Le président Joe Biden a signé la loi sur l’autorisation de la défense nationale le 23 décembre 2022, approuvant un financement d’environ 858 milliards de dollars pour le ministère de la Défense et les programmes de sécurité nationale relevant du ministère de l’Énergie. Le NDAA inclut également 12,6 milliards de dollars pour l’impact de l’inflation sur les achats et la hausse des coûts de construction et de carburant.
La NDAA de cette année continue d’étendre la version de l’exercice 2022 en se concentrant sur l’amélioration et la protection de la chaîne d’approvisionnement du DoD et le renforcement de la préparation militaire. Ces dispositions continuent de restreindre l’approvisionnement en biens et services auprès de certains pays étrangers et d’améliorer la cybersécurité. Les entrepreneurs peuvent être ravis de voir que le Congrès a augmenté le financement de la construction navale, de la défense antimissile, des avions, des systèmes terrestres et d’armes.
La NDAA de l’exercice 2023 compte plus de 4 400 pages. Nous avons mis en évidence certaines des sections qui pourraient intéresser les entrepreneurs gouvernementaux.
Article 803 : Exigences en matière de données pour les produits commerciaux destinés aux systèmes d’armes majeurs
Cette disposition de la NDAA exige que les offrants qui fournissent des sous-systèmes, des composants et des pièces de rechange pour des systèmes d’armes majeurs qui n’ont pas été préalablement déterminés comme étant commerciaux identifient des produits comparables spécifiques vendus au grand public ou à des entités non gouvernementales pouvant servir de base à une affirmation « d’un type », ainsi qu’une analyse comparative pour justifier la commercialité du ou des produits.
Article 805 : Du traitement de certaines clauses d’exécution des décrets
Cela exige que l’insertion unilatérale d’une clause couverte insérée dans un contrat DoD existant, une commande ou une autre transaction par un agent de négociation des contrats soit traitée comme une modification en vertu de la clause de modification du contrat, FAR 52.243-3. Les entrepreneurs qui sont tenus d’intégrer des décrets exécutifs susceptibles d’augmenter les coûts de leurs contrats peuvent demander un ajustement équitable.
Article 817 : Modification de l’interdiction d’exploiter ou d’acquérir des systèmes d’aéronefs sans pilote fabriqués à l’étranger
Cette disposition modifie une disposition de la NDAA de l’exercice 2020 sur les systèmes d’aéronefs sans pilote fabriqués à l’étranger en interdisant les achats d’UAS auprès de la Chine, de la Russie, de l’Iran et de la Corée du Nord. La disposition impose certaines restrictions au fabricant de drones chinois Da-Jiang Innovations et à ses filiales ou sociétés affiliées.
Article 822 : Modification des contrats pour fournir un allégement extraordinaire en raison des effets de l’inflation
Il y a de bonnes nouvelles potentielles pour les entrepreneurs et les sous-traitants des contrats à prix fixe. Le gouvernement a reconnu la nécessité de protéger et de soutenir sa base industrielle de défense pendant cette période de forte inflation. Le DoD peut amender ou modifier un contrat éligible lorsque, en raison uniquement de l’inflation économique, le coût d’exécution pour un maître d’œuvre est supérieur au prix du contrat, des dispositions similaires s’appliquant aux sous-traitants. Si l’entrepreneur principal ne fait pas la demande, la disposition permet à un sous-traitant de faire la demande directement au gouvernement. Les entrepreneurs doivent prendre note que la disponibilité du financement peut être un problème, et les agents de négociation des contrats conservent toujours le pouvoir d’accorder une modification au contrat. Ceci est en vigueur jusqu’au 31 décembre 2023.
Article 856 : Codification du programme mentor-protégé du DoD
Cette disposition codifie le programme mentor-protégé qui n’est plus considéré comme un programme pilote. Il abaisse également le seuil d’admissibilité des mentors de 100 millions de dollars à 25 millions de dollars en contrats de défense totaux pour l’exercice précédent. De plus, la disposition prolonge la participation au programme de deux à trois ans et établit un programme pilote de cinq ans pour encourager la participation des protégés aux contrats d’ingénierie, de développement de logiciels ou de personnalisation de la fabrication.
Instruction 857: Exigences en matière d’approvisionnement relatives aux éléments de terres rares et aux matériaux stratégiques et critiques
Les entrepreneurs qui fournissent au système DoD un aimant permanent contenant des métaux de terres rares ou des matériaux stratégiques et critiques doivent divulguer la provenance de l’aimant. Les éléments de divulgation comprennent l’identification du ou des pays où un élément de terre rare ou des matériaux stratégiques et critiques ont été extraits, raffinés en oxydes ou transformés en alliages. La disposition exige également des détails sur l’endroit où l’aimant a été fritté ou collé et magnétisé. Si un entrepreneur n’est pas en mesure de faire les divulgations, il doit mettre en place un système de suivi de la chaîne d’approvisionnement qui fournit une description des efforts déployés pour faire la divulgation requise. Dans de tels cas, l’entrepreneur doit également signaler le nom, l’emplacement et d’autres informations d’identification de toute entité qui refuse de fournir à l’entrepreneur des informations pour faire la divulgation. Cette section étend également les restrictions sur l’achat de technologies militaires et à double usage par les entreprises militaires chinoises.
Intégration d’orientations sur les informations contrôlées non classifiées dans les guides de classification des programmes et les plans de protection des programmes
Cette disposition exige que tous les guides de classification des programmes (pour les programmes classifiés) et tous les plans de protection des programmes (pour les programmes non classifiés) incluent des conseils pour le marquage approprié des informations non classifiées contrôlées lors de leur prochaine mise à jour régulière. La disposition exige également de surveiller les progrès du DoD dans l’inclusion des directives CUI dans tous les programmes et une formation mise à jour pour le personnel du gouvernement et des entrepreneurs utilisant les guides.
Section 1514 : Tests opérationnels pour les capacités commerciales de cybersécurité
Cette disposition exige que le DoD et les directeurs de l’information des succursales élaborent et soumettent des plans d’ici le 1er février 2024, afin de garantir que les capacités de cybersécurité couvertes (y compris les éléments commerciaux) sont correctement testées, évaluées et prouvées efficaces sur le plan opérationnel, adaptées et survivables avant l’opération sur un réseau DoD.
Section 1553 : Plan de test et d’évaluation du cloud commercial
Cela nécessite que le secrétaire à la Défense, en consultation avec l’industrie commerciale, mette en œuvre une politique et un plan de test et d’évaluation de la cybersécurité des fournisseurs de services cloud commerciaux qui fournissent, ou sont destinés à fournir, le stockage ou le calcul de données classifiées du DoD .
Section 5921 : Loi d’autorisation FedRAMP
Cela codifie dans la loi le programme d’évaluation de la sécurité et d’autorisation du fournisseur de services cloud du programme fédéral de gestion des risques et des autorisations avec l’Administration des services généraux. La disposition exige qu’un programme à l’échelle du gouvernement soit établi qui fournit une approche normalisée et réutilisable de l’évaluation et de l’autorisation de la sécurité pour les produits et services d’informatique en nuage qui traitent des informations non classifiées. Cela contribuera à réduire les doublons. Il établit des pratiques pour soutenir le processus d’autorisation FedRAMP afin d’améliorer la rapidité, l’efficacité et la transparence. Voici quelques éléments clés supplémentaires de l’acte :
- Établit un conseil FedRAMP composé de hauts fonctionnaires ou d’experts d’agences ayant une expertise technique pertinente pour accélérer le processus d’autorisation, mettre à jour les exigences et les directives, superviser et surveiller les processus de détermination des exigences d’autorisation et assurer la cohérence et la transparence.
- Établit un comité consultatif fédéral sur le cloud sécurisé pour engager les secteurs public et privé afin d’assurer une coordination efficace et continue des adoptions des agences et d’évaluer l’autorisation, la surveillance, l’acquisition et la sécurité des produits et services de cloud computing. Le comité sera composé de membres d’agences gouvernementales, d’experts en la matière et de fournisseurs de services de cloud privé, dont au moins deux représentants de petites entreprises.
- Réduit la duplication des évaluations de sécurité et l’adoption par les agences de produits cloud en établissant une « présomption d’adéquation » pour les technologies cloud qui ont reçu la certification FedRAMP.
- Facilite l’utilisation des technologies cloud qui ont reçu l’autorisation de fonctionner en obligeant les agences à vérifier un référentiel centralisé et sécurisé et à réutiliser toute évaluation de sécurité existante avant de mener la leur.
Section 5949 : Interdiction de certains produits et services semi-conducteurs
Cette disposition s’applique à toutes les agences exécutives, pas seulement au DoD, et prend effet cinq ans après la signature de la NDAA. Il interdit à toutes les agences fédérales d’acheter ou de sous-traiter, pour des pièces électroniques, un produit ou un service semi-conducteur dans des « systèmes critiques » (c’est-à-dire le système de sécurité nationale) qui est conçu, produit ou fourni par Semiconductor Manufacturing International Corporation, ChangXin Memory Technologies, Yangtze Memory Technologies Corp. ou toute filiale, société affiliée ou successeur de l’une de ces sociétés. Les agences sont également tenues d’effectuer des analyses et des évaluations, et de rendre compte de leurs conclusions au sein de leur chaîne d’approvisionnement d’entrepreneurs et de sous-traitants. Les contractants doivent préparer et sont responsables de certifier la non-utilisation des produits ou services semi-conducteurs couverts ; détecter et éviter l’utilisation de produits ou services semi-conducteurs ; et effectuer des retouches ou des actions correctives pour remédier à l’utilisation ou à l’inclusion de pièces ou de produits semi-conducteurs couverts.
Section 6502 : Identification et évaluation des menaces des entreprises ayant des investissements en Chine
Cela nécessite un rapport au Congrès qui identifie le risque pour la sécurité nationale de l’utilisation d’entreprises de télécommunications avec un investissement de 10% ou plus par une entité détenue ou contrôlée par la Chine qui opère aux États-Unis, ou qui fournit des services à des sociétés affiliées et au personnel de la communauté du renseignement. Le rapport doit également aborder les entreprises d’accueil et de transport avec des investissements « substantiels » de la Chine que la communauté du renseignement utilise pour voyager.
