliezen en hun toekomstperspectief bij het Department of Defense en de federale overheid ernstig te ondermijnen.
