Was ist ITAR-Compliance?

Die meisten Unternehmen, insbesondere im Verteidigungssektor, stehen vor Ort, wenn ihre Hauptauftragnehmer sie fragen, ob sie ITAR-zertifiziert und ITAR-konform sind. Einige Auftragnehmer möchten sogar wissen, welche Schritte Sie unternehmen, um diese Verordnung zu erfüllen.

Als Chief Information Security Officer haben Sie wahrscheinlich schon von der Einhaltung von CCPA und GDPR und ihrer Rolle bei Verbraucherdaten gehört. Aber wie gut kennen Sie sich mit den International Traffic in Arms Regulations (ITAR) aus?

Wir haben diesen ultimativen Leitfaden zur ITAR-Compliance zusammengestellt, einschließlich dessen, was Sie tun sollten, um eine Zertifizierung zu erhalten, der Strafen für Verstöße gegen ITAR und einer ITAR-Compliance-Checkliste.

Was ist ITAR?

ITAR bezieht sich auf die International Traffic in Arms Regulations und ist ein Gesetz der US-Regierung, das die Herstellung, den Verkauf und den Vertrieb der United States Munitions List (USML) kontrolliert oder reguliert, die weltraum- und verteidigungsbezogene Dienstleistungen und Artikel umfasst. Diese Regelung wird vom DDTC (Directorate of Defense Trade Controls) im US-Außenministerium durchgesetzt. Sie zielt in der Regel darauf ab, den Zugang zu technischen Daten oder physischen Materialien im Zusammenhang mit Militär- und Verteidigungstechnologien zu beschränken.

Derzeit arbeiten rund 13.000 Organisationen, darunter Universitäten, Forschungslabore und Verteidigungsunternehmen, mit dem Verteidigungsministerium zusammen. In Anbetracht der Sensibilität ihrer Daten sind ITAR-Kontrollen notwendig, um zu verhindern, dass diese Informationen in die falschen Hände geraten. Laut ITAR dürfen diese Institutionen Artikel der USML-Liste nur mit einem US-Bürger oder einem ständigen Einwohner teilen, es sei denn, sie sind anderweitig autorisiert.

Es gibt drei Aspekte von ITAR; Verteidigungsartikel, Verteidigungsdienstleistungen und zugehörige technische Daten.

  • Verteidigungsartikel: Sie bestehen aus 21 Kategorien und umfassen die folgenden kontrollierten Gegenstände:
  1. Schusswaffen und verwandte Artikel
  2. Gewehre und Rüstung
  3. Munition und Kampfmittel
  4. Trägerraketen, ballistische Raketen, Lenkflugkörper, Bomben, Raketen, Torpedos und Minen
  5. Brandstoffe, Sprengstoffe und energetische Materialien, Treibmittel und deren Bestandteile
  6. Spezielle Marineausrüstung
  7. Landfahrzeuge und Überwasserschiffe des Krieges
  8. Flugzeuge und verwandte Artikel
  9. Militärische Ausbildungsausrüstung und Ausbildung
  10. Persönliche Schutzausrüstung
  11. Militärische Elektronik
  12. Feuerleit-, Laser-, Bildgebungs- und Führungsgeräte
  13. Materialien und verschiedene Artikel
  14. Toxikologische Agenzien, wie z. B. biologische Agenzien, chemische Agenzien und zugehörige Ausrüstung
  15. Raumfahrzeug & verwandte Artikel
  16. Atomwaffen & verwandte Artikel
  17. Technische Daten, geheime Artikel und Verteidigungsdienstleistungen, die nicht aufgezählt werden
  18. Gerichtete Energiewaffen
  19. Gasturbinenmotoren und zugehörige Ausrüstung
  20. Tauchschiffe & verwandte Artikel
  21. Technische Daten, Artikel und Verteidigungsdienstleistungen, die nicht anderweitig aufgezählt sind
  • Verteidigungsdienste: Dies umfasst die militärische Ausbildung ausländischer Streitkräfte und Einheiten, das Anbieten kontrollierter technischer Daten für ausländische Personen und die Unterstützung bei der Nutzung, dem Betrieb, der Modifikation, der Wartung, Prüfung oder Reparatur von Verteidigungsgütern.
  • Technische Daten: ITAR-Daten umfassen geheime Informationen über die Verteidigungsdienste und -artikel, Software, die mit den Verteidigungsartikeln verwendet wird, und alle anderen Informationen, die die Verteidigungsartikel betreffen.

Im Vergleich zu den Exportkontrollen, die in den Export Administration Regulations (EAR) hervorgehoben werden, sind die ITAR-Vorschriften strenger, da sie Fragen der nationalen Sicherheit betreffen.

Was ist für die ITAR-Konformität erforderlich?

Um ITAR-konform zu werden, müssen Sie zunächst die regulatorischen Anforderungen erfüllen. Hier ist eine kurze Compliance-Checkliste.

  1. Bestimmen Sie Ihre Gerichtsbarkeit: Sie müssen feststellen, ob Ihre Produkte unter ITAR- oder EAR-Gerichtsbarkeiten fallen. Wenn sie auf der US-Munitionsliste stehen, sollten Sie beim Außenministerium registriert sein. Wenn Sie sich nicht sicher sind, welche Regierungsbehörden zuständig sind, stellen Sie sicher, dass Sie einen Antrag auf CJ (Rohstoffgerichtsbarkeit) an das Directorate of Defense Trade Controls senden.
  2. Überprüfen Sie die ITAR-Anforderungen: Hier finden Sie alles über ITAR und wie es sich auf Ihren Betrieb auswirkt. Zum Beispiel kann der Präsident dem USML weitere kontrollierte Güter hinzufügen, wie es durch den Arms Export Control Act (AECA) genehmigt ist. Technisch gesehen setzt ITAR also nur die Regeln von AECA um.
  3. Registrieren Sie sich beim DDTC: Der Registrierungsprozess ist ziemlich einfach, und Sie müssen nur die erforderlichen Gebühren bezahlen und das Anmeldeformular ausfüllen. Sie sollten dann die unterstützenden Unterlagen sammeln und auf die Website hochladen. Danach dauert es etwa 45 Tage, bis Ihre Bewerbung geprüft wird.
  4. Verwenden Sie die U.S. Munitions List, um Ihre Produkte zu klassifizieren: Es gibt 16 Abschnitte der USML, die wie folgt unterteilt sind: einer befasst sich mit der allgemeinen Liste, sieben sind für die zukünftige Verwendung reserviert, und der Rest ergänzt und beschreibt die USML weiter.
  5. Bestimmen Sie den Endbenutzer und die Endverwendung Ihres Produkts: Diese Checkliste besteht aus drei Elementen; Bestimmen Sie zunächst, wie Sie Ihre Produkte verwenden möchten und wer sie verwenden wird. Anschließend sollten Sie die Bestimmungen der Ausfuhrverwaltung überprüfen, um die verbotenen Bestimmungsorte zu identifizieren. Stellen Sie schließlich sicher, dass Sie alle Partner überprüfen, mit denen Sie handeln.
  6. Beantragen Sie eine Ausfuhrgenehmigung: Sie können dies ganz einfach über die staatliche Abteilung der Gerichtsbarkeit des BIS (Bureau of Industry and Security) tun, wenn Ihre Artikel nicht auf der USML stehen.
  7. Erfüllen Sie die Berichtspflichten: Stellen Sie sicher, dass Sie alle ITAR-Aktivitäten aufzeichnen und sicherstellen, dass diese Aufzeichnungen für die Einsichtnahme durch das DDTC leicht zugänglich sind. Ihre Aufzeichnungen sollten nahezu perfekt sein; Andernfalls könnten unzureichende Aufzeichnungen zu hohen Strafen führen.
  8. Erstellen Sie ein ITAR-Compliance-Programm: Das DDTC empfiehlt dringend, dass alle Unternehmen in der Verteidigungsbranche über ein ECP verfügen, um sensible Daten über Verteidigungstechnologien zu schützen.

Wer muss ITAR-konform sein?

Wenn Ihre Institution Artikel auf der USML herstellt, vertreibt, entwirft, handhabt, verkauft oder entwirft, müssen Sie die Vorschriften einhalten. Zu den anderen Organisationen, die die Vorschriften einhalten sollten, gehören Distributoren, Großhändler, Anbieter von Computerhardware/-software, Auftragnehmer und Zulieferer von Drittanbietern. Es ist wichtig zu beachten, dass alle Unternehmen innerhalb dieser Lieferkette die Vorschriften einhalten sollten. Wenn Sie beispielsweise Ihre Waren an Unternehmen B verkaufen, sie dann aber wieder ausführen oder an Ausländer weitergeben, werden Sie ebenfalls als Verstoß gegen ITAR angesehen.

Gemäß den ITAR-Vorschriften darf nur eine US-Person auf Produkte in der USML zugreifen. Das bedeutet, dass selbst wenn Sie ein Unternehmen mit Niederlassungen im Ausland betreiben, die von ausländischen Personen geleitet werden, diese nicht auf ITAR-Daten zugreifen können. Es gibt jedoch eine Ausnahme von dieser Regel; Sie können diese Daten weitergeben, wenn Sie die Genehmigung des Außenministeriums haben.

Bitte beachten Sie, dass, obwohl das DDTC für die Verwaltung von Unternehmen zuständig ist, die mit USML-Produkten handeln können, es an Ihnen liegt, Richtlinien festzulegen, die Ihnen helfen, die Vorschriften einzuhalten.

Wie hoch ist die Strafe für einen Verstoß gegen ITAR?

ITAR-Verstöße ziehen harte Strafen nach sich, wie unten hervorgehoben;

  • Geldstrafen: bis zu 10 Jahre Gefängnis und/oder 1 Million US-Dollar pro Verstoß.
  • Zivilrechtliche Geldstrafen: bis zu 50.000 US-Dollar pro Verstoß.

Mehrere Unternehmen haben hohe Geldstrafen für ITAR-Verstöße gezahlt, aber die beiden beliebtesten Fälle betreffen ITT und FLIR Systems. ITT wurde 2017 wegen illegaler Ausfuhr von Nachtsichttechnologie zu einer Geldstrafe von 100 Millionen US-Dollar verurteilt. FLIR Systems hingegen musste eine Geldstrafe in Höhe von 30 Millionen US-Dollar kassieren, weil es Mitarbeitern mit doppelter Staatsangehörigkeit Zugang zu ITAR-Daten gewährt hatte.

Was ist der beste Weg, um ITAR-Daten zu sichern?

In Anbetracht der hohen Bußgelder für Verstöße gegen die ITAR-Vorschriften sollten Sie mehrere Sicherheitsebenen verwenden, um sensible Daten zu schützen. Hier sind einige der Prinzipien, die Sie befolgen sollten.

  • Identifizieren und sichern Sie alle sensiblen Informationen und klassifizieren Sie sie dann auf der Grundlage Ihrer Geschäftsrichtlinien.
  • Ordnen Sie die Daten zu, um zu bestimmen, wer Zugriff darauf hat, und dann die Dateiberechtigungen dieser Benutzer.
  • Verwalten Sie die Zugriffssteuerung, indem Sie inaktive Benutzer identifizieren und dann deaktivieren. Sie sollten auch Gruppen- und Benutzermitgliedschaften verwalten und globale Zugriffsgruppen entfernen.
  • Überwachen Sie alle Daten und erstellen Sie einen Audit-Bericht über alle Ereignisse und Aktivitäten. Halten Sie Ausschau nach Sicherheitsverletzungen, Malware, Fehlkonfigurationen und Insider-Bedrohungen.
  • Erstellen und pflegen Sie eine Informationssicherheitsrichtlinie.
  • Erstellen Sie ein Schwachstellenmanagementprogramm.
  • Überwachen und testen Sie Ihre Netzwerke regelmäßig
  • Stellen Sie sicher, dass jeder, der auf vertrauliche Informationen zugreifen kann, über eine eindeutige ID verfügt, einschließlich Drittanbietern.
  • Installieren und Verwalten von Firewall-Konfigurationen

Sie sollten auch alle sensiblen Daten verschlüsseln, um sicherzustellen, dass sie auch dann sicher bleiben, wenn sie in die falschen Hände geraten.

Die wichtigsten häufig gestellten Fragen zur ITAR-Compliance

  • Wie kann ich feststellen, ob auf meine ITAR-Daten zugegriffen wurde?

Arbeiten Sie mit einem seriösen Sicherheitsunternehmen zusammen, um Warnungen zu installieren, die jedes Mal ausgelöst werden, wenn auf Ihre Daten zugegriffen wird oder ungewöhnliche Aktivitäten bemerkt werden. Auf diese Weise können Sie verdächtiges Verhalten erkennen und für Untersuchungen kennzeichnen. Führen Sie einen detaillierten Prüfpfad für das DDTC.

  • Wie kann ich die ITAR-Vorschriften einhalten?

Sobald Sie sich beim DDTC registriert haben, stellen Sie sicher, dass Sie Ihre Registrierung jedes Jahr erneuern. Wir empfehlen Ihnen, Ihre Verlängerungsunterlagen mindestens 60 Tage vor Ablauf Ihrer Registrierung einzureichen. Auf diese Weise werden die Dokumente vor Ablauf der Frist bearbeitet.

  • Was sind die Eigenschaften eines guten ECP?

Ihr Export-Compliance-Programm sollte klar niedergeschrieben und dokumentiert sein. Es sollte auch vom Management unterstützt und auf die Bedürfnisse Ihres Unternehmens zugeschnitten werden. Stellen Sie schließlich sicher, dass Sie sie regelmäßig überprüfen und aktualisieren, insbesondere wenn es in Ihrer Organisation erhebliche Änderungen gibt, z. B. einen neuen Partner.

Verwandte Artikel