Die ITAR-Vorschriften (International Traffic in Arms Regulations) regeln die Herstellung, den Verkauf und den Vertrieb von verteidigungs- und raumfahrtbezogenen Artikeln und Dienstleistungen, gemäß der Definition in der United States Munitions List (USML).
Neben Raketenwerfern, Torpedos und anderen militärischen Geräten belegt die Liste auch Pläne, Diagramme, Fotos und andere Unterlagen mit Einschränkungen, die zum Bau von Militärausrüstung verwendet werden, die den ITAR unterliegt. Dies wird im Rahmen von ITAR als „technische Daten“ bezeichnet.
ITAR schreibt vor, dass der Zugriff auf physische Materialien oder technische Daten, die zu Verteidigungs- und Militärtechnologien gehören, ausschließlich auf US-Bürger beschränkt ist. Wie kann ein Unternehmen sicherstellen, dass nur US-Bürger solche Daten im Netzwerk haben und darauf zugreifen können, und dass dies ITAR-konform geschieht? Den Zugang zu den physischen Materialien zu beschränken ist einfach – der Zugang zu digitalen Daten ist jedoch schon schwieriger zu steuern.
Jedes Unternehmen, das mit den in der USML aufgeführten Gütern arbeitet, sie herstellt, entwirft, verkauft oder vertreibt, muss ITAR-konform sein. Das Directorate of Defense Trade Controls (DDTC) unter dem State Department verwaltet die Liste der Unternehmen, die mit USML-Gütern und -Dienstleistungen handeln dürfen. Es obliegt jedem Unternehmen, Richtlinien zur Einhaltung der ITAR-Vorschriften festzulegen.
Jedes Unternehmen in der Lieferkette muss ITAR-konform sein. Wenn Unternehmen A ein Teil an Unternehmen B verkauft und Unternehmen B dieses Teil dann an einen ausländischen Staat verkauft, verstößt Unternehmen A ebenfalls gegen ITAR.
Die ITAR-Vorschriften sind einfach: Nur US-Bürger dürfen Zugang zu Artikeln in der USML-Liste haben.
Die ITAR-Vorschriften sind für viele US-Unternehmen problematisch. Ein in den USA ansässiges Unternehmen, das im Ausland tätig ist, darf technische Daten, die den ITAR-Vorschriften unterliegen, nicht an lokal angestellte Mitarbeiter weitergeben, es sei denn, sie haben eine Genehmigung vom Außenministerium der Vereinigten Staaten. Dasselbe gilt, wenn US-Unternehmen mit Auftragnehmern außerhalb der USA zusammenarbeiten.
Das State Department kann Ausnahmen zu dieser Regel autorisieren, und es gibt bestehende Ausnahmen für bestimmte Zwecke. Einige Länder haben derzeit ständige Abkommen mit den USA bezüglich ITAR – z. B. Australien, Kanada und das Vereinigte Königreich.
Die US-Regierung schreibt die Einrichtung und Umsetzung eines dokumentierten ITAR-Konformitätsprogramms vor, das die Verfolgung, Überwachung und Prüfung technischer Daten umfassen muss. Bei technischen Daten empfiehlt es sich außerdem, jede Seite mit einem ITAR-Vermerk oder einer Markierung zu versehen, damit Mitarbeiter nicht versehentlich regulierte Informationen an unbefugte Personen weitergeben.
ITAR dient dazu, militärische und sicherheitsrelevante Materialien zu verfolgen und sie nicht in die Hände von politischen Gegnern der USA gelangen zu lassen. Die Nichteinhaltung der Vorschriften kann zu hohen Geldstrafen sowie erheblichen Marken- und Reputationsschäden führen – ganz zu schweigen von dem potenziellen Geschäftsausfall zugunsten eines konformen Wettbewerbers.
Die Strafen für ITAR-Verstöße sind erheblich:
Im April 2018 verhängte das State Department aufgrund einer Weitergabe von USML-Daten an Mitarbeiter mit doppelter Staatsangehörigkeit eine Geldstrafe in Höhe von 30 Millionen US-Dollar gegen FLIR Systems, Inc. Im Rahmen der Strafe wurde FLIR dazu verpflichtet, bessere Compliance-Maßnahmen zu implementieren und einen externen Beauftragten einzustellen, der die Einhaltung der mit dem State Department getroffene Vereinbarung überwacht.
Im Jahr 2007 wurde ITT mit einer Geldstrafe von 100 Millionen US-Dollar belegt, da es Nachtsichttechnologien illegal exportiert hatte. ITT glaubte, die Beschränkungen umgehen zu können, aber die staatlichen Stellen waren mit der entsprechenden Auslegung des Gesetzes nicht einverstanden.
Es gibt 21 Kategorien von militärischen Artikeln gemäß USML. Alle Artikel auf dieser langen und merkwürdig spezifischen Liste sind militärische Artikel.
Angesichts der mit ITAR verbundenen Strafen ist es sinnvoll, die digitalen Daten mit so vielen Sicherheitsebenen wie möglich zu schützen. Da es sich bei ITAR um eine US-Bundesvorschrift handelt, ist ihre eigene Anleitung zur Datensicherheit ein guter Startpunkt. NIST SP 800-53 definiert die Standards und Richtlinien, die Bundesbehörden befolgen müssen, und jedes Unternehmen, das mit ITAR-regulierten Materialien arbeitet, sollte NIST SP 800-53 als Grundlage für seine eigenen Sicherheitsstandards verwenden. Mithilfe dieser Grundprinzipien können Sie Ihre ITAR-Daten schützen:
Möchten Sie mehr darüber erfahren, wie Sie Ihre ITAR-Daten verwalten können, um Compliance zu gewährleisten? Vereinbaren Sie eine 1:1-Demo mit einem Sicherheitsingenieur und erfahren Sie, wie Varonis Ihnen helfen kann.
