:quality(85))
“Ah não, mais um acrônimo…”
No universo da regulamentação, são muitos os acrônimos que surgem, e nem sempre é fácil acompanhar todos eles. RoHS, REACH, DFARS, TSCA… a lista só cresce à medida que novas regras são implementadas todos os anos.
Desta vez vamos analisar o DFARS, então vamos direto ao assunto.
O que é DFARS?
O acrônimo DFARS significa Defense Federal Acquisition Regulation Supplement.
O que ele representa? Um conjunto adicional de regulamentações que o Departamento de Defesa dos Estados Unidos (DoD) adicionou ao Federal Acquisition Regulation (FAR). O FAR é um conjunto de regras gerais para aquisições e compras do governo, instituído na década de 1980. O DFARS foi criado posteriormente, acrescentando requisitos específicos para aquisições ligadas à defesa. Em outras palavras, o DFARS regula como o governo dos EUA adquire bens e serviços para fins militares ou de defesa.
Qual é o objetivo do DFARS?
De acordo com o Acquisition.gov, o principal objetivo do DFARS é adquirir suprimentos e serviços de qualidade que atendam às necessidades dos usuários, com melhorias mensuráveis na capacidade da missão e no suporte operacional, a um preço justo e razoável. Além disso, o DFARS gerencia os investimentos dos Estados Unidos em tecnologias, programas e suporte a produtos essenciais para alcançar a estratégia de segurança nacional e apoiar as Forças Armadas do país.
Se olharmos para os anos 1980, conseguimos entender como essas regulamentações surgiram e qual era a proposta. Em 1º de abril de 1981, o FAR substituiu o Federal Procurement Regulation (FSR) com o objetivo de consolidar as regras de compras do governo em um único conjunto abrangente. O FAR abrangia temas como planejamento de aquisições, tipos de contrato, normas de segurança ambiental, propriedade intelectual e muito mais. No entanto, o Departamento de Defesa percebeu rapidamente que aquisições para a área de defesa envolviam complexidades próprias, como tecnologias sensíveis e considerações estratégicas de segurança nacional. Daí nasceu o DFARS.
Hoje, o DFARS é atualizado continuamente para acompanhar desafios modernos como cibersegurança, além do cenário dinâmico de práticas de segurança nacional e de compras governamentais. Entre seus principais propósitos, estão:
Segurança nacional
Compras justas e competitivas
Alinhamento às políticas nacionais
Garantia de qualidade e responsabilidade
:quality(85))
Quem é impactado pelo DFARS?
O DFARS impacta uma ampla gama de stakeholders, desde empresas com contratos diretos com o Departamento de Defesa dos EUA até subcontratadas e prestadores de serviços de apoio. Os contratados do setor de defesa são o grupo mais diretamente afetado, incluindo fabricantes de equipamentos militares, fornecedores de serviços de TI e outros. Subcontratados e fornecedores também podem ser impactados pelo DFARS à medida que as cláusulas são repassadas ao longo da cadeia de suprimentos, especialmente se o contratante principal exigir o cumprimento de exigências específicas do DFARS. Outros afetados incluem equipes jurídicas e de compliance, gerentes de programa e auditores dentro das empresas contratadas.
Além dos stakeholders, o DFARS tem impacto direto sobre vários setores-chave, como:
Aeroespacial e Defesa
TI e Cibersegurança
Manufatura e Engenharia
Construção e Infraestrutura
Logística e Gestão da Cadeia de Suprimentos
Consultoria
Quais bens, serviços e materiais o DFARS abrange?
Equipamentos militares
Todos os bens e materiais utilizados na fabricação de equipamentos militares estão sujeitos às exigências do DFARS. Isso inclui veículos militares, armas, aeronaves, suprimentos médicos, equipamentos de comunicação e muito mais. Imagine os diversos materiais necessários para fabricar esses produtos — todos eles estão sujeitos a regulamentações e padrões específicos graças ao DFARS.
Por exemplo, o DFARS 252.225-7009 regula a aquisição de determinados metais, garantindo que sejam provenientes de fontes responsáveis para atender às necessidades de segurança nacional. Inclui metais especiais como titânio, tântalo e tungstênio, por exemplo. Outro exemplo é o DFARS 252.225-7030, que demonstra o compromisso do governo dos EUA em preservar a integridade e a segurança da cadeia de suprimentos para produtos de aço essenciais usados na fabricação de itens de defesa. Envolve aço carbono, aço-liga, chapas de aço blindado, além da proibição de determinados produtos de aço fabricados no exterior.
Tecnologia e cibersegurança
Ao falar de equipamentos militares, os primeiros itens que costumam vir à mente são armas e veículos. No entanto, tecnologia, software e cibersegurança têm importância equivalente para a segurança nacional — e sim, também são regulamentados pelo DFARS. Essas normas tratam de cibersegurança e propriedade intelectual para combater ameaças virtuais, além de regulamentar materiais físicos e componentes de fabricação.
Por exemplo, se uma empresa fornece programas de computador ou serviços de cibersegurança para as Forças Armadas, o DFARS determina que sigam padrões específicos, como proteger informações sensíveis. Essas mesmas regras também se aplicam a empresas de telecomunicações que prestam serviços de comunicação ao DoD.
Informações não classificadas controladas (CUI)
Diretamente ligada à cibersegurança, CUI é a sigla para Controlled Unclassified Information e se refere a informações não classificadas, mas que precisam de salvaguarda. Isso pode envolver dados sensíveis associados à segurança nacional, privacidade e outros setores críticos.
O DFARS traz várias cláusulas sobre a proteção de Controlled Unclassified Information (CUI), como o DFARS 252.204-7012. Esta cláusula exige que contratados protejam CUI ao manusear informações relativas à defesa. Além disso, os contratados precisam implementar medidas de segurança específicas descritas na NIST Special Publication 800-171 para lidar com CUI.
Manter a conformidade com o DFARS
Seja você um contratante principal, subcontratado ou parte da cadeia de suprimentos, garantir a conformidade com o DFARS é essencial para a segurança nacional e para o sucesso da sua empresa. A não conformidade pode resultar em rescisão de contratos, multas do governo, sanções legais e danos à reputação da sua empresa.
Existem algumas maneiras de assegurar a conformidade com o DFARS, como realizar uma autoavaliação, contratar uma consultoria especializada ou contar com uma plataforma de gestão de riscos na cadeia de suprimentos como a Z2Data — sim, essa é a nossa especialidade! Independentemente do seu setor, nossa plataforma flexível, integrada e colaborativa apoia você em seus objetivos de compliance, além de auxiliar em áreas como cadeia de suprimentos, gestão de riscos, insights sobre fornecedores e muito mais.
Se você ainda não trabalha com uma plataforma ou consultoria e pretende concluir uma autoavaliação internamente, é fundamental consultar a NIST Special Publication 800-171A: Assessing Security Requirements for Controlled Unclassified Information. Apesar de mais acessível financeiramente, alertamos que esse processo pode ser longo e complexo sem os recursos certos, levando de seis a onze meses para atingir a conformidade total. Você também precisará ser extremamente criterioso com seu plano de manutenção da conformidade e com o monitoramento contínuo das ações.
