:quality(85))
«Oh não, mais um acrónimo…»
No que diz respeito à regulamentação, surgem muitos acrónimos e nem sempre é fácil acompanhar todos. RoHS, REACH, DFARS, TSCA… a lista cresce à medida que surgem novas regulações todos os anos.
Desta vez, vamos analisar o DFARS, por isso vamos aprofundar o tema.
O que é o DFARS?
O acrónimo DFARS corresponde a Defense Federal Acquisition Regulation Supplement.
Mas o que significa? Trata-se de um conjunto adicional de regulamentos introduzido pelo Departamento de Defesa dos Estados Unidos (DoD) ao Federal Acquisition Regulation (FAR). O FAR é um conjunto geral de regras para aquisições e aprovisionamento governamentais, implementado nos anos 80. O DFARS surgiu depois, como uma adição ao FAR, especificando os requisitos para aquisições relacionadas com a defesa. Ou seja, o DFARS regula a forma como o governo dos EUA adquire bens e serviços para fins militares ou de defesa.
Qual é o objetivo do DFARS?
De acordo com Acquisition.gov, o principal objetivo do DFARS é adquirir produtos e serviços de qualidade que satisfaçam as necessidades dos utilizadores, promovendo melhorias mensuráveis na capacidade operacional e apoio à missão, a um preço justo e razoável. Adicionalmente, refere que o DFARS existe para gerir os investimentos dos Estados Unidos em tecnologias, programas e apoio a produtos necessários para cumprir a estratégia de segurança nacional e apoiar as Forças Armadas dos Estados Unidos.
Recuando aos anos 80, é possível perceber como estas regulações tiveram origem e os seus objetivos. A 1 de abril de 1981, o FAR substituiu o Federal Procurement Regulation (FSR) com o objetivo de estabelecer um só conjunto de regulamentos completos para o aprovisionamento governamental. O FAR abrange várias vertentes, desde o planeamento de aquisições e tipos de contratos até normas de segurança ambiental, propriedade intelectual e muito mais. No entanto, o Departamento de Defesa rapidamente se apercebeu de que as aquisições de defesa envolviam outras complexidades, como tecnologias sensíveis e considerações de segurança nacional. Daí nasceu o DFARS.
Atualmente, o DFARS é atualizado continuamente para responder a desafios modernos como a cibersegurança, bem como ao cenário em constante evolução da segurança nacional e das práticas de aprovisionamento. Entre os seus principais objetivos estão:
Segurança nacional
Aprovisionamento justo e competitivo
Alinhamento com políticas nacionais
Garantia da qualidade e responsabilidade
:quality(85))
Quem é afetado pelo DFARS?
O DFARS tem impacto numa vasta gama de partes interessadas, desde empresas contratadas diretamente com o Departamento de Defesa dos EUA até subcontratantes e prestadores de serviços de apoio. Os fornecedores da área da defesa são o grupo mais diretamente afetado, incluindo fabricantes de equipamentos militares, prestadores de serviços de TI e outros. Os subcontratantes e fornecedores também podem sentir o impacto do DFARS à medida que as exigências são transmitidas ao longo da cadeia de abastecimento, especialmente se os contratantes principais aplicarem cláusulas DFARS específicas. Outros grupos afetados incluem as equipas jurídicas e de conformidade, gestores de programas e auditores dentro das empresas contratadas.
Para além das partes interessadas, o DFARS afeta diretamente diversos setores-chave, incluindo:
Aeroespacial e Defesa
TI e Cibersegurança
Fabrico e Engenharia
Construção e Infraestruturas
Logística e Gestão da Cadeia de Abastecimento
Consultoria
Que bens, serviços e materiais abrange o DFARS?
Equipamento militar
Todos os bens e materiais utilizados no fabrico de equipamento militar estão sujeitos aos regulamentos DFARS. Isto inclui veículos militares, armas, aeronaves, material médico, equipamentos de comunicação, entre outros. Basta pensar nos mais variados materiais necessários para produzir estes equipamentos, e sim, todos estes materiais estão sujeitos a normas e regulamentos específicos graças ao DFARS.
Por exemplo, o DFARS 252.225-7009 rege a aquisição de certos metais, garantindo que a sua origem é responsável e responde às necessidades de segurança nacional. Neste grupo incluem-se metais especiais como titânio, tântalo e tungsténio, entre outros. Outro exemplo é o DFARS 252.225-7030, que reflete o compromisso do governo dos EUA em salvaguardar a integridade e segurança da cadeia de abastecimento quanto a produtos de aço essenciais para o fabrico de defesa. Inclui chapas de aço de carbono, liga ou blindagem, e proíbe determinados artigos em aço de origem estrangeira.
Tecnologia e Cibersegurança
Ao falar de equipamento militar, armas e veículos costumam ser os primeiros exemplos que vêm à mente. Contudo, a tecnologia, o software e a cibersegurança são também instrumentos fundamentais na segurança nacional – e sim, também estão abrangidos pelo DFARS. Estas normas abordam especificamente questões de cibersegurança e propriedade intelectual para combater as ameaças digitais, em vez de se focarem em matérias-primas e peças de fabrico.
Por exemplo, se uma empresa fornece programas informáticos ou serviços de cibersegurança ao exército, o DFARS assegura que seguem normas de segurança específicas, como a proteção de informação sensível. As mesmas regras aplicam-se a empresas de telecomunicações que prestem serviços de comunicação ao DoD.
Informação não classificada controlada (CUI)
Ligado à cibersegurança, CUI significa Controlled Unclassified Information (informação não classificada controlada) e refere-se a informações não classificadas que exigem salvaguarda. Isto pode abranger dados sensíveis relacionados com a segurança nacional, privacidade e outras áreas críticas.
O DFARS inclui várias cláusulas relacionadas com a proteção da Controlled Unclassified Information (CUI), como o DFARS 252.204-7012. Esta cláusula obriga os contratantes a proteger a CUI ao lidar com informação relacionada com a defesa. Além disso, os contratantes devem implementar medidas de segurança especificadas na publicação especial 800-171 do National Institute of Standards and Technology (NIST) no que diz respeito à CUI.
Manter a conformidade com o DFARS
Seja enquanto contratante principal, subcontratante ou noutra posição na cadeia de abastecimento, cumprir o DFARS é essencial tanto para a segurança nacional como para o êxito da sua empresa. O não cumprimento pode levar à rescisão de contratos, penalizações financeiras aplicadas pelo governo, consequências legais e impacto negativo na reputação da sua empresa.
Há várias formas de garantir a conformidade da sua empresa com o DFARS, incluindo a realização de uma autoavaliação, contratação de serviços de consultoria ou colaboração com uma plataforma de gestão de risco na cadeia de abastecimento como a Z2Data – sim, é a nossa! Independentemente do setor, a nossa plataforma flexível, integrada e colaborativa pode ajudar a cumprir os seus objetivos de conformidade, apoiando também áreas como cadeia de abastecimento, gestão de risco, supplier insights e muito mais.
Se não recorrer a uma plataforma ou consultora e tenciona realizar uma autoavaliação de forma autónoma, é fundamental consultar a NIST Special Publication 800-171A: Assessing Security Requirements for Controlled Unclassified Information (Avaliação dos Requisitos de Segurança para Informação Não Classificada Controlada). Embora esta opção possa ser mais acessível, alertamos que pode ser um processo longo e complexo sem os recursos certos, demorando entre seis a onze meses a alcançar total conformidade. Terá ainda de ser especialmente rigoroso no plano de manutenção da conformidade e na monitorização contínua desse cumprimento.
