Cumplir con ITAR para Exportadores de Defensa

Si tu empresa exporta artículos relacionados con la defensa o el espacio, debes cumplir con ITAR. De lo contrario, podrías ser multado con cientos de miles de dólares.

¿Qué significa cumplir con ITAR? Cumplir con las Regulaciones Internacionales de Tráfico de Armas significa que tu empresa está registrada en la Dirección de Controles de Comercio de Defensa del Departamento de Estado de EE. UU. y ha cumplido con todas las regulaciones necesarias de ITAR para las exportaciones de la Lista de Municiones de EE. UU.

¿Qué es ITAR y por qué una organización querría cumplir con él?

Las Regulaciones Internacionales de Tráfico de Armas son un organismo regulador y un marco utilizado para controlar las importaciones y exportaciones de armas y municiones con el fin de proteger la seguridad nacional de EE. UU. y las prioridades de política exterior.

ITAR se refiere específicamente a la Lista de Municiones de EE. UU. (USML), que es una lista de servicios, tecnologías y artículos designados como “relacionados con la defensa y el espacio”. Es un inventario de armas, equipos militares y datos relacionados con la defensa que se definen como “municiones”. Debido a que EE. UU. a menudo comercia con armamento (ya sea como comprador o vendedor), el gobierno debe mantener registros meticulosos sobre su equipo. Asimismo, dado que la cadena de suministro de defensa comprende una red de agencias y contratistas externos (conocida como la Base Industrial de Defensa), estas organizaciones deben cumplir con los requisitos instituidos para gestionar las municiones de EE. UU.

ITAR y la Ley de Control de Exportación de Armas se promulgaron en 1976 durante la Guerra Fría para abordar los temores de que las armas de EE. UU. cayeran en manos de agentes de la URSS o gobiernos satélite. En 1999, la gestión y aplicación de las reglas y regulaciones bajo ITAR y la Ley de Control de Exportación de Armas (AECA) pasó al Departamento de Estado de EE. UU.

Bajo ITAR, los “artículos de defensa” se dividen en dos categorías amplias: equipo físico y datos técnicos sobre equipos existentes o futuros. Dentro de estas dos categorías hay categorías más específicas para el usuario:

• Armas de fuego, armas de asalto cercano y escopetas
• Materiales, productos químicos, microorganismos y toxinas
• Municiones y artillería
• Vehículos de lanzamiento, misiles guiados y balísticos, cohetes, torpedos, bombas y minas
• Explosivos y materiales energéticos, propulsores, agentes incendiarios y sus componentes
• Buques de guerra y equipo naval especial
• Tanques y vehículos militares
• Aeronaves y equipo asociado
• Equipo de entrenamiento militar
• Equipo de protección personal
• Electrónica militar
• Control de fuego, telémetros, óptica, guía y equipo de control
• Equipo militar auxiliar
• Agentes toxicológicos, incluidos agentes químicos, biológicos y equipo asociado
• Sistemas espaciales y equipo asociado
• Armas nucleares, diseño y artículos relacionados con pruebas
• Artículos clasificados, datos técnicos y servicios de defensa no enumerados de otra manera
• Armas de energía dirigida
• Motores de turbina de gas
• Buques sumergibles, oceanográficos y equipo asociado
• Artículos, datos técnicos y servicios de defensa no enumerados de otra manera

Todo armamento militar e información sobre ese armamento cae bajo una de estas categorías. Cualquier organización que realice fabricación, investigación o exportaciones relacionadas con artículos que caen bajo estas categorías debe registrarse en la Dirección de Controles de Comercio de Defensa (DDTC) y seguir las regulaciones de ITAR.

4 Diferencias entre ITAR y EAR

ITAR (Regulaciones Internacionales de Tráfico de Armas) y EAR (Regulaciones de Administración de Exportaciones) son regulaciones del gobierno de los Estados Unidos que gobiernan la exportación de artículos que tienen aplicaciones tanto civiles como militares.

Sin embargo, hay algunas diferencias claras entre las dos regulaciones:

1. Alcance: ITAR cubre la exportación de artículos y servicios de defensa, mientras que EAR cubre la exportación de artículos de doble uso que pueden tener aplicaciones tanto militares como civiles.
2. Jurisdicción: ITAR es administrado por el Departamento de Estado, mientras que EAR es administrado por el Departamento de Comercio.
3. Proceso de Licencias: El proceso de licencias para ITAR es generalmente más complejo y consume más tiempo que para EAR. ITAR requiere un proceso formal de solicitud y aprobación, mientras que EAR tiene un proceso más simplificado para la mayoría de las exportaciones.
4. Penalidades: Las penalidades por violar ITAR pueden ser severas, incluyendo multas, encarcelamiento y pérdida de privilegios de exportación. Las penalidades de EAR también pueden ser significativas, pero generalmente son menos severas que las penalidades por violar ITAR.

¿Cómo puede una organización cumplir con ITAR?

Hay algunos pasos clave que cualquier organización debe seguir para cumplir con ITAR:

1. Registrarse con el DDTC: Este paso viene antes que cualquier otro y es necesario para realizar cualquier trabajo gestionando artículos de la USML de cualquier manera. Según el sitio web del DDTC, todos los “fabricantes, exportadores, importadores temporales y corredores de artículos de defensa (incluidos los datos técnicos)” que caen bajo la USML deben registrarse con el DDTC.
2. Implementar un Programa de Cumplimiento ITAR. Los requisitos de ITAR especifican que las organizaciones deben tener un programa de cumplimiento ITAR documentado que describa el monitoreo, seguimiento y auditoría de los datos técnicos de la USML que caen bajo la jurisdicción de ITAR. Además, el DDTC recomienda que marques los materiales sensibles con una designación ITAR para apoyar el cumplimiento entre los empleados.
3. Implementar Seguridad ITAR: El cumplimiento seguirá la autorización de seguridad de los datos. Supongamos que la información gestionada como parte de ITAR está clasificada. En ese caso, probablemente llevará sus propias demandas únicas de cumplimiento de seguridad (incluyendo el uso de redes de enrutadores específicas como la Red de Protocolo de Internet Secreta). Sin embargo, si una organización gestiona información no clasificada controlada (CUI)—información sensible relacionada con armamento y defensa que no está clasificada—entonces el cumplimiento de seguridad puede seguir la Publicación Especial 800-171 del Instituto Nacional de Estándares y Tecnología.

¿Qué es el registro ITAR?

El registro ITAR es el proceso de registrarse con el DDTC para cumplir con ITAR. Es obligatorio para todos los fabricantes, exportadores y corredores de artículos de defensa, servicios de defensa o datos técnicos cubiertos bajo ITAR. El proceso de registro implica completar una solicitud, pagar una tarifa y proporcionar información detallada sobre la empresa, su propiedad y operaciones. Una vez registradas, las empresas deben cumplir con todos los requisitos de ITAR, incluyendo obtener licencias para exportar artículos restringidos, mantener registros e informar cualquier violación o incidente.

El registro ITAR es un paso crítico para las empresas involucradas en la industria de defensa, ya que asegura el cumplimiento con regulaciones diseñadas para proteger los intereses de seguridad nacional de EE. UU. No registrarse o no cumplir con las regulaciones de ITAR puede resultar en severas penalidades, incluyendo multas, encarcelamiento y pérdida de privilegios de exportación. Por lo tanto, las empresas deben entender la importancia del registro ITAR y los estrictos requisitos para mantener el cumplimiento.

¿Cómo se aplica ITAR a las empresas tecnológicas?

La creciente dependencia de las agencias de defensa en contratistas externos ha creado una dependencia paralela en la infraestructura de TI proporcionada por proveedores para estas agencias y sus contratistas asociados. Estos tipos de infraestructura incluyen aplicaciones de Software como Servicio (SaaS), almacenamiento en la nube, soluciones gubernamentales y tecnologías cruciales para la mayoría de las organizaciones.

Debido a que sistemas como el almacenamiento en la nube son tan críticos para las operaciones de los contratistas y agencias de defensa, también es importante que cualquier sistema que gestione “artículos, datos técnicos y servicios de defensa” (clasificados o no) cumpla con los requisitos mínimos de cumplimiento.

Esto se manifiesta de dos maneras diferentes. En términos de CUI o datos clasificados, una organización debe seguir las regulaciones para proteger esas formas específicas de datos. Además, según los requisitos de ITAR, estas organizaciones, antes de 2020, estaban obligadas a asegurar que los centros de datos fueran gestionados solo por ciudadanos estadounidenses ubicados en los Estados Unidos.

En marzo de 2020, el Departamento de Estado decidió que las organizaciones pueden compartir datos técnicos no clasificados con su cadena de suministro fuera de los Estados Unidos siempre que la comunicación haya sido asegurada con cifrado de extremo a extremo.

¿Cuáles son las penalidades por no cumplir con ITAR?

Según la documentación de ITAR en el sitio web del DDTC, se considera ilegal hacer cualquiera de las siguientes acciones:

• Exportar, importar o conspirar para importar o exportar artículos de defensa desde los Estados Unidos sin la aprobación del Departamento de Estado
• Importar, exportar o intermediar el intercambio de artículos de defensa sin la licencia adecuada
• Fabricar artículos de defensa en asociación con el gobierno sin cumplir con las regulaciones de licencias y seguridad
• Cometer fraude en un intento de obtener cumplimiento ITAR, licencias u otra aprobación para exportar, importar o intermediar artículos de defensa

Las penalidades se resuelven a través de lo que se llama un “acuerdo de consentimiento,” donde una organización en violación de ITAR se somete a monitoreo y remediación junto con penalidades financieras a través de un proceso que puede durar de tres a cuatro años.

Según el sitio web del DDTC, hay dos niveles de penalidades:

• Penalidades Civiles: Las penalidades civiles están gobernadas por ITAR Artículo 128 e incluyen penalidades de al menos $1M por violación y posible inhabilitación, al menos durante un período de remediación gobernado por un acuerdo de consentimiento. Las penalidades civiles se consideran típicamente no intencionadas o corregibles, permitiendo un acuerdo de consentimiento.
• Penalidades Criminales: Las penalidades criminales están gobernadas por AECA 22 U.S.C. 2778(c) y generalmente se aplican a organizaciones que violan ITAR de manera consciente y deliberada. Las penalidades son un mínimo de $1M por violación o hasta 20 años de prisión e inhabilitación.

Manteniendo Sistemas Seguros e Información ITAR-segura

Las organizaciones que trabajan en la cadena de suministro del Departamento de Defensa ya manejan datos importantes y sensibles. Aquellos que gestionan información técnica como parte de la gestión de la Lista de Municiones de EE. UU. tienen aún más responsabilidades para asegurar que la información no caiga en las manos equivocadas. Por eso es importante trabajar con sistemas de gestión de datos y en la nube que puedan cumplir con estrictos requisitos de seguridad dentro y fuera de la industria de defensa.

Regístrate para una demo gratuita hoy para ver cómo la plataforma Kiteworks puede apoyar tus necesidades de seguridad y cumplimiento.

 

Volver al Glosario de Riesgo y Cumplimiento